【《S县第一中学网络设计分析》9900字（论文）】

目录第一章绪论1.1中学校园网建设背景在信息化浪潮的冲击下,教育部迅速反应,结合当前时代背景,指出全国中小学需针对信息技术教育进行普及,各方面推动中学校园网的建设任务。以校园信息化的建设促进教育现代化变革,紧跟信息化时代步伐。现如今,信息化影响范围越来越广,计算机和网络通信技术逐渐深入应用,与此同时,新时代也在不断引发新型变革,校园,企业,医院等均改变了传统的运营方式,采用新型的网络技术来构建局域网,使得各种业务不仅安全可靠,同时也更加智能化和便捷化。中学校园网的建设将使得传统的教学模式,转变为新型多媒体教学,教学方式多样化,生动有趣。校园网的建设,是全校师生融入教育新时代的必备基础,共同进步的平台,更是对国家教育新发展举措的体现。当前,全校师生共同努力,以省级重点中学为目标向前迈步,其中的一个评价因素-学生的学习成绩,不再是一个障碍,同时校园环境建设基本满足要求。要把学校建设成省级重点中学,既要突出学校的特色,又要积极学习借鉴其他中学的先进经验,通过互联网扩大学校的影响力,校园网则提供了这样一个强有力的平台。随着国家教育信息化进程的加快,在学校的生存与发展过程中,校园网络建设属于不可缺少的因素。当前时代的计算机以及网络通信技术已经在全国普遍应用起来,各行各业的发展都或多或少地依赖着网络,因此,我们更应在校园网络建设中采取积极的措施。。1.2中学校园网设计目的及意义目的:校园网的基础是计算机以及打印机等附属设备的网络有线或无线接入。在校园局域网内利用校园信息网络系统,建立丰富的资源库,建立新型的数据中心、多媒体计算机教室和校园行政网络,同时实现全校各个区域的安全可靠上网。意义:对于不断蓬勃发展的网络时代,计算机和网络通信技术飞快更新换代,经历了一次又一次新技术变革,互联网的蓬勃发展,也给教育带来了严峻的挑战,推动了新教育的变革。教育学如何迎接信息化发展的挑战,正是我们需要认真思考和探索的课题。新时代教育变革对于教学方式与教育管理制度的要求愈加变高,教育的整体性改革也势在必行,主要变化则是充分利用计算机多媒体以及互联网等信息技术推动校园信息化建设的潮流。如今的中学更多选择的是多媒体教学,广泛运用计算机网络辅助学院加强管理,协助教师进行生动的教学,校园网络建设刻不容缓,是学校教育信息化建设的重点。从长远来看,针对学校的网络建设主要的意义在于有益于学校教学、教研的快速发展,使广大教职人员通过利用计算机网络环境进行教学、教研,达到提高学校的教学质量和教研水平的目的。系统相关技术介绍2.1VLAN技术2.1.1虚拟局域网VLAN技术,英文全称为VirtualLocalAreaNetwork,中文名称“虚拟局域网”REF_Ref8341\r[1]。VLAN能够结合功能、部门以及应用等实际情况将其进行组建,以此形成具备一定结构性与合理性的局域网网段,用于信息资源以及数据资源的传输,而这些构造在进行信息传输时,多数源自于同一个频道,换言之就是源自于同一个网段,因此VLAN的区域性分明,故而称之为虚拟局域网2.1.2虚拟子网划分根据校园实际情况,为了保证校园网络的安全,在设计中采用了分块虚拟子网,两层vlan彼此隔离,vlan之间的互访需经过三层才能实现。现有的vlan划分方法主要有基于mac地址划分、基于端口划分、基于网络层划分等方法。本方案采用的方法为基于端口进行vlan的划分。该方法配置简单,易于维护和管理,但用户如果经常变动计算机位置,更改接口,管理员则需要重新配置,在校园网内计算机接口变化不经常,采用基于端口划分并不需要担心该情况发生。本方案采用的方法为基于端口进行vlan的划分。该方法配置简单，易于维护和管理，但用户如果经常变动计算机位置，更改接口，管理员则需要重新配置，在校园网内计算机接口变化不经常，采用基于端口划分并不需要担心该情况发生。2.3虚拟网关冗余技术VRRP2.3.1VRRP协议概述为了解决链路与网络设备的冗余需求问题,可引入多路设备,通过冗余协议的方式进行管理,而VRRP协议的应用便可使网关冗余需求得到充分满足。