某高校校园网建设计划组织设计

1、/*苏州科技学院二O三二O四学年第一学期计算机网络大作业校园网建设方案设计班 级：_ 电子 Z1111_学 号：_姓 名：_/*二O四年一月/*目录/*1需求分析1.1 网络发展与需求伴随着计算机、通信和多媒体等技术的发展，使得网络应用更加丰富。同时 在多媒体教育和管理等方面的需求， 对校园网络也提出进一步的要求。因此需要 一个具有先进性的、高速的、可扩展的校园计算机网络以适应当前网络技术发展 的趋势并满足学校各方面应用的需要。 作为校园网，需要连接多少个节点，怎样 合理使用各种网络设备使分布在不同地理位置的节点连接到一个统一的网络中， 怎样使整个网络上的节点相互连通，这些问题仅仅是校园网需要

2、解决问题中的一 部分，更重要的问题是如何将这些资源有序地组织起来，需要实现什么功能，以满足现在和未来在教学、科研、管理、交流等方面的需求。形成在校园内部、校 园与外部进行信息沟通的体系，建立满足教学、科研和管理需求的计算机环境， 为学校各种人员提供充分的网络信息服务，在网络环境中进行教学、研究、收集 信息等工作。为了使延安大学能够具有良好的网络环境为更多的学生和老师服 务，设计并实现了延安大学校园网络。校园需要的基本功能有：计算机教学，包括多媒体教学和远程教学；网络下载、网络聊天等；电子邮件系统：主要进行与同行交往、开展技术合作、学术交流等活动； 文件传输FTP:主要利用FTP服务获取重要的科

3、技资料和技术文挡； INTERNET服务：学校可以建立自己的主页，利用外部网页进行学校宣传， 提供各类咨询信息等，利用内部网页进行管理，例如发布通知、收集学生意 见和建议等。图书馆的访问系统，用于计算机查询、计算机检索、计算机阅读等；对带宽的要求：音频信号和视频信号对网络带宽要求最严的数据信号，而且 突发性很大，在网络中要求实时的和高质量的传输。 当网络规模比较大，网络用 户比较多，网络中的多个用户同时发起音频、视频信号和其它各种数据信号的传 输时，往往会对网络带宽带来压力，令网络带宽不堪负荷，造成网络拥塞，严重 时会导致阻塞，使网络通信停顿。为了解决网络拥塞问题，必须对各种网络技术进行选择，

4、以符合用户对网络实际应用所提出的各项要求，以最高的性价比，实现网络功能。/*1.2 现有基本状况介绍学校内有如下设施以及具体状况：大部门所属部门数计算机数备注机关部门10每个部门不超过10台计 算机所有部门之间的距离小于100米院系10每个院系不超过240台计 算机机关办公楼与各院系建筑物之间的 距离均在500-1500米范围之内图书馆2电子阅览室有300台计算 机，另外还有一个主控室，50台机计算机到设备间距离小于100米图书馆、院系部门到计算机网络中心之间的距离大于500米 总计3000台，三个设备间和一个网络中心2.校园网络总体设计思路2.1 模块化设计所谓模块化就是将把整个网络按功能和

5、安全需求分为若干个组件，这些组件之间有一定的安全边界，组件内部有完整的网络设计。模块化设计的好处在于：1.解决各网络之间的冲突问题；2.简化安装和后台设备管理；3.易于故障检测和分离问题；4.易于执行不同类型的服务和安全方针；5.易于扩展或代替原来的技术。一个完整的模块化设计如下图所示:/*2.2 层次化设计层次化网络设计模型I I IIIII II对于大型网络，可以采用通用“核心层-汇聚层-接入层”层次化网络设计模 型。221 核心层核心层的主要提供不同网络模块之间优化传输服务，将分组尽可能快地从一 个网络传到另一个网络，通常要保证核心层具有很高的可靠性、最佳的网络性能。 汇聚层到核心层要具

6、备冗余传输链路，任何单条链路断连不影响网络的可用性。 作为所有网络流量的传输中枢，核心层除了要求高性能交换设备和高带宽传输链 路外，还需考虑选用支持负载均衡或负载分担特性的设备实现负荷均衡。此外， 为了避免网元故障对网络造成冲击， 需要,1；札川IM MM n展爪化网绪垃计圏水!ISAMi/*网络采用支持快速聚合的特性， 一旦主 用通路断开，可以很快的切换到备用通路。222 汇聚层汇聚层顾名思义就是作为访问层到骨干层的汇聚， 通常为访问层与骨干层实 现基于策略的网络间连接。汇聚层主要由三层交换机组成，提供对网络流量模式 控制、访问控制服务、QoS定义路由路径度量（path metric）和路由

