電子科技大學成都學院校園網(wǎng)設計方案

計算機網(wǎng)絡技術(shù)及應用課程設計報告第1頁共16頁注：文件名注：文件名為學號+姓名電子科大成都學院經(jīng)管系課程設計報告設計名稱：計算機網(wǎng)絡技術(shù)及應用課程設計姓名：學號：專業(yè)班級：設計時間：2010.4.30~2010.5.10設計地點：計算機網(wǎng)絡實驗室成績：指導教師評語：成績：簽名：年月日

一、課程設計目的計算機網(wǎng)絡課程設計是計算機及相關(guān)專業(yè)的實踐環(huán)節(jié)之一，是學習完《計算機網(wǎng)絡》課程后進行的一次全面的綜合練習。其目的在于加深對OSI七層模型、TCP/IP模型的各層功能和設計思想的理解，掌握組建計算機網(wǎng)絡的基本技術(shù)，特別是網(wǎng)絡規(guī)劃、路由器等網(wǎng)絡設備的基本功能與選型以及網(wǎng)絡應用服務器的基本配置，提高學生的應用能力和動手實踐能力。二、設計任務與要求以電子科大成都學院（也可以自行選擇其它學院、公司等等）本部校園為背景，設計一個校園網(wǎng)方案。電子科大成都學院（也可以自行選擇其它學院、公司等等）的本部分為辦公區(qū)、教學區(qū)和生活區(qū)三部分。現(xiàn)假設：辦公區(qū)中各樓宇名及需要的信息點為：教務處（15），黨政辦公樓（30），圖書館（60），教學區(qū)中，除計算機系大樓需要240個信息點外，其余各系部大樓及教學樓各需設置信息點的個數(shù)為100，生活區(qū)中每個建筑物里每個門洞設置1個信息點。假設使用預留的INTERNET地址，試根據(jù)本部校園網(wǎng)的應用需求和管理需求、各建筑物的地理分布、信息點分布，設計出本部的校園網(wǎng)方案。方案中應明確學院網(wǎng)管中心的位置，確定拓撲方案，完成設備選型，注明各種設備、設施和軟件的生產(chǎn)商、名稱、型號、配置與價格，基本確定方案的預算。要求：1、根據(jù)要求對指定園區(qū)建網(wǎng)進行需求分析，提交需求分析報告；2、在需求分析的基礎上進行系統(tǒng)設計、技術(shù)選型，規(guī)劃、設計網(wǎng)絡的邏輯拓撲方案、布線設計等，劃分子網(wǎng)，設計子網(wǎng)地址、掩碼和網(wǎng)關(guān)，為每個子網(wǎng)中的計算機指定IP地址；3、根據(jù)條件進行設備選型，決定各類硬件和軟件的配置和經(jīng)費預算方案；4、構(gòu)建工作型局域網(wǎng)，在指定計算機內(nèi)安裝網(wǎng)絡接口卡，動手制作雙絞線網(wǎng)線，把計算機與集線器（交換機）相連；在工作組中指定的基于計算機上分別安裝操作系統(tǒng)、TCP/IP協(xié)議，配置IP地址、掩碼和網(wǎng)關(guān)等參數(shù)，創(chuàng)建一個簡單的WEB服務器，并制作一些網(wǎng)頁，放入WEB服務器內(nèi)以及一個FTP服務器，實現(xiàn)文件的上、下傳；5、創(chuàng)建局域網(wǎng)內(nèi)的DNS服務器，配置相關(guān)文件，可以對局域網(wǎng)內(nèi)的主機作域名解析。三、設計說明書3.1需求分析設計：總體需求

