上海外國語大學校園網(wǎng)一期改造方案

1、目錄目錄1. 網(wǎng)絡設計背景網(wǎng)絡設計背景. 21.1. 背景. 21.2. 現(xiàn)有網(wǎng)絡概況. 21.3. 改造需求. 32. 網(wǎng)絡設計網(wǎng)絡設計 . 32.1. 總體設計. 32.2. 主干網(wǎng)絡設計. 42.3. 低端網(wǎng)絡設計. 52.4. 應用系統(tǒng). 53. 管理管理 . 63.1. 安全機制. 63.2. 流量監(jiān)控. 74. 報價報價 . 錯誤! 未定義書簽。1. 網(wǎng)絡設計背景網(wǎng)絡設計背景1.1.背景上海外國語大學的現(xiàn)有校園網(wǎng)已初具規(guī)模，由于中心位置搬遷，用戶數(shù)目擴展和加強管理等多方面的需求，在原有的網(wǎng)絡基礎上進行改造，進一步完善，加強安全管理，11 用戶通信監(jiān)控，提供更多的應用服務。1.2.現(xiàn)

2、有網(wǎng)絡概況現(xiàn)有的網(wǎng)絡拓撲結(jié)構(gòu)如圖所示。其主要交換設備均采用 CISCO 公司的產(chǎn)品，網(wǎng)絡拓撲比較簡單，應用服務相對集中。行政樓新樓音像圖書館Catalyst5000Catalyst3000Catalyst3000SUNR上海外國語大學校園網(wǎng)絡拓撲結(jié)構(gòu)中央交換設備為 Catalyst 5000 配置情況？邊緣交換機為兩臺 Catalyst3000.配置情況？路由器和通信服務器是 CISCO 2511，8 塊 modem，剩余一個同步口，一個異步口，還可擴展 8 路電話線路和一路外連專線主服務器為 SUN 4，設備陳舊，性能較低。無虛網(wǎng)劃分，無網(wǎng)管，撥號用戶有簡單的通訊量統(tǒng)計功能，校內(nèi)專線用戶無統(tǒng)

3、計功能服務主要為 Email 和 WWW，提供與 Internet 接入。1.3.改造需求服務多樣性：增加服務除現(xiàn)有服務外，可增加計費系統(tǒng)，圖書檢索，多媒體系統(tǒng)，BBS 和 FTP，Proxy 服務等功能?？晒芾硇裕喊▽芴栍脩艉托?nèi)專線用戶的信息量的統(tǒng)計，對師生訪問權(quán)限的控制機制和對國外出口的管理。安全性：加強對系統(tǒng)的管理，主機系統(tǒng)應有較強的抗攻擊能力，在條件允許的情況下要有虛網(wǎng)劃分機制，對網(wǎng)間的信息交換要有安全策略?？蓴U充性：現(xiàn)有的網(wǎng)絡應具有很強的擴展能力，可以滿足近期內(nèi)可預見的用戶接入需求，同時具有面向新技術(shù)的平滑升級能力。2. 網(wǎng)絡設計網(wǎng)絡設計2.1.總體設計1.主干設備：根據(jù)目前現(xiàn)

4、有結(jié)構(gòu)和主要設備，在新的網(wǎng)絡構(gòu)架中可以有兩種方案可供選擇，仍采用以 CISCO 產(chǎn)品為主，在低端桌面型設備可選用其他廠家的產(chǎn)品，因為在目前情況下，多數(shù)非同廠家產(chǎn)品還不可能做到無縫連接，在高端即主干網(wǎng)上采用異構(gòu)互連的方式可能會帶來兩個問題 互連性問題，雖然連通是可實現(xiàn)的，但由于協(xié)議標準的實現(xiàn)方法不同，可能會損失一部分帶寬，實際使用的帶寬速率要低于聲明帶寬速率。 虛網(wǎng)劃分：目前各廠家實現(xiàn)虛網(wǎng)協(xié)議方法大多不同，所以在做虛網(wǎng)劃分時會帶來很多困難，甚至在某些情況下是不可實現(xiàn)的。采用其他廠商的低端產(chǎn)品（如 3COM，Intel 等），好處是價格便宜，且在目前低通訊量和負載情況下可以滿足需要，在以后的網(wǎng)絡升

