校园网规划与设计

第一章：项目概述

一、项目名称：邯郸县第一中学校园网络规划设计

二、项目背景：邯郸县第一中学校园，校园占地104.65亩，教学楼两栋，宿舍楼2栋，食堂2个，超市1个，60个教学班。

三、项目目标：建立好整个校园网,以及维护好整个校园网，规划好设计好整个校园网，以及对校园网的施工和综合布线。以及后期的维护。

四、项目内容：

1.学校目前主要的网络应用包括文件共享服务，打印服务，财务管理，未来将实施internent应用，把各大分校区连接在一起，形成网络一体化，新增邮件服务.

2.添置新的OA系统，完成教学的信息的采集、处理、查询、统计。对学校行政、人事、财务、工资、资产、档案、宿舍的管理，以及提供必要的查询，并打印结果。

3.校园接入网络后，新增WWW服务

4.接入中国教育科研网CERNET.

5．校园网要求实现组播业务。

6. 系统应有高可靠性、安全性、可维护性和可扩充性，要具有良好的用户界面。

7.子网分布：教育管理子网，图书馆资源子网，财务子网，科研子网，软件资源子网【容量800G 收录的视频1000G】

第二章：网络需求分析

一、校园网络应提供以下功能：

1、接校内所有教学楼、办公楼中的PC。

2、支持约1000用户浏览网站。

3、提供受存取权控制的文件、档案查询服务。

4、提供学校自己的管理信息系统（MIS）。

5、提供图书，文献查询与检索服务，增强校图书馆信息自动化能力。

6、建立FTP，共享教学资源，建立OA,便于办公，建立网络教学高速通道，达到网络教学，公共信息资源在线查询系统，以及成绩查询系统。

二、校园网对主机系统的主要要求：

1、主机系统应采用国际上较新的主流技术，并具有良好的向后扩展能力；

2、主机系统应具有高的可靠性，能长时间连续工作，并有容错措施；

3、支持通用大型数据库，如 SQL、Oracle 等；

4、具有广泛的软件支持，软件兼容性好，并支持多种传输协议；

5、能与 Internet 互联，可提供互联网的应用，如WWW浏览服务。

6、支持 SNMP 网络管理协议，具有良好的可管理性和可维护性；

三、校园系统设计方按应满足如下要求：

1、网络方案应采用成熟的技术，并尽可能采用先进的技术；

2、合理分配带宽，使用户不受网上“塞车”的影响，主教学楼使用ADSL接入Internet，带宽大约10 MBIT/S,需要能接入因特网，以及校园网；

3、应充分考虑未来可能的应用，如桌面将承受大型应用软件和多媒体传输需求的压力；

4、该网络方案要具有高扩展性。能为用户未来数目的扩展具有调整、扩充的手段和方法；

5、该网络应是面向连接的，能够实现虚拟网（VLAN）连接；

6、考虑对用户现有网络的平滑过度，使学校现有陈旧设备尽量保持较好的利用价值；

四、校园网对网络设备的要求：

1、性能；；所有网络设备都应有足够的吞吐量；

2、可靠性和高可用性；应考虑多种容错技术；

3、可管理性；所有网络设备均可用适当的网管软件进行监控、管理和设置，采用国际统一的标准；

五、系统集成所共同追求的设计目标：

1、建成一个具有高可靠性和开放性的校园网络，它应支持流行的SNMP 等网络管理协议；

2、采用 Internet 上的标准协议--TCP/IP 协议，提供校园内部及面向全球的WWW服务、FTP 服务、NEWS 服务、电子邮件服务，实现与国际互联网的完全接轨；