教育部對校園網(wǎng)的定義是：校園網(wǎng)是為學校師生提供教學、科研和綜合信息服務的寬帶多媒體網(wǎng)絡。首先，校園網(wǎng)應為學校教學、科研提供先進的信息化教學環(huán)境；校園網(wǎng)是一個寬帶、具有交互功能和專業(yè)性很強的局域網(wǎng)絡。多媒體教學軟件開發(fā)平臺、多媒體演示教室、教師備課系統(tǒng)、電子閱覽室以及教學、考試資料庫等，都可以在該網(wǎng)絡上運行。如果一所學校包括多個專業(yè)學科(或多個系)，也可以形成多個局域網(wǎng)絡，并通過有線或無線方式連接起來。其次，校園網(wǎng)應具有教務、行政和總務管理功能；最后，校園網(wǎng)還應滿足校內(nèi)外的通訊要求。校園網(wǎng)應達到以下要求：1、網(wǎng)絡具有傳遞語音、圖形、圖像等多種信息媒體功能，具備性能優(yōu)越的資源共享功能。2、校園網(wǎng)中各終端間具有快速交換功能。3、中心系統(tǒng)交換機采用虛擬網(wǎng)技術(shù)，對網(wǎng)絡用戶具有分類控制功能。4、對網(wǎng)絡資源的訪問提供完善的權(quán)限控制。5、網(wǎng)絡具有防止及便于捕殺病毒功能，以保證網(wǎng)絡使用安全。6、校園網(wǎng)與Internet網(wǎng)相連后具有“防火墻”過濾功能，以防止網(wǎng)絡黑客入侵網(wǎng)絡系統(tǒng)。7、可對接入因特網(wǎng)的各網(wǎng)絡用戶進行權(quán)限控制。校園網(wǎng)的基本功能：（1）為教育信息的及時、準確、可靠地收集、處理、存儲和傳輸?shù)忍峁┕ぞ吆途W(wǎng)絡環(huán)境。（2）為學校行政管理和決策提供基礎數(shù)據(jù)、手段和網(wǎng)絡環(huán)境，實現(xiàn)辦公自動化，提高工作效率、管理和決策水平。（3）為備課、課件制作、授課、學習、練習、輔導、交流、考試和統(tǒng)計評價等各個教學環(huán)節(jié)提供網(wǎng)絡平臺和環(huán)境。（4）為使用網(wǎng)絡通信、視頻點播和視頻廣播技術(shù)，提供符合素質(zhì)教育要求的新型教育模式；（5）為科學研究的資料檢索、收集和分析；成果的交流、研討；模擬實驗等提供環(huán)境和手段布線系統(tǒng)需求：千兆主干、百兆交換到桌面已經(jīng)成為校園網(wǎng)技術(shù)的主流，因此采用1000M以太網(wǎng)光纖作為校園網(wǎng)的主干，100M交換到各教研組、科室、學生機房的計算機。交換設備需求：控制中心設置2臺核心千兆交換機，生活區(qū)：學校目前為31撞住宿樓，每層樓一個交換機每撞樓1個匯聚交換機，教學區(qū)：一共有5撞教學樓，每幢樓中配置6臺交換機。辦公區(qū)：學校有辦公大樓3幢。黨政樓2幢需要交換機20臺交換機，中共需要交換機約400臺。服務器需求：根據(jù)學校的需求情況，需要WEB,NDS,ftp，dhcpsql服務器各一臺防火墻需求：為了控制學生瀏覽不良網(wǎng)站，我們希望能隨意控制上網(wǎng)的網(wǎng)站，因此需要防火墻。防火墻還要能防止一般黑客的侵襲技術(shù)培訓需求：對相關(guān)人員技術(shù)培訓，對設備的維護信息點分布區(qū)域部門信息點（個）信息點總數(shù)（個）辦公區(qū)辦公樓15105黨政辦公樓30圖書館60教學區(qū)實驗樓240340西辦100生活區(qū)各住宿大樓大樓每層樓層數(shù)一幢161862幢16。。。。。。。