第7章校園網(wǎng)組網(wǎng)方案

1、人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材1編著：斯桃枝等編著：斯桃枝等人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材2編著：斯桃枝等編著：斯桃枝等人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材3編著：斯桃枝等編著：斯桃枝等本章主要內(nèi)容本章主要內(nèi)容：某大學校園網(wǎng)簡介某大學校園網(wǎng)簡介網(wǎng)絡(luò)結(jié)構(gòu)分析網(wǎng)絡(luò)結(jié)構(gòu)分析 網(wǎng)絡(luò)安全設(shè)計網(wǎng)絡(luò)安全設(shè)計 網(wǎng)絡(luò)系統(tǒng)綜合管理網(wǎng)絡(luò)系統(tǒng)綜合管理 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材4編著：斯桃枝等編著：斯桃枝等7.1 某大學校園網(wǎng)簡介某大學校園網(wǎng)簡介7.1.1 原校園網(wǎng)結(jié)構(gòu)原校園網(wǎng)結(jié)構(gòu)A大

2、學的一期網(wǎng)絡(luò)從建成到現(xiàn)在已經(jīng)將近四年了（如圖大學的一期網(wǎng)絡(luò)從建成到現(xiàn)在已經(jīng)將近四年了（如圖7-1所示），所示），核心交換機為兩臺核心交換機為兩臺Extreme 6808交換機，匯聚層和接入層交換機交換機，匯聚層和接入層交換機是是Extreme和銳捷等多個品牌的產(chǎn)品。和銳捷等多個品牌的產(chǎn)品。 設(shè)備已經(jīng)到了更換期；另一方面，要對校園網(wǎng)進行擴建，現(xiàn)有核設(shè)備已經(jīng)到了更換期；另一方面，要對校園網(wǎng)進行擴建，現(xiàn)有核心網(wǎng)絡(luò)設(shè)備難以承受這么大的壓力；隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，產(chǎn)生心網(wǎng)絡(luò)設(shè)備難以承受這么大的壓力；隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，產(chǎn)生了很多新的應用，提出了新的需求，老的設(shè)備已經(jīng)漸漸不能滿足了很多新的應用，提出了新的需

3、求，老的設(shè)備已經(jīng)漸漸不能滿足新的應用需要，比如組播應用、硬件新的應用需要，比如組播應用、硬件IPv6的支持等。的支持等。人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材5編著：斯桃枝等編著：斯桃枝等圖7-1 A大學一期網(wǎng)絡(luò)拓撲結(jié)構(gòu)人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材6編著：斯桃枝等編著：斯桃枝等7.1.2 現(xiàn)狀和改造目標現(xiàn)狀和改造目標 在骨干網(wǎng)中，視頻、音頻、數(shù)據(jù)流混雜在一起進行傳輸，如果保在骨干網(wǎng)中，視頻、音頻、數(shù)據(jù)流混雜在一起進行傳輸，如果保證不了高帶寬，將造成網(wǎng)絡(luò)延遲，因此，對現(xiàn)有的骨干網(wǎng)絡(luò)進行證不了高帶寬，將造成網(wǎng)絡(luò)延遲，因此，對現(xiàn)有的骨干網(wǎng)

4、絡(luò)進行升級，采用新的萬兆做骨干，萬兆到匯聚，千兆到接入，百兆到升級，采用新的萬兆做骨干，萬兆到匯聚，千兆到接入，百兆到桌面，以保證教育教學的需要。桌面，以保證教育教學的需要。以前以前A大學的核心交換機是大學的核心交換機是Extreme 6808，運行年限較久，處理，運行年限較久，處理能力有限，當網(wǎng)絡(luò)上出現(xiàn)突發(fā)性大流量數(shù)據(jù)傳輸時，出現(xiàn)假死機能力有限，當網(wǎng)絡(luò)上出現(xiàn)突發(fā)性大流量數(shù)據(jù)傳輸時，出現(xiàn)假死機或響應速度降低的現(xiàn)象，因此急需新部署新一代核心交換機。或響應速度降低的現(xiàn)象，因此急需新部署新一代核心交換機。原有網(wǎng)絡(luò)設(shè)備在可管理性支持方面不能滿足現(xiàn)在網(wǎng)絡(luò)管理的需要。原有網(wǎng)絡(luò)設(shè)備在可管理性支持方面不能滿足