3、同时它还应具有支持通用大型数据库的功能，支持多种协议，具有良好的软件支持；

4、采用模块化结构设计，容易升级；

六、综合布线需求分析

标准综合布线系统标准是一个开发系统标准，它支持广泛的应用，保护用户以往的投资，综合布线系统遵循下列标准：

EIA/TIA 568 民用建筑布线标准

EIA/TIA 569 民用建筑通信通道及空间标准 ANSI/EIA/TIA-570 住宅及商业应用

ANSI/EIA/TIA-606 商业建筑电讯设施管理标准 ANSI/EIA/TIA-607 商业建筑电讯设施接地标准

TSB-67 非屏蔽双绞线布线系统传输性能测试标准 TSB-72 简明光纤布线指导

ISO/IEC DIS11801 建筑物通用布线系统

IEEE802.3 10BASET-T 10M双绞线以太网通信标准

IEEE802.3 100BASET-T 100M双绞线以太网通信标准

IEEE802.3 1000BASET-T 1000M双绞线以太网通信标准

七、中心交换机

网络主干的网络设备选用1台锐捷RG-S9620千兆中心路由交换机，通过光纤与各楼宇二级交换机相连，形成星型结构千兆以太网的主干解决方案。它不仅可以同时满足铜缆、多模与单模接入的共存问题，而且具有较高的无阻塞的背板速率，支持全线速交换能力，较好的扩展性，可为邯郸第一中学的进一步扩容提供快捷与低成本的升级方式。

八、锐捷RG-S9620千兆中心路由交换机具有以下特点：

1） 最小的代价满足需求，实现主干网络的1000M连接，同时还实现线速的2、3、4层交换能力。

2） 实现VLAN划分、应用级负载均衡等功能，并能保证性能不受影响。

3） 投入成本小，网络连接易于实现。

4） 预留一定数量的100M网络端口，便于网络的扩展。

九、路由器

路由器我们根据学校的需求结果选择 H3C RT-SR6608-H3型号的核心路由器。如下图：

核心路由器H3C RT-SR6608-H3

H3C RT-SR6608-H3主要参数

第三章：通信子网规划设计

一、拓扑结构

三、设计说明

网络整体结构为分级星型结构，主交换机与子网交换机，子网交换机与网络工作站之间都是以星型结构连接。

采用155M ATM做网络主干，采用10M交换以太网作为普通工作站的网络末端。

网络中心交换机采用锐捷RG-S9620主干交换机，采用8274/8271以太网交换机作为到桌面的10M交换机。

中心交换机放置在教学大楼的主机房内。采用锐捷RG-S9620交换机，它有17个插槽，其中用户可用14个，该方案中配置了4块4口的155M ATM模块，4个电源模块。共有16个155M的ATM端口。其中10个155M的光纤口用来下连各层子网8274子网交换机，共计5台8274以太网交换机，主机和Intranet服务器连在8265的155MATM光纤SC端口上，各层工作站连在5台8274/8271交换以太网10M端口，网管工作站也连在10M交换以太口上。

根据布线结构，在一层楼放置了1台IBM以太网交换机8274/W93，共配置了4块32端口的交换模块，即有128个10M交换口。我们在每一楼层的8274上配置了双端口的155M的ATM光纤口用来上连主干交换机8265。这样一来，主干网络的带宽有310M。

二层楼放置了1台IBM以太网交换机8274/W93，共配置了7块32端口的交换模块，即有224个10M交换口。

三层楼放置了1台IBM以太网交换机8274/W93，共配置了7块32端口的交换模块，即有224个10M交换口。和要求的232个10M交换口还不够，需增加1个有24个10M交换端口的交换机8271/524。这样一来，共有248个10M交换口和1个100M交换端口。

四层楼放置了1台IBM以太网交换机8274/W93，共配置了7块32端口的交换模块，即有224个10M交换口。和要求的276个10M交换口还不够，需增加2个有24个10M交换端口的交换机8271/524。这样一来，共有272个10M交换口和2个100M交换端口。

五层楼放置了1台IBM以太网交换机8274/W93，共配置了7块32端口的交换模块，即有224个10M交换口。和要求的278个10M交换口还不够，需增加2个有24个10M交换端口的交换机8271/524。这样一来，共有272个10M交换口和2个100M交换端口。