1631幢163.2網(wǎng)絡系統(tǒng)的方案設計這個是藍區(qū)的基礎架構(gòu)規(guī)劃圖，整個學校的中心機房設置在實驗大樓，里面放置核心交換機和服務器區(qū)，包括WEB服務器DNS服務器，F(xiàn)TP服務器數(shù)據(jù)庫服務器和一個DHCP服務器廣域網(wǎng)設計：做為廣域網(wǎng)的出口，首先是要對內(nèi)網(wǎng)做高性能的NAT和穩(wěn)定性，其次訪問的安全性要由很好的保障，所以在入口處設置防火墻很有必要對外來數(shù)據(jù)進行高級的過濾及防護外網(wǎng)對內(nèi)網(wǎng)的攻擊等。核心層設計：核心層的主要功能是提供高速的內(nèi)網(wǎng)轉(zhuǎn)發(fā)和外網(wǎng)訪問和穩(wěn)定性，所以在核心層需要大容量高性能的核心3層交換機，匯聚層設計：匯聚層針對于學院內(nèi)的接入層與核心層的數(shù)據(jù)交換，實現(xiàn)學院系與系之間、院與系、學院機關(guān)部門與部門、圖書管電子閱覽室與管理系統(tǒng)等網(wǎng)絡之間的的匯聚。匯聚層網(wǎng)絡主要完成校園網(wǎng)各樓宇內(nèi)相關(guān)單位的內(nèi)接入交換機的匯聚及數(shù)據(jù)交換和VLAN終結(jié)接入層設計：接入層負責把校園內(nèi)需要上網(wǎng)的地方覆蓋接入到匯聚層，下面是對學校的3個主要區(qū)域的接入層的規(guī)劃3.3設計中的技術(shù)問題：線路冗余：在校園網(wǎng)骨干核心層校園網(wǎng)絡邊界拓撲結(jié)構(gòu)由于采用了多機熱備份的核心交換機系統(tǒng)解決方案，所以在線路冗余方面的要求較高，對于線路的冗余要求，我們采用10GE線路對二臺校園網(wǎng)核心層設備進行環(huán)行雙向備份，并使用業(yè)界領(lǐng)先的VRRP（虛擬路由器冗余協(xié)議）來對其作為冗余線路的協(xié)議保障。以GEC作為N*1000M主干鏈路，通過這個鏈路連接骨干網(wǎng)交換機，具備萬兆擴展能力；接入交換機采用10/100M自適應端口連接桌面系統(tǒng)，多千兆鏈路連接到匯聚層。GEC路具有鏈路聚合和冗余保證兩大特性，下面我們將對它們依次進行介紹鏈路聚合：可使用一條物理鏈路在不同品牌交換機之間、交換機和服務器間提供聚合的高速通道，在不增加投資的情況下，擴大交換帶寬，使關(guān)鍵連接的傳輸效率更高冗余保證：鏈路聚合中，成員互相動態(tài)備份。當某一鏈路中斷時，其它成員能夠迅速接替其工作。與生成樹協(xié)議不同，鏈路聚合啟用備份的過程對聚合之外是不可見的，而且啟用備份過程只在聚合鏈路內(nèi)，與其它鏈路無關(guān)，切換可在數(shù)毫秒內(nèi)完成。綜合分析以上各主流方案的優(yōu)缺點，從性能與成本及拓展性等方面的綜合考慮出發(fā)，我們決定采用GEC骨干核心網(wǎng)絡10GE拓展的方式作為其鏈路選擇及備份選擇。在校園網(wǎng)匯聚層及接入層出于成本及性價比的考慮，我們決定采用千兆交換，千兆匯聚，千兆路由,萬兆拓展,百兆到桌面的鏈路。網(wǎng)絡設備冗余：在當前的校園網(wǎng)，對Internet數(shù)據(jù)的流量發(fā)展都超出了過去最樂觀的估計，上網(wǎng)熱潮風起云涌，需要更快的速度，新的應用層出不窮，即使按照當時最優(yōu)配置建設的網(wǎng)絡，也很快會感到吃不消。尤其是各個網(wǎng)絡的核心部分，其數(shù)據(jù)流量和計算強度之大，使得單一設備根本無法承擔。負載均衡建立在現(xiàn)有網(wǎng)絡結(jié)構(gòu)之上，它提供了一種廉價有效的方法擴展服務器帶寬和增加吞吐量，加強網(wǎng)絡數(shù)據(jù)處理能力，提高網(wǎng)絡的靈活性和可用性。