校園網(wǎng)規(guī)劃、建設(shè)和管理經(jīng)驗(yàn)交流

1、校園網(wǎng)規(guī)劃、建設(shè)和管理經(jīng)驗(yàn)交流校園網(wǎng)規(guī)劃、建設(shè)和管理經(jīng)驗(yàn)交流山東大學(xué)網(wǎng)絡(luò)與信息中心山東大學(xué)網(wǎng)絡(luò)與信息中心 郭曉東郭曉東電話：電話0531-88364731-2003Email：l中小學(xué)校園網(wǎng)規(guī)劃與建設(shè)探討l校園網(wǎng)管理經(jīng)驗(yàn)交流l縣、區(qū) 教育城域網(wǎng)建設(shè)探討l一點(diǎn)工作體會(huì)l校園網(wǎng)的特點(diǎn)與需求分析l校園網(wǎng)的規(guī)劃原則和建設(shè)目標(biāo)l校園網(wǎng)建設(shè)的相關(guān)問(wèn)題l校園網(wǎng)的重要性 校園網(wǎng)綜合了校園中的計(jì)算機(jī)資源，實(shí)現(xiàn)了教育、教學(xué)、管理資源的信息共享，對(duì)外建立了廣泛的信息獲取和交流渠道，不僅可以大大拓展教師和學(xué)生視野，而且將會(huì)促進(jìn)教師教育觀念、教學(xué)思想的轉(zhuǎn)變，有利于培養(yǎng)學(xué)生的創(chuàng)造性思維，提高學(xué)生

2、獲取信息、分析、處理信息的能力，從而提高學(xué)校的管理效率和教學(xué)質(zhì)量，以適應(yīng)教育信息化的發(fā)展。l中小學(xué)校園網(wǎng)的特點(diǎn)u從單一的信息交互網(wǎng)絡(luò)到多業(yè)務(wù)承載網(wǎng)絡(luò)過(guò)渡u結(jié)構(gòu)相對(duì)簡(jiǎn)單，應(yīng)用愈加復(fù)雜u建設(shè)和維護(hù)資金有限u網(wǎng)絡(luò)使用者信息技術(shù)水平有限，對(duì)管理和服務(wù)提出了更高的要求l校園網(wǎng)的應(yīng)用目標(biāo)u在校園內(nèi)部實(shí)現(xiàn)資源共享，為教學(xué)、科研、管理提供服務(wù)，為計(jì)劃、組織、管理與決策提供基礎(chǔ)信息和科學(xué)手段。u支持教育教學(xué)改革，提高教育技術(shù)的現(xiàn)代化水平和教育信息化程度，為學(xué)校教師的備課、課件制作、教學(xué)輔助提供應(yīng)用環(huán)境。u實(shí)現(xiàn)辦公自動(dòng)化，提高工作效率和管理水平u及時(shí)、準(zhǔn)確、方便的收集、處理、傳輸學(xué)校的教育教學(xué)信息，與互聯(lián)網(wǎng)的通訊

3、和資源共享，實(shí)現(xiàn)社會(huì)教育與學(xué)校教育的結(jié)合u培養(yǎng)創(chuàng)新人才l校園網(wǎng)的應(yīng)用模式u基于網(wǎng)絡(luò)電子教室的應(yīng)用模式：課堂廣播教學(xué)、教師監(jiān)視監(jiān)聽(tīng)、小組討論發(fā)言、轉(zhuǎn)播示范教學(xué)等。u基于局域網(wǎng)的應(yīng)用模式：網(wǎng)絡(luò)教學(xué)管理、教師協(xié)同備課、教學(xué)資源共享、第二課堂活動(dòng)等。u基于互聯(lián)網(wǎng)的應(yīng)用模式：校際交流、學(xué)習(xí)資源檢索、協(xié)同式學(xué)習(xí)或研究等l校園網(wǎng)的規(guī)劃原則u明確目標(biāo)、合理規(guī)劃、軟硬結(jié)合、分布實(shí)施u堅(jiān)持實(shí)用性原則，符合本學(xué)校實(shí)際，滿足應(yīng)用需求u堅(jiān)持技術(shù)先進(jìn)性和開(kāi)放性u(píng)堅(jiān)持可用性、可靠性、安全性和可管理性的原則l校園網(wǎng)的建設(shè)目標(biāo) 校園網(wǎng)應(yīng)該建設(shè)成為以人為本、面向服務(wù)的網(wǎng)絡(luò)u穩(wěn)定、簡(jiǎn)潔、高效，具備高可用性的網(wǎng)絡(luò)u安全、可信的網(wǎng)絡(luò)u