7、协议网络 通告控制。2.2.3 接入层接入层作为各模块到交换骨干的连接， 根据不同模块进行逻辑子网划分，并 通过VLAN技术实现子网之间的隔离。访问层主要功能在于隔离模块间的广播流 量，避免不同模块之间相互影响。访问层主要通过二层交换机组成。3. 网络系统设计3.1 网络拓扑结构目前校园网正在计划组建阶段，按照目前学校的基本情况，对学校园网的组 建可以以如下方案进行：（1）校园网将以千兆以太网的星型拓扑结构组建主干网络，各个主要建筑 之间以千兆光纤连接，连接到行政部门3楼网络中心，传输速率1000Mbps（2）各个主要建筑内部组建子网，子网划分并编号，以便将来的管理，另 外需要预留一些网络号，

8、以便未来一段时间内的扩建网络并便于管理未来组建的 网络。（3）按照各个建筑内的设施来组建网络，以便达到组建网络的需求，并且 能够节省成本。（4）各个主要建筑内部的网络用快速以太网的标准建设，使网内达到100MbpS勺传输速率。网络拓扑结构如下:/*MUK4-二一在校园网中，根据学校的具体情况，得出了这个设计图。从图中可以看到，行政部门、图书馆、院系之间以1000Mbps的速率与核心交换机相连，组成主干网络，考虑到各主要建筑到网络中心的距离以及传输介质的实际功能，在主干网中，教学楼、办公楼和图书馆选用1000Base-LX标准的单 模光纤作为传输介质，并且该光纤对应于802.3Z标准，既可以使用

9、单模光纤也 可以使用多模光纤。其中使用多模光纤的最大传输距离为550m使用单模光纤的最大传输距离为70km 1000Base-LX采用8B/10B编码方式，最大传输距离为5km,选用该介质完全符合学校计算机中心与每个建筑物之间的距离超过500-1500m的实际情况。另外，每个主要建筑内的设备间交换机需要支持光缆接 口以及1000Mbps的传输要求。在行政部门里，每个部门里的计算机台数不超过20台，因此为了节约成本， 只需在设备间每层安装一个二层交换机，再将每个部门的20端口交换机连接到设备间交换机就可以了，这样可以减少许多开销。传输介质选用100Base-TX标准的5类非屏蔽双绞线（最大传输距

10、离是100米）将部门交换机连接到设备间交 换机。在院系内，由于每个院系的计算机台数不超过240台，因此在每个院系放置fSKT-LI 1111- I|山钊力|-TT *；DClx sin _存政部门植疑fl in(p ($)/*一台交换机，将每层的计算机连接到该层的交换机后， 再连到设备间交换机，计 算机连接到层交换机和层交换机连接到设备间交换机都可以选用100Base-TX标 准的5类非屏蔽双绞线连接。在图书馆内，由于电子阅览室300台机子，为了使布线更合理，可以每个机 房一台交换机，再由交换机连接到设备间交换机，计算机连接到每个机房交换机， 然后连接到设备间交换机都可以选用100Base-T

11、X标准的5类非屏蔽双绞线连接。 还有图书馆借阅管理系统的50台机子，通过两台交换机连接到设备间交换机， 传输介质还是选用100Base-TX标准的5类非屏蔽双绞线。3.2 子网规划校园网中所有的主机数不超过3000台。计算机的基本地域分配是：行政部 门200台、所有院系2400台、图书馆350台。而一个C类子网有254个可以让 用户正常使用的IP地址，所以申请2个C类IP地址即可满足这个校园网需求， 然后再将申请到得2个子网C类IP地址再分配成若干子网，满足各个网络的要 求。具体地址分配如下：1）行政部门（200台），分配一个C类子网。对于下属的10个部门再进行 子网分配，由于每个部门的计算机

12、台数不超过20台，所以每个部门分配6个IP地址。2）图书馆（350台），分配一个C类子网。然后将此子网再划分成8个小的 子网，提供给电子阅览室6个，主控室1个，预留一个。3）所有院系（2400台），分配一个完整C类IP地址。对于10个独立的院 系，每个院系先分配10个子网，每个子网有14个IP地址供自己自由分配。还 有多余的IP地址提供给服务器、交换机、防火墙等。假设学校申请的C类子网的IP地址为和/*注备行政部门址地IP留预62处.一寻尊人处务财处生学处务教处技科处备设楼1楼政行委团楼1楼政行办务考楼1楼政行图书馆馆室书控图主址地IP留预552图书