通过VRRP协议,设备具备默认网关以及备份网关，VRRP网关设备则将多个网关虚拟为同一个网关，将该设备的IP作为默认网关地址与外部进行通讯。当其中一台网关设备发生故障时,该协议能够快速选择备用网关设备进行数据转发,确保网络始终能够可靠运行。REF_Ref11763\r[4]2.3.2VRRP工作原理该协议为网关冗余协议,能够解决网关故障导致的一系列问题。其工作原理为:采用两个及以上路由器或三层交换机，将这些设备的网关虚拟为同一网关，其中有一台为该网关的master，其它路由器或三层交换机则为该网关的备份，当master故障之后，其它路由器或三层交换机则互相选举出新的master，而原来的master在故障修复重新上线之后再次参与选举，重新成为master。2.4动态主机配置协议DHCP协议采用Client/Server工作模式，工作过程中会产生DHCPRecover、DHCPOffer、DHCPRequest和DHCPAck报文REF_Ref14340\r\h[5]。DHCP的工作原理：以一台PC和启用了DHCP功能的路由器为例，首先，PC设置DHCP自动获取ip地址，这时PC广播发送DHCPRecover报文，所有收到该报文并开启了DHCP功能的路由器，都会单播发送DHCPoffer报文给PC，PC选择最先收到的offer报文最为自己的ip地址，同时广播发送DHCPRequest报文，被选择的路由器也就是DHCPF服务器会单播发送DHCPack/nak报文，告知PC是否可以使用改地址，至此，PC完成了一次DHCP自动获取ip地址，如果获取失败，则按照DHCP流程再次获取ip地址。2.5开放式最短路径优先协议2.5.1OSPF简介OSPF（OpenShortestPathFirst，开放式最短路径优先协议）REF_Ref29952\r\h[6]，是一个动态路由协议，它被广泛的应用于互联网建设中。OSPF是基于Dijkstra算法来完成工作的，并以此来创建路由表，最后再依照路由表进行数据包的路径选择。OSPF通过Hello协议动态维护邻居状态,通过链路状态数据库(linkstatedatabase,LSDB)REF_Ref1978\r\h[7]的洪泛使域内网络所有节点拥有一致的全网拓扑信息,并使用SPF算法计算到达目的节点的最短路径。2.5.2OSPF特点OSPF具有如下特点：应用范围广：适用于各种类型的网络拓扑，支持数量众多的设备；无环路：OSPF采用了SFP算法，避免了区域内环路的产生；区域概念：OSPF引入了区域的概念，分为骨干和非骨干区域，综合上四大特殊区域的特点，有效减少了区域内各类LSA的泛洪，避免流量拥塞，降低带宽成本；认证：OSPF支持两种认证方法：明文认证，密文认证。同时支持三种认证范围：链路认证，区域认证，虚链路认证，充分提高了网络的安全性与可靠性；OSPF收敛速度快。2.5.3OSPF报文OSPF拥有以下五种报文：（1）HELLO报文：用来发现、建立和维护邻居关系；（2）DD报文：该报文负责各类LSA摘要的交互，通过DD报文，可查找自身需要的LSA信息，同时与其他设备进行交互，进行数据库的同步；（3）LSR报文：链路状态请求报文，当设备请求自己所需要的LSA报文时，通过LSR报文发起请求；（4）LAU报文：链路状态更新报文，用于检测链路的状态，并进行实时的更新，一般用于回复LSA请求；（5）LSAck报文：收到LSU报文后，设备通过LSAck报文对收到的信息进行确认。2.6访问控制列表2.6.1访问控制列表工作机制访问控制列表作为数据流量控制技术，可在路由器和三层交换机上进行配置，实现访问控制，访问控制列表技术的执行流程原理图如图2.1所示图2.1-访问控制列表工作原理2.6.2访问控制列表作用访问控制列表，也叫做ACL（AccessControlList）REF_Ref4934\r\h[8]，最常见也是最容易理解的用途之一是，将有威胁的数据流过滤掉以实现安全策略。