5、現(xiàn)在網(wǎng)絡(luò)管理的需要。由于校園面積較大，信息點分布較廣，與一般企業(yè)網(wǎng)相比，校園由于校園面積較大，信息點分布較廣，與一般企業(yè)網(wǎng)相比，校園網(wǎng)用戶的流動性大，信息點存在隨意接入使用的問題。網(wǎng)用戶的流動性大，信息點存在隨意接入使用的問題?，F(xiàn)在病毒、非法侵入肆虐，必須采用新技術(shù)從內(nèi)部和外部同時控現(xiàn)在病毒、非法侵入肆虐，必須采用新技術(shù)從內(nèi)部和外部同時控制用戶對網(wǎng)絡(luò)資源的訪問。如身份認驗證、制用戶對網(wǎng)絡(luò)資源的訪問。如身份認驗證、VLAN劃分、防病毒、劃分、防病毒、入侵檢測等。入侵檢測等。隨著校園網(wǎng)用戶大量訪問隨著校園網(wǎng)用戶大量訪問INTERNET，通過，通過100M帶寬的教科網(wǎng)帶寬的教科網(wǎng)訪問訪問INTERN

6、ET，產(chǎn)生瓶頸，而，產(chǎn)生瓶頸，而2M的備份鏈路只能應急使用。的備份鏈路只能應急使用。因此必須增加備份鏈路的帶寬，改變接入因此必須增加備份鏈路的帶寬，改變接入INTERNET的途徑。的途徑。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材7編著：斯桃枝等編著：斯桃枝等7.1.3. 改造后的網(wǎng)絡(luò)結(jié)構(gòu)改造后的網(wǎng)絡(luò)結(jié)構(gòu) A大學骨干網(wǎng)絡(luò)改造后擬采用環(huán)狀網(wǎng)絡(luò)結(jié)構(gòu)，該校園網(wǎng)核心交換大學骨干網(wǎng)絡(luò)改造后擬采用環(huán)狀網(wǎng)絡(luò)結(jié)構(gòu)，該校園網(wǎng)核心交換機三臺構(gòu)成環(huán)狀結(jié)構(gòu)，下屬匯聚節(jié)點分別以萬兆速率接入到核心機三臺構(gòu)成環(huán)狀結(jié)構(gòu)，下屬匯聚節(jié)點分別以萬兆速率接入到核心設(shè)備，各接入設(shè)備也通過千兆光纖接入到匯聚層設(shè)備

7、，實現(xiàn)萬兆設(shè)備，各接入設(shè)備也通過千兆光纖接入到匯聚層設(shè)備，實現(xiàn)萬兆做骨干，萬兆到匯聚，千兆到接入，百兆到桌面的拓撲結(jié)構(gòu)，如做骨干，萬兆到匯聚，千兆到接入，百兆到桌面的拓撲結(jié)構(gòu)，如圖圖7-2所示。所示。圖7-2 A大學改造后的網(wǎng)絡(luò)拓撲人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材8編著：斯桃枝等編著：斯桃枝等7.2 網(wǎng)絡(luò)結(jié)構(gòu)分析網(wǎng)絡(luò)結(jié)構(gòu)分析7.2.1 核心層核心層核心層的功能主要是實現(xiàn)骨干網(wǎng)絡(luò)之間的優(yōu)化傳輸，核心層設(shè)計核心層的功能主要是實現(xiàn)骨干網(wǎng)絡(luò)之間的優(yōu)化傳輸，核心層設(shè)計的重點是冗余能力、可靠性和高速的傳輸。的重點是冗余能力、可靠性和高速的傳輸。 在核心層設(shè)計時需要遵循以下原

