校园网管理与维护策略探讨

校园网管理与维护策略探讨

【摘要】文章从实用的角度出发，依拓网络拓扑结构，对学校校园网的配置和管理进行了深入的探讨，并对路由器、防火墙、中心交换机、汇聚层交换机、接入层交换机的配置和终端计算机病毒管理进行了详细说明，系统地分析了影响校园网正常运行的因素及应对策略。

【关键词】网络配置；管护策略；终端计算机管护

随着Internet的普及，校园网已成为每个学校必备的信息基础设施，也成了学校提高教学、科研及管理水平的重要途径和手段，它是以现代化的网络及计算机技术为手段，形成将校园内所有服务器、工作站、局域网及相关设施高速联接起来，使各种基于计算机网络的教学方法、管理方法及文化宣传得以广泛应用并能和外部互联网沟通的硬件和软件平台。而如何有效地加以管理和维护，是校园网得以有效、安全运行的关键。

一、网络背景

我校校园网是以千兆光纤连接为主干，百兆交换到桌面。网络硬件设备由路由器、防火墙、中心三层交换机、汇聚层交换机、接入层交换机和终端用户构成。网络设备是华为系列。

二、影响校园网正常运行的因素及应对策略

影响校园网正常运行的因素很多，从网络设计、设备安装、综合布线、硬件配置到软件使用等各个环节都可能对网络的正常运行产生影响。这里，我们仅从硬件配置和软件使用等方面对影响网络正常运行的因素进行分析，以达到网络管护的目的。

根据网络的功能属性对网络进行规划，是网络正常运行的前提

根据我校网络拓扑结构，学校网络分三层结构。其中以第三层为整个网络的中心，该层包含了路由、硬件防火和中心交换的功能，是整个网络正常运行的关键。为此，我们采用了如下策略对网络进行配置。

学校校园网由三个物理区域：教学大楼、办公教学大楼、实验图书大楼构成。在整个网络中，各信息点按功能又划分为行政办公、电子网络教室、中心管理机房、普通教室等不同区域，各区域与互联网连接的目的也是不一样的，对特定区域，与互联网连接将受到一定限制。为此，我们采用了如下策略：将学校校园网按功能属性划分为三个VLAN区域，其中：VLAN1为行政办公；VLAN10为电子网络教室；VLAN20为中心管理机房；VLAN30为普通教室。同时对相关的IP地址、子网掩码和网关进行了设置。完成上述功能，应分别在路由器、核心交换机和汇聚层交换机中进行相应设置。

1．在路由器中设置过程

配置标准访问列表和扩展访问控制列表，命令参考

acl1match-orderauto

rulenormalpermitsource

rulenormalpermitsource

rulenormalpermitsource

rulenormalpermitsource

rulenormalpermitsource

设置外网接口和硬件防火墙接口，命令参考

interfaceEthernet0

ipaddress*外网IP及子网掩码

interfaceEthernet1

ipaddress*硬件防火墙IP及子网掩码(在防火墙设置)