例如，可使用访问控制列表来做出非常具体的数据流控制决策，只允许某些终端访问网络的资源。（1）限制流量的访问权限。例如本实验中，中学校园网的教学区和生活区不可访问校园行政区，那么就通过访问控制列表对教学区及生活区的流量进行策略限制，从而保障某些区域的流量安全；(2）进行流量控制。内网常常出现路由更新信息泛洪的现象，此类信息占用了部分网络带宽，而访问控制列表可以做到内网无更新则不进行泛洪，达到流量控制的目的；(3）单向网络访问。通过高级访问控制列表，制定相关的流类别，流动作以及刘策略之后，可实现单向的网络访问，即特定网段的主机能访问奇特网段的主机，其它网段的主机则被限制无法访问特定网段主机；(4）限制路由器端口转发流量类型。路由器转发协议类型可进行访问控制，例如允许TCP报文的转发，同时拒绝icmp报文转发2.6.3访问控制列表分类访问控制列表一般有标准ACL和高级ACL两种，高级ACL也称扩展ACL，两者主要区别为匹配规则的不同：标准ACL：这一类ACL匹配规则相对简单，只匹配源IP地址以及相对应的掩码，对于目的地址的访问无法做出具体的限制；扩展IPACL：扩展IPACL根据数据包的源IP地址、目的IP地址、源端口、目的端口、协议等来定义规则对数据包进行过滤,适用于某些网络数据包的精确过滤及流量控制,比标准ACL更加常用REF_Ref8526\r\h[9]；2.7网络地址转换协议NAT技术(NetworkAddressTranslation)是一种网络地址转换技术,属于广域网接入技术范畴。通过NAT技术可以把局域网内部的地址转化为合法的外部公网IP地址,即允许某个局域网使用一个公用IP地址出现在Internet上REF_Ref10782\r\h[10]。NAT一般部署于出口网关，通过出口网关把私网地址转变为相对应的合法公网地址，与互联网通信。NAT主要有静态NAT，动态NAT以及NAPT，在校园网络中，NAT常常使用NAPT作为出口NAT技术。2.7.1端口地址转换NAPT在局域网内部，有多个网段的ip地址，这些网段的ip地址在访问互联网时，通过NPAT技术，将多个私网地址映射成一个对应的公网地址，实现内网不同的网段通过同一个公网地址进行互联网的访问。第四章校园网设计系统需求分析3.1校园概述S县第一中学作为一所县级重点中学，校园布局合理，划分为办公区、教学区、生活区三大区域。建有实验大楼1栋，教学楼3栋，学生宿舍2栋，团支部大楼1栋、图书馆1栋，包涵多间多媒体教室及各种功能用室、学生食堂1座。学校拥有约70个班级，教学楼1拥有计算机教室三个，每个计算机教室拥有60台电脑。如图3.1所示。图3.1S县第一中学鸟瞰图3.2校园网区域分析本实验环境中，将参照S县第一中学的实际情况，进行合理区域划分，根据学校实际情况，将学习划分为教学区，生活区以及校园行政区三个接入区域，同时规划了数据中心以及服务器区的相关部署思路，满足校园网建设需求。3.2.1教学区教学区主要包含了三栋教学楼，通常设备接入位置为教室以及办公室，教室需要满足多媒体教学接入要求，同时，教学区域拥有计算机教室，接入设备数量多，而办公室不仅要求教职员工的网络接入，打印机等无线设备也可实现接入，同时外来人员也可通过无线进行访问，因此，教学区需实现有线接入以及无线覆盖，方便日常有任务的进行。3.2.2校园行政区校园行政区属于校园网的关键区域，该区域包含了实验大楼，团支部以及图书馆，所以对于安全可靠性要有优先保障，其它区域的网络不可访问校园行政区，而校园行政区可以访问其他区域的网络，拥有最高的网络权限，同时也需要部署无线保证不同业务的运行3.2.3生活区生活区包含了食堂操场以及男女生宿舍区，对于中学宿舍区，学生用户不需要接入网络，因此接入设备数量较少，安全性需求较低，仅需保证正常的网络接入以及无线覆盖。3.2.4数据中心校园网的数据中心是校园网建设的一个核心所在，数据中心包含了众多的服务器以及存储设备，对于数据中心的功能设计以及设备选择都体现了一个校园网的建设水平，在数据中心应设计可靠的网络保障以及方便的运维功能。