8、則：在核心層設(shè)計時需要遵循以下原則：可達性 具有足夠的路由信息來交換發(fā)往網(wǎng)絡(luò)中任意端設(shè)備的數(shù)據(jù)包；核心層的路由器不應該使用默認的路徑到達內(nèi)部的目的地；聚合路徑能夠用來減少核心層路由表大??；默認路徑用來到達外部的目的地，如互聯(lián)網(wǎng)上的主機。冗余性 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材9編著：斯桃枝等編著：斯桃枝等設(shè)備冗余；模塊冗余；鏈路冗余。不執(zhí)行網(wǎng)絡(luò)策略 任何形式的策略必須在核心層外執(zhí)行，如數(shù)據(jù)包的過濾和復雜QoS處理；禁止采用任何降低核心層設(shè)備處理能力、或增加數(shù)據(jù)包交換延遲時間的方法；避免增加核心層路由器配置的復雜程度；可以將網(wǎng)絡(luò)策略執(zhí)行放在訪問層邊界設(shè)備上。核心節(jié)

9、點的交換機有兩個基本要求：核心節(jié)點的交換機有兩個基本要求：高密度端口情況下，還能保持各端口的線速轉(zhuǎn)發(fā)；關(guān)鍵模塊必須冗余，如管理引擎、電源、風扇。在本方案中，核心層由三臺在本方案中，核心層由三臺BigIron RX-8核心交換機構(gòu)成環(huán)狀結(jié)核心交換機構(gòu)成環(huán)狀結(jié)構(gòu)。通過光纖分別連接到各匯聚層交換機和構(gòu)。通過光纖分別連接到各匯聚層交換機和Packeteer PS10000G流量管理系統(tǒng)。流量管理系統(tǒng)。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材10編著：斯桃枝等編著：斯桃枝等7.2.2 匯聚層匯聚層連接著接入層和核心層。匯聚層的主要任務是提供與流量匯聚層連接著接入層和核心層。匯聚

10、層的主要任務是提供與流量控制、安全及路由相關(guān)的策略：包括：控制、安全及路由相關(guān)的策略：包括：定義廣播和組播域；執(zhí)行安全和網(wǎng)絡(luò)策略，包括地址翻譯和防火墻策略；VLAN之間的路由選擇；部門或者工作組級的訪問；布線間連接的匯聚和需要進行的各種介質(zhì)轉(zhuǎn)換。人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材11編著：斯桃枝等編著：斯桃枝等7.2.3 接入層接入層通常將網(wǎng)絡(luò)中直接面向用戶連接或訪問公共網(wǎng)絡(luò)的部分稱為接入通常將網(wǎng)絡(luò)中直接面向用戶連接或訪問公共網(wǎng)絡(luò)的部分稱為接入層。接入層直接面對各個信息節(jié)點的接入，它控制著用戶和工作層。接入層直接面對各個信息節(jié)點的接入，它控制著用戶和工作組對園區(qū)網(wǎng)

11、絡(luò)資源的訪問。它包括下列功能。組對園區(qū)網(wǎng)絡(luò)資源的訪問。它包括下列功能。到匯聚層的工作組連接。建立單獨的沖突域（分段）。共享式帶寬或交換式帶寬。提供靈活的用戶接入及擴展。在本方案中使用在本方案中使用STAR-S2100系列交換機做為接入層設(shè)備，通過系列交換機做為接入層設(shè)備，通過千兆上行光口與匯聚交換機進行連接。千兆上行光口與匯聚交換機進行連接。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材12編著：斯桃枝等編著：斯桃枝等7.2.4 外連設(shè)計外連設(shè)計當今時代，任何一個網(wǎng)絡(luò)都要考慮與當今時代，任何一個網(wǎng)絡(luò)都要考慮與Internet的聯(lián)接問題。的聯(lián)接問題。 設(shè)計目標與基本原則設(shè)計目

12、標與基本原則 速率 成本 可靠性 服務提供商的選擇服務提供商的選擇 傳統(tǒng)電信運營商 專業(yè)網(wǎng)絡(luò) 聯(lián)接方式的選擇聯(lián)接方式的選擇 以太網(wǎng)接入 DDN接入 基于光技術(shù)的接入 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材13編著：斯桃枝等編著：斯桃枝等外連設(shè)計中的安全考慮外連設(shè)計中的安全考慮 本方案中外接本方案中外接INTERNET部分部分 已經(jīng)開通兩條WAN線路，一條100M接入教科網(wǎng)，另一條30M接入科技網(wǎng)。通過Cisco3660路由器接入科技網(wǎng)。 通過NE05路由器接入教科網(wǎng)。 在對外主線上部署了一臺天融信GFW4000-UF/ TG-5307防火墻系統(tǒng)。 在GFW4000-U