13、馆阅览室下属院系1系院2系院3系院4系院5系院6系院7系院8系院9系院O1系院络心网中062机换交其他设备552/*3.3 网络设备通过对学校现状的具体情况本方案所作出的设备选取方案如下：1、位于行政楼中心的计算机中心与各职能部门和每个院系设备间选取支持1000Mbps光缆传输的交换机各一台；2、院系部门使用一台三层交换机；图书馆使用一台三层交换机；3、图书馆6个阅览室，每个阅览室2台25口以上的交换机；控制室2台25口以上的交换机；4、下属院系中，每个每个院系10台26口交换机；5、行政楼3楼放置一台二层的企业级交换机连接各行政楼的交换机，将各 个行政楼的网线接到该交换机上，且该交换机支持1

14、000Mbps传输；&一台具至少三层的高性能的企业级中心交换机；7、一台专业防火墙；8、6台服务器分别负责不同的服务。类型品牌型号功能及其他数量服务器IBMBladeCe nterHS22刀片式、In tel Xeon 5500 2.93GHz6防火墙Ju niperSRX240H支持 UTM:IPS、反病毒、反垃圾邮件、网页过滤1核心交换 机华为S5700-24TP-SI(DC)24 口，传输速率10Mbps/100Mbps/1000Mbps 背板带宽256Gbps地址表大小16K1三层交换机思科WS-C3560-24TS-S24 口、RJ4510/100BASE-TX 端口 , 10/10

15、0Base-T 端口，10/100/1000BASE-T 端口 ,3二层交换机H3CS152626 口端口描述：24 个 10/100Base-TX 自适应以太网端口， 2 个千兆光电复用端 口控制端口： 1 个 Console 接口124/*3.4 主要传输介质介绍5类非屏蔽双绞线该类电缆增加了绕线密度，外套一种高质量的绝缘材料，传输频率为100MHz用于语音传输和最高传输速率为100Mbps的数据传输，主要用于100base-T和10base-T网络，这是最常用的以太网电缆。1000Base-LX所使用的光纤主要有：62.5nm多模光纤、50nm多模光纤和9nm单模光纤。其中使用多模光纤的

16、最大传输距离为550m使用单模光纤的最大传输距离为3千米。1000base-LX采用8B/10B编码方式。1000Base-LX使用长波激 光信号源，波长为1270nm-1355nm100BaseT4的定义区分了物理拓扑结构和逻辑拓扑结构。使用所有四对电 缆，可以实现100 MBit/s的通信速度，同时仍然保持25 MHz的第3类带宽。 使用100BaseT4，每个数据方向始终同时使用3对电缆。3.5 核心交换机介绍华为S5700-24TP-SI(DC)基本参数产品类型企业级交换机传输速率(Mbps10Mbps/100Mbps/1000Mbps交换方式存储-转发冃板带宽256(Gbps)/*地

17、址表大小16K产品亮点支持USB口网管支持支持堆叠，支持MFF支持虚拟电缆检测(VirtualCable Test)，支持端口镜像和RSPAN远程端口镜像)，支持Telnet远程配置、维护，支持SNMPv1/v2/v3,支持RMOJN支持网管系统、支持WEB网管特性，支持集群管理HGMP支持系统日志、分级 告警，支持GVR助、议，支持MUX VLA功能端口数24端口类型非模块化电压(V)100-240V AC，50/60Hz4. 网络实施配置过程及命令4.1创建viansw1(c on fig)#vla n 2sw1(c on fig-via n)#n ame classroomlsw1(co

18、n fig-via n)#exitsw1(c on fig)#vla n 3sw1(con fig-vla n)#exit4.2接口划入 vlansw1(co nfig)#i nterface fastEthernet 0/1进入接口sw1(c on fig-if)#switchport mode access先定义接口模式为接入sw1(config-if)#switchport access vlan 2再接入vlan2中同时管理多个接口sw1(co nfig)#i nterface ran ge fastEthernet 0/3 -4 , fastEthernet 0/9 -12 sw1(

19、c onfig-if-ra nge)#switchport mode accesssw1(c on fig-if-ra nge)#switchport access vla n 3sw1(c on fig-if-ra nge)#exit4.3 vla n创建子接口Router(co nfig)#i nterface fastEthernet 0/0先开启物理接口Router(c on fig-if)# no shutdow nRouter(c on fig)#i nterface fastEthernet 0/0.1Router(config-subif)#encapsulation dot1

20、Q 2Router(co nfig-subif)#ip address 54 Router(c on fig-subif)#exitRouter(c on fig)# in terface fastEther net 0/0.2Router(config-subif)#encapsulation dot1Q 3Router(co nfig-subif)#ip address 54 4.4配置DHCP server配置：在一台设备上可以创建多个dhcp 池塘，但一个池塘只能对应一个广播域；/*Rout

21、er(config)#ip dhcp pool weisuo仓U建名为weisuo的dhcp池塘；Router(dhcp-co nfig)#Router(dhcp-config)#network 关联接口，定义地址范围；Router(dhcp-co nfig)#default-router 网关地址Router(dhcp-co nfig)#d ns-server 14 DNS服务器地址Router(co nfig)#ip dhcp excluded-address 192.