3.2.4出口网络出口网络负责校园网所有设备访问外网的数据流量转发，而校园网通信时内外网流量数据大且繁杂，在保证网络带宽的同时，需要在出口网络设置对数据流量的检测，避免恶意流量对校园网造成不好的影响。3.3系统环境准备本次环境搭建主要通过软件模拟器完成。模拟器要求能够完成环境的基本搭建，设备的模拟，以及相关协议的配置实现。故经过分析采用ENSP来完成本次模拟实验，本次拓扑设计采用三层架构，在ENSP搭设教学区，校园行政区，生活区，出口网络，并设置数据中心，数据中心包含了各式核心设备，服务器以及存储设备，基于模拟器性能限制问题，数据中心部分设备仅提供理论依据。校园网设计4.1校园网拓扑及简介整体系统如图4.1所示，经过分析后，将校园网拓扑设计为三层网络架构。核心层交换机和汇聚层交换机、核心层交换机与接入交换机、汇聚交换机和接入交换的链接链路采用1000Mbps光纤通信，REF_Ref21441\r\h[11]接入层分为有线接入和无线接入，生活区，校园行政区以及教学区均属于接入层，在每个区域部署一台汇聚交换机负责各个区域的流量汇聚，核心层则部署两台核心交换机进行可靠性保障。图4.1校园网拓扑4.2IP地址规划4.2.1IP地址划分原则网络拓扑的ip地址编址采用CIDR和可变长子网掩码技术，同时考虑到网络的快速发展，应支持ipv6；该校园网拓扑的ip地址应具有唯一性；考虑到学校的发展会导致ip地址需求不断增长，应当做好足够的内部ip地址空间预留；ip地址设计时应当具有层次性，便于快速定位到故障地点，易于管理维护；（5）对于需要动态分配地址的设备，该拓扑采用DHCP协议进行分配，而smp，dds等服务器则分配静态地址。4.2.2IP地址划分在IP地址划分原则的基础上，对于IP地址的规划采用从上到下的规划方法，首先，出口网段设计为100.100.100.0/24网段与外网进行通信；其次，在出口路由器与核心设备相连的区域，以及服务器区，采用10.1.0.0/16网段；同时，对于三个接入区域，分别设置教学区192.168.10.0/24网段，校园行政区192.168.20.0/24网段，生活区则分配192.168.30.0/24网段。4.3区域划分及简介4.3.1教学区对于教学区域的设置，如图4.2所示，其中一栋教学楼拥有三个计算机教室，所以接入交换机下联四台48口即插即用交换机，满足众多数量的设备接入，同时在教学区域实现无线覆盖，提高办公效率。图4.2校园网拓扑-教学区4.3.2数据中心数据中心的设置如图4.3所示，在服务器区配置了多台服务器以及存储设备，服务器包含了SMP安全管理平台，上网行为管理，DDS服务器作为校园网安全的保障，同时存储设备能够对校园网日志以及相关监控设备视频进行保存。图4.3校园网拓扑—服务器区服务器下连两台核心设备，在核心交换机上面，配置了相关的ACL访问控制列表，服务器作为数据中心的关键设备，为了保证其安全性，ACL中过滤掉了教学区以及生活区数据包，只允许了校园行政区中有线接入用户能够与服务器区进行通信。最后设置了一台管理PC，目的是为了能够有一台设备对全网设备进行管控和配置修改，所以这台设备的权限比普通终端的权限大。4.3.3校园行政区校园行政区的设置如图4.4所示，由三台接入交换机，一台汇聚交换机以及若干ap设备组成组成，办公区包涵了实验大楼，图书馆，团支部的网络接入与保障，校园行政区属于重要区域，所以在该区域需要着重保障网络的安全与可靠性。图4.4校园网拓扑—校园行政区4.3.4生活区生活区的设置如图4.5所示，由三台接入交换机和一台汇聚交换机组成，这个区域功能是负责食堂，男生宿舍，女生宿舍，操场等的设备接入。图4.5校园网拓扑—生活区4.3.5核心交换区核心交换机的设置如图4.6所示。核心层拥有两台核心交换机对校园网络进行高速处理和转发。图4.6-校园网拓扑—核心交换核心交换机作为所有下行数据的转发区域，当下行数据要访问外网时，数据转发到了核心交换机，核心交换机根据相关的协议对收到的数据流量进行处理。