小型局域网的组建(同名6952)

目录摘要 1引言 1第一章校园园区网规划介绍 1第二章校园园区网规划实施计划 12.1了解用户、收集信息 12.2分析需求，提出网络设计原则 22.2.1需求分析 22.2.2提出设计原则 3第三章总体网络设计方案 43.1网络拓扑结构设计 43.2设备选择 53.3IP地址分配 63.3.1实现子网划分 63.3.2定义子网屏蔽 63.3.3定义子网号 73.4网络安全设计 73.4.1防火墙 83.4.2入侵检测系统 83.4.3防病毒系统 83.4.4加强网络安全…………………103.4.5网络管理系统 9第四章总结失败项目，明确网络规划的必要性 9第五章总结 10致谢摘要随着现代信息技术的飞速发展，中国教育也正以前所未有的速度和力度推进自己的信息化水平，信息技术给教育带来的变化是巨大的，它可以让教师.学生.领导.合作伙伴之间实现优化的信息沟通.它使教育突破了时间和空间的限制，大大扩展了教育的形式和空间。建设校园网已经成为教育领域信息化建设的当务之急。本文通过对校园园区局域网(以下简称校园园区网)规划思想过程的论述,对就如何建立一个高效,安全的校园网提供设计思想和组网步骤依据。关键词：网络需求，规划实施计划，网络协议，服务器，网络安引言信息技术日新月异的今天，网络技术发展迅猛，信息传输已经不仅仅局限于单纯文本数据、数字数据的传输，随之而来的是视频、音频等多媒体技术的广泛运用。随着技术的发展，网络设备性能和传输介质容量有了极大的提高，但是由于用户需求的日益提高，网络环境的日益复杂，使得网络规划成为一项越发困难的课题，作为校园园区网的规划的成败与否，将直接影响到学校教育网络系统性能的高低，从而影响教学进程和教学效果，下面主要对校园园区网的规划思想进行探讨。2-AheadInstituteofSoftwareandTechnologyPAGE1内网的安全性，同时VLAN又可抑制不必要的广播，从而节约了带宽，又便于管理。3.以TCP/IP四层网际模型为框架建立持续过程的网络安全性措施运行机制，做到维护网络、监测网络、测试网络、改进网络四位一体的网络持续性保卫工作，它是网络安全性管理的核心思想，如图（1）所示：图（1）以TCP/IP模型构建持续性网络安全管理方式第三章总体网络设计方案3.1网络拓扑结构设计网络中心是校园网的信息资源中心和信息枢纽中心，其网络体系结构直接关系到网络系统的安全、可靠、高效的运行。因此，网络拓扑结构要严格按照内外网隔离的模式设计。非军事区（DMZ）包括交换机、学校WWW服务器、E-mail服务器、防火墙。内网包括用户管理与计费系统、人事管理系统、教务管理系统、办公自动化系统、核心交换机、汇聚层交换机、接入层交换机、防火墙、路由器、FTP服务器、DNS服务器、WWW服务器。如图（二）所示：图（二）某校园网拓扑图3.2设备选择校区主干网以校区网络中心的中心结点向外辐射，通过各部门所在的建筑楼构成主干网，核心交换机选用华为3COMS8512万兆交换机，其背板容量1.8T，交换容量720G，包转发率428Mpps,具有14个插槽，目前配置3块万兆以太网接口业务板（4端口），一块千兆电接口业务板（24端口），一块千兆光接口（12端口）业务板。万兆口连接教学楼、实验楼、学生公寓楼等汇聚交换机，千兆光接口连接食堂、训练管等信息点少的汇聚交换机，千兆电接口用于连接服务器。教学楼、实验楼、学生公寓楼等信息点多的楼，其汇聚交换机采用高性能的全千兆智能三层交换机S5624F，S5624F交换机具有192G的交换容量和66Mpps的二/三层包转发能力，支持所有端口线速转发。S5624F提供一个万兆链路上行至核心交换机，4个千兆光接口用以连接接入层交换机。