22、168.1.253 排除不用下放的地址-253Router#show runnin g-c onfig 查看设备的运行文档Router(co nfig)#host name r1修改默认的主机名r1(co nfig)#Switch(c on fig)# no ip doma in-lookup 关闭域名解析4.5定义ACL-访问控制列表写法：1、编号 1 99 标准列表100-199 扩展列表删除一条整表消失；2、命名一任意删除，使用序号后还可以插入配置：一、标准的 ACL -由于仅关注源 ip 地址，故在调用时尽量靠近目标地址，避免误删 写法：【1】编号r2(confi

23、g)#access-list 1 deny host 一个ipr2(co nfig)#access-list 1 de ny 55一个范围反掩码r2(con fig)#access-list 1 permit any允许匹配己r2(co nfig)# in terface fastEthernet 1/0r2(c on fig-if)#ip access-group 1 outr2(c on fig-if)#ip access-group 1 ?in inbound packetsout outbo und packets【2】命名r

24、2(config)#ip access-list standard wangcair2(config-std-nacl)#deny host r2(c on fig-std-n acl)#permit any r2(co nfig)# in terface fastEthernet 1/0 r2(c on fig-if)#ipaccess-group wan gcai out二、扩展 ACL编号：r1(co nfig)#access-list 100 de ny ip host host r1(co nfig)#access-

25、list 100 deny ip 55 55/*r1(co nfig)#access-list100 de ny ip host 55命名：r1(config)#ip access-list extended pc0-pc3r1(config-ext-nacl)#deny ip host host r1(co nfig-ext -n acl)#permit ip any anyr1(co nfig-ext- nacl)

26、#exitr1(config)#interface fastEthernet 0/1.1r1(c on fig-subif)#ip access-group pc0-pc3 in使用扩展ACL同时关注目标端口号：r1(co nfig-ext -n acl)#de ny tcp host host eq 23r1(config-ext-nacl)#deny icmp host host telnet 功能：PC 可以和设备间通信，被远程登录设备开启登录功能；r2(c on fig)#user name

27、ccna privilege 15 password cisco123r2(co nfig)#li ne vty 0r2(c on fig-l in e)#log in local4.6 NAT网络地址转换-私有地址和公有地址的转换分类：静态、动态分类：一对一(静态)；一对多(动态)；多对多(及可静态、也可动态)一对一：固定将一个ip地址永久转换为另一个IP地址r1(co nfig)#ip nat in side source static 本地全局切记：一旦配置了NAT协议后，就必须定义边界路由器上各个接口的方向；r1(c on fig)# in te

28、rface fastEthernet 1/0r1(c on fig-if)#ip nat outsider1(c on fig-if)#exitr1(c on fig)# in terface fastEthernet 0/0r1(c on fig-if)#ip nat in sider1(c on fig-if)#exitr1(c on fig)# in terface fastEthernet 0/1r1(c on fig-if)#ip nat in side一对多：基于端口号来区分不同的源IP地址；-PAT端口地址转换r1(config)#access-list 1 permit 192

29、.168.1.0 55r1(co nfig)#access-list 1 permit 55r1(co nfig)#ip nat in side source list 1 in terface fastEthernet 1/0本地全局4.7网络三层架构接入层：提供端口密度；最近的用户接入(有线、AP)；汇聚层(分布层)：数据流量的聚合；一般使用多层交换机 核心层：高速转发，NAT/*三层架构的核心技术为冗余-线路、设备、电源(UPS)、网关 使用的部分技术：VLAN/TRUNK/STP/CHNNEL/HSRP/SVI； 管理vlan：swi

30、tch需要被远程登录，但二层设备无法配置IP地址；故创建SVI 虚拟接口来配置IP地址；二层交换机均存在一个SVI，该SVI所在VLAN被称为管理vlan；默认处于vlan1；Switch(co nfig)#i nterface vla n 1Switch(co nfig-if)#ip address Switch(co nfig-if)# no shutdow n将该SVI转移到其他的vlan中，由于二层交换机仅存在一个SVI，故在开启新的接口时，旧接口自动被关闭；Switch(c on fig)# in terface vla n 2Swi