它主要完成以下任務:解決網(wǎng)絡擁塞問題，服務就近提供，實現(xiàn)地理位置無關(guān)性;為用戶提供更好的訪問質(zhì)量;提高服務器響應速度;提高服務器及其它資源的利用效率;避免了網(wǎng)絡關(guān)鍵部位出現(xiàn)單點失效。在此方案中，在網(wǎng)絡的每個關(guān)鍵結(jié)點，我們在設計時都要做對鏈路的其有效冗余備份和負載均衡。在網(wǎng)絡的核心層上。我們采用一臺神州數(shù)碼網(wǎng)絡的DCRS-6804高密度多業(yè)務IPV4或IPV6核心路由交換機和二臺DCRS-5950-28T核心路由交換機組建高性能的核心網(wǎng)絡平臺，在對匯聚層提供足夠的網(wǎng)絡接點和接入需求的同時最大限度的為網(wǎng)絡提供了有效的冗余保障和負載均衡。在核心層區(qū)塊，我們都采用了兩臺神州數(shù)碼網(wǎng)絡的DCRS-5650多業(yè)務IPV4或IPV6核心路由交換機做到冗余與負載均衡。在本方案的設計中，出現(xiàn)了兩個以上的交換區(qū)塊和需要提供冗余連接的時候，我們采用了雙核心配置。雙核心拓撲結(jié)構(gòu)提供了兩條等代價路徑和雙倍的帶寬。每個核心交換機連接著數(shù)目相同的子網(wǎng)到第三層匯聚設備上。每個交換區(qū)塊都有冗余的連接到核心交換機上，因此形成兩條不同的，但是等代價的連接。如果一條核心設備發(fā)生故障，還是能夠收斂，因為匯聚層設備的路由選擇表中還有另一條到核心設備的路由。第3層路由選擇協(xié)議在核心中起鏈路選擇的作用，VRRP（容錯協(xié)議）提供快速錯誤恢復。核心層不需要STP，因為在核心交換機間沒有冗余的第2層連接。VRRP(虛擬路由冗余協(xié)議)：VRRP給路由組提供了一個冗余網(wǎng)關(guān)地址，它是一種容錯協(xié)議，通過定義不同的組，不同優(yōu)先級的路由，它保證網(wǎng)絡的主路由失效時，可以及時的由備分來實現(xiàn)路由來替代，從而保持通訊的連續(xù)性和可靠性。并可以在該協(xié)議上實現(xiàn)負載均衡等高級交換特性。VRRP技術(shù)的實現(xiàn)：匯聚到核心冗余連接及VRRP的實現(xiàn)通過VRRP技術(shù)將多個設備虛擬成為一臺邏輯設備，實現(xiàn)匯聚/接入鏈路冗余。RSTP協(xié)議完全向下兼容802.1DSTP協(xié)議，除了和傳統(tǒng)的STP協(xié)議一樣具有避免回路、提供冗余鏈路的功能外，最主要的特點就是“快”。如果一個局域網(wǎng)內(nèi)的網(wǎng)橋都支持RSTP協(xié)議且管理員配置得當，一旦網(wǎng)絡拓樸改變而要重新生成拓樸樹只需要不超過1秒的時間（傳統(tǒng)的STP需要大約50秒）。MSTP多生成樹協(xié)議（MultipleSpanningTreeProtocol）是IEEE802.1s中定義的一種新型生成樹協(xié)議，多生成樹協(xié)議引入“實例”（Instance）和“域”(Region)，通過多個VLAN捆綁到一個實例中去的方法可以節(jié)省通信開銷和資源占用率。交換機支持MSTP，MSTP是在傳統(tǒng)的STP、RSTP的基礎上發(fā)展而來的新的生成樹協(xié)議，本身就包含了RSTP的快速FORWARDING機制。