校園網絡設計方案設計者：王帆2017年11月

目錄1校園網需求分析 31.1網絡基本情況 31.2網絡需求分析 32網絡總體設計 32.1網絡架構分析 32.2設計思路 42.3校園網的設計原則 42.4網絡三層結構設計 52.4.1主干網核心層設計 52.4.2園區內匯聚層設計 52.5IP規劃與VLAN 62.5.1IP地址的分配原則 63.5.2公網地址分配 7專用網的IP地址規劃 7專用網中vlan劃分 82.6設備選型 82.6.1核心交換機設備選型 8匯聚層設備選型 82.6.3接入層設備選型 82.7物理/鏈路層配置原則 93網絡安全與管理 93.1網絡安全 93.1.1威脅網絡安全因素分析 93.1.2網絡安全防范措施 93.2網絡管理 93.3網絡安全策略配置 10安全接入和配置 103.3.2拒絕服務的防止 103.4電源系統 114綜合布線設計 114.1綜合布線的設計原則 114.2結構化綜合布線系統的組成及設計 11工作區子系統（WorkArea）及其網絡設計 114.2.2配線子系統（Horizontal）及其網絡設計 11干線子系統（Backbone）及其網絡設計 124.2.4設備間子系統（EquipmentRoom）及其網絡設計 124.2.5管理子系統（Administration）及其網絡設計 124.2.6建筑群子系統（CampusSubsystem）及其網絡設計 124.2.7進線間子系統及其網絡設計 134.3防雷系統 134.4在施工中注意事項 134.4.1工程施工前準備 13現場施工 144.4.3現場測試 145硬件設備預算 14

1校園網需求分析1.1網絡基本情況某大學具有6個二級學院，分別位于同一個城市的4個園區中，其中大學與兩個二級學院在一個園區（園區1），另外兩個二級學院位于一個園區（園區2），而其他兩個學院分別位于園區3和園區4。大學已從中國教育科研網（CERNET）有關機構申請了IPV4地址塊58.193.152.0/21。因特網具有統一接口，即通過百兆以太網接入中國教育科研網（CERNET）。大學向因特網發布信息并為全校提供有關的信息服務，每個二級學院都包含網管中心、院辦公樓、教學樓、實驗樓、干部培訓樓、學生公寓樓等。每個學院也自行向因特網發布學院信息并負責學院自己的信息服務，每個學院都擁有約1500臺PC。1.2網絡需求分析為提高網絡可靠性及安全性，需要在主干網采用光纖布線。校園網應實現虛擬局域網（VLAN）的功能，以保證全網的良好性能及網絡安全性。主干網交換機應具有很高的包交換速度，整個網絡應具有高速的三層交換功能。主干網絡應該采用成熟的、可靠的快速以太網和千兆位以太網技術作為校園網主干。校園網應選用先進的網管軟件，建立完善的網絡管理體系。在設備方面，應選擇有校園網成功案例的網絡廠商的設備，同時為Internet、撥號用戶和移動用戶提供接口，網絡還應具有良好的擴展性。整個業務網必須具備良好的可管理性,網管系統應具有監測、故障診斷、故障隔離、過濾設置等功能,以便于系統的管理和維護。同時應盡可能選取集成度高、模塊2網絡總體設計2.1網絡架構分析現代網絡結構化布線工程中多采用星型結構，主要用于同一樓層，由各個房間的計算機間用集線器或者交換機連接產生的，它具有施工簡單，擴展性高，成本低和可管理性好等優點；而校園網在分層布線主要采用樹型結構；每層的集線器或交換機在連接到本樓出口的交換機，各個樓的交換機再連接到園區通信網中。為了增加網絡的可靠性，四個園區通信網連成一個環構成校園網的核心區域，從而構成了大學校園網的拓補結構。采用三層結構為該大學設計校園網。