整个网络的Intranet服务器，它通过155M ATM连接在主干交换机8265上，为全校的师生提供WWW服务、E-mail服务、FTP服务等。

整个网络的网管工作站采用一台IBMRS/6000 43P，它通过10M交换以太口连至8274，采用TME10 Netview网管软件实现对整个网络的配置管理、工作状态监控等功能，实现对整个网络的全面管理。

整个网络共配备16个155M ATM端口，1144个10M交换以太口，5个100M快速交换以太口。其中，10个155M ATM端口用于和下级交换机互连，6个155M ATM端口用于连接服务器或主机。8265上还有11个插槽可供以后扩展。

四、分布层/接入层设计

使用防火墙分割内部网和外部网，限制级别访问内部WEB服务器，财务数据，以及OA系统。防火墙采用天融信的NGFW4000-E-VPN(E)。面向中心骨干机构和复杂的高端流量环境。拥有内置的IPSEC加密、Web页面包护和负载均衡双机热备，提供强大的功能和安全保障。

流量控制

网络总体目标和设计原则

第四章：网络安全设计

校园网络安全威胁

一、 计算机病毒

计算机病毒是一组通过复制自身来感染其它软件的程序。当程序运行时，嵌入的病毒也随之运行并感染其它程序。计算机病毒种类繁多，形形色色，但就已经发现的计算机病毒而言，其危害性主要表现为破坏性、传染性、寄生性、潜伏性和激发性几大特征。

二、 网络攻击校园网面临的另一个安全威胁就是网络攻击。

拒绝服务攻击的方法多样。攻击者在发起攻击时，可能采取单一手段的攻击模式，也可能采取多种攻击手段联合使用的模式。就其攻击手段来说．主要有以下几种：

1）死亡之Ping。早期的网络不支持大包，攻击者通过网络发送大母的大数据包到被攻击者网络，造成网络堵塞以致瘫痪。目前的网络已经能够支持大包，这种方式已经不再出现。

2）泪滴攻击。攻击者采用修改包片段字头的方式，使得包无法正确组装．导致网络访问失败的方式。

3 ）UDP洪水攻击。攻击利用如chargen和echo等简单的TCP／IP服务．相互发送大量数据以沾满带宽，从而瘫痪网络的方式。

4 ) SYN洪水攻击。攻击者通过想服务器发送连续的SYN握手信息来瘫痪服务器的攻击方式。

5 ) LAND攻击 该攻击是让服务器自己向自己发送SYN握手信息．已达到瘫痪主机的目的。

6 ) Smurf攻击。攻击者将报文地址设为Echo地址，这样Echo78地址就必须不问断的响应该报文，使得网络带宽被侵占，从而达到瘫痪网络的目的。

7 ) Fraggle攻击。Fraggle攻击对Smurf攻击做了修改。

8 )电子邮件炸弹。通过向一台服务器大量的不间断的发送电子邮件，起到瘫痪服务器的作用。

9 )急性消息攻击。借助机器对某些消息为进行错误校验来攻击服务器。

10)分布式拒绝服务攻击。它是威力最强大的拒绝服务攻击方式，其主要采用多台服务器对同一网络同时发起攻击，导致该网络瞬间瘫痪。

常见的拒绝服务攻击主要有以上几种，攻击者攻击目的和攻击水平不同，选用的方式不同。无论哪种方式，都对网络安全造成很大的危害。[5]

三、 存在的安全隐患,以我校为例，校园网络存在的安全隐患和漏洞有:

1 ) 计算机与Internet相连，却没有安装相应的杀毒软件及防火墙。

2) 使用的操作系统存在安全漏洞，网络木马、病毒和黑客攻击影响到系统的安全。校内大部分计算机系统或多或少都存在着各种的漏洞，校园网络又对社会开放，这样一来只要接入INTERNET的用户就可以对校园的网络服务器进行攻击，而流行于网络上的很多病毒如“震荡波、冲击波、尼姆达”病毒都是利用系统的漏洞来进行病毒传播的，加上带毒的木马程序，一感染便驻留在你的计算机当中，在以后的计算机启动后，木马就在机器中打开一个服务，通过这个服务将你计算机的信息、资料向外传递。