5、級過程中，可以替換向更低端的用戶推2.路由交換與外部互連：外部網(wǎng)絡目前仍采用 DDN 連接方式通過交大與教育網(wǎng)實現(xiàn)連接，暫時還無提高出口帶寬的要求，目前所用路由器，有 5kpps 的包交換能力和一空閑同步口，可以滿足近期的擴展要求。如采用虛網(wǎng)技術(shù)就需要一個內(nèi)部虛網(wǎng)間的信息交換的路由器，至少支持4 個虛網(wǎng)即 4 個以太端口3.主機系統(tǒng)可根據(jù)應用系統(tǒng)選擇 SUN+Solaris，PC+NT 和 PC+Linux 的結(jié)構(gòu)，SUN+Solaris 是一種比較安全和穩(wěn)健的網(wǎng)絡服務器結(jié)構(gòu)，而且由于管理員對 SUN 系統(tǒng)較為熟悉，在管理上有經(jīng)驗，所以在 UNIX 主機系統(tǒng)中仍采用這種結(jié)構(gòu)。但由于價格較為昂貴

6、，在目前情況下不宜大范圍采用。PC+NT：管理簡單方便，價格適中，但安全性較差，同時還有缺陷，同一網(wǎng)段數(shù)目過多的情況下可能會出現(xiàn)廣播風暴。PC+Linux：價格最為便宜，安全性上沒有很大的把握，另外無生產(chǎn)廠家提供可靠的技術(shù)支持，在出現(xiàn)問題時是沒有保障的。4.遠程訪問遠程撥號網(wǎng)絡的擴展較為簡單，目前現(xiàn)有的通信服務器還可支持 8 路線路的擴展，只要購置相應的 modem 和申請電話線路即可。2.2.主干網(wǎng)絡設計上海外國語大學校園網(wǎng)絡拓撲結(jié)構(gòu)(改造）行政樓新樓音像圖書館Catalyst3000Catalyst3000Catalyst3000Catalyst5000SUNRPCSPCSPCSCatal

7、yst 5000：中央交換設備采用原有的 Catalyst 5000，利用其 100M Base-T 端口加轉(zhuǎn)換器連接外部新增設備。Catalyst 3000WS-C3016B 配置情況：（原行政樓）1.10BaseT RJ-452.AUI3.2 擴展槽（WS-X3001 上行 100BSAE-TX）4.EIA/TIA 232 console5.AUI DB15 SwitchProbe路由交換設備（optional）四 10M BaseT 端口路由，轉(zhuǎn)發(fā)能力在 50kpps 以上，穩(wěn)定性好，可靠性高，有一定的 filter 功能。可采用專用路由器，可選品牌設備：CISCO，Bay，Intel或

8、用 PC 路由，在低負荷情況下是可行的，但有技術(shù)難點，需要測試其轉(zhuǎn)發(fā)能力和可靠性。VLAN1VLAN2VLAN3RSERVER VLANR上海外國語大學校園網(wǎng)絡邏輯拓撲結(jié)構(gòu)WWWFTPEMAIL.2.3.低端網(wǎng)絡設計參見布線方案2.4.應用系統(tǒng)現(xiàn)有服務器為 1 臺 SUN 4 性能較低，所有應用集中在此機上，一是負載過重，另外給系統(tǒng)安全運行帶來了很多不利因素。所以對改造后的網(wǎng)絡應用系統(tǒng)提出了如下構(gòu)想：DNS+Proxy+WWW：PC Sever +NT +IIS,根據(jù)目前校內(nèi)用戶數(shù)目和上網(wǎng)信息資源量，PC+NT 是一種比較經(jīng)濟，有效的結(jié)構(gòu)。而且微軟的 NT 系統(tǒng)將所有上面提到了應用集成在 NT

9、 系統(tǒng)里給管理帶來了很大方便。但另一方面需要指出的是 NT 在安全性和管理角方面有很大不足,需要管理員有較為豐富的經(jīng)驗和完善的監(jiān)控手段和防范機制，可以在突發(fā)事件產(chǎn)生時能夠迅速恢復和防止再一次入侵FTP+ Email+撥號認證：SUN+Solaris|+Tacacsd，這一組服務主要是對內(nèi)服務，撥號認證服務需要運行在 Unix 系統(tǒng)上，所以建議采用如上的結(jié)構(gòu)，根據(jù)目前用戶情況，F(xiàn)TP 服務可綜合在一起，如今后負載過重時再分離。網(wǎng)管(o)：NT+網(wǎng)管軟件，此項為可選，因為以太網(wǎng)的網(wǎng)管雖然不是必須的，但他可以監(jiān)視網(wǎng)絡設備的異常，負載情況和流量。BBS(o)：SUN4，原有的服務器過于老舊，如有需求可