接入层选用华为S3952千兆交换机，该交换机具有19.2G的交换容量，支持所有端口线速转发。能够提供4个千兆光接口，有效解决了在单台设备上多条千兆链路上行。硬件支持二、三层线速交换，能够识别、处理四层到七层的应用业务流，所有端口都具有单独的数据包过滤、区分不同应用流，并根据不同的流量进行不同的管理和控制。校园网出口处部署有一台高性能的、多业务并重的第五代多业务高端路由器NE40。NE40不仅处理性能卓越，而且能够提供高密度的千兆接口，具备多业务的融合、集成和处理能力，为IP数据、语音、视讯、流媒体等多业务提供优异的扩展能力。通过NE40千兆接入CERNET。3.3IP地址分配在网络规划中，IP地址方案的设计至关重要，好的IP地址方案不仅可以减少网络负荷，还能为以后的网络扩展打下良好的基础。3.3.1实现子网划分在动手划分子网之前，我们一定要先分析一下自己的需求以及将来的规划。一般情况下我们遵循这样的准则：(1)确定网络中的物理段数量(子网个数)。(2)确定每个子网需要的主机数（注意一个主机至少一个IP地址）。(3)基于此需求，定义整个网络的子网屏蔽、每个子网唯一的子网号和每个子网的主机号范围。3.3.2定义子网屏蔽将网络划分成若干个子网时，必须要定义好子网屏蔽。我们来看看定义的步骤：(1)确定物理网段也就是子网的个数，并将这个数字转换成二进制数。比如B类地址，分6个子网就是110。(2)计算物理网段数(子网数)的二进制位数，这里是110，所以需要3位。(3)以高位顺序(从左到右)将这个反码转换成相应的十进制值，因为需要3位，就将主机号前3位作为子网号，这里是11100000，所以屏蔽就是。3.3.3定义子网号子网号与子网屏蔽的位数相同。(1)列出子网号按高到低的顺序使用的位数。例如子网屏蔽使用了3位，二进制值是11100000。(2)将最低的一位1转换成十进制，用这个值来定义子网的增量。这个例子中是1110，所以增量是32。(3)用这个增量迭加从0开始的子网号，直到下一个值为256。这个例子中就是w.x.32.1-w.x.63.254、w.x.64.1-w.x.127.254等。3.4网络安全设计从各高校网络现状分析，目前面临的网络安全威胁来源主要来自以下几个方面：一是来自Internet的安全威胁，各高校有自己独立的链路通往Internet。从Internet上的任意接入点对本局域网发起的基于网络的攻击，以及对外公开的应用服务器的攻击，这样可以造成网络性能的急剧下降，应用服务器的瘫痪。使整体网络正常的内、外双向通信、存储等服务受阻或中断。二是来自校内局域网内部的恶意安全攻击，网络连接学生的计算机，学生有可能基于学习的目的可能使用各种入侵的软件，给系统造成隐含的威胁;三是高校内各相关部门的数据上报采用FTP方式逐级复制，处于完全敞开和透明的模式，只要掌握IP地址，传输数据就可以被轻易截获，从而造成保密信息的泄露;再有来自操作系统、应用系统本身的漏洞及来自互联网、内部局域网的病毒安全威胁的攻击。学校范围内的病毒防护不能依靠个人的自觉性，应当从网关、服务器、客户端多个层面来统一部署，实施整体病毒防护解决方案。这样才能从根本上杜绝病毒的发作和传播，有效地保护学校内部资源，同时对新出现的病毒有一个很好的、快速的响应系统。作为学校网络安全的防线，防火墙、入侵检测、防病毒系统是必不可少的，它可有效的对来自外网和内网的攻击做出及时告警，并给予一定的响应措施。3.4.1防火墙在万兆核心交换机S8512同核心路由器NE40之间部署一台天融信千兆硬件防火墙NGFW4000-UF，在内外网之间建立一道牢固的安全屏障，将WWW、E-mail、FTP、DNS服务器等放置在防火墙的DMZ区，以保证内网安全。