3) 目录共享导致信息的外泄, 在校园网络中，利用在对等网中对计算机中的某个目录设置共享进行资料的传输与共享是人们常采用的一个方法。但可以说几乎所有的人都没有充分认识到当一个目录共享后，就不光是校园网内的用户可以访问到，而是连在网络上的各台计算机都能对它进行访问。这也成了数据资料安全的一个隐患。我曾经搜索过外地机器的一个C类IP网段，发现共享的机器就有十几台，而且许多机器是将整个C盘、D盘进行共享，并且在共享时将属性设置为完全共享，且不进行密码保护，这样只要将其映射成一个网络硬盘，就能对上面的资料、文档进行查看、修改、删除。因而对目录共享安全意识的单薄，会导致了信息的外泄。

4) 网络安全意识淡薄，校园网络上的攻击、侵入他人机器，盗用他人帐号非法使用网络、非法获取未授权的文件、通过邮件等方式进行骚扰和人身攻击等事件经常发生、屡见不鲜，我校应用服务器和普通计算机平均一个星期会经受到数千次甚至上万次的非常访问尝试，而其中一大部分的非法访问源自校内，说明校园网络上的用户安全意识淡薄；另外，没有制定完善而严格的网络安全制度，各校园网在安全管理上也没有任何标准，这也是网络安全问题泛滥的一个重要原因.由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全机制显得尤其重要.。

四、 校园网络安全策略

校园网的安全威胁既有来自校内的，也有来自校外的，只有将技术和管理都重视起来，才能切实构筑一个安全的校园网。

国内高校校园网的安全问题有其历史原因：在以前的网络时期，一方面因为意识与资金方面的原因，以及对技术的偏好和运营意识的不足，普遍都存在“重技术、轻安全、轻管理“的倾向，常常只是在内部网与互联网之间放一个防火墙就万事大吉，有些学校甚至直接连接互联网，这就给病毒、黑客提供了充分施展身手的空间。而病毒泛滥、黑客攻击、信息丢失、服务被拒绝等等，这些安全隐患只要发生一次，对整个网络都将是致命性的。

作为高等院校，如何构筑相对可靠的校园网络安全体系问题，变得越来越突出了。一般来说，构筑校园网络安全体系，要从两个方面着手：一是采用先进的技术；二是不断改进管理方法。

五、 校园网安全管理

针对目前高校校园网安全现状的认识与理解，在防病毒软件、防火墙或智能网关等构成的防御体系下，对于防止来自校园网外的攻击已经足够。以下五点是高校的安全策略：

1、规范出口管理，实施校园网的整体安全架构，必须解决多出口的问题。对于出口进行规范统一的管理，使校园网络安全体系能够得以实施。为校园网的安全提供最基础的保障。

2、配备完整系统的网络安全设备，在网内和网外接口处配置一定的统一网络安全控制和监管设备就可杜绝大部分的攻击和破坏，一般包括：防火墙、入侵检测系统、漏洞扫描系统、网络版的防病毒系统等。另外，通过配置安全产品可以实现对校园网络进行系统的防护、预警和监控，对大量的非法访问和不健康信息起到有效的阻断作用，对网络的故障可以迅速定位并解决。

3、解决用户上网身份问题，建立全校统一的身份认证系统 。校园网络必须要解决用户上网身份问题，而身份认证系统是整个校园网络安全体系的基础的基础，否则即便发现了安全问题也大多只能不了了之，只有建立了基于校园网络的全校统一身份认证系统，才能彻底的解决用户上网身份问题，同时也为校园信息化的各项应用系统提供了安全可靠的保证。

4、严格规范上网场所的管理，集中进行监控和管理 。上网用户不但要通过统一的校级身份认证系统确认，而且，合法用户上网的行为也要受到统一的监控，上网行为的日志要集中保存在中心服务器上，保证了这个记录的法律性和准确性。

