小论文校园网的网络方案设计

1、东华大学研究生课程论文封面教师填写：得分任课教师签名年 月 日学生填写：姓名张成学号2131088专业信息与通信工程导师禹素萍课程名称网络通信新技术任课教师陈雯课程学分2.0上课时间20 13 至20 14 学年 第 2 学期 星期 三 递交时间2014年 6 月 24 日本人郑重声明：我恪守学术道德，崇尚严谨学风。所呈交的课程论文，是本人独立进行研究工作所取得的成果。除文中已明确注明和引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的作品及成果的内容。论文为本人亲自撰写，我对所写的内容负责，并完全意识到本声明的法律结果由本人承担。 论文作者签名： 注：本表格作为课程论文的首页递交

2、，请用水笔或钢笔填写。校园网的网络方案设计1 设计背景在科技技术飞速发展的今日，计算机及网络的应用也在不断增加与扩大，人们在日常的工作、学习和生活中己经无法离开计算机和网络。计算机网络、数据库及与之相关的应用技术不断发展，以及多媒体数据的存储、传输、应用技术不断成熟，尤其是国际互联网和局域网技术的广泛应用，世界正在迈入以计算机网络为中心的信息化时代。而我国在1994年才开始参考国外的建设经验，并投资建设了中国的教育和科研计算机网络(China Education and Research Network，简称CERNET) 1，并逐步实施教育信息化工程。近年来，随着我国的高校、尤其是高等院校的

3、办学规模的不断扩大，导致了一个学校存在多个校区同时办学，结果导致了教学资源分散、信息传递慢、准确性差、办公效率低等问题的出现。如何合理地进行校园网教育时间和空间、教学内容、手段和形式的进一步开放，最大程度地提高院校的办学能力、科研能力和管理水平?校园网建设是一项需要不断更新和完善的庞大系统工程其建设过程是一个技术不断更新、资源不断整合、管理不断完善的长期过程。2设计需求在东华大学原有的网络结构中，两个校区的互访是通过上海教科网的外部路径实现的，由于两个校区之间没有直联的链路，同时松江教科网节点链路的不稳定，造成了校区间互访、松江校区访问教科网和Internet会经常中断的情况,网络很不稳定。建

4、立一个多媒体的综合网络，在网络中传送的信息不仅是数据，还包括声音、视频等这就要求主干网必须是提供QOS的高速主干网。校园网的分布范围不局限于一幢大楼，校园网都是局域网和广域网二者的结合。东华大学拥有两个校区：校本部与松江校区。两个校区相差的距离较远，两个校区网络之间的拓扑图如下图2所示：图2-1 两个校区网络之间的拓扑图网络现存问题：1在各链路负载不平衡的情况下丢包率很大，导致网络不可用。2松江教科网节点链路的不稳定，造成了校区间互访、松江校区访问教科网和Internet会经常中断的情况。3关键网络应用不能得到保证，带宽升级后也没有效果，网络吞吐量不够。4部分服务器、链路负载过大，造成拥塞和较

5、大延迟。针对前面所介绍的需要解决的问题，其具体需求内容如下:(3)布线系统对校园内各楼层实现网络综合布线，建造1000M校园网主干网络，接入层利用1000M上行线路与汇聚层相连，并提供100M交换到桌面。同时为基于以太网的有线电视、消防、监控设备等提供传输线路，并预留光缆。(2)网络系统安装主干网(包括核心层、汇聚层、接入层)网络设备，以适应1000M以太网主干，百兆到桌面的传输需求;对校园网核心设备、Internet网络出口进行统一规划和协调;实现内网外网的隔离，保证网络安全。提供网络安全及管理的解决方案，能自动监测网络故障并提交告警服务。(3)应用系统开展WEB服务、DNS服务;开展VOD