13、F防火墻系統(tǒng)和核心交換機之間的鏈路上部署一臺網(wǎng)絡(luò)流量優(yōu)化設(shè)備Packeteer PS10000G（通過光口連接），有二個 10/100/1000M Base-T接口；二個 1000M光纖SFP-SX（275m）或LX（5km或20km）接口。有兩個插槽可以擴展端口，增配一個LEM2G-1000M-T以太網(wǎng)擴展模塊。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材14編著：斯桃枝等編著：斯桃枝等7.2.5 無線網(wǎng)絡(luò)覆蓋無線網(wǎng)絡(luò)覆蓋圖圖7-3為為A校無線網(wǎng)絡(luò)與校園網(wǎng)有線網(wǎng)絡(luò)主干連接的示意圖。校無線網(wǎng)絡(luò)與校園網(wǎng)有線網(wǎng)絡(luò)主干連接的示意圖。圖7-3 無線網(wǎng)絡(luò)與校園網(wǎng)有線網(wǎng)絡(luò)主干連接圖人

14、民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材15編著：斯桃枝等編著：斯桃枝等整個校園網(wǎng)結(jié)構(gòu)分為三層結(jié)構(gòu)（即核心層、匯聚層和接入層）。整個校園網(wǎng)結(jié)構(gòu)分為三層結(jié)構(gòu)（即核心層、匯聚層和接入層）。所有的無線接入點所有的無線接入點AP均通過以太網(wǎng)線連接到各自所屬的接入層工均通過以太網(wǎng)線連接到各自所屬的接入層工作組交換機的作組交換機的10/100M端口上，再通過有線千兆以太網(wǎng)的方式連端口上，再通過有線千兆以太網(wǎng)的方式連接，接入各大樓的匯聚層交換機組上，最后接入校園核心交換機。接，接入各大樓的匯聚層交換機組上，最后接入校園核心交換機。 無線接入點無線接入點AP選用選用NETGEAR公司的公

15、司的WG102 AP，通過免費軟件，通過免費軟件升級支持升級支持AutoCell技術(shù)。技術(shù)。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材16編著：斯桃枝等編著：斯桃枝等7.3 網(wǎng)絡(luò)安全設(shè)計網(wǎng)絡(luò)安全設(shè)計7.3.1 接入安全和訪問安全接入安全和訪問安全接入安全接入安全銳捷S2100系列接入交換機均支持802.1X用戶入網(wǎng)認證，通過銳捷RG-SAM安全認證計費管理系統(tǒng)可滿足用戶名、IP、MAC、VLAN ID、交換機IP、交換機端口的6元素綁定技術(shù)，有效的防止用戶擅自修改IP地址和MAC地址。并且可以實現(xiàn)非法站點訪問過濾，非法言論的準確追蹤，惡意攻擊的實時處理，為記錄訪問日志提

16、供完整審計等安全功能。 訪問安全訪問安全 FOUNDRY BigIron RX8萬兆核心路由交換機支持802.1Q VLAN，可使用VLAN劃分隔離用戶訪問。同時還支持VLAN 隧道技術(shù)，可實現(xiàn)跨校區(qū)的VLAN功能。對于不同訪問權(quán)限的區(qū)域采用ACL訪問控制來對不同訪問資源進行權(quán)限控制。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材17編著：斯桃枝等編著：斯桃枝等7.3.2病毒攻擊防御病毒攻擊防御防防ARP攻擊特性攻擊特性 在銳捷設(shè)備上可以通過以下方式來預防此病毒： BigIron RX8支持動態(tài) ARP 檢測（DAI）特性，可以針對用戶arp中毒、攻擊加以防范。 在銳捷S2

