论文部分内容阅读
摘 要: 本文从系统结构、布线系统、网络设计、网络管理等方面讨论了校园网的设计方案。在网络设计中,详细介绍了网络拓扑结构、VLAN划分与设备选型等,实现了网络的人性化设计,最后通过相关软件对网络进行管理和实现网络的安全性。
关键词: 校园网规划 网络设计 拓扑结构 VLAN划分 设备选型
一、项目背景
(一)校园网综述
校园网是为学校教师、学生提供教学、科研和综合信息服务的宽带多媒体网络。校园网应为学校教学、科研提供先进的信息化教学环境,这就要求校园网具有一个宽带、交互功能和专业很强的局域网络。
(二)某高校校园网介绍
某大学目前有两个校区:本部校区和分部校区,两个校区之间通过专有光纤连接,统一出口在本部校区,分为教育网出口和电信网出口。本部校区是一栋现代化综合办公大楼,其中1—6楼、9—21楼为办公区域,7—8楼为学生机房,10楼为中心机房。分部校区是一个包含了办公楼、实验楼、艺术楼等的校园环境。在现代教学需要的情况下,拟建立起现代的校园网。网络建成后,可以完成互联网、校园信息交流,多媒体、网络教学,学生学习等功能。
二、需求分析
(一)综合布线分析
此次校园网建设中,分部校区的网络采用升级改造的方式,主要以维护原有网络为主。改变其接入方式为与本部校区统一出口。分部校区各楼栋之间采用光纤连接,其中实验楼与办公楼网络中心之间仍然保留原有的UTP双绞线。楼内布线则采用UTP双绞线将桌面PC连至网络中心交换机,实现百兆到桌面的连接速度。对于本部校区新大楼,则整体设计其布线方案,包括了1—6层的办公室、教室、电子阅览室,7—8层的计算机房,9—10层、21层的办公室,以及10层的网络中心机房。垂直布线系统采用楼宇内软光纤,水平布线系统则采用泛达的6类UTP双绞线,理论上支持1000M到桌面的连接速度。
(二)网络结构分析
在两个校区的整体网络设计方案中,我们采用了1个防火墙、2个核心交换机(采用VSS新技术互联)、6个汇聚交换机和若干台接入交换机。其中本部校区包括了服务器区汇聚、1—6层网络的汇聚、7—8层机房网络的汇聚与9层以上的网络汇聚,分部校区则包括了办公楼的汇聚,主要负责各楼栋办公室的网络;实验楼的汇聚,主要负责各楼栋机房的网络。两个校区之间用两个Cisco Catalyst 6509,采用最新的VSS技术进行连接,可以实现更高速的交换和线路备份,确保校区之间网络的稳定运行。
(三)网络安全分析
从网络结构来看,服务器区域提供了极其重要的应用,属于最易被攻击的区域,所以我们应考虑介绍好的硬件防火墙和入侵防御系统,以保护该区域。另外为了防止校园网内部病毒泛滥,考虑部署网络版杀毒软件,对终端机器统一管理。最后,为了防止校园网机器之间相互攻击,必须有方便、直观的监控设备,以及时地发现问题并解决问题。
三、系统设计
(一)设计方案
1.VLAN和子网的划分
虚拟网络(VLAN,Virtual Local Area Network)是指一个根据功能、用途、工作组及应用等因素将用户从逻辑上划分为一个相对独立的网络,是一个可跨越不同网段、不同网络、不同位置的端到端的逻辑网络。
对于某高校校园网,我们根据功能需求可以分为以下几个大类:办公室网络、教室网络、机房网络,以及一卡通网络。这四大部分相对独立,特别是一卡通网络的安全要求比较高,所以在实际应用中还需要制定相应的访问策略来保证其安全性。
2.网络拓扑图
网络拓扑(Topology)结构是指用传输介质互连各种设备的物理布局,指构成网络的成员间特定的物理的即真实的、或者逻辑的即虚拟的排列方式。网络拓扑图是最能够直观反映网络情况的工具,所以在校园网前期规划中是极其重要的,它将是后期施工和部署的重要参考依据,也是未来网络维护和管理的重要依据。
(二)设备选型
整个校园网的建设目标要达到“万兆主干,百兆桌面”,根据学校地理位置分布情况设计校园网。
1.核心层
在选择网络设备之前一定要估算它承载的信息流量。目前还没有任何精确估算的方法,但可以把网络看作一个黑箱,考虑位于网络边缘的计算机设备在突发性很强的情况下,全部以线速通过黑箱网络交换信息,以此计算大致流量。