4、能夠提供多業(yè)務(wù)支撐的網(wǎng)絡(luò)u能夠適應(yīng)學(xué)校三到五年發(fā)展需求的網(wǎng)絡(luò)l建設(shè)原則u堅(jiān)持自主設(shè)計(jì)、自主建設(shè)的原則，自己主導(dǎo)技術(shù)路線l技術(shù)選擇與設(shè)備選型u骨干層應(yīng)該全部實(shí)現(xiàn)千兆互聯(lián)，接入層實(shí)現(xiàn)百兆到桌面u對(duì)于規(guī)模不大的校園網(wǎng)，盡量采用最簡(jiǎn)單的路由協(xié)議u核心設(shè)備應(yīng)該支持IPv6，建議核心設(shè)備采用一臺(tái)高性能交換機(jī)，并盡量配置雙引擎和雙電源；如果限于資金限制無(wú)法采購(gòu)高端設(shè)備，則建議配備兩臺(tái)核心交換機(jī)，實(shí)現(xiàn)負(fù)載分擔(dān)和雙機(jī)互備。u強(qiáng)烈推薦接入設(shè)備全部采用可網(wǎng)管設(shè)備，并支持IP、MAC和端口綁定，如果資金充足，則建議接入交換機(jī)具備更多的安全特性（如ACL、ICMP snooping）等u出口設(shè)備可以選擇路由器或者防火墻

5、。從校園網(wǎng)的發(fā)展來(lái)看，由于路由器能夠支持更多的功能如組播、IPv6等，具備更好的擴(kuò)展性，而且目前路由器也都支持基本的流量控制功能，因此建議選擇路由器。從安全的角度考慮，無(wú)論是路由器還是防火墻，都要求能夠支持NAT日志的輸出。l建設(shè)模式u建議采用無(wú)線控制器+瘦AP的模式，采取統(tǒng)一認(rèn)證u通過(guò)室外AP+定向/全向天線的方式來(lái)覆蓋室外公共區(qū)域u通過(guò)室內(nèi)AP直接覆蓋或AP+吸頂式全向天線的方式來(lái)覆蓋室內(nèi)區(qū)域u對(duì)于部分區(qū)域，可以采用室外AP+定向天線向?qū)Χ税l(fā)射的方式進(jìn)行覆蓋l無(wú)線覆蓋示意圖l對(duì)于網(wǎng)絡(luò)資源進(jìn)行合理規(guī)劃和配置u合理的規(guī)劃地址和vlan，對(duì)于IP地址，應(yīng)該按照單位、部門、樓層等進(jìn)行劃分，每段地址