6、视频点播服务;生活区、学生区上网流量统计和带宽限制;建立校园网络的网络存储系统;校园网建设综合布线当中需要考虑今后在全校重要楼宇和场所开展智能门禁和监控系统；实现全校范围内的无线上网;充分考虑今后在全校范围内，实行校园一卡通支付及结算系统。(4)电源系统电源系统在规划时应充分考虑以下三个方面的需求:各汇聚层需要提供良好的防雷接地和防雷措施，接地电阻不高于4欧姆;各接入层、汇聚层、核心层集中供电入口需要安装防雷设备;网络中心须配备在线式UPS电源提供集中供电。(5)未来需求实现根据用户身份的路由策略，对访问学校的各种服务进行权限设置，通过统一认证界面按照用户的不同身份提供不同的配套服务;实施对校

7、园网用户的计费，策略上应具有灵活性和多样性，如流量、包月、子网、时段优惠，国内国外流量划分等;对指定服务器的访问能提供具体的日志信息以备查;网络平台上开展远程教学业务;为校内应用系统的实施做好网络平台的前期准备工作，保障给校园网络应用一个安全通畅的环境。3 VLAN规划设计3.1 VLAN功能与作用虚拟局域网(Virtual Local Area Network, VLAN) 3是一种近年来在计算机通信领域内逐渐发展起来的一种网络技术，在校园网中有广泛的应用前景。VLAN是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。随着局域网规模的扩大和交换机的大量使用，以

8、及ARP, RARP, DHCP等协议的应用，都会带来各种导致网络性能的下降甚至网络的堵塞的广播包，又称广播风暴。通过VLAN技术将网络划分为多个广播域，从而有效地控制了广播风暴的发生，除此之外VLAN还使网络的拓扑结构变得非常灵活。在VLAN出现之前，隔离广播域的方法主要有:(1)利用路由器隔离广播域:通过路由器连接多台交换机，由于路由器具有隔离广播包的功能，而每一台交换机就是一个广播域。但这种方式无法实现在交换机上隔离广播域，并且需要增加网络设备线路连接，经济性和灵活性较差。(2)利用子网掩码划分子网:通过在客户端配置子网掩码的方式来划分子网。但这种配置方式存在管理上的困难与安全隐患，因为

9、其配置需在客户端进行操作，用户可以随意更改IP地址和子网掩码，导致网络出现问题。VLAN技术的发展，弥补了以上两种隔离广播域方式的缺点。VLAN的优点主要包括:(1) VLAN在交换机上配置，非常便于网管员进行管理;(2) VLAN实现了在交换机上隔离广播域。限制网络上的广播，将网络划分为多个VLAN可减少参与广播风暴的设备数量。LAN分段可以防止广播风暴波及整个网络。VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机，在一个VLAN中的广播不会送到VLAN之外。同样，相邻的

10、端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生；(3)VLAN的划分方式非常灵活，可以基于端口、MAC地址、协议等，利用 VLAN可以实现动态组网;(4)增强局域网的安全性，含有敏感数据的用户组可与网络的其余部分隔离，从而降低泄露机密信息的可能性。不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信，如果不同VLAN要进行通信，则需要通过路由器或三层交换机等三层设备。综上所述，对于大中型局域网的广播域隔离，VLAN是一个很好的解决方案，通过在三层交换机上建立的VLAN隔离广播域，能够提高网络性能并隔离“

11、尼姆达”、“冲击波”等蠕虫病毒。校园网犹如一个大的局域网，出于对不同职能部门、院系和用户实体的管理、安全和整体网络稳定运行的考虑，需划分成若干网络或若干子网，否则网络性能难以得到保障，网络管理也比较困难。对多个网络进行既独立又统一的管理，此时就要用到VLAN，因此VLAN非常适合于校园网。3.2 VLAN设计与规划设计和划分VLAN的方法有基于端口、基于MAC、基于协议，鉴于当前VLAN技术的发展，考虑到各种VLAN划分方式的优缺点，最大程度上地满足用户在具体使用过程中的需求。为了减轻用户在VLAN的使用和维护中的工作量，可以根据端口的功能和位置进行VLAN的划分。(1)按照部门或功能进行规划

