中學校園網絡建設規劃與設計(編輯修改稿)

　

【文章內容簡介】 可以根據需要加入不同的虛擬局域網。當網絡規模很大時，網上的廣播信息會很多，能解決了 網絡惡化 、 廣播 風暴 、 網絡堵塞。 實現的信息服務 需 要的基本功能有： 電子郵件系統：主要進行與同行交往、開展技術合作、學術交流等活動； 文件傳輸 FTP：主要利用 FTP 服務獲取重要的科技資 8 料和技術文擋； INTERNET 服務：學校可以建立自己的主頁，利用外部網頁進行學校宣傳，提供各類咨詢信息等，利用內部網頁進行管理，例如發布通知、收集學生意見等。 計算機教學，包括多媒體教學和遠程教學； 圖書館訪問系統，用于計算機查詢、計算機檢索、計算機閱讀等； 其他應用，如大型分布式數據庫系統、超性能計算資源共 享、管理系統、視頻會議等。 應用程序 出于對校園網的功能分析，在校園網上運行的應用程序有如下幾種：文件傳輸系統、郵件系統、辦公自動化系統、宿舍管理系統、學生檔案管理系統、教學系統等一系列網絡平臺。 存儲系統分析 根據我們選用的是開放的 Windows、 UNIX、 Linux 等操作系統的服務器，開放系統的網絡化存儲根據傳輸協議又分為 :網絡接入存儲 (NetworkAttached Storage，簡稱 NAS)和存儲區域網絡 (Storage Area Network，簡稱 SAN)。 系 統及數據安全分析 所謂系統的安全是指整個網絡操作系統和網絡硬件平臺是否可靠且值得信任。目前恐怕沒有絕對安全的操作系統可以選擇，無論是 Microsfot 的 Windows NT 或者其它任何商用 UNIX 操作系統，其開發廠商必然有其 BackDoor。因此，我們可以得出如下結論：沒有完全安全的操作系統。不同的用戶應從不同的方面對其網絡作詳盡的分析，選擇安全性盡可能高的操作系統。因此不但要選用盡可能可靠的操作系統和硬件平臺，并對操作系統進行安全配置。而且，必須加強登錄過程的認證（特別是在到達服務器主機之前的認證）， 確保用戶的合法性；其次應該嚴格限制登錄者的操作權限，將其完成的操作限制在最小的范圍內。 應用系統安全 與 具體的應用有關，它涉及面廣。應用系統的安全是動態的、不斷變化的 。 應用系統的安全性涉及到信息、數據的安全性。 信息的安全性涉及到機密信息泄露、未經授權的訪問、 破壞信息完整性、假冒、破壞系統的可用性等。在某些網絡系統中，涉及到很多機密信息，如果一 9 些重要信息遭到竊取或破壞，它的經濟、社會影響和政治影響將是很嚴重的。因此，對用戶使用計算機必須進行身份認證，對于重要信息的通訊必須授權，傳輸必須加密。采用多層次的訪 問控制與權限控制手段，實現對數據的安全保護；采用加密技術，保證網上傳輸的信息（包括管理員口令與帳戶、上傳信息等）的機密性與完整性。 QoS QoS 的英文全稱為 Quality of Service，中文名為 服務質量 。 QoS 是網絡的一種安全機制 , 是用來解決網絡延遲和阻塞等問題的一種技術。 在正常情況下，如果網絡只用于特定的無時間限制的應用系統，并不需要QoS，比如 Web 應用，或 Email 設置等。但是對關鍵應用和多媒體應用就十分必要。當網絡過載或擁塞時， QoS 能確保重要業務量不受 延遲或丟棄，同時保證網絡的高效運行。 QoS 具有如下功能： （一） 分類 分類是指具有 QoS 的網絡能夠識別哪種應用產生哪種數據包。沒有分類，網絡就不能確定對特殊數據包要進行的處理。所有應用都會在數據包上留下可以用來識別源應用的標識。分類就是檢查這些標識，識別數據包是由哪個應用產生的。 以下是 4 種常見的分類方法。 (1)協議 有些協議非常 “ 健談 ” ，只要它們存在就會導致業務延遲，因此根據協議對數據包進行識別和優先級處理可以降低延遲。應用可以通過它們的EtherType 進行識別。 譬如， AppleTalk 協議采用 0x809B， IPX 使用 0x8137。根據協議進行優先級處理是控制或阻止少數較老設備所使用的 “ 健談 ” 協議的一種強有力方法。 (2)TCP 和 UDP 端口號碼 許多應用都采用一些 TCP或 UDP 端口進行通信，如 HTTP采用 TCP 端口 80。通過檢查 IP 數據包的端口號碼，智能網絡可以確定數據包是由哪類應用產生的，這種方法也稱為第四層交換，因為 TCP 和 UDP 都位于 OSI模型的第四層。 (3)源 IP 地址 許多應用都是通過其源 IP 地址進行識別的。由于服務器有時是專 10 門針對單一應用而配置的 ，如電子郵件服務器，所以分析數據包的源 IP 地址可以識別該數據包是由什么應用產生的。當識別交換機與應用服務器不直接相連，而且許多不同服務器的數據流都到達該交換機時，這種方法就非常有用。 (4)物理端口號碼 與源 IP 地址類似，物理端口號碼可以指示哪個服務器正在發送數據。