6、在滿足使用要求的基礎(chǔ)上留有一定冗余，但不要冗余過(guò)多。對(duì)于vlan盡量細(xì)分，以避免發(fā)生廣播風(fēng)暴或病毒時(shí)影響范圍過(guò)廣 l對(duì)于用戶進(jìn)行精確定位和嚴(yán)格管理u盡量使用靜態(tài)地址，并且將IP地址、MAC地址和用戶綁定，如果有條件還可以將以上三項(xiàng)與設(shè)備端口綁定u如果使用無(wú)線網(wǎng)絡(luò)，建議增加用戶認(rèn)證l形成良好的運(yùn)行管理規(guī)范u建立各種操作流程u為所有的設(shè)備、端口和線路添加明確的描述和標(biāo)簽，形成完備的設(shè)備管理文檔，u定期進(jìn)行相關(guān)信息的備份u建立應(yīng)急預(yù)案，要求用最短的時(shí)間恢復(fù)業(yè)務(wù) l加強(qiáng)培訓(xùn)，提高用戶的信息素養(yǎng)u 分期、分批為校園網(wǎng)用戶培訓(xùn)基本的網(wǎng)絡(luò)操作、系統(tǒng)操作和軟件使用技能u 引導(dǎo)校園網(wǎng)用戶正確使用網(wǎng)絡(luò)u 力爭(zhēng)為每

7、個(gè)單位培養(yǎng)一個(gè)網(wǎng)絡(luò)協(xié)管員l讓學(xué)生參與學(xué)校網(wǎng)絡(luò)建設(shè)和網(wǎng)絡(luò)管理u有條件的中學(xué)可以考慮成立學(xué)生網(wǎng)絡(luò)社團(tuán)，協(xié)助老師管理校園網(wǎng)l充分利用網(wǎng)絡(luò)管理工具u使用系統(tǒng)自帶的ping、tracert等可以對(duì)網(wǎng)絡(luò)進(jìn)行檢測(cè)和故障判斷u使用TCPdump或者Wireshark可以抓取網(wǎng)絡(luò)報(bào)文，用于故障的定位和分析，以及用戶網(wǎng)絡(luò)行為分析u利用開(kāi)源的Cacti等工具可以構(gòu)建自己的網(wǎng)管系統(tǒng)lPing和tracert ping是對(duì)tcp/ip網(wǎng)絡(luò)上的任意一臺(tái)計(jì)算機(jī)發(fā)送一個(gè)icmp(internet control message protocol)的請(qǐng)求。接收這個(gè)信息包的計(jì)算機(jī)，要返回個(gè)“應(yīng)答”包。收到了“應(yīng)答”包，就可確認(rèn)可

8、否進(jìn)行通信。ping除了確認(rèn)通信外，還可以確認(rèn)名字解析，測(cè)定通信所需的時(shí)間等。ping命令的具體語(yǔ)法格式：ping目的地址參數(shù)1參數(shù)2.其中，參數(shù)主要有： -a：解析主機(jī)地址-n：數(shù)據(jù)：發(fā)出的測(cè)試包的個(gè)數(shù)，缺省值為4 -t：繼續(xù)執(zhí)行ping命令，直到用戶按ctrl+c終止-w：設(shè)定time out的值 -l ：設(shè)定ping包的大小，默認(rèn)值是60tracert 命令是用來(lái)檢驗(yàn)數(shù)據(jù)包是通過(guò)什么路徑到達(dá)目的地的。通過(guò)執(zhí)行tracert，可以讓我們清楚地看到數(shù)據(jù)走的是什么路徑。當(dāng)ping一個(gè)較遠(yuǎn)的主機(jī)出現(xiàn)錯(cuò)誤時(shí)，用tracert 命令可以方便地查出數(shù)據(jù)包是在那里出錯(cuò)的。如果信息包一個(gè)路由器也不能穿越，