12、，而不需考虑地理位置。考虑到管理的需要，校园网主要按照部门或功能来划分VLAN，这样便于在部门内部进行二级管理，若不考虑部门则管理的难度将大大增加。由于VLAN可以跨交换机，所以不需要考虑地理位置。例如，实训楼存在多个会议室、办公室，可以将其划在一个VLAN中集中管理。(2)基于端口的VLAN划分方式。在学校内部，各部门(院系)办公地点相对稳定，采用基于端口的VLAN划分方式，将各部门(院系)的VLAN划分到各部门(院系)所在地点相应交换机的端口上，这样便于管理，VLAN初始化和维护的工作量也较小，除非部门的办公地点发生变化，否则不需要修改VLAN的配置。例如，1号学院楼有三个学院的实验室，不

13、同的实验室有不同的教学用途，则可以在实验楼划分3个VLAN，每个VLAN对应不的学院，并分别由相应院系管理员负责管理。(3)对于安全有特殊要求的情况单独划分VLAN。由于VLAN有隔离广播包的作用，因此，对于安全性有特殊要求的情况应单独划分VLAN。例如，数据中心机房服务器有很多重要的数据，应单独划分一个VLAN将其和实训楼的其他用户隔离;对于一卡通、校园广播、安防监控等其它信息应用专用子网，也应单独设置VLAN，与校园有线网络隔离。(4)VLAN间的通信可以通过访问控制列表进行灵活控制。VLAN与VLAN之间采用路由实现通信，将同一部门(系别)的接入交换机相应端口划分到同一个VLAN中，同时

14、通过核心设备支持的访问控制列表ACL(Access Control List)对不同VLAN间的用户进行灵活控制。例如，是否允许访问、允许数据进入还是流出、允许哪个协议或端口的数据、允许访问的源或者目的地址范围是多少等等，都可以在ACL中定义。3.3 VLAN划分本设计根据实际情况对东华大学松江校区网络系统划分如下子网:网络中心-管理子网、网络中心-信息服务子网、行政办公子网、教学科研子网、教工子网，以及一卡通、校园广播、安防监控等其它信息应用专用子网。每个子网由若干VLAN组成，每个VLAN对应一个部门或功能，分配独立的VLAN ID作为标识。具体划分如下:(1)综合实验楼，按部门或功能划分

15、，每一楼层或部门划分一个VLAN。(2)大学生活动中心，按端口划分，不同部门的办公室各自划分在同一个VLAN。(3)教学楼，按大楼划分，每栋楼单独划分一个VLAN 。(4)第一食堂、教工之家，按大楼划分一个VLAN。(5)为保证网络设备的安全，单独设置一个VLAN作为设备管理VLAN。 (6)网管工作站、服务器群单独设置一个VLAN。 (7)对于其它信息应用专用子网，如一卡通、校园广播、安防监控系统等单独设置VLAN。4路由方案为了提高松江校区校园网的安全性、可靠性和有效地隔离广播流量，本设计将在新校区的骨干网(核心层和汇聚层)中采用OSPF动态路由协议进行数据转发。(1)主干网路由设计在新校

16、区主干网(核心层一汇聚层)上采用OSPF动态路由协议，使其自动学习路由，完成数据包的寻径和转发。OSPF是IPv4网络协议主要的动态路由协议之一，能支持大规模网络的路由发布、维护和管理，其收敛速度快，能够在最短时间内将路由变化传递到整个自治系统，改善网络的可扩展性。它可以把网络划分成多个小的区域，将自治系统划分为不同区域后，通过区域之间的对路由信息的摘要，大大减少了需传递的路由信息数量。也使得路由信息不会随网络规模的扩大而急剧膨胀。将老校区的汇聚层设备定义一个区Area1，新校区的汇聚层设备定义一个区Area2，新老校区的核心层设备定义为一个区Area0。(2)外部网路由设计外部网(Extra