選用萬兆以太網作為連接大學4個校區的高速主干；選用千兆以太網作為各個校區內樓層之間的主干，形成大學校園網的匯聚層；選用百兆以太LAN作為基本的接入形式，在網絡中心的設備選型和結構設計上必須考慮整體網絡的高性能和高可靠性。2.2設計思路進行校園網總體設計，首先要進行對象研究和需求調查，明確學校的性質、任務和改革發展的特點及系統建設的需求和條件，對學校的信息化環境進行準確的描述；在應用需求分析的基礎上，確定學校Intranet服務類型，進而確定系統建設的具體目標，根據應用需求建設目標和學校主要建筑分布特點，進行系統分析和設計。1、萬兆交換機互聯各個園區網選用萬兆交換機互聯各個園區網，而不選用高速路由器是因為：①各園區網均采用的以太網技術體系，兼容性好。②大學將在校園網上開展教學視頻觀摩、遠程聽課等多媒體應用，提供高速率信息通道是必要的。萬兆交換機為三層交換機，是具有選路功能的交換機，在校園網環境下能夠具有更好的性能。③價格因素。若在覆蓋幾十千米范圍采用高速路由器的話，底層通常要采用SDH技術，這使有關設備的價格要增加2～3倍。盡管高速路由器帶來的對各個園區有更好的隔離性，在該校園網中用處不大。2、主干網采用公用IP地址相連該校園網從CERNET獲得了IP地址的數量是無法滿足需求的，只能供向因特網發布信息和聯系或進行網絡科學研究之用，因此構成校園網IP地址的主體是經過NAT轉換的專用網地址。使用專用網地址不利于與其他大學的學術交流，但也是不得已而為之的方法；另一方面，可能使得校園網受到網絡黑客侵擾會少些。2.3校園網的設計原則（1）先進性原則以先進、成熟的網絡通信技術進行組網，支持數據、語音和視頻圖像等多媒體應用，采用基于交換的技術代替傳統的基于路由的技術，并且能確保網絡技術和網絡產品在幾年內基本滿足需求。（2）開放性原則校園網的建設應遵循國際標準，采用大多數廠家支持的標準協議及標準接口，從而為異種機、異種操作系統的互連提供便利和可能。（3）可管理性原則網絡建設的一項重要內容是網絡管理，網絡的建設必須保證網絡運行的可管理性。在優秀的網絡管理之下，將大大提高網絡的運行速率，并可迅速簡便地進行網絡故障的診斷。（4）安全性原則信息系統安全問題的中心任務是保證信息網絡的暢通，確保授權實體經過該網絡安全地獲取信息，并保證該信息的完整和可靠。網絡系統的每一個環節都可能造成安全與可靠性問題。（5）靈活性和可擴充性選擇網絡拓撲結構的同時還需要考慮將來的發展，由于網絡中的設備不是一成不變的，如需要添加或刪除一個工作站，對一些設備進行更新換代，或變動設備的位置，因此所選取的網絡拓撲結構應該能夠容易的進行配置以滿足新的需要。（6）穩定性和可靠性可靠性對于一個網絡拓撲結構是至關重要的，在局域網中經常發生節點故障或傳輸介質故障，一個可靠性高的網絡拓撲結構除了可以使這些故障對整個網絡的影響盡可能小以外，同時還應具有良好的故障診斷和故障隔離功能。2.4網絡三層結構設計2.4.1主干網核心層設計校園網分為公網和專網。通過防火墻，連接放置各種應用服務器的非軍事區部分，并經路由器與CERNET相連。該三層校園網結構中的核心層位于公網部分，可選用了Cisco公司的萬兆交換機Cat6509。租用電信公司的光纖裸芯，用萬兆速率將4個園區的4臺萬兆交換機連成一個環。為提高網絡可靠性，還在園區2和園區4之間用千兆光纜連接起來。校園網的核心層結構如下圖所示：2.4.2園區內匯聚層設計匯聚層設備不但分擔了核心設備的部分壓力，同時提高了網絡的安全性。本實施方案從網絡運行的穩定性、安全性及易于維護性出發進行設計，以滿足客戶需求。園區網可基本保持原有的二層網絡架構，并在自己的園區網中使用專用IP地址塊，樓層之間采用千兆光纖相連，匯聚到千兆主交換機上與大學萬兆交換機通過防火墻相連。