9、則有可能是計(jì)算機(jī)的網(wǎng)關(guān)設(shè)置錯(cuò)了。那么，我們可以用ipconfig命令來(lái)查看。 lNetstat利用該工具可以顯示有關(guān)統(tǒng)計(jì)信息和當(dāng)前tcp/ip網(wǎng)絡(luò)連接的情況 ，用戶或網(wǎng)絡(luò)管理人員可以得到非常詳盡的統(tǒng)計(jì)結(jié)果。當(dāng)網(wǎng)絡(luò)中沒(méi)有安裝特殊的網(wǎng)管軟件，但要對(duì)網(wǎng)絡(luò)的整個(gè)使用狀況作個(gè)詳細(xì)的了解時(shí)，netstat是非常有用的。 netstat的語(yǔ)法格式是：netstat-參數(shù)1-參數(shù)2. 其中主要參數(shù)有： -a: 顯示所有與該主機(jī)建立連接的端口信息。 -n: 以數(shù)字格式顯示地址和端口信息。 -e: 顯示以太網(wǎng)的統(tǒng)計(jì)住處，該參數(shù)一般與s參數(shù)共同使用。所顯示的內(nèi)容中，“discards”表示不能處理而被廢棄的信息包數(shù)

10、，“errors”表示壞掉的信息包數(shù)。這些數(shù)值大時(shí)，很可能是集線器、電纜和網(wǎng)卡等硬件發(fā)生了故障。另外，網(wǎng)絡(luò)太擁擠也可能導(dǎo)致這些數(shù)值的增大。 -s: 顯示每個(gè)協(xié)議的統(tǒng)計(jì)情況。如果用戶想要統(tǒng)計(jì)當(dāng)前局域網(wǎng)中的詳細(xì)信息，可通過(guò)鍵入 “netstat-e-s”來(lái)查看。lNslookupnslookup一般是用來(lái)確認(rèn)dns服務(wù)器動(dòng)作的。nslookup有多個(gè)選擇功能，用命令行鍵入nslookup 執(zhí)行，即可顯示出目標(biāo)服務(wù)器的主機(jī)名和對(duì)應(yīng)的ip地址，稱之為正向解析。若失敗了，可能是執(zhí)行nslookup命令的計(jì)算機(jī)的dns設(shè)定搞錯(cuò)了。另外，還有可能是所查詢的dns服務(wù)器停止或工作異常。還有這種情況，雖然返回了

11、應(yīng)答，但一和該服務(wù)器通信就失敗。這種情況多數(shù)是目標(biāo)服務(wù)器停止工作，但也有可能dns服務(wù)器保存了錯(cuò)誤的信息。在dns服務(wù)器出現(xiàn)問(wèn)題時(shí)，有時(shí)可能只能進(jìn)行正向解析，無(wú)法進(jìn)行逆向解析。此時(shí)，只需執(zhí)行nslookup，看是否輸出目標(biāo)主機(jī)名即可。 l抓包工具Wireshark Wireshark（前稱Ethereal）是一個(gè)網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是擷取網(wǎng)絡(luò)封包，并盡可能顯示出最為詳細(xì)的網(wǎng)絡(luò)封包資料。l網(wǎng)管工具CactiCacti是一套基于PHP,MySQL,SNMP及RRDTool開(kāi)發(fā)的網(wǎng)絡(luò)流量監(jiān)測(cè)圖形分析工具，可以監(jiān)控每個(gè)端口的流量狀態(tài)并形成圖形報(bào)表，還可以根據(jù)日、月、年等進(jìn)行統(tǒng)計(jì)。

12、l網(wǎng)管工具Weather map可以通過(guò)手工畫出拓?fù)鋱D，并且可以在拓?fù)鋱D上實(shí)時(shí)顯示出鏈路的運(yùn)行狀態(tài)和利用率 l網(wǎng)絡(luò)監(jiān)控和安全審計(jì)軟件：百絡(luò)網(wǎng)警 軟件特點(diǎn)：一：可以完成公安部要求的60天日志備份；二：可以實(shí)時(shí)控制計(jì)算機(jī)在互聯(lián)網(wǎng)上的活動(dòng)。三：使用規(guī)則設(shè)置，可以輕松管理任何一臺(tái)電腦。百絡(luò)網(wǎng)警功能非常強(qiáng)大，也是校園網(wǎng)管理必備的軟件之一。l網(wǎng)絡(luò)安全u 針對(duì)不同權(quán)限的用戶進(jìn)行訪問(wèn)控制，對(duì)于重要部門如財(cái)務(wù)等應(yīng)該定義嚴(yán)格的訪問(wèn)控制策略，只允許特定用戶訪問(wèn)。u在邊界與核心設(shè)備上定義專門的訪問(wèn)控制列表來(lái)關(guān)閉常見(jiàn)的病毒和攻擊端口u嚴(yán)格記錄NAT日志，必備后期用戶定位和查詢l系統(tǒng)安全u及時(shí)安裝系統(tǒng)安全補(bǔ)丁u安裝殺毒軟