17、net)指的是新校区的出口网络，其IP包的寻径和转发主要是通过静态路由或默认路由的设置来完成。通过对新校区核心交换机(路由器)CR1上静态路由或默认路由的设置来传递本地网络路由，将内部的网数据指向外部网(即延安路校区)。由于采用了不同的路由协议，因此利用路由重分布技术将主干网的OSPF协议能够学习到指向外部网的路由。5 互联网接入5.1 松江校区互联网接入设计东华大学松江校区早己接入中国教育科研网和电信网。另外为了扩展校园网出口的带宽，也可以考虑增加与其他运营商的网络接入线路，接入带宽可考虑100M并根据实际需要逐步扩展。根据国家互联网出口管理规定，对互联网出口配套相应的出口安全审计、防火墙、

18、入侵检测等设备以保障校园网安全。同时也为在校外上网的本校用户提供VPN内部接入通道，实现校内应用扩展到任意地点。另外，学生生活区作为独立维护区，其出口线路也需要进行统一管理。图5-1 新校区网络出口管理5.2 两校区互联互通设计目前新校区内部存在多种信息化的应用，需要建立多个跨校区的专用网络，如何实现两校区间的子网互联，既保证高效运转，又保证数据的绝对安全，实现两校区信息共享、资源整合、集中管理，是两校区互联设计考虑的关键。松江校区对网络的服务质量和接入Internet的不间断性要求较高。为保证接入互联网的可靠，应使用光纤接入与延安路校区互联(可通过租用电信运营商或有线电视公司的裸光缆进行物理

19、连接)，实现1G的互联。同时在经费许可的情况下，建设提供不同的物理光纤线路作为备份线路。另外目前松江校区内部有多种信息化应用的开展，需要建立跨校区的专用网络，以满足日后需求的不断增加和发展。实现多个链路通道互联，才能为将来的各种应用和需求提供扩展余地。因此将采用WDM（Wavelength Division Multiplexing)技术，即在互联裸光纤链路的两端增加粗波分设备，通过一对光纤，实现多个链路通道互联。(1) CWDM简介WDM全称Wavelength Division Multiplexing，即波分复用。CWDM是一种面向城域网接入层的低成本WDM传输技术。从原理上讲，CWDM

20、就是利用光复用器将不同波长的光信号复用至单根光纤进行传输，在链路的接收端，借助光解复用器将光纤中的混合信号分解为不同波长的信号，连接到相应的接收设备。WDM又分为CWDM(Coarse Wavelength Division Multiplexing) 4稀疏波分复用器，也称粗波分复用器和DWDM(Dense Wavelength Division Multiplexing)密集波分复用器。(2) CWDM优点CWDM的最重要的优点是设备成本低。CWDM设备体积小、功耗低、维护简便、供电方便，可以使用220V交流电源。而且其波长数较少，所以板卡备份量小。使用8波的CWDM设备对光纤没有特殊要求

21、，G.652, G.653, G.655光纤均可采用。CWDM系统还可以显著提高光纤的传输容量，提高对光纤资源的利用率。目前粗波分复用系统可以提供8个光通道，按ITU-T的g.694.2规范最多可以达到18个光道。CWDM的另一个优点是体积小、功耗低。CWDM系统的激光器无需半导体制冷器和温度控制功能，所以可以明显减小功耗，CWDM系统中简化的激光器模块使得其光收发一体化模块的体积减小，设备结构的简化也减小了设备的体积，节约机房空间。与传统的TDM方式相比，CWDM具有速率和协议透明性，这使之更适应城域网高速数据业务的发展。城域网中有许多不同协议和不同的速率的业务，CWDM提供了在一根光纤上提

22、供不同速率的、对协议透明的传输通道，如以太网、ATM,POS, SDH等，而且CWDM的透明性和分插复用功能可以允许使用者直接上下某一个波长，而不用转换原始信号的格式。也就是说，光层提供了独立于业务层的传送结构。CWDM具有很好的灵活性和可扩展性。对于城域业务来讲，业务提供的灵活性，特别是业务提供速度和随着业务发展进行扩展的能力非常重要。利用CWDM技术可以在1天或者几个小时的时间内为用户开通业务，而且可以随着业务量的增加，可以通过插入新的OTU板进行容量的扩展。提高业务质量。在城域网中应用CWDM系统可以使光层恢复成为可能。光层恢复比电层恢复要经济得多。考虑到光层恢复是独立于业务和速率的，那