由于各二級學院的園區中具有的PC數量為1500臺左右，考慮到教學區域、管理區域和學院內數據服務區域，建議劃分為若干個子網，也可以劃分為多個VLAN，以隔離廣播流量，提高網絡工作效率，并提高安全性。二級學院網絡的主干網可采用3COM公司的Switch4007交換機與3C16980連接的千兆光纜構成了學院園區網的主干，向下以百兆以太網作為接入網與用戶PC相連。二級學院園區網的二層網絡拓撲架構如下圖所示：2.5IP規劃與VLAN2.5.1IP地址的分配原則IP地址規劃的好壞，不僅影響到網絡路由協議算法的效率，更影響到網絡的性能和穩定以及網絡的擴展和管理，也必將直接影響到相關新業務的開拓和網絡應用的進一步可持續性發展。該大學有六個二級學院,每個學院大約1500臺PC,而申請到的IP地址為8*256-2個=2022個,遠小于6*1500臺，所以必須用到NAT技術。學校對外各種INTERNET服務，核心層設備都使用公網IP,普通終端PC使用私網IP，經NAT技術上網。這樣既滿足普通用戶上網需求又可以使服務器正常作用于互聯網。3.5.2公網地址分配對IP地址塊進行子網劃分，劃分為8個子網，6個二級學院各分配254個IP地址，余下的254個IP地址用于大學校園網主干和科研。大學和同在一園區的一個二級學院的IP地址分配時應連續。表1：學校公網IP地址分配表名稱公網IP段園區一大學本部/24學院一3.0/24學院二4.0/24園區二學院三5.0/24學院四6.0/24園區三學院五7.0/24園區四學院六8.0/24學校服務器9.0/242.5.3專用網的IP地址規劃由于分配給該大學校園網的IP地址遠遠不能滿足需求，因此這些IP地址主要用于向因特網發布信息和進行科學研究之用。而大學內部教學、科研、辦公用的校園網，就需要我們采用NAT技術。每個學院都有1500臺計算機，這里從專用的IP地址段中取出一個B類地址進行規劃即可。本例我們可以取1，將其分配給大學和6個二級學院。每個單位都能夠分配一塊IP地址，其中具有30個子網，每個子網容納的主機數量達8*256-2=2046臺，選用7個子網，分別給大學和二級學院各一個子網。事實上，由于各學院使用的專用IP地址互不相關，可以由各個學院獨立進行規劃也可。表2：學校專網公網IP地址分配表名稱專網IP段園區一大學本部172.16.8.0/21學院一172.16.16.0/21學院二172.16.24.0/21園區二學院三172.16.32.0/21學院四172.16.40.0/21園區三學院五172.16.48.0/21園區四學院六172.16.56.0/21學校服務器9.0/242.5.4專用網中vlan劃分VLAN技術允許將一個網絡的物理的LAN邏輯劃分成不同的廣播域。一個VLAN內部的廣播和單播流量被限制在本VLAN之內，不會轉發到其他VLAN中，這有助于控制流量、簡化網絡管理、提高網絡的安全性。VLAN是為解決以太網的廣播問題和安全性而提出的一種協議，它在以太網幀的基礎上增加了VLAN頭，用VLANID把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪。虛擬局域網的好處是可以限制廣播范圍，是一種比較成熟企業組網規范，在本案例中我們可以利用它劃小網絡特點，我們可以進一步監控網絡，就算IP沖突產生，也輕易知道它發生在哪個部門（若VLAN劃分以部門為依據）2.6設備選型2.6.1核心交換機設備選型通常將網絡主干部分稱為核心層，核心層的主要目的在于通過高速轉發通信，提供油畫，可靠的骨干傳輸結構，因此核心層交換機應擁有更高的可靠性，性能和吞吐量。