根据网络校园网安全策略和安全目标，规划设置正确的安全过滤规则，规则审核IP数据包的内容，包括协议、端口、源地址、目的地址等项目，严格禁止来自外网的对校园网的不必要的、非法的访问。并在防火墙上建立内网计算机的IP地址和MAC地址的对应表，防止IP地址被盗用。3.4.2入侵检测系统在核心交换机S8512上部署一台带监听口的“冰之眼”NIDS-1202入侵检测探测器，根据校园网络的特点，对来自外部网和校园网内部的各种行为进行实时检测，能实时捕获内外网之间传输的所有数据，利用内置的攻击特征库，使用模式匹配和智能分析的方法监测网络上发生的入侵行为和异常现象，并在数据库中记录有关事件，作为网络管理员事后分析的依据，是学校管理员能够及时采取应对措施。“冰之眼”入侵检测系统能够与天融信防火墙实现联动，真正起到主动防御作用。3.4.3防病毒系统保证防病毒系统的一致性、完整性和自升级能力，必须有一个完善的病毒防护管理体系，负责病毒软件的自动分发、自动升级、集中配置和管理、统一事件和告警处理、保证整个企业范围内病毒防护体系的一致性和完整性。目前，如果需要对整个网络进行规范化的网络病毒防范，我们必须了解最新的技术，结合网络的病毒入口点分析，很好地将这些技术应用到自己的网络中去，形成一个协同作战、统一管理的局面，这样的病毒防范体系，才能够称得上是一个完整的、现代化的网络病毒防御体系。3.4.4加强网络安全的措施要有以下几点：1．安装杀毒软件，并有效运作。2．安装木马检测软件，如Ad-aware,SpybotSD等。3，装恶意程序清理软件。如360安全卫士，恶意软件清理助手等。4，安装防火墙，制定合适的防护规则。如瑞星防火墙。5，增强风险意识，不上网时断开网络连接。可在桌面建本地连接的快捷方式，随时控制网络断开，连接。论坛，QQ不要长时间挂网，以免长时间的暴露IP地址，招惹麻烦。6，不要存储涉密敏感信息内存，以免引起黑客兴趣。7，不常用的软件尽量不不要安装。下载程序,资料等要注意杀毒检测.8,不健康网站携带有大量病毒程序,不要轻易点击.9,经常安装系统安全补丁.10,重要资料注意刻录备份.3.4.5网络管理系统选择了华为3COM全系列交换机，并选择华为QuidView网管软件，它提供了配置、管理、监控、故障检测与维修工具等管理功能，能对全网网络设备进行统一、高效、便捷的管理。能对所有网络产品设备，如路由器、以太网交换机、接入服务器等，实行面板级的图形化管理，端口实时流量图形显示统计等，支持常用的拓扑管理、流量管理、错误管理等网管功能。通过网管系统达到提高网络性能、预测网络中的事故等以便防止事故发生，达到保证网络安全的目的。第四章总结失败项目，明确网络规划的必要性当前很多学校纷纷建立自己的校园网，但由于组网设计前期规划工作做的不彻底、不扎实，使得校园网发挥效益不大，巨大的投资没有换来实实在在的成效收益。这一点在中小学校园网建设上体现的较为明显，其原因主要三点：（1）认识不到位学校对校园网概念定义缺乏认识，带有盲目性和自我偏见性，没有明确建校园网的目的，不知道校园网到底起什么样的实质性作用。（2）投资方案不合理由于对校园园区网建设认识不正确，使得很多学校出现“重硬件，轻软件”的现象，结果校园园区网建设成了基于硬件设备的校园网组网解决方案，是纯粹的设备集合。而对建网后的维护极不重视，后期的管理投入所占比例微乎其微，所以使得校园网不能很好的服务与教学和管理，甚至还会使整个网络趋于崩溃。（3）缺乏有效的组织管理和实施手段校园园区网的建设不仅仅涉及到技术问题，还会引起更深层次的变革，而学校在建设校园园区网时，认识不充分，在新技术、新思想面前不能及时转变观念，没有行之有效的组织管理和实施手段。基于上述三点指出：盲目的进行校园网建设、不采取合理的规划，都会导致校园网建设失败，一个成功的校园网