设置静态路由，命令参考

iproute-staticpreference60

iproute-staticpreference60

2．在核心交换机中设置过程

划分VLAN，命令参考

interfaceAux0/0

vlan1

descriptionVLAN0001

vlan10

descriptionVLAN0010

vlan20

descriptionVLAN0020

vlan30

descriptionVLAN0030

设置各VLAN网关和子网掩码，命令参考

interfaceVlan-interface1

ipaddress

interfaceVlan-interface10

ipaddress

interfaceVlan-interface20

ipaddress

interfaceVlan-interface30

ipaddress

设置各干线接口允许的VLAN，命令参考

interfaceGigabitEthernet3/1

switchportmodetrunk

switchporttrunkallowedvlanall

interfaceGigabitEthernet3/2

switchportmodetrunk

switchporttrunkallowedvlanall

interfaceGigabitEthernet3/3

switchportmodetrunk

switchporttrunkallowedvlanall

interfaceGigabitEthernet3/4

switchportmodetrunk

switchporttrunkallowedvlanall

设置静态路由网关，命令参考

iproutepreference60

3．在汇聚层交换机中设置过程

划分VLAN，命令参考

interfaceAux0/0

vlan1

vlan10

vlan20

vlan20

设置各以太网端口，并划分各自允许的VLAN，命令参考

interfaceVlan-interface1

ipaddress

interfaceEthernet0/3

switchportaccessvlan10

interfaceEthernet0/14

switchportaccessvlan20

interfaceGigabitEthernet1/1

switchportmodetrunk

switchporttrunkallowedvlanall

设置主干入口光纤接口，允许所有VLAN通过，命令参考

interfaceGigabitEthernet1/1

switchportmodetrunk

switchporttrunkallowedvlanall

这样，在汇聚层交换机上通过以太网端口VLAN设置，就将网络的物理网段人为地分开了，为以后的管理和维护打下了一个良好的开端。

有效规划内网IP地址和用户计算机标识，是网络安全运行的条件

在规划内网IP地址和用户计算机标识，我们遵循对同一台电脑，其内外网的计算机名相同，网络登录用户名相同的原则，并在其计算机上加上描述内容，这样在网络上看到某一台计算机，我们很容易知道他是来自于哪一个位置。同时针对计算机用户习惯擅自更改本机IP的恶习，我们采用IP地址与网卡物理地址进行捆绑的方法防止内网IP出现混乱。在我校校园网网络设备中，防火墙和汇聚层交换机都可实现IP地址和网卡物理地址捆绑，也可以利用网络管理软件实现这一功能。

1．在交换机将的ip地址与pc1的mac地址进行绑定，命令参考

dhcp-securitystatic0006-5b37-f0f9

vlan2*配置vlan2的ip地址及启用address-check功能，以检测pc的ip地址及mac地址

interfaceVlan-interface2

ipaddress

dhcp-server1

address-checkenable

mac-addressmac-learningdisable*定义静态的mac地址及关闭学习新的mac地址，即可防止规定以外的pc机接入网络。

mac-addressstatic7806-1738-DF55interfaceGigabitEthernet2/1vlan2

当然，如将所有局域网的终端计算机IP地址与网卡物理地址进行捆绑，实际操作中是一件很烦琐的事情，工作量特别大，建议事前做好充分的准备工作，同时做好交换机配置备份工作，以防意外。

2．在日常管护中，我们选择了利用各种网络工具对整个网络进行监测，以笔者的经验，使用“网络执法官”对网络监测可以起到良好的效果。

该软件可以安装在网管机上，以各主机的网卡号来识别用户，通过收发底层数据包来监控用户，同时以用户权限为核心，管理员设置各用户权限后，软件即依各用户的权限进行自动管理，同时该软件“企业版”还实现IP地址与网卡物理地址捆绑，管理和操作十分方便。其中：用户权限分为“无限制”、“部分受限制”和“完全限制”；管理方式分为“IP冲突”、“断开与关键主机的连接”、“断开与所有主机的连接”。另外，该软件还可以针对某台主机设定IP限定及时段限定。

加强计算机终端用户的计算机安全管理，是网络安全运行的基础

外网病毒入侵及各类蠕虫病毒在局域网内部大面积传播、感染以至相互进行攻击、发包，是造成交换机不断的丢包、缓存溢出、路由中断直至整个校园网带宽堵塞、瘫痪的主要原因，校园网虽然有硬件防火墙，但由于硬件防火墙的目的主要是防止不期望的或未授权的用户和主机访问内部网络，确保内部网正常安全运行，所以其病毒防护功能相对较弱，面对日新月异、层出不穷的计算机外网病毒，仅靠路由器、防火墙、交换机提供的病毒过滤功能，是无法有效解决局域网病毒危害的。为解决这一问题，我们经过比较，并充分考虑管理成本因素，最后采用瑞星公司的瑞星杀毒软件和瑞星个人防火墙在校园网内各终端用户机上安装，通过设置，取得了良好的效果。

瑞星杀毒软件系列是我国反病毒软件中的最优秀的杀毒软件系列之一。其个人防火墙根据需要，提供了三种安全级别设置功能，即普通安全级别：适合于不连接网络的用户，当没有匹配所有规则时，网络连接是允许的；中安全级别：适用于局域网的用户，允许进行网络文件共享，可以抵抗大部分已知的网络攻击；高安全级别：适合于直接连接到Internet的用户，禁止网络文件共享，禁止一切不经过允许的数据访问。这是最安全的设置，可以保护上网用户的计算机安全。实际管理中，我们针对不同计算机用户，分别采用了中安全级别和高安全级别，从而有效地防止了局域网内的病毒相互攻击和发包现象；同时利用瑞星