13、件并及時(shí)更新升級(jí)，開(kāi)啟文件實(shí)時(shí)監(jiān)控可以減少病毒的感染u定期查看網(wǎng)站訪問(wèn)日志和系統(tǒng)日志，檢查網(wǎng)站的流量，對(duì)一些入侵記錄日志做好備份并上報(bào) u對(duì)于使用數(shù)據(jù)庫(kù)的網(wǎng)站要做到防注入、防掛木馬u做好帳號(hào)和密碼安全設(shè)置工作，密碼設(shè)置需要一定的強(qiáng)度，并定期更換新的密碼，對(duì)于不同的帳號(hào)，則采用最小權(quán)限原則。u制訂數(shù)據(jù)的安全備份計(jì)劃并定期落實(shí)執(zhí)行l(wèi)客戶端安全u加強(qiáng)宣傳和培訓(xùn)工作，提高安全防護(hù)意識(shí)，“防”永遠(yuǎn)重于“治”！引導(dǎo)用戶養(yǎng)成自覺(jué)使用殺毒軟件和防攻擊軟件的好習(xí)慣u及時(shí)安裝系統(tǒng)補(bǔ)丁 u安裝防病毒軟件u不要隨意下載和接收來(lái)路不明的任何文件 u不要訪問(wèn)未信任網(wǎng)站 u不要打開(kāi)陌生郵件 l教育城域網(wǎng)建設(shè)需求u提供學(xué)校接

14、入服務(wù)：加強(qiáng)單獨(dú)校園網(wǎng)的功能并豐富其內(nèi)容，充分實(shí)現(xiàn)整個(gè)區(qū)域教學(xué)資源平臺(tái)的整合和共享u提供豐富的教育資源：提供網(wǎng)絡(luò)教學(xué)、遠(yuǎn)程教育、教學(xué)資源庫(kù)、輔助教師備課系統(tǒng)、學(xué)校信息平臺(tái)等不同形式的資源服務(wù)于教學(xué)，并能夠開(kāi)展多媒體音視頻教學(xué)u提供先進(jìn)的管理手段：對(duì)全網(wǎng)網(wǎng)絡(luò)的集中管理和有效監(jiān)控u對(duì)外信息交流和數(shù)據(jù)交換：實(shí)現(xiàn)內(nèi)外部信息的有效互通和共享，促進(jìn)教育信息化的發(fā)展推廣應(yīng)用推廣應(yīng)用網(wǎng)絡(luò)建設(shè)網(wǎng)絡(luò)建設(shè)應(yīng)用平臺(tái)建設(shè)應(yīng)用平臺(tái)建設(shè) 推廣應(yīng)用推廣應(yīng)用 應(yīng)用培訓(xùn) 課題研究引領(lǐng) 評(píng)比競(jìng)賽 網(wǎng)絡(luò)建設(shè)網(wǎng)絡(luò)建設(shè) 網(wǎng)絡(luò)結(jié)構(gòu) 網(wǎng)絡(luò)安全 設(shè)備選型 實(shí)施步聚 應(yīng)用平臺(tái)建設(shè)應(yīng)用平臺(tái)建設(shè) 信息中心 資源中心 教學(xué)中心 管理中心應(yīng)用平臺(tái)建應(yīng)用