Cisco Catalyst 6509E 是 Cisco Catalyst 6509 系列中的一员。Cisco Catalyst 6509 系列可以提供无阻塞的第 2/3/4层交换和集成化的永续性,因而能进一步加强对融合网络的控制,具有更高可用性的语音、视频和数据网络,能够为正在部署基于互联网业务应用的企业和城域以太网客户提供业务永续性。
2.汇聚层
汇聚层对即将接入层交换机的数据进行汇聚,对上通过高速接口将数据传输到核心交换机,起着承上启下的作用。设计汇聚层时,根据汇聚层的主要功能,我们应充分考虑以下几点:汇聚层设备要有足够的带宽;具有三层和多层交换特性;具有灵活多样的业务能力;必须具有冗余和负载均衡能力。
基于以上分析和校园网的实际情况,选择Cisco Catalyst 3560E系列三层交换机作为汇聚层交换机。其中具体端口数量规格根据网络需要来决定。主要有WS—C3560E—12SD—S和WS—C3560E—48TD—S两种选择。
3.接入层
接入层为用户提供对网络中本地网段的访问,它的主要作用是将工作组与汇聚层连接起来,主要完成逻辑网络分段、基于工作组或LAN隔离广播通信,以及在多个CPU之间分布服务。
接入层设备在市场上可选择性很大,有很多品牌都能满足要求。但是考虑到为了方便、快捷地完成系统集成和日后可管理性、升级性,我们仍然选用和核心层、汇聚层同一品牌。虽然价格较其他品牌贵了一些,可带来的方便性是不言而喻的。因此,在接入交换机上选择Cisco Catalyst 3560 24/48 TS交换机。
4.防火墙
防火墙是一种将内部网络和外部网络分开的方法,是提供信息安全服务,实现网络和信息安全的重要基础设施,主要用于限制被保护的内部网络与外部网络之间进行的信息存取、信息传递等操作。在逻辑上,防火墙是一个分离器,一个限制器,也是一个分析器,有效地监控了内部网和外部网之间的任何活动,保证了内部网络的安全。
防火墙对于局域网络的安全至关重要,在选择上要慎重考虑。既要有效保护内部网络的安全,又要注重性价比,还要考虑其可升级性。因此,我们结合诸多实际情况,特选用Juniper厂商的硬件防火墙:NetScreen ISG 2000,其卓越的性能足以保护校园网内电脑和服务器的安全。
5.网络监控防御
在网络设计中,我们必须要考虑的一个部分就是如何及时地发现和解决出现的问题。思科安全监控分析和响应系统(MARS)是一个高性能、可扩展的威胁管理、监控和防御设备系列,将传统安全事件监控与网络智能、上下文关联、因素分析、异常流量检测、热点识别和自动防御功能相结合,可帮助客户更为高效地使用网络和安全设备。通过结合这些功能,思科安全MARS可以准确识别和消除网络攻击且保持网络的安全策略符合性。
对于服务器区的保护,我们选用Cisco的IPS(入侵防御系统),目的是对访问服务器的流量进行深入检测,过滤攻击和非法数据包,减轻服务器和网络的负载,提供更好、更稳定的网络服务。
(三)网络管理
对大中型网络而言,更需要合理、有效的组织体系和规章制度。随着信息网络规模的日益扩大,结构日趋复杂,计算机网络的管理和维护难度也会越来越大,这就要求有智能化、标准化网络挂零技术,而且要求实现对多厂商设备的统一管理,监控全网健康状况,为网管提供网络调整的依据。
根据校园网的设计方案,我们在采购硬件管理设备的基础之上,还选择了一些开源或者免费的管理系统,例如Cacti、Zenoss等。
(四)网络安全
网络安全是阻碍网络发展的一个重要因素,在校园网络的建设中,网络安全也是需要重点考虑的一个方面。网络安全主要分为内部网络安全和外部网络安全,现在大多数网络建设都使用防火墙,但多数防火墙都只能对外网安全进行控制。网络在边界有强大的防火墙,而网络内部却没有很好的监控就不能算作一个安全网络。
1.防火墙部署
我们在Internet与校园网内网之间部署一台NetScreen ISG2000防火墙,成为内外网之间一道牢固的安全屏障。其中WWW、MAIL、DNS等对外服务器连接在防火墙的DMZ区,与内、外网间进行隔离,内网口连接校园网内网交换机,外网口与Internet连接。那么,通过Internet进来的公众用户只能访问到对外公开的一些服务,既保护内网资源不被外部非授权用户非法访问或破坏,又可以阻止内部用户对外部不良资源的滥用,并能够对发生在网络中的安全事件进行跟踪和审计。