在核心交换机上配置了VRRP协议，其中SW1作为教学区和生活区的主网关，校园行政区的备份网关，SW2作为教学区和生活区的备份网关，校园行政区的主网关，这样分配可有效对校园行政区的网络进行分流，提高了校园行政区的网络可靠性。同时在核心交换机上海配置了DHCP自动获取IP地址，不需要一个个设备分配ip地址，避免了浪费网络管理人员的工作时间。第五章系统实现系统实现根据上面的需求以及规划分析后，对方案进行模拟器上的环境搭建，同时进行相对应的配置，完成各个理论的实现。5.1教学区教学区的配置主要为vlan的划分以及端口的聚合，减少广播风暴，同时分割区域。对于教学区有线接入，划分为vlan10，同时配置端口聚合允许多个vlan通过，对于无线接入，AP的管理vlan配置为vlan100，下列为教学区交换机配置示例：图5.1-教学区汇聚交换机配置图5.2-教学区接入交换机配置图5.3-教学区计算机教室接入交换机配置 5.2数据中心区由于核心部署的都是现代网络中的新型设备，而模拟器只能够模拟操作传统设备。因此数据中心的设备是所有区域中最丰富和最复杂的。在该区域中，主要分为运维、安全和存储这三块。其中运维层面通过SMP安全管理平台实现，安全管理平台(SecurityManagementPlatform,SMP)是企业内部为了实现安全资产的全网管控,而开发的集中式安全管理与控制平台。集中管控的设备包括网络设备、安全设备、主机等多种设备类型,通过对这些设备资产所产生的日志信息进行分析,进而保障企业信息安全。REF_Ref30261\r\h[12]该设备能够实现对全网设备进行监控这一操作，从而使网络管理人员更便捷地管理网络。而在安全这一层次上，通过上网行为管理能够对终端用户访问的结果进行控制，上网行为管理平台应提供丰富的报表管理功能，如根据时间、行为类型等生成报表，直观地帮助管理人员掌握网络使用状况流量排名、搜索关键词排名、网站访问排名、网址类型排名等多种辅助决策数据，REF_Ref31812\r\h[13]以了解网络用户是否正常使用网络，是否向网络发布了违规违法信息等等，为加强单位内部管理提供参考依据。最后就是存储，一个校园网每天都会产生众多的数据及日志，更关键的是校园网中监控视频的存储，这些都需要相对应的服务器存储数据。该环境中，配置了RG-SMP安全管理平台，RG-DDS系统，上网行为管理进行安全性的保障。SMP安全管理平台部署方式如图5.4所示，采用该部署模式，交换机和客户端仅需采用支持802.1x认证的交换机。对于RG-DDS服务，其优势如图5.5所示。上网行为管理采用图5.6设备，其支持内容过滤，同时对用户产生的实时流量进行分析，并进行策略分发。图5.4-SMP安全管理平台部署图5.5-RG-DDS介绍图5.6-上网行为管理介绍图5.7-海康威视DS-A82系列5.3校园行政区在校园行政区上，出于安全性的考虑，通过对ACL访问控制列表的合理配置,在校园网络结构的内部建立起了安全的网络体系,可以在一定程度上提高网络的安全性。REF_Ref1066\r\h[14]运用ACL技术对不可靠数据进行过滤，组止不被信任的流量通过。ACL设置的条件只允许了网管设备能够访问校园行政区，而对于其他流量则进行了过滤。在该区域中，其网关运用了防火墙这一硬件设备进行安全管控，防火墙技术不只能对主机网络中的信息进行筛查，也能对涌入网络的信息进行自动监控，达到计算机网络安全防护的根本目的，并且可及时抵抗黑客攻击以及避免黑客非法获得网络信息。REF_Ref1990\r\h[15]下列为校园行政区交换机配置示例：图5.8-校园行政区汇聚层配置图5.9-校园行政区接入层配置5.4生活区生活区作为普通校园区域，设计能达到有线正常接入，无线覆盖，提供生活区教职员工正常访问互联网。