校园网设计与规划

第一篇：校园网设计与规划

农村中学校园网设计与规划

2007-9-6 14:50:00

校园网络的规划设计是一项系统工程，不同的规划设计方案，可使网络存在较大的性能差异，它不仅体现在网络本身具备的技术特性和应用特点上，也体现了不同用户的各种需求，而校园网的建设必将对学校的信息化建设和教学素质的提高起到强大的推动作用，同时提供简单、有效、便捷的理想办公、教学环境。本文通过对响水县运河中学校园网建设的研究，着重从校园网现状及须求分析、系统设计原则和实现目标、系统建设方案、VLAN划分及子网配置等四个方面进行了初步的探讨。

【关键字】校园网、现状、规划

21世纪是一个以数字化、网络化与信息化为核心的信息时代。信息技术的高速发展，使得计算机网络发展的非常迅速，已经成为信息科学的一个新的分支。随着计算机网络的发展，校园网已经成为学校走向信息化时代的必然发展趋势，使我国教育管理向智能化发展。校园网以信息资源为根本，硬件网络系统为物质基础，同时以网络软件系统实现系统的管理与使用，是一个具有宽带通路和交互功能的专业性局域网，应具有教学（科研）、管理和通讯三大功能。学校教师的教学、科研工作和学生的学习生活对一个高速的、资源丰富的和应用多方面的校园网的需求是迫切的。

一、现状及需求分析。

1、计算机网络系统现状。

中小学校园网的建设不同于高等院校的校园网络，它的结构相对简单，主要集中在校园主干网和综合办公子网、教学子网的建设方面。当然一些规模较大的高中也会涉及到图书馆、实验室等应用子网的建设。

综合办公子网，主要用来完成学校的各项管理功能，为校领导和各个部门提供可靠的数据，实现办公自动化。

教学子网，主要实现多媒体教学，普及计算机网络基础知识。

建立网络管理中心，各应用子网设立分中心；建立功能齐备的网络管理系统，保证网络高效可靠地运行，同时提供丰富的网络应用资源和便利的资源访问手段。将网络中心与CERNET相连，并由此进入Internet。校园网逐步为广大教师、学生、科研人员提供丰富的网络应用资源，包括电子邮件服务、网络目录服务、文件访问和共享服务、图书科技情报查询服务、电子新闻服务、远程高速信息服务和计算服务、远程计算机教育、远程计算机协同工作以及教育和科研管理服务等等。

2、校园网系统需求分析。

响水县运河中学是响水县，乃至盐城市一所历史悠久的完全中学，学校以优秀的师资力量、良好的教学质量享誉全县。随着网络技术的不断发展，新兴的教学手段在世界各地被广泛地采用，在中国也被各方所接受认可。网络为教师、学生带来了更多的信息、素材，也带来了新的教学沟通方法。随着江苏省“校校通”学校网络工程的推进。响水县运河中学作为响水地区的一所非常有影响力的中学，构建校园网络系统已经成为必然的趋势。

二、系统设计原则和实现目标。

1、网络系统设计原则。

（1）中小学校园网主要为服务于教育、教学，实现学校的信息化教育。所以在校园网设计的初期就要充分考虑到教育教学的需要与实际经济承受能力的紧密结合，本着高效、适用、实用的原则，有计划、有重点，分层次，积极稳妥地推进校园网信息化建设。严格规范校园网信息化建设及相应的软件平台的开发标准，以确保校园网的整体建设规划和管理要求的一致性，才能真正为学校的教育、教学添砖加瓦。

（2）在建设校园网的时候还要应做到培训在先、建网建库同行、重在应用三个关键点。切实做好学校教师、技术、管理与行政人员的不同层次的培训，形成一支能使校园网充分发挥使用效益的应用队伍、教学软件开发队伍和能保证校园网正常持续运行的软、硬件管理队伍。只有这样，才可以使老师积极开发、推广、使用教育教学软件，自愿自主的建设校园网信息资源库，充分发挥校园网0在当今教育普及中的重要作用，是我们的教育信息化建设真正落到实处。

（3）对原有资源进行升级改造，要充分利用现有的设备，并充分考虑到原有设备和新建网络的融合和互通，使资源可以得到充分的利用，实现资源的优化配置和合理应用，这也是对于资金比较困难的学校在建设校园网一种解决途径。

2、系统建设目标。

在满足校园网络需求的基础上结合当前网络的发展趋势及学校的经济状况来确定校园网设计：

（1）统一规划，分步实施。

网络技术快速发展的特点以及学校经济承受能力决定了很多学校校园网建设无法一步到位，为了使有限的资金能够发挥最大的作用,避免重复投资造成浪费，网络设计必须分布实施。

（2）采用先进的成熟的技术。

采用通用的、成熟的技术方案可以降低建设成本、减小设计、施工和使用难度、缩短建设周期。有利于保护投资，并且有利于校园网的维护和升级。

（3）坚持开放性和标准化，统一网络协议。

校园网的实现要求通讯协议、网络平台等应具有世界性的开放性和标准化的特点，并且应采用统一的网络体系结构。

（4）坚持规范布线，考虑长远发展。

布线系统使网络的重要基础，布线系统的好坏是衡量一个网络好坏的非常重要的标志。布线系统不合理将降低网络的可靠性，使网络难以管理和维护，所以必须采用标准的综合布线系统。