2.入侵防御系统部署
入侵防御能力是衡量一个防御体系是否完整有效的重要因素,强大完整的入侵防御体系可以弥补防火墙相对静态防御的不足。根据学校网络的特点,我们采用Cisco入侵防御系统IPS—4260,对来自外部网和校园网内部的各种行为进行实时检测,及时发现各种可能的攻击企图,并采取相应的措施。具体来讲,就是将Cisco IPS—4260入侵防御硬件接入到防火墙与服务器汇聚交换机之间,所有访问服务器的数据都经过IPS进行过滤。Cisco IPS—4260入侵防御系统集入侵检测、网络管理和网络监视功能于一身,能实时捕获内外网之间传输的所有数据,利用内置的攻击特征库,使用模式匹配和智能分析的方法,检测网络上发生的入侵行为和异常现象,并在数据库中记录有关事件,作为网络管理员事后分析的依据;如果情况严重,Cisco IPS—4260可以发出实时报警,使得管理员能够及时采取应对措施。
四、结语
本文通过分析某高校校园网的现状、水平和发展趋势,提出了一种以万兆以太网的星型连接为基础,以高速千兆主干网为网络系统核心,具有10000Mbps速率的主干,100Mbps到桌面的大型校园网解决方案。
主要网络设备选择注重性能价格比,采用成熟可靠的技术为学校设计成一个技术先进、简单易用、性能优秀、可升级扩展的校园网络。在网络设计的先进性、现实性、可靠性、保密性、易管理与维护、易扩充性方面,我们制定了一系列具有针对性的可行性方案,力求主要网络设备安全、稳定、可靠、技术先进、便于维护和管理。
参考文献:
[1]于祥.谈谈校园网络建设[J].科学教育,2004,5.
[2]周兆祥.校园网络的安全[J].广西大学学报(自然科学版),第30卷第3期.
[3]方芳.校园网建设的规划与研究[J].中南民族学院学报(自然科学版),第20卷增刊.
[4]童舜海.校园网建设的规划问题[J].福建电脑,2003,8.
[5]黎连业.网络工程和综合布线工程师手册[M].清华大学出版社,2003.
[6]梁亚声.计算机网络安全技术教程[M].机械工业出版社,2005.
关键词: 校园网规划 网络设计 拓扑结构 VLAN划分 设备选型
一、项目背景
(一)校园网综述
校园网是为学校教师、学生提供教学、科研和综合信息服务的宽带多媒体网络。校园网应为学校教学、科研提供先进的信息化教学环境,这就要求校园网具有一个宽带、交互功能和专业很强的局域网络。
(二)某高校校园网介绍
某大学目前有两个校区:本部校区和分部校区,两个校区之间通过专有光纤连接,统一出口在本部校区,分为教育网出口和电信网出口。本部校区是一栋现代化综合办公大楼,其中1—6楼、9—21楼为办公区域,7—8楼为学生机房,10楼为中心机房。分部校区是一个包含了办公楼、实验楼、艺术楼等的校园环境。在现代教学需要的情况下,拟建立起现代的校园网。网络建成后,可以完成互联网、校园信息交流,多媒体、网络教学,学生学习等功能。
二、需求分析
(一)综合布线分析
此次校园网建设中,分部校区的网络采用升级改造的方式,主要以维护原有网络为主。改变其接入方式为与本部校区统一出口。分部校区各楼栋之间采用光纤连接,其中实验楼与办公楼网络中心之间仍然保留原有的UTP双绞线。楼内布线则采用UTP双绞线将桌面PC连至网络中心交换机,实现百兆到桌面的连接速度。对于本部校区新大楼,则整体设计其布线方案,包括了1—6层的办公室、教室、电子阅览室,7—8层的计算机房,9—10层、21层的办公室,以及10层的网络中心机房。垂直布线系统采用楼宇内软光纤,水平布线系统则采用泛达的6类UTP双绞线,理论上支持1000M到桌面的连接速度。
(二)网络结构分析
在两个校区的整体网络设计方案中,我们采用了1个防火墙、2个核心交换机(采用VSS新技术互联)、6个汇聚交换机和若干台接入交换机。其中本部校区包括了服务器区汇聚、1—6层网络的汇聚、7—8层机房网络的汇聚与9层以上的网络汇聚,分部校区则包括了办公楼的汇聚,主要负责各楼栋办公室的网络;实验楼的汇聚,主要负责各楼栋机房的网络。两个校区之间用两个Cisco Catalyst 6509,采用最新的VSS技术进行连接,可以实现更高速的交换和线路备份,确保校区之间网络的稳定运行。