下列为生活区交换机配置示例：图5.10-生活区汇聚层配置图5.11-生活区接入层配置5.5核心区域在服务器区中，首先通过AC来管控无线设备入网时的认证，而认证最主要的实施对象是无线终端，通过该设备能够从某种层度上减少蹭网的设备，从而节省校园的网络带宽资源，也提高了未信任设备通过该网访问互联网的门槛。其次，运用两台三层交换机作为服务器组的网关，而在网关上部署一些安全性协议技术能够实现对访问服务器的数据流量进行审计与管控。因此在网关上首先部署ACL，对一些不信任数据流进行拒绝访问设置。下列为AC以及核心交换机配置：图5.12-AC配置图5.13-ACwlan配置图5.14-核心层配置一1图5.15-核心层配置二5.6出口网络出口网络作为主干网络中的一部分，由于其承载数据量比较大，因此需要在该区域下运行OSPF路由协议，以实现对数据的高效转发。通过对网络的合理划分，将核心交换机所在的区域设置为骨干区域，而对于其出口设备，要在其上部署NAT，实现地址转换，这样内网设备才能真正的实现访问外网。首先设置感兴趣流，接着在接口下进行调用，最后设置转换集，匹配感兴趣流完成转换。下列为路由器配置示例：图5.16-出口路由器配置一图5.17-出口路由器配置二第六章系统测试系统测试6.1VRRP测试对于虚拟网关，起到的作用就是在一台网关设备故障后，有备份的的网关支撑起整个局域网的流量转发，使得整个局域网不受影响，仍能正常进行业务，提高整个局域网的可靠性。如图6.1和6.2所示，sw1为教学区，生活区的主网关，办公区的备份网关：sw2为办公区的主网关，同时为教学区以及生活区的备份网关。图6.1-sw1vrrp主备图6.2-sw2vrrp主备这里以sw1为测试设备，如图6.3，将sw1down掉，测试主备切换：图6.3-关闭sw1如图6.4所示，sw2成为vlan10和30的master，同时数据流量也经sw2转发出去图6.4-sw2VRRP状态如图6.5所示，sw1模拟故障前，数据经过的是sw1网关，sw1模拟故障后，数据如图6.6所示，不再流经sw1网关，而是经过sw2网关：图6.5-sw1down掉前图6.6-sw1down掉后6.2DHCP测试当内网用接入网络，且开启DHCP功能，如图6.7，PC就会向DHCP服务器请求ip地址。如图6.8所示，PC2自动获取到IP地址图6.7-PC开启DHCP图6.8-PC获取IP地址如图6.9所示，将sw1down之后，PC2能通过sw2自动获取ip地址图6.9-PC获取新IP地址6.3Ping测试如图6.10和6.11所示，教学区和生活区能够互相ping通，同时为了保证校园行政区的安全性，如图6.12和6.13所示，生活区和教学区都无法ping通校园行政区图6.10-教学区ping生活区图6.11-生活区ping教学区图6.12-校园行政区ping教学区图6.13-校园行政区ping生活区6.4无线业务测试6.4.1AP上线测试如图6.14所示，AC配置能够正确下发，AP通过dhcp自动获取到ip地址，完成ap上线图6.14-AP上线6.4.2STA接入测试AP上线之后，实现无线信号覆盖，如图6.15所示，此时STA设备能够通过连接无线进行上网，如图6.16：图6.15-AP无线信号覆盖图6.16-STA成功连接无线6.5NAT测试校园网内部PC要访问外网时，将通过出口路由器进行动态NAT，将私网地址转换为相对应的公网地址。如图6.17,所示，校园网内部PC正常访问外网，同时在路由器上完成NAT地址转换，如图6.18：图6.17-PC正常访问外网图6.18-出口路由器NAT信息结论结论本论文对于中学校园网进行了详细的设计与分析。在信息化时代的大背景下贴合中学校园实际情况，从而制定出更完善的方案。在拓扑以及理论完善过程中，查阅了许多的论文及相关技术文档，也向指导老师提出过疑惑，在不断地设计与分析中解决疑惑后，一步步完成了论文的撰写，同时设计出了校园网络拓扑，拓扑采用三层架构，基于学校实际情况对于划分了不同的区域，采用双核心设备实现个区域的网络可靠性，技术点包含了虚拟网关VRRP技术，出口NAT技术以及自动获取IP地址的