（5）建立完善的网络管理体系。

必须建立健全的规章制度，采用集中统一管理的方法，以便于网络的维护和管理。

（6）易于使用和管理。

校园网的各种软件应用项目必须易于使用，对最终用户的起点要求不能太高，一般以熟练使用操作系统、办公软件系统、浏览器和电子邮件系统为宜；系统的日常管理和维护工作要方便、简易。网络拓扑结构一经配置确定，不应轻易更改。

（7）有良好的分层设计，强调应用和服务。

三、系统建设方案。

1、网络拓扑结构设计。

（1）网络的拓扑结构包括物理结构和逻辑规划两方面。物理结构容易受到重视，而通讯协议规划不合理、软件设置不当是引起网络故障、降低网络性能最常见的原因。因此，网络拓扑结构设计时必须进行物理和逻辑两方面的规划，在拓扑结构图中示明IP地址、子网、网关和路由等逻辑规划信息。

（2）在设计网络拓扑结构时，必须当考虑到未来3～5年内学校的发展和布局结构的调整。物理网段布局要充分考虑网络的成长性。对本地通信负荷大的局域网（如多媒体教室、软件实现的电子教室等），要采取分段的方法进行隔离。同一网段中的计算机数量要有一定限制。对一个应用较为完善的校园网，必须划分子网以保障网络干线负载均衡。要做到即使有客户机的IP地址与某台服务器重复，其他网段甚至该客户机所在网段的其余工作站仍能正常通信。

（3）从学校的实际情况出发,实现各个部分的智能化操作。网络采要分为主干网和部门网两个层次。以放射状的形式连到宿舍以及机房和教职工宿舍。网络结构具有先进性、实用性、可靠性，又充分的保证学校的投资在相当时间内具有保值性。同时系统具有可扩充性和可升级性的特点，以方便学校进行网络扩充和升级改造。

2、网络选型。校园网络系统可分为校园网络中心、教学子网、办公子网、图书馆子网、宿舍子网及后勤子网等。

（1）校园网络中心的设计

网络中心设计主要包括主干网络的设计、校园网与Internet的互连、远程访问服务等。

①主干网络的设计

主干网络采用联想新推出的LS－5608G智能型8联机箱式千兆以太网交换机作为校园网的中心交换机，它提供8个插槽，可选插8联的10/100Base－TX、2联的100Base－FX或1联的千兆以太网模块。适用于大型主干网络和高速率、高端口密度、多端口类型的复杂网络。同时可以选择MS－5103千兆位以太网模块(SX/MM/850nm,0－350m)或MS－5104千兆以太网模块(LX/SM/1310nm,0－6km)与下面的各个子网通过千兆位的链路相连。

②校园网与Internet的互连： 采用局域网专线接入方式，此方式需要配备路由器等设备，租用专线DDN或帧中继（Relay），也可申请ISDN专线并向CERNET管理部门申请IP地址及注册域名，以专线方式连入Internet，并提供防火墙、计费管理等功能。

本方案选用联想的LR－2501路由器，具有1个局域网(LAN)，2个广域网(WAN)和1个控制台。支持帧中继(－Relay)、X.25、PPP、HDLC协议。

③远程访问服务

采用联想LA－220和LA－240访问服务器，安装在本地局域网中，通过1至4个调制解调器(或ISDTA)和1至4根电话线，即可为远程访问人员提供拨号上网服务，远程用户只需拥有1个调制解调器和1根电话线，通过拨接LA－220或LA－240上所连接的电话号码，就可以登录访问。

（2）教学子网的设计

校园网建网的目的之一，是利用网络实现多媒体教学，如：交互式多媒体课堂、电子阅览室、教师培训等。多媒体教学的难点在于实现视频信号的传送(如VOD视频点播)。目前在局域网上实时传送高质量的视频数据还未成熟，但传送压缩后的视频数据确是可行的。根据教学子网对速度要求较高的特点，可以采用了联想LS－5625智能型24＋1和10/100M自适应以太网交换机，它提供24个10/100M交换式端口和一个扩展插槽，可选插1个8联的10/100Base－TX、1个2联的100Base－FX或1个1联的千兆以太网模块。但实际上大量用户(指超过60个流)的视频传输的瓶颈在于存储介质的外部传输速率，因此可选用多通道的磁盘阵列接多台主机的方式提高访问的总线带宽。