15、平臺(tái)建設(shè)設(shè)網(wǎng)絡(luò)建網(wǎng)絡(luò)建設(shè)設(shè)制定規(guī)制定規(guī)劃劃推廣應(yīng)用推廣應(yīng)用籌建籌建工程實(shí)施工程實(shí)施應(yīng)用及完善應(yīng)用及完善l需求分析u首先要調(diào)查全縣/區(qū)的校園網(wǎng)建設(shè)現(xiàn)狀、學(xué)校分布情況、學(xué)校規(guī)模、信息點(diǎn)數(shù)量、同時(shí)在線峰值、年內(nèi)的可能會(huì)增加的信息點(diǎn)數(shù)量、用戶群、迫切需要開(kāi)展的主要業(yè)務(wù)和今后5年內(nèi)可能會(huì)開(kāi)展的業(yè)務(wù)等u確定各線路互聯(lián)帶寬及IP地址分配情況ADSL接入學(xué)校用戶（農(nóng)村偏遠(yuǎn)小學(xué)）：4MBbs接入，最少保證2MBps；光纖接入學(xué)校用戶（鄉(xiāng)以上學(xué)校）：100MBps接入，保證10MBps；縣區(qū)外網(wǎng)出口：縣區(qū)如有外網(wǎng)出口，則建議獨(dú)享100MBps ，縣區(qū)中心到市中心：1000MBps光纖；每個(gè)縣（區(qū)）的教育用戶一般為

16、一個(gè)C的教育網(wǎng)IP地址，可以根據(jù)學(xué)校的規(guī)模進(jìn)行地址分配。l組網(wǎng)技術(shù)比較接入技術(shù)應(yīng)用速度設(shè)備投資預(yù)算公網(wǎng)鏈路成本專線鏈路成本總計(jì)預(yù)算通過(guò)Internet線路訪問(wèn)教育城域網(wǎng)速度非常慢 低高無(wú)較高Internet線路和專線分離快較高高中高采用教育城域網(wǎng)統(tǒng)一出口出口壓力大速度慢較高無(wú)中低各縣區(qū)進(jìn)行Internet線路和專網(wǎng)分離比較快較高低中較高l確定網(wǎng)絡(luò)結(jié)構(gòu) 對(duì)于縣、區(qū)層面的教育城域網(wǎng)來(lái)說(shuō)，仍然采用星形拓?fù)浣Y(jié)構(gòu)，分為核心層、匯聚層和接入層，其中接入層負(fù)責(zé)通過(guò)專線等方式接入轄區(qū)內(nèi)學(xué)校，匯聚層負(fù)責(zé)匯聚一定范圍內(nèi)的接入單位，并上聯(lián)到核心設(shè)備，而核心層負(fù)責(zé)數(shù)據(jù)的轉(zhuǎn)發(fā)和上聯(lián)到地市中心?？h區(qū)中心的辦公網(wǎng)、數(shù)據(jù)中心等作為單獨(dú)的接入單位直接連接到核心層設(shè)備。l網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)u統(tǒng)一規(guī)劃、分區(qū)出口；u區(qū)塊化設(shè)計(jì)，不同區(qū)塊負(fù)責(zé)各自的獨(dú)立業(yè)務(wù)，互不干擾.l網(wǎng)絡(luò)安全設(shè)計(jì)u每個(gè)縣區(qū)出口都采用防火墻進(jìn)行安全防護(hù)，有條件的部署流量控制設(shè)備u采用入侵檢測(cè)設(shè)備配合防火墻進(jìn)行入侵防御u采用日志系統(tǒng)進(jìn)行上網(wǎng)日志行為記錄u數(shù)據(jù)中心專用防火墻保障數(shù)據(jù)資源的安全性l校園網(wǎng)基礎(chǔ)網(wǎng)絡(luò)是校園網(wǎng)各項(xiàng)服務(wù)的基礎(chǔ)，對(duì)學(xué)校的發(fā)展越來(lái)越