23、么原来一些自身体制无保护功能的体系(如千兆以太网)，则可以利用CWDM来进行保护。由于CWDM技术的上述优点，所以CMWD在电信、广电、企业网、校园网等领域获得越来越多的应用。(3) 两校区点对点互联方案校区间一般采用租用光缆方式进行互联，租用光缆线路一般价格较高，在带宽较大，应用系统较多时，线路资料比较紧张。CWDM系统可以显著提高光纤的传输容量，提高对光纤资源的利用率。根据目前校区内部多种信息化应用的开展，需要建立跨校区的专用网络在未来需求中将不断增加，在互联光缆链路上可两端增加粗波分设备，通过一对光纤，实现多个链路通道互联。为将来各种应用的需求提供扩展余地，第一期粗波分可考虑4路或8路波

24、分设备。通过在两校区互联设备间增加CWDM设备，通过多个不同的波长提供多个独立的数据通道，使校园网可以使用不同的数据通道来满足多业务的需求。通过CWDM技术，在单对光纤中形成多个在物理通道上相互隔离的虚拟光网(OPN)，使网络免受所有软件病毒和黑客的攻击，其安全性远高于通用的VPN。新拓扑图如图6所示:图5-2 两新区新互联方案5.3网络安全实现方案5.3.1 校园网络面临的威胁计算机网络所面临的威胁大体可分为两种:一是对网络中信息的威胁;二是对网络中设备的威胁。影响计算机网络的因素很多，有些因素可能是有意的，也可能是无意的;可能是人为的，也可能是非人为的;可能是外来黑客对网络系统资源的非法使

25、有，归结起来，针对网络安全的威胁主要有三:(1) 人为的无意失误如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等都会对网络安全带来威胁。(2) 人为的恶意攻击这是计算机网络所面临的最大威肋、，敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种:一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性;另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄漏。(3)网络软件的漏洞和“后门”网络软件不可能是百分之百的无缺

26、陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标，曾经出现过的黑客攻入网络内部的事件，这些事件的大部分就是因为安全措施不完善所招致的苦果。另外，软件的“后门”都是软件公司的设计编程人员为了自便而设置的，一般不为外人所知，但一旦“后门”洞开，其造成的后果将不堪设想。5.3.2 防火墙技术(1)硬件防火墙硬件防火墙主要用于对网络中的数据访问进行限制，提供对系统的访问控制和集中的安全管理，防止不安全的数据访问和服务。比如限制外网用户对内网服务器的访问，传统的硬件防火墙采用分组过滤或包过滤技术，工作在网络七层模型的下三层。随着流过滤等新技术的应用，目前的防火墙己经可以进行应用层的策略部署

27、，利用硬件防火墙可以在内网实现DMZ区的划分、NAT地址转换等功能。(2)软件防火墙软件防火墙成本较低、安装方便、使用简单，能够满足个人用户单机防护的基本需求，包括防止黑客攻击、保证信息安全、监测计算机运行状况等功能。5.3.3 防病毒技术(1)硬件防病毒硬件防病毒产品主要有硬件防病毒网关、带病毒过滤功能的防火墙等，主要用于网络的入口处。采用内嵌的内容过滤病毒过滤技术，对经过该设备的多种协议的数据进行扫描，并提供强大的审计与监控功能，能有效的防止从外网流入的病毒蠕虫的攻击。由于硬件设备具有高速稳定不易受攻击等优点，硬件防病毒技术正逐渐成为一种趋势被集成到交换机等常用网络设备中。(2)软件防病毒