(三)网络安全分析
从网络结构来看,服务器区域提供了极其重要的应用,属于最易被攻击的区域,所以我们应考虑介绍好的硬件防火墙和入侵防御系统,以保护该区域。另外为了防止校园网内部病毒泛滥,考虑部署网络版杀毒软件,对终端机器统一管理。最后,为了防止校园网机器之间相互攻击,必须有方便、直观的监控设备,以及时地发现问题并解决问题。
三、系统设计
(一)设计方案
1.VLAN和子网的划分
虚拟网络(VLAN,Virtual Local Area Network)是指一个根据功能、用途、工作组及应用等因素将用户从逻辑上划分为一个相对独立的网络,是一个可跨越不同网段、不同网络、不同位置的端到端的逻辑网络。
对于某高校校园网,我们根据功能需求可以分为以下几个大类:办公室网络、教室网络、机房网络,以及一卡通网络。这四大部分相对独立,特别是一卡通网络的安全要求比较高,所以在实际应用中还需要制定相应的访问策略来保证其安全性。
2.网络拓扑图
网络拓扑(Topology)结构是指用传输介质互连各种设备的物理布局,指构成网络的成员间特定的物理的即真实的、或者逻辑的即虚拟的排列方式。网络拓扑图是最能够直观反映网络情况的工具,所以在校园网前期规划中是极其重要的,它将是后期施工和部署的重要参考依据,也是未来网络维护和管理的重要依据。
(二)设备选型
整个校园网的建设目标要达到“万兆主干,百兆桌面”,根据学校地理位置分布情况设计校园网。
1.核心层
在选择网络设备之前一定要估算它承载的信息流量。目前还没有任何精确估算的方法,但可以把网络看作一个黑箱,考虑位于网络边缘的计算机设备在突发性很强的情况下,全部以线速通过黑箱网络交换信息,以此计算大致流量。
Cisco Catalyst 6509E 是 Cisco Catalyst 6509 系列中的一员。Cisco Catalyst 6509 系列可以提供无阻塞的第 2/3/4层交换和集成化的永续性,因而能进一步加强对融合网络的控制,具有更高可用性的语音、视频和数据网络,能够为正在部署基于互联网业务应用的企业和城域以太网客户提供业务永续性。
2.汇聚层
汇聚层对即将接入层交换机的数据进行汇聚,对上通过高速接口将数据传输到核心交换机,起着承上启下的作用。设计汇聚层时,根据汇聚层的主要功能,我们应充分考虑以下几点:汇聚层设备要有足够的带宽;具有三层和多层交换特性;具有灵活多样的业务能力;必须具有冗余和负载均衡能力。
基于以上分析和校园网的实际情况,选择Cisco Catalyst 3560E系列三层交换机作为汇聚层交换机。其中具体端口数量规格根据网络需要来决定。主要有WS—C3560E—12SD—S和WS—C3560E—48TD—S两种选择。
3.接入层
接入层为用户提供对网络中本地网段的访问,它的主要作用是将工作组与汇聚层连接起来,主要完成逻辑网络分段、基于工作组或LAN隔离广播通信,以及在多个CPU之间分布服务。
接入层设备在市场上可选择性很大,有很多品牌都能满足要求。但是考虑到为了方便、快捷地完成系统集成和日后可管理性、升级性,我们仍然选用和核心层、汇聚层同一品牌。虽然价格较其他品牌贵了一些,可带来的方便性是不言而喻的。因此,在接入交换机上选择Cisco Catalyst 3560 24/48 TS交换机。
4.防火墙
防火墙是一种将内部网络和外部网络分开的方法,是提供信息安全服务,实现网络和信息安全的重要基础设施,主要用于限制被保护的内部网络与外部网络之间进行的信息存取、信息传递等操作。在逻辑上,防火墙是一个分离器,一个限制器,也是一个分析器,有效地监控了内部网和外部网之间的任何活动,保证了内部网络的安全。
防火墙对于局域网络的安全至关重要,在选择上要慎重考虑。既要有效保护内部网络的安全,又要注重性价比,还要考虑其可升级性。因此,我们结合诸多实际情况,特选用Juniper厂商的硬件防火墙:NetScreen ISG 2000,其卓越的性能足以保护校园网内电脑和服务器的安全。
5.网络监控防御