由于傳統(tǒng)的生成樹協(xié)議與VLAN沒有聯(lián)系，因此在特定網(wǎng)絡拓樸下就會產(chǎn)生以下問題：如下圖所示，交換機A、B在VLAN1內(nèi)，交換機C、D在VLAN2內(nèi)，然后連成環(huán)路。在某種情況的配置下，會造成把交換機A和B間的鏈路給DISCARDING.由于交換機C、D不包含VLAN1，無法轉(zhuǎn)發(fā)VLAN2的數(shù)據(jù)包，這樣交換機A的VLAN1就無法與交換機B的VLAN1進行通訊。在網(wǎng)絡末梢，連接到單個工作站的時候，是不可能形成橋接環(huán)路的。在接口上啟用了portfast特性，可以使交換機端口立即變?yōu)檗D(zhuǎn)發(fā)狀態(tài)，提高了網(wǎng)絡的響應速度及收斂時間。基于RSTP的交換機高級特性Uplinkfast在網(wǎng)絡中的應用。考慮到有冗余上行連接的網(wǎng)絡，使用冗余連接到上層交換機，通常情況下一個上行連接處于轉(zhuǎn)發(fā)狀態(tài)，另一個處于阻塞狀態(tài)，如果主上行連接斷開，在使用冗余連接之前所經(jīng)歷的時間高達50S在使用Uplinkfast之后，使的具有冗余上行連接的交換機具有根端口失效時，另一個阻塞的上行連接能夠立即使用，這個時間大大縮小到1-5S之間，在校園網(wǎng)的特殊環(huán)境中，能大大增強網(wǎng)絡的穩(wěn)定性，加快網(wǎng)絡收斂。NAT的描述、NAT映射、策略路由的實現(xiàn):在組建網(wǎng)絡時，為了節(jié)約地址，我們在內(nèi)部使用保留的私有地址段中的地址，但是使用私有地址不能訪問Internet,所以必須向ISP服務提供商申請公開地址配置校園網(wǎng)的邊緣路由設備上的出口，并應用NAT進行地址轉(zhuǎn)換。NAT是網(wǎng)絡地址翻譯技術(shù)，在路由器上起用NAT之后，可以在部私有地址和外部公網(wǎng)地址之間做轉(zhuǎn)換。比如我們可以把網(wǎng)絡內(nèi)部使用的IP翻譯成外部公網(wǎng)的IP。配置基于策略的路由選擇時，可使用路由映射表來指定基于IP地址，應用程序，協(xié)議或者分組長度的條件?；诓呗缘穆酚蛇x擇命令對選中的路由實現(xiàn)策略。基于策略的路由和靜態(tài)路由有很多共同之處。然而，靜態(tài)路由根據(jù)目標網(wǎng)絡地址來轉(zhuǎn)換分組，而策略路由根據(jù)源地址來轉(zhuǎn)發(fā)分組。在路由選擇表中使用訪問列表時，可根據(jù)諸如目標地址，分組長度，IP協(xié)議字段，優(yōu)先級或端口號來轉(zhuǎn)發(fā)數(shù)據(jù)流。這樣可以指定范圍更廣泛，更細致的條件，并根據(jù)這些條件來決定下一跳路由器。NAT實現(xiàn)IP地址映射，將校園網(wǎng)內(nèi)部的服務器IP地址映射外網(wǎng)中。外網(wǎng)訪問只能訪問公網(wǎng)IP地址，不能訪問局域網(wǎng)內(nèi)部的。所以，通過NAT映射的方法，外網(wǎng)訪問校園網(wǎng)內(nèi)部的WEB服務器時，實質(zhì)是訪問的校園網(wǎng)外部的IP地址，這樣，也能通過外網(wǎng)訪問也能實現(xiàn)對校園網(wǎng)的內(nèi)部WEB服務器的訪問。ACL(訪問控制列表):訪問列表為我們提供了一種對網(wǎng)絡訪問進行有效管理的方法，通過訪問列表，我們可以設置允許或拒絕數(shù)據(jù)包通過路由器，或者允許或者拒絕具體的某些端口進行訪問和使用，如果滿足條件則執(zhí)行相應的操作，放行這個包或者放棄這個包。