28、针对网络病毒的泛滥，合理地部署网络版杀毒软件，从源头控制病毒的扩散，能够有效的降低蠕虫等病毒的危害程度，降低病毒造成的损失。在选择网络版杀毒软件时，病毒库的升级速度、客户端的资源占用情况、软件的易操作性以及是否有强大的管理功能都是我们需要考虑的因素。6 VoIP实现方案随养经济全球化和网络技术的持续高速发展，语音联系越来越频繁，对于其价格和质量的要求也更加苛求。基于VoIP技术的IP电话实现了通过Internet进行分组传输的目的，并在传输费用上远远低于传统模拟电话川。目前，VoIP迅速成为全球的热门业务，日木、美国、加拿大等发达国家的IP电话用户数增长迅速，VoIP的发展态势不可阻挡，必定会

29、给传统电信运营商带来很大的冲击。6.1 VoIP相关协议图5-3 VoIP协议栈体系结构6.2 基于SIP的VoIP系统 SIP系统包括两大基本要素:SIP服务器与SIP用户代理，而SIP服务器又包括代理服务器、重定向服务器、注册服务器和位置服务器，如图7所示。图6-1 基于SIP的VoIP网络体系示意图7 服务质量QoS设计7.1 服务质量QoS简介而当网络发生拥塞的时候，所有的数据流都有可能被丢弃；为满足用户对不同应用不同服务质量的要求，就需要网络能根据用户的要求分配和调度资源，对不同的数据流提供不同的服务质量：对实时性强且重要的数据报文优先处理；对于实时性不强的普通数据报文，提供较低的处

30、理优先级，网络拥塞时甚至丢弃。QoS应运而生。支持QoS功能的设备，能够提供传输品质服务；针对某种类别的数据流，可以为它赋予某个级别的传输优先级，来标识它的相对重要性，并使用设备所提供的各种优先级转发策略、拥塞避免等机制为这些数据流提供特殊的传输服务。配置了QoS的网络环境，增加了网络性能的可预知性，并能够有效地分配网络带宽，更加合理地利用网络资源。7.2 基于IPV6的QOS解决方案IP QOS的实现可以使用IntServ、DiffServ、MPLS、流量工程以及约束路由等技术，但具体到在网络节点上的实现，主要还是标记、排队和拥塞避免一些具体的措施。由于IPv6和IPv4的相似性，在IPv4

31、下已经实现的大部分QoS技术仍然可以应用到IPv6网络中来，例如可以直接利用IPv4网络中的集成服务模型和区分服务模型等。IPv6与IPv4在集成服务模型上没有本质上的区别，都是以RSVP为核心协议。在IPv4中，RSVP依照业务数据流的源地址、目的地址和端口等信息制定相应的QoS策略，而且要在传输路径上的所有路由器上实现这些策略。这意味着传输路径上的所有路由器都需要分析每个数据包的源地址、目的地址和端口等信息， 这将会增加路由器的负担。另外，当数据量增大时，也会增加数据包的处理延时。 IPv6为RSVP的实施提供了一种更为有效的方法。主要原因在于，在IPv6数据报头信息中定义了专门的QoS支

32、持域，IPv6对QoS的支持主要表现在流标签字段，流标签基本上是按位产生的伪随机数，在一定的时间值内，源端不能重用流标签，流标签为0，指示这个包不属于任何流。IPv6环境下的RSVP可以只依照数据包的流标签制定相应的QoS策略，这将大大减小RSVP的开销，同时传输路径上的每个路由器的处理负担也相应减小，使RSVP策略的实施更为简便。另外，当需要QoS服务的数据流的生存期很短或者所需带宽很小时，RSVP的开销很可能大于数据流中所有的包的开销，如果在IPv4网络中采用集成服务模型，将得不偿失；而在IPv6网络中RSVP的开销非常小，使得这种业务需求得到保障。 在区分服务模型中，可以认为IPv6与IPv4没有区别。IPv4中8位的ToS字段和IPv6中8位的流量类别字段被用来标记区分服务编码点（DSCP）,使分组在每一个网络节点得到特定的转发。IPv4下的QoS保证技术已经获得比较好的发展，因此在IPv6大规模部署之前，可