這種方法取決于交換機物理端口和應用服務器的映射關系。雖然這是最簡單的分類形式，但是它依賴于直接與該交換機連接的服務器。 （二） 標注 在識別數據包之后，要對它進行標注，這樣其他網絡設備才能方便地識別這種數據。由于分類可能非常復雜，因 此最好只進行一次。識別應用之后就必須對其數據包進行標記處理，以便確保網絡上的交換機或路由器可以對該應用進行優先級處理。通過采納標注數據的兩種行業標準，即 IEEE 或差異化服務編碼點 (DSCP)，就可以確保多廠商網絡設備能夠對該業務進行優先級處理。 在選擇交換機或路由器等 產品時，一定要確保它可以識別兩種標記方案。雖然 DSCP 可以替換在局域網環境下主導的標注方案 IEEE ，但是與 IEEE 相比，實施 DSCP 有一定的局限性。在一定時期內，與 IEEE 設備的兼容性將十分重要。作為一種過渡機制，應選擇可以從一種方案向另一種方案轉換的交換機。 （三） 優先級設置 一旦網絡可以區分電話通話和網上瀏覽，優先級處理就可以確保進行Inter 上大型下載的同時不中斷電話通話。為了確保準確的優先級處理，所有業務量都必須在網絡骨干內進行識別。在工 作站終端進行的數據優先級處理可能會因人為的差錯或惡意的破壞而出現問題。黑客可以有意地將普通數據標注為高優先級，竊取重要商業應用的帶寬，導致商業應用的失效。這種情況稱為拒絕服務攻擊。通過分析進入網絡的所有業務量，可以檢查安全攻擊，并且在它們導致任何危害之前及時阻止。 在局域網交換機中，多種業務隊列允許數據包優先級存在。較高優先級的業務可以在不受較低優先級業務的影響下通過交換機，減少對諸如話音或視頻等對時間敏感業務的延遲事故。 11 為了提供優先級，交換機的每個端口必須有至少 2 個隊列。雖然每個端 口有更多隊列可以提供更為精細的優先級選擇，但是在局域網環境中，每個端口需要4 個以上隊列的可能性不大。當每個數據包到達交換機時，都要根據其優先級別 分配到適當的隊列，然后該交換機再從每個隊列轉發數據包。該交換機通過其排 隊機制確定下一步要服務的隊列。有以下 2 種排隊方式。 (1)嚴格優先隊列 (SPQ) 這是一種最簡單的排隊方式，它首先為最高優先級的隊列進行服務，直到該隊列為空，然后為下一個次高優先級隊列服務，依此類推。這種方法的優勢是高優先級業務總是在低優先級業務之前處理。但是，低優先級業務有可能被高優先級業務 完全阻塞。 (2)加權循環 (WRR) 這種方法為所有業務隊列服務，并且將優先權分配給較高優先級隊列。在大多數情況下，相對低優先級， WRR 將首先處理高優先級，但是當高優先級業務很多時，較低優先級的業務并沒有被完全阻塞。 網間隔離 面對新型網絡攻擊手段的出現和高安全度對 網絡 的特殊需求，全新安全防護防范理念的網絡安全技術 ――“ 網絡隔離技術 ” 應運而生。網絡隔離技術的目標是確保隔離有害的攻擊，在可信網絡之外和保證可信網絡內部信息不外泄的前提下，完成網間數據的安全交換。網絡隔離技術是在原有安全技術的基礎上發 展起來的，它彌補了原有安全技術的不足，突出了自己的優勢。 網絡隔離，英文名為 Network Isolation,主要是指把兩個或兩個以上可路由的網絡（如： TCP/IP）通過不可路由的協議（如： IPX/SPX、 NetBEUI 等）進行數據交換而達到隔離目的。由于其原理主要是采用了不同的協議所以通常也叫協議隔離（ Protocol Isolation） 網絡隔離是指在一個網絡系統中劃分邊界，分割不同安全域的技術。網絡安全的重點在于邊界保護，采用隔離技術明確邊界后，我們就能根據應用環境的具體需求實施相應的邊界控 制策略。 具體而言，采用網絡隔離技術有以下優點： 12 采用隔離技術劃分安全域后，一個區域內的安全問題可以被控制在本區域以內，不會對其它區域造成影響，從而提高了系統整體的可控性和穩定性。 采用隔離技術劃分安全域后，可以根據需求靈活制定訪問控制策略，便于在不同粒度上隔離攻擊。 安全是要考慮成本的。對于重要的資源，我們可以采取隔離技術對其進行重點保護，使有限的投入獲得最佳的效果，這也符合國家分級保護的要求。 13 第 3 章 拓撲圖及方案整體描述 主干網傳輸方案設計 網絡中心設在實驗樓的一層，以實驗樓為中心，選擇 星形拓撲結構，網絡主干最好選用光纖，以便采用鏈路聚合技術及備份線路。光纖布線采用星型結構，即由實驗樓網絡中心向其它建筑輻射。建筑內部布線采用 5 類雙絞線進行垂直和水平布線，如建筑物規模較大，也可部分采用室內多模光纖。雙絞線的接法采用EIA/TIA568B 標準。設計時要依據 EIA/TIA568 工業標準及國商務布線標準。 （ 1）主干網匯接各子網，形成中心交換。 （ 2）子網通過交換機連接到主干網。 （ 3）網絡中心的網絡構成一個單獨的子網，匯接到主干網。 （ 4）在網絡中心進行集中控制和管理。 （