我們通過這些設置來滿足實際網(wǎng)絡的靈活需求，從而達到設置網(wǎng)絡安全策略，防止網(wǎng)絡中的敏感設備受到非授權(quán)訪問的情況。在具體實現(xiàn)過程中從技術(shù)上來說我們需要了解到ACL分為兩種類型,他們分別是標準訪問列表(Standardaccesslists)和擴展訪問列表（Extendsaccesslists）前者在過濾網(wǎng)絡的時候只使用IP數(shù)據(jù)報的源地址，那么在使用這種訪問列表的情況下它做出允許或者拒絕這個決定完全是依賴于源IP地址，它無法區(qū)分具體的流量類型。而擴展訪問列表則可以提供更細的決定，它可以具體到端口，從而精確到某一個服務，比如對WEB,FTP的訪問等，給我們網(wǎng)絡的策略提供了更細的控制手段。我們利用這種訪問列表進行協(xié)議級的控制以達到對網(wǎng)絡一個有效的管理。標準訪問控制列表一般放在靠近目標的路由器上,而擴展訪問控制列表一般放于近源端的路由器上。鏈路聚合EC(EthernetChannel):以太網(wǎng)信道鏈路聚合可以讓交換機之間和交換機與服務器之間的鏈路帶寬有非常好的伸縮性，比如可以把2個、3個、4個千兆的鏈路綁定在一起，使鏈路的帶寬成倍增長。鏈路聚合技術(shù)可以實現(xiàn)不同端口的負載均衡，同時也能夠互為備份，保證鏈路的冗余性。在這些千兆以太網(wǎng)交換機中，最多可以支持4組鏈路聚合，每組中最大4個端口。鏈路聚合一般是不允許跨芯片設置的。生成樹協(xié)議和鏈路聚合都可以保證一個網(wǎng)絡的冗余性。在一個網(wǎng)絡中設置冗余鏈路，并用生成樹協(xié)議讓備份鏈路阻塞，在邏輯上不形成環(huán)路。而一旦出現(xiàn)故障，啟用備份鏈路。VLAN(虛擬局域網(wǎng)):VLAN虛擬局域網(wǎng)是一種在二層設備上隔離和劃分廣播域的技術(shù)，通過這種劃分，我們可以把物理位置上分離的網(wǎng)絡設備在邏輯上劃為同一個廣播域，或者把物理位置上鄰近的網(wǎng)絡設備劃為不同的廣播域，從而更方便我們管理和做一個邏輯層次的劃分。從技術(shù)上說VLAN可以分為靜態(tài)VLAN和動態(tài)VLAN,那么靜態(tài)的VLAN是基于交換機端口進行劃分，根據(jù)網(wǎng)絡設備連接不同的交換機端口，則進入相應的VLAN。動態(tài)VLAN則更靈活，它可以根據(jù)接入計算機的IP地址，MAC地址，甚至是用戶的登陸賬號做出相應的處理，把計算機劃分進相應的VLAN中，這樣就為我們實際的網(wǎng)絡管理帶來了比較大的方便性和靈活性。那么在的校園網(wǎng)方案中，希望通過使用VLAN技術(shù)進行劃分達到以下目的：劃分子網(wǎng)隔離廣播域，減小不必要的廣播流量，從而提高整個網(wǎng)絡的利用效率。3.4各樓的IP地址分配，VLAN劃分。部門VlanIp地址段及子網(wǎng)掩碼網(wǎng)絡管理中心Vlan888/24辦公區(qū)Vlan500（實驗樓）/22Vlan510（東辦）172.11..40/22Vlan520（西辦）/22教學區(qū)Vlan400（西A）/22Vlan410（西B）/22Vlan420（東A）/22Vlan430（東B）/22生活區(qū)Vlan10（一幢）/22Vlan20（二幢）/22Vlan30（三撞）/22Vlan40