圖3.3銳捷網絡RG-S9620如圖3.3所示，交換機成為企業網絡核心交換機的理想選擇，適用于為政府、學校、企業構建高速、安全、可靠的萬兆網絡，它的背板帶寬為9.6T,包轉發率：L2:3571Mpps,L3:3571Mpps,擴展插槽：20個(4個用于管理與交換距陣)圖3.32.6.2匯聚層設備選型圖3.4通常將位于接入層和核心層之間的部分稱為分布層或匯聚層，匯聚層交換層是多臺接入層交換機的匯聚點，它必須能夠處理來自接入層設備的所有通信量，并提供到核心層的上行鏈路，因此匯聚層交換機與接入層交換機比較，需要更高的性能，更少的接口和更高的交換速率。圖3.4圖3.5各二級學院網管中心匯聚層交換機選擇,銳捷網絡RG-S8606為企業網絡核心交換機的理想選擇，如圖4.4所示。適用于為政府、學校、企業構建高速、安全、可靠的千兆背板帶寬為1.6T,包轉發率：L2:595Mpps,595Mpps,擴展插槽：6個(2個用于管理引擎模塊)。圖3.5在二級學院各樓層的匯聚層交換機，我們采用銳捷網絡RG-S3760E-24，如圖3.5所示，屬于千兆交換機，背板帶寬：49.6G，包轉發率：12.8/16.4Mpps。2.6.3接入層設備選型通常將網絡中直接面向用戶連接或訪問網絡的部分稱為接入層，接入層目的是允許終端用戶連接到網絡，因此接入層交換機具有低成本和高端口密度特性。接入層交換機我們選擇可網管的交換機。2.7物理/鏈路層配置原則物理/鏈路層配置遵循下面的原則：1.網絡設備互連的物理端口都應該綁定端口的速率和全雙工模式；2.建議所有的Vlan都不要穿透核心層，所有的Vlan都將在匯聚層交換機上終結；3.本實施方案建議不要啟用STP生成樹協議，由于所有的Vlan都已在匯聚層交換機終結，在二層上并沒有環路存在，故無必要啟用；如果開啟基于每個Vlan的生成樹協議，廣播報文將會很多，影響核心交換機性能和網絡收斂時間；4.所有核心層和匯聚層交換機之間的互連端口均設置為Trunk模式，但目前只容許互連Vlan通過，以應付將來有Vlan穿越核心層這種情況；5.匯聚層交換機和接入交換機之間的互連端口設置為Trunk模式。3網絡安全與管理3.1網絡安全校園網的安全威脅主要來源于兩大塊，一塊是來自于網內，一塊來自于網外。來源于網內的威脅主要是病毒攻擊和黑客行為攻擊。根據統計，威脅校園網安全的攻擊行為大概有40％左右是來自于網絡內部，如何防范來自于內部的攻擊是校園網網絡安全防護體系需要重點關注的地方。3.1.1威脅網絡安全因素分析計算機網絡安全受到的威脅包括：1.“黑客”的攻擊；2.計算機病毒；3.拒絕服務攻擊（DenialofServiceAttack）。3.1.2網絡安全防范措施在不改變原有網絡結構的基礎上實現多種信息安全，保障校園內部網絡安全，我們選購了一套網絡安全防范設備。1瑞星殺毒軟件網絡版1.超強病毒查殺2.智能主動防御3.增強型全網漏洞管理4.強大的網絡管理能力是網絡安全的基礎部署、控制、執行、升級、報告和日志、二次開發。5.兼容多種平臺6.一體化智能服務體系3.2網絡管理在校園網絡管理方面，為了便于校園網絡管理人員的管理及維護，我們選購Quidview網絡管理軟件。Quidview網絡管理軟件基于靈活的組件化結構，用戶可以根據自己的管理需要和網絡情況靈活選擇自己需要的組件，真正實現“按需建構”。Quidview網絡管理軟件采用組件化結構設計，通過安裝不同的業務組件實現了設備管理、VPN監視與部署、軟件升級管理、配置文件管理、告警和性能管理等功能。支持多種操作系統平臺，并能夠與多種通用網管平臺集成，實現從設備級到網絡級全方位的網絡管理。3.3網絡安全策略配置3.3.1安全接入和配置安全接入和配置是指在物理(控制臺)或邏輯(telnet)端口接入網絡基礎設施設備前必須通過認證和授權限制，從而為網絡基礎設施提供安全性。