5、根据相关部门的要求，配备专门的安全管理人员，出台网络安全管理制度，网络安全的技术是多样化的，现状还是“道高一尺，魔高一丈”，因此管理的工作就愈发重要和艰巨，必须要做到及时进行漏洞修补和定期询检，保证对网络的监控和管理。[2]

六、 校园网络安全措施

前述各种网络安全威胁，都是通过网络安全缺陷和系统软硬件漏洞来对网络发起攻击的。为杜绝网络威胁，主要手段就是完善网络病毒监管能力，堵塞网络漏洞，从而达到网络安全。

七、杀毒软件。

杀毒产品的部署. 在该网络防病毒方案中，要达到一个目的就是：要在整个局域网内杜绝病毒的感染、传播和发作。为了实现这一点，应在整个网络内可能感染和传播病毒的地方采取相应的防病毒手段；同时为了有效、快捷地实施和管理整个网络的防病毒体系，应能实现远程安装、智能升级、远程报警、集中管理、分布查杀等多种功能.。

（1）在学校网络中心配置一台高效的Windows2000服务器安装一个杀毒软件的系统中心，负责管理校内网点的计算机。

（2）在各办公室分别安装杀毒软件的客户端。

（3）安装完杀毒软件，在管理员控制台对网络中所有客户端进行定时查杀毒的设置，保证所有客户端即使在没有联网的时候也能够定时进行对本机的查杀毒。

（4）网络中心负责整个校园网的升级工作。

八、 采用VLAN技术。

VLAN技术是在局域网内将工作站逻辑的划分成多个网段，从而实现虚拟工作组的技术。VLAN技术根据不同的应用业务以及不同的安全级别，将网络分段并进行隔离，实现相互间的访问控制，可以达到限制用户非法访问的目的。

九、内容过滤器。

内容过滤器是有效保护网络系免于误用和无意识服务拒绝的工具。同时，可以限制外来的垃圾邮件。

十、 防火墙。

在与Internet相连的每一台电脑上都装上防火墙，成为内外网之间一道牢固的安全屏障。在防火墙设置上按照以下原则配置来提高网络安全性:

(1) 根据校园网安全策略和安全目标，规划设置正确的安全过滤规则，规则审核IP数据包的内容包括：协议、端口、源地址、目的地址、流向等项目，严格禁止来自公网对校园内部网不必要的、非法的访问。总体上遵从“不被允许的服务就是被禁止”的原则.

(2）禁止访问系统级别的服务( 如HTTP , FTP等)。局域网内部的机器只允许访问文件、打印机共享服务。使用动态规则管理，允许授权运行的程序开放的端口服务，比如网络游戏或者视频语音电话软件提供的服务。

(3）如果你在局域网中使用你的机器，那么你就必须正确设置你在局域网中的IP，防火墙系统才能认识哪些数据包是从局域网来，哪些是从互联网来，从而保证你在局域网中正常使用网络服务（如文件、打印机共享）功能。

(4）定期查看防火墙访问日志，及时发现攻击行为和不良上网记录。

(5）允许通过配置网卡对防火墙设置，提高防火墙管理安全性.

十一、入侵检测。

入侵检测系统是防火墙的合理补充，帮助系统对付网络攻击。扩展系统管理员的安全管理能力．提高信息安全基础结构的完整性。入侵检测系统能实时捕获内外网之间传输的数据，利用内置的攻击特征库，使用模式匹配和智能分析的方法，检测网络上发生的入侵行为和异常现象，并记录有关事件。入侵检测系统还可以发出实时报警，使网络管理员能够及时采取应对措施。

十二、漏洞扫描。

随着软件规模的不断增大．系统中的安全漏洞或“后门”也不可避免地存在．因此，应采用先进的漏洞扫描系统定期对工作站、服务器等进行安全检查，并写出详细的安全性分析报告，及时地将发现的安全漏洞打上“补丁”。