31、tch(co nfig-if)#ip address Switch(co nfig-if)# no shutdow nSwitch(co nfig)#ip default-gateway 50址;STP生成树协议三层架构-冗余-线路冗余-二层桥接环路 导致问题：1、广播风暴2、MAC表翻滚3、同数据帧的无限拷贝以上三个现象最终导致设备过热断电保护；逻辑阻塞部分接口，致使从源到目标永远均存在一条路径；当最佳路径故障时， 阻塞端口自动的活动，来备份链路；工作过程：每台设备默认均认为本地为root(老大)，发出BPDU，每台设备

32、收 集到全网所有设备的BPDU后，进行选举 根网桥、根端口、指定端口、非指定端口；之后，仅root周期2s发送BPDU;-保活802.1D最原始的STP协议：根网桥、根端口、指定端口、非指定端口根网桥 每颗生成树实例中 有且仅有一台；BPDU中存在BID桥ID比较BID=优先级+MAC地址 优先级0-65535默认32768MAC地址为SVI接口地址先比较优先级一数值小优；若优先级一致，比较MAC，数值小优；根端口-在每台非根网桥上 有且仅有一个；用于接收来自根网桥的BPDU，同 时转发用户流量；离根网桥最近的端口；从根网桥发出BPDU后，BPDU会在每经过一段链路叠 加该链路的cost值-开

33、销值PID-端口ID-优先级+接口编号 优先级0255默认1281、比较从根网桥发出BPUD基于该接口进入时的cost最小最优一入 方向定义交换机的网关地/*2、 当入向cost值相同时，比较该接口对端的交换机的BID，小优3、对端设备BID相同，比较该接口对端的PID4、对端PID相同，比较本地PID小优指定端口流量；-在每根物理链路上有且仅有一个，用于转发BPDU，同时转发用户根网桥上所有端口均为指定端口；1、比较从根网桥发出BPDU，经过该接口到达该链路时的cost-出方向2、若出方向cost值相同，比较本地BID，小优3、本地BID相同，比较本地的PID，小优4、本地PID相同，直接阻

34、塞接口非指定端口（阻塞端口）：当以上所有角色全部选举完成后，剩余没有任何角色 的端口为非指定端口；逻辑阻塞，并未被关闭，可以接收到流量，只是不转 发；Cost值：10M =100 100M=19 1000M=4 10000M=2端口状态：1、down通电后，一旦发出PBDU，进入下一状态2、侦听（橙色）-固定15s；所有交换机收发BPDU，完成各种选举;若选举角色为根端口、指定端口进入下一状态，而非指定 端口直接进入阻塞状态；3、学习(橙色)-固定15s；根端口、指定端可以转发用户的流量，学习这些 接口下放PC的MAC，生成MAC地址表；4、转发(绿色)-可以转发用户流量5、阻塞(橙色)切记：

35、在收敛过程中，所有的接口均不得转发用户流量；缺点：1、收敛速度慢2、链路利用率低PVST+：cisco私有；基于每个vlan一颗树；可以进行部分的加速；在每个vlan中发出该vlan专用的BPDU，选择各种角色；将不同vlan的根网桥放置于不同交换机上，可以实现分流，提高链路利用率的效果；不同vlan发出的BPDU中网桥优先级为32768+VID;人为仅能修改32768部分， 且 必须以4096为倍数修改；sw3(c on fig)#spa nnin g-tree vla n 1 root sec on dary本地成为该vla n的备份根/*sw3(c on fig)#spa nnin g-

36、tree vla n 2 root primary主根该为备份根，本地自动下调1倍4096,主根下调2倍；sw2(co nfig)#i nt f0/2sw2(config-if)#spanning-treeportfast端口加速，用于连接PC的接口，跳过生成树选举；不能用于SW之间互联的接口；Channe通道：交换机与交换机之间；-逻辑的将多个相同带宽及相同双工模 式的多个同一交换机上接口绑定为一个通道，实现带宽叠加的 作用；这些物理接口必须处于相同的vlan中，或者均为trunk干道；sw1(c on fig)#i nterface range gigabitEther net 0/1 -2sw1(c on fig-if-ra nge)#cha nn el-group 1 mode on多层交换机：一种集成了二层交换机与路由器功能的设备， 可以单独使用交换机 或路由器功能；也可以将交换机和路由器的功能合并使用；默认多层交换机仅开启了交换机功能；所有接口为二层接口，属于via n1；Switch(co nfig)#i nterface fastEthernet 0/4Switch(config-if)#no switchport将接口 转移为3层；Switc