限制遠程訪問的安全設置方法如下表19安全接入和配置方法訪問方式保證網絡設備安全的方法備注Console控制接口的訪問設置密碼和超時限制建議超時限制設成5分鐘進入特權exec和設備配置級別的命令行配置Radius來記錄logon/logout時間和操作活動；配置至少一個本地賬戶作應急之用telnet訪問采用ACL限制，指定從特定的IP地址來進行telnet訪問；配置Radius安全紀錄方案；設置超時限制SSH訪問激活SSH訪問，從而允許操作員從網絡的外部環境進行設備安全登陸WEB管理訪問取消Web管理功能SNMP訪問常規的SNMP訪問是用ACL限制從特定IP地址來進行SNMP訪問；記錄非授權的SNMP訪問并禁止非授權的SNMP企圖和攻擊為增加安全,建議更改缺省的SNMPCommutiy子串設置不同賬號通過設置不同的賬號的訪問權限，提高安全性3.3.2拒絕服務的防止網絡設備拒絕服務攻擊的防止主要是防止出現TCPSYN泛濫攻擊、Smurf攻擊等；網絡設備的防TCPSYN的方法主要是配置網絡設備TCPSYN臨界值，若多于這個臨界值，則丟棄多余的TCPSYN數據包；防Smurf攻擊主要是配置網絡設備不轉發ICMPecho請求(directedbroadcast)和設置ICMP包臨界值，避免成為一個Smurf攻擊的轉發者、受害者。3.3.3訪問控制1允許從內網訪問internet，端口全開放。2允許從公網到DMZ（非軍事）區的訪問請求：WEB服務器只開放80端口，mail服務器只開放25和110端口。禁止從公網到內部區的訪問請求，端口全關閉。4允許從內網訪問DMZ（非軍事）區，端口全開放5允許從DMZ（非軍事）區訪問internet，端口全開放6禁止從DMZ（非軍事）區訪問內網，端口全關閉。3.4電源系統為保證網絡系統的安全運轉及電源發生故障時重要數據的儲存,須配置具有高可靠性的UPS電源。為此,在網絡中心配置了一套山特C3KVA/2100W的UPS電源。4綜合布線設計4.1綜合布線的設計原則綜合布線同傳統的布線相比較，有著許多優越性，是傳統布線所無法比及的。其特點主要表現為它的實用性、功能性、先進性、靈活性、方便性、可靠性、擴展性、開放性、標準化、經濟性和生命周期。而且在設計、施工和維護方面也給人們帶來了許多方便。4.2結構化綜合布線系統的組成及設計綜合布線系統（PDS，PremisesDistributionSystem）是一套開放式的布線系統，可以支持幾乎所有的數據、語音設備及各種通信協議，同時，由于PDS充分考慮了通信技術的發展，設計時有足夠的技術儲備，能充分滿足用戶長期的需求，應用范圍十分廣泛。而且結構化綜合布線系統具有高度的靈活性，各種設備位置的改變，局域網的變化，不需重新布線，只要在配線間作適當布線調整即可滿足需求。結構化綜合布線一般劃分為六個子系統。4.2.1工作區子系統（WorkArea）及其網絡設計工作區子系統，是由RJ-45跳線與信息插座所連接的設備組成。信息點由標準RJ45插座構成。信息點數量應根據工作區的實際功能及需求確定，并預留適當數量的冗余。工作區的終端設備（如：電話機、傳真機）選用安普公司的超五類雙絞線直接與工作區內的每一個信息插座相連接，或用適配器（如ISDN終端設備）、平衡/非平衡轉換器進行轉換連接到信息插座上。4.2.2配線子系統（Horizontal）及其網絡設計配線子系統，是從工作區的信息插座開始到管理間子系統的配線架。選擇配線子系統的線纜，要根據建筑物內具體信息點的類型、容量、帶寬和傳輸速率來確定。在配線子系統中推薦采用的雙絞電纜及光纖型號為:安普公司的超五類或六類非屏蔽雙絞線,TCL室內單模或多模光纖。雙絞線水平布線鏈路中，水平電纜的長度為90m。若使用100ΩUTP雙絞線作為配線子系統的線纜，可根據信息點類型的不同采用不同類型的電纜。