十三、 数据加密。

数据加密是核心的对策，是保障数据安全最基本的技术措施和理论基础。

十四、加强网络安全管理。

加强网络管理主要是要做好两方面的工作。首先，加强网络安全知识的培训和普及；其次，是健全完善管理制度和相应的考核机制，以提高网络管理的效率。

第五章：网络实施

一、工程实施内容

按照预定方案，在具体施工过程中将按照如下顺序进行。

1、 布线设计 ：根据学院需求具体情况，完成布线设计配置方案，并在校方确认后，进一步完成建筑的管线设计或修正。

2、 铜缆施工：进行铜缆及相关管线的布放、安装。

3、 光缆施工：对光缆及相关管线的安装进行督导。

4、 线路测试：工程完工后，将选用BICC公司认定的专用仪器对系统进行导通、接续测试，并提交测试证明报告。

5、 系统联调：在系统的线路测试后，选择若干站点，对外部连接网络设备进行连通测试，并提供测试报告。

6、 工程验收：完成上述两项测试后，双方签字认定工程验收完毕，并由工程方完成有关BICC 15年质保体系的认证工作。

7、 文档：工程验收后，工程方将以文本或磁盘文件方式，向校方提供系统设计与方案配置、施工记录等在内的文档。

第六章：网络设备清单

一、资源设备清单

二、布线材料清单

服务器

第七章：网络维护

一、网络维护的必要性

校园网络维护是非常有必要的，由于校园网的数据量较大，流量大，数据多，所以必须要进行定期的维护，防止网络瘫痪，造成学校的工作不顺利。网络维护是整个维护过程中较为重要的为了满足业务或管理的需要，保障计算机核心系统和网络系统的正常运行环境，越来越多的计算机中心机房投入使用。机房以及各种各样的机房保障系统的安全运行水平，决定了核心业务系统和网络系统的可靠性和可用性。计算机应用系统和网络系统越重要，对机房的保障要求就越高，确保机房的安全可靠运行，是每个机房管理者追求的目标。然而，各种各样的计算机系统，庞大的信息通讯网络，众多的机房保障系统，连续不间断的长期运转，注定了机房运行风险的客观存在。

二、网络维护的实现

定期对机房机器进行检修，维护，对客户机安装网维大师等软件，进行重启维护还原。这样不会造成学生乱下载，乱删软件等，这样便于我们的维护工作。定期检修线路的连通性等等。也需要定期对网络的OA，网站，论坛等进行工作

完善的支持和维护是系统得以建设成功并长期稳定运行的重要保障。为达到这一目的，我们大体有三个思想：

其一是系统维护当然应以预防为主，在系统的软硬件平台建设完成之后，我们有责任帮助客户建立一个无忧环境，其主要内容就是协助客户建立一套完整的规章制度，并运用一整套系统和网络管理工具来保障网络的正常运行。

其二是系统维护的大量基础工作还得依靠各级技术队伍，仅仅凭集成商的力量肯定是不够的。在工程实施的过程中，集成商应尽可能地帮助客户建立一支自己的技术队伍，做好技术上的转移。

其三是系统维护的主要工作还需要集成商来完成。我们将有一套完整的系统支持维护体系，包括支持维护的机构和计划，以及相应的责任和承诺。

第八章：个人总结

两周的课程设计结束了，在这次的课程设计中不仅检验了我们所学习的知识，也培养了我们如何去把握一件事情，如何去做一件事情，又如何完成一件事情。课程设计是我们专业课程知识综合应用的实践训练，着是我们迈向社会，从事职业工作前一个必不少的过程，我们今天认真的进行课程设计，学会脚踏实地迈开这一步，就是为明天能稳健地在社会大潮中奔跑打下坚实的基础．通过这次设计，综合运用本专业所学课程的理论和专业技巧，在这次设计过程中，体现出自己单独设计能力以及综合运用知识的能力，体会了学以致用、突出自己劳动成果的喜悦心情，从中发现自己平时学习的不足和薄弱环节，从而加以弥补。

由于我们的设计能力有限，在设计过程中难免出现错误，恳请老师们多多指教,我将万分感谢。

注：此表必须在同一页面。

本文来源：https://www.2haoxitong.net/k/doc/2ee43bd091c69ec3d5bbfd0a79563c1ec4dad77e.html