在网络设计中,我们必须要考虑的一个部分就是如何及时地发现和解决出现的问题。思科安全监控分析和响应系统(MARS)是一个高性能、可扩展的威胁管理、监控和防御设备系列,将传统安全事件监控与网络智能、上下文关联、因素分析、异常流量检测、热点识别和自动防御功能相结合,可帮助客户更为高效地使用网络和安全设备。通过结合这些功能,思科安全MARS可以准确识别和消除网络攻击且保持网络的安全策略符合性。
对于服务器区的保护,我们选用Cisco的IPS(入侵防御系统),目的是对访问服务器的流量进行深入检测,过滤攻击和非法数据包,减轻服务器和网络的负载,提供更好、更稳定的网络服务。
(三)网络管理
对大中型网络而言,更需要合理、有效的组织体系和规章制度。随着信息网络规模的日益扩大,结构日趋复杂,计算机网络的管理和维护难度也会越来越大,这就要求有智能化、标准化网络挂零技术,而且要求实现对多厂商设备的统一管理,监控全网健康状况,为网管提供网络调整的依据。
根据校园网的设计方案,我们在采购硬件管理设备的基础之上,还选择了一些开源或者免费的管理系统,例如Cacti、Zenoss等。
(四)网络安全
网络安全是阻碍网络发展的一个重要因素,在校园网络的建设中,网络安全也是需要重点考虑的一个方面。网络安全主要分为内部网络安全和外部网络安全,现在大多数网络建设都使用防火墙,但多数防火墙都只能对外网安全进行控制。网络在边界有强大的防火墙,而网络内部却没有很好的监控就不能算作一个安全网络。
1.防火墙部署
我们在Internet与校园网内网之间部署一台NetScreen ISG2000防火墙,成为内外网之间一道牢固的安全屏障。其中WWW、MAIL、DNS等对外服务器连接在防火墙的DMZ区,与内、外网间进行隔离,内网口连接校园网内网交换机,外网口与Internet连接。那么,通过Internet进来的公众用户只能访问到对外公开的一些服务,既保护内网资源不被外部非授权用户非法访问或破坏,又可以阻止内部用户对外部不良资源的滥用,并能够对发生在网络中的安全事件进行跟踪和审计。
2.入侵防御系统部署
入侵防御能力是衡量一个防御体系是否完整有效的重要因素,强大完整的入侵防御体系可以弥补防火墙相对静态防御的不足。根据学校网络的特点,我们采用Cisco入侵防御系统IPS—4260,对来自外部网和校园网内部的各种行为进行实时检测,及时发现各种可能的攻击企图,并采取相应的措施。具体来讲,就是将Cisco IPS—4260入侵防御硬件接入到防火墙与服务器汇聚交换机之间,所有访问服务器的数据都经过IPS进行过滤。Cisco IPS—4260入侵防御系统集入侵检测、网络管理和网络监视功能于一身,能实时捕获内外网之间传输的所有数据,利用内置的攻击特征库,使用模式匹配和智能分析的方法,检测网络上发生的入侵行为和异常现象,并在数据库中记录有关事件,作为网络管理员事后分析的依据;如果情况严重,Cisco IPS—4260可以发出实时报警,使得管理员能够及时采取应对措施。
四、结语
本文通过分析某高校校园网的现状、水平和发展趋势,提出了一种以万兆以太网的星型连接为基础,以高速千兆主干网为网络系统核心,具有10000Mbps速率的主干,100Mbps到桌面的大型校园网解决方案。
主要网络设备选择注重性能价格比,采用成熟可靠的技术为学校设计成一个技术先进、简单易用、性能优秀、可升级扩展的校园网络。在网络设计的先进性、现实性、可靠性、保密性、易管理与维护、易扩充性方面,我们制定了一系列具有针对性的可行性方案,力求主要网络设备安全、稳定、可靠、技术先进、便于维护和管理。
参考文献:
[1]于祥.谈谈校园网络建设[J].科学教育,2004,5.
[2]周兆祥.校园网络的安全[J].广西大学学报(自然科学版),第30卷第3期.
[3]方芳.校园网建设的规划与研究[J].中南民族学院学报(自然科学版),第20卷增刊.
[4]童舜海.校园网建设的规划问题[J].福建电脑,2003,8.
[5]黎连业.网络工程和综合布线工程师手册[M].清华大学出版社,2003.
[6]梁亚声.计算机网络安全技术教程[M].机械工业出版社,2005.