該方案選擇安普公司的超五類非屏蔽雙絞線纜。4.2.3干線子系統（Backbone）及其網絡設計干線子系統，負責連接管理子系統到設備間子系統的子系統。干線子系統可以使用的線纜主要有：HAY三類大對數電纜；安普公司的超五類或六類雙絞線；TCL室內單?；蚨嗄９饫w。該方案選擇安普公司的超六類雙絞線纜。垂直干線子系統由連接主設備間至各樓層配線間之間的線纜構成。其功能主要是把各分層配線架與主配線架相連。用主干電纜提供樓層之間通信的通道，使整個布線系統組成一個有機的整體。垂直干線子系統Topology結構采用分層星型拓撲結構，每個樓層配線間均需采用垂直主干線纜連接到大樓主設備間。垂直主干采用25對大對數線纜時，每條25對大對數線纜對于某個樓層而言是不可再分的單位。垂直主干線纜和水平系統線纜之間的連接需要通過樓層管理間的跳線來實現。4.2.4設備間子系統（EquipmentRoom）及其網絡設計設備間子系統，由電纜、連接器和相關支撐硬件組成。采用BIX跳接式配線架，連接交換機；采用光纖終結架連接主機及網絡設備。設備間的主要設備有數字程控交換機、計算機網絡設備、服務器、樓宇自控設備主機等等。它們可以放在一起，也可分別設置。在較大型的綜合布線中，可以將計算機設備、數字程控交換機、樓宇自控設備主機分別設置機房，把與綜合布線密切相關的硬件設備放置在設備間，計算機網絡設備的機房放在距離設備間不遠的位置。設備間子系統是一個集中化設備區，連接系統公共設備，如局域網(LAN)、主機、建筑自動化和保安系統，及通過垂直干線子系統連接至管理子系統。4.2.5管理子系統（Administration）及其網絡設計管理子系統，由交連、互連和I/O組成。管理是針對設備間、電信間和工作區的配線設備、纜線等設施，按-定的模式進行標識和記錄的規定。跳線采用超5類非屏蔽雙絞線，RJ45接頭。管理間是樓層的配線間，管理子系統為其他子系統互連提供手段，它是連接垂直干線子系統和水平干線子系統的設備。管理子系統由交連、互連和輸入/輸出組成，實現配線管理，為連接其它子系統提供手段。包括配線架、跳線設備及光配線架等組成設備。設計管理子系統時,必需了解線路的基本設計原理,合理配置各子系統的部件。安普公司的綜合布線解決方案擁有搭配科學、管理簡便的成套產品用于管理子系統。4.2.6建筑群子系統（CampusSubsystem）及其網絡設計建筑群子系統是實現建筑之間的相互連接，提供樓群之間通信設施所需的硬件。建筑群之間可以采用有線通信的手段，也可采用微波通信、無線電通信的手段。傳輸介質采用室外六芯多模光纖。建筑群子系統介質選擇原則：樓和樓之間在二公里以內、傳輸介質為室外光纖、可采用埋入地下或架空(4M以上)方式、需要避開動力線、注意光纖彎曲半徑建筑群子系統施工要點：包括路由起點、終點；線纜長度、入口位置、媒介類型、所需勞動費用以及材料成本計算。建筑群子系統所在的空間還有對門窗、天花板、電源、照明、接地的要求。建筑群子系統的設計：3號樓、5號樓與辦公樓之間由于距離較遠，采用單模光纖連接；3號樓使用多模光纖連至1號樓、2號樓、公共衛生學院、電鏡樓和由5號樓使用多模光纖連至6號樓、7號樓和研究生樓；圖書館與辦公樓距離較近，采用千兆以太網連接?？紤]近期學校使用、設備投資、距離超長等各種因素，采用多模光纖和單模光纖混合的方式連接，并在每個建筑物內預留了多模光纖，以備將來整個網絡系統的發展。4.2.7進線間子系統及其網絡設計進線間一個建筑物宜設置1個，一般位于地下層，外線宜從兩個不同的路由引入進線間，有利于與外部管道溝通。進線間與建筑物紅外線范圍內的人孔或手孔采用管道或通道的方式互連。進線間因涉及因素較多，難以統-提出具體所需面積，可根據建筑物實際情況，并參照通信行業和國家的現行