10、做為 BBS 電子公告牌圖書檢索(o)：可建立一個富士通系統(tǒng)的前端機，提供友好的 WEB 用戶界面可以隨時檢索館藏書籍的出借和庫存情況，目前采用 PC+Linux 的方式比較好（注：o 表示 optional,是可選的如此次改造不能實現(xiàn)，可在今后的升級中加以實現(xiàn)。）3. 管理管理管理模式上要加強安全方面考慮，和信息流量的控制，3.1.安全機制1加強主機系統(tǒng)的抗入侵能力，尤其對 NT 類型的服務器系統(tǒng)。2應用系統(tǒng)盡可能分布在不同的主機上，關閉不必要的端口，減少入侵途徑，在當前情況下，應本著對內(nèi)對外的服務應分開，關鍵和非關鍵的應用分開的原則，將應用系統(tǒng)合理的配置在主機系統(tǒng)上。3加強對外部用戶的訪問

11、控制，主要依靠防火墻機制，現(xiàn)在采用的手段是在路由器上設置訪問表，和應用靜態(tài)路由。4按應用需求應劃分虛網(wǎng)，控制校內(nèi)用戶，各部門之間的訪問權(quán)限。5加強監(jiān)督機制，重視線上用戶行為的監(jiān)視和對系統(tǒng)日志的分析，能夠及時發(fā)現(xiàn)入侵行為，和找到遭入侵后的解決辦法。6恢復備份是系統(tǒng)遭受破壞一種有效的簡潔的處理手段，所以對備份工作要重視起來，要做到關鍵數(shù)據(jù)一天一次，非變動信息有永久備份，其他信息視情況而定。備份介質(zhì)可采用硬盤和磁帶。備份方式可以是更新備份，增量備份和永久性備份。3.2.流量監(jiān)控對主干網(wǎng)絡和個分支用戶網(wǎng)絡實施監(jiān)控，可以發(fā)現(xiàn)網(wǎng)絡瓶頸，得到用戶訪問個信息點的量化數(shù)據(jù)，掌握用戶的不安全行為，可以為網(wǎng)絡性能分

12、析和故障診斷提供豐富的事實依據(jù)，給網(wǎng)絡的綜合管理帶來極大的好處。1.網(wǎng)管系統(tǒng)：可以在各主要網(wǎng)絡交換設備上采集到當前設備的工作狀態(tài)，掌握各虛網(wǎng)之間的數(shù)據(jù)流量，和交換設備的各端口的負載情況。2.網(wǎng)絡分析設備：可以在主干網(wǎng)上監(jiān)視各網(wǎng)段上的包情況，其中包括：通訊包總量，丟包率包成分，及其所占比重，如 IP,IPX.各應用包的分配情況：如 Ip 包中 tcp 和 udp 包的百分比，tcp 包中telnet，ftp，http 等包的比重。各 IP 發(fā)包的情況，可以判斷網(wǎng)絡負載和故障診斷。3.路由器上的流量控制，限制某些網(wǎng)段或者 IP 地址的訪問權(quán)限，與 PROXY 結(jié)合統(tǒng)計用戶的出口信息流量。4.Pro

13、xy 服務，由于路由器的限制，可采用 Proxy 的辦法滿足用戶對校園網(wǎng)外甚至是國外的訪問需求，而且這種訪問是受控的，可以根據(jù)用戶的帳號，清楚的了解用戶對外訪問的信息量5.撥號用戶可根據(jù)用戶認證機制，掌握用戶登錄時間，從而估算大概信息及資源的耗費情況。4. 預算預算項目名稱單價數(shù)量價格(人民幣)說明Cisco Catalyst3000C3106B $7178WS-X3001 $1943or Intel 100M Switch150,00020,000接行政樓交換設備接入可選SUN Ultra 10 A22A22-UEA1Y9J-128cGX7103ASOLD-2.5.1NOV97-47X654

14、0AX6262A10,000.001100,000Email，撥號認證，計費 Cisco Works WindowsCWPC-3.1-SNM PC on NT$3743SNM ON NTCWPC-3.1-OVW$2993HP - openview On NT.450,000CISCO 網(wǎng)管大樓局域網(wǎng)布線配線架：50.00模塊面板：100.00AT&T 線：150.00人工費：130.00其他材料：50.00500.0018090,000新樓內(nèi)布線180 信息點含 HUBHayes Modem820,000遠程撥號網(wǎng)絡擴展光纜鋪設12 芯 2,700/km4 芯 1,2000/km人工+材料 12,000/km光端頭：200/個跳線：300/根30,000園區(qū)網(wǎng)連接NT4.0 中文版 220.000計費軟件 on Tacacsd10,000110,000 100M transceiver Bay Networks Model 514 100 MBPX Fiber Optic Transceiver7,500430,000用于 100M 接入PC SERVERCompaq/Ps200 PII/233 32M 4,3