17、100接入設(shè)備上支持硬件防ARP網(wǎng)關(guān)欺騙功能，可屏蔽ARP網(wǎng)關(guān)欺騙，有效規(guī)避ARP網(wǎng)關(guān)欺騙攻擊造成的大面積網(wǎng)絡(luò)癱瘓 。3) 在S2100上啟用保護端口的隔離功能，可隔離ARP廣播報文。不管動態(tài)分配IP地址環(huán)境，還是靜態(tài)分配IP地址環(huán)境，都可限制ARP欺騙報文的擴散。4) 在S2100上打開ARP Check功能，結(jié)合端口安全綁定功能，可以嚴格防范和杜絕ARP主機欺騙現(xiàn)象。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材18編著：斯桃枝等編著：斯桃枝等抗抗DoS攻擊特性攻擊特性 近年來，各種DoS攻擊（Denial of Service，拒絕服務）報文在互聯(lián)網(wǎng)上傳播，給互聯(lián)網(wǎng)用

18、戶帶來很大煩惱。 DoS的攻擊方式有很多種，最基本的DoS攻擊就是利用合理的服務請求來占用過多的服務資源，從而使合法用戶無法得到服務的響應。 攻擊報文主要采用偽裝源IP以防暴露其蹤跡。 針對這種情況，RFC2827提出在網(wǎng)絡(luò)接入處設(shè)置入口過濾（Ingress Filting），來限制偽裝源IP的報文進入網(wǎng)絡(luò)。 人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材19編著：斯桃枝等編著：斯桃枝等7.4 網(wǎng)絡(luò)系統(tǒng)綜合管理網(wǎng)絡(luò)系統(tǒng)綜合管理7.4.1網(wǎng)絡(luò)管理軟件網(wǎng)絡(luò)管理軟件Quidview拓撲管理拓撲管理 圖7-4 Quidview拓撲管理圖人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全

19、國十一五規(guī)劃教材20編著：斯桃枝等編著：斯桃枝等故障管理故障管理 網(wǎng)絡(luò)故障的處理一般按照以下的流程，首先網(wǎng)管系統(tǒng)應該及時發(fā)現(xiàn)網(wǎng)絡(luò)中存在的故障，然后及時通知管理員進行處理，管理員進行故障定位，發(fā)現(xiàn)問題并解決問題，然后通過各種方式將故障處理的經(jīng)驗記錄下來，以便以后工作使用。Quidview網(wǎng)絡(luò)管理軟件實現(xiàn)了對故障處理進行全流程的支持。 性能管理性能管理 Quidview網(wǎng)絡(luò)管理軟件提供豐富的性能管理功能，協(xié)助管理員分析網(wǎng)絡(luò)資源使用情況，并能夠主動上報潛在的性能問題，減少網(wǎng)絡(luò)擁塞。為了方便用戶定制性能采集任務，Quidview提供丟包率、錯誤包數(shù)、帶寬利用率等常用指標的缺省采集模板，并支持對采集模板

20、設(shè)定缺省閾值，使性能任務的配置更加簡單。同時提供折線圖、直方圖、餅圖等多種顯示方式，用戶可以清晰地了解到流量趨勢等變化的時間規(guī)律。人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材21編著：斯桃枝等編著：斯桃枝等配置管理配置管理 Quidview產(chǎn)品支持網(wǎng)絡(luò)配置基線化能力，當設(shè)備配置基本穩(wěn)定后，用戶可以將這些配置備份到服務器，同時指定備份版本作為基線版本。 當網(wǎng)絡(luò)配置出現(xiàn)問題時，可以及時用基線版本進行配置恢復，保證網(wǎng)絡(luò)從故障中盡快恢復。 配置管理功能還能夠定期主動檢查網(wǎng)絡(luò)配置的變化，并將變化及時通知給管理員，這樣管理員可以及時發(fā)現(xiàn)網(wǎng)絡(luò)配置變化，特別是盡早發(fā)現(xiàn)惡意或錯誤的配置，從而保證網(wǎng)絡(luò)的穩(wěn)定性。 資源拓撲管理資源拓撲管理 Quidview網(wǎng)管平臺可以在拓撲圖中發(fā)現(xiàn)所有可網(wǎng)管設(shè)備，以相應的圖標表示在拓撲圖中，如圖7-5所示。人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材22編著：斯桃枝等編著：斯桃枝等圖7-5 Quidview資源拓撲管理界面圖人民郵電出版社人民郵電出版社全國十一五規(guī)劃教材全國十一五規(guī)劃教材23編著：斯桃枝等編著：斯桃枝等告警管理告警管理 對于第三方廠商設(shè)備的告警，Quidview可以全部接收并對其中的標準告警進行解析，Quidview