在教学子网的软件方面，可选用的种类较多，如：联想传奇(ParaSago)、电子教室、海航的电子阅览室、中教的课件制作系统等。

（3）办公子网的设计

办公子网主要面向学校的各级领导及各职能部门，能够实现对网络数据的查询、修改、添加、删除等操作，同时，应该能够满足支持视频传送的要求。鉴于此，办公子网采用了联想LH－262724＋3的10/100M自适应集线器或LH－261312＋1的10/100M自适应集线器，这两款集线器除具备普通双速集线器功能外，还专门提供了交换式端口，能够为连接在该端口上的设备提供独享的10/100M带宽，极大地提高数据传输速率，解决服务器瓶颈问题。采用联想LP－1363联10/100M以太网打印服务器，来完成共享打印功能。该服务器具有3个标准并联，可同时连接三台任意标准并联打印机。

办公子网对应的软件有科利华等公司研制开发的办公软件等。

（4）图书馆子网的设计

图书馆是一个相对独立的系统，我们采用联想LS－301616的10/100M自适应以太网交换机，它提供了优良的每端口性能价格比，并支持基于端口的VLAN划分。图书馆管理系统的应用软件产品较多而且相对成熟。

（5）宿舍区子网及后勤子网等的设计

宿舍区子网即在学生宿舍内部连网，用以直接浏览学校发布的信息及查阅一些电子文档资料；后勤子网覆盖范围较大，主要用途有食堂IC卡计费系统等。由于宿舍区子网及后勤子网对带宽的要求并不高，因此我们选用联想LH－201616的10/100M自适应集线器，提供16个双速集线器端口，能够自动适应所接设备的速度(10/100Mbps)，每台LH－2016背面都有2个堆叠口、利用这两个堆叠口最多可堆叠6台集线器，最大可用端口数为96个。

四、VLAN划分及子网配置。

1、IP地址分配。

2、传输及布线设计。

布线系统设计原则：

（1）灵活性：布线系统只通过跳线，而无需对线路，插座做任何改动，便可以在任何一间办公室，机房，教室，信息点为用户提供终端，局域网工作站等不同性质的应用。

（2）先进性：用户对该布线系统不用做任何修改，只需引入新的网络设备，便可用该布线系统支持更先进的应用。

（3）可靠性：该布线系统应能保证使用寿命与性能可靠，并有一定的冗余接口以备应用增加或不可预期损坏时使用。

（4）标准化：各种设计规范，技术指标及产品均符合国际和国家的各类工业标准，并提供多厂商产品的支持能力。

（5）可扩充性：布线系统具有很长使用寿命，而信息技术的发展又特别快，因此在设计布线系统使，应考虑具有充分的扩展能力。

根据以上原则：网络中心综合布线需要采用集中式的网络配置方案，因为它具有以下的优点：易于管理维护，安全性好，网络易于调整，扩展性好。

3、网络管理系统设计

（1）网络管理的目的在于保证网络正常、稳定地运行，随着网络管理的作用日益上升，网络管理也担负了整合网络资源、协调网络运行的重任。网络管理基本上提供了保障网络系统正常运行的基本功能，它担当着网络的维护重任，负责排除网络故障等；更重要的是，它在提高网络性能上的作用日益突出，因为网络动态性能的提高是通过网管系统来解决的。网管系统是整个网络工作状态的名副其实的调度中心。

（2）校园网作为学校日常工作的重要信息化平台，对教学资源共享、人力资源管理、办公支持、内部交流、远程教育、培训招生、对外合作等几乎所有的学校业务提供服务，因此，对校园网建设提出了可运营和多业务支持的要求。

（3）根据学校的应用特点和各项要求，①在网络中心，配置了1台DES-6300机箱式路由交换机。该交换机可以提供最大96个10/100M快速以太网端口或者12个千兆位端口或者组合使用，且包括了1000BASE-SX、1000BASE-LX、GBIC等多种介质端口。方案中，DES-6300的2个带2端口1000Base-LX的模块，被用来连接分中心DES-6000以及距离较远的大礼堂，同时实现与教育信息网的千兆连接；3个2端口1000Base-SX接口模块分别连接多台服务器以及其它建筑物；1个16口10/100Base-TX接口模块连接主楼的办公区、教室和网管工作站等。因每个模块都已内置了三层交换功能，所以不需要另配三层交换模块。另外为了实现电源冗余备份，还需另外配置1个电源模块DES-6310。

②分中心交换机采用DES-6000可网管机箱式千兆以太网交换机，它通过2口单模千兆模块DES-6007，与DES-6300之间采用2条1000Base-LX聚合链路形成全双工4Gbps的骨干；通过若干2口多模千兆模块DES-6006连接各建筑物。如果宿舍楼对带宽需求不高，也可通过1个12口100Base-FX百兆光纤模块连接。

③教学楼等办公区楼宇接入交换机采用千兆通DES-3226S系列可堆叠交换机。接入信息点较少的楼宇采用EDS-2626或DES-3226。依据距离的长短分别采用单模或多模千兆光纤连接DES-6300或DES-6000。

④学生和教工宿舍区的楼宇接入交换机采用EDS-2626，EDS-2626是D-Link专为教育行业设计的交换机，能够提供24个10/100M接口加1个扩展插槽；EDS-2626的最大特色在于它采用D-Link自主研发的网管协议实现无IP的集群管理，并且支持基于端口的上下行的限速，同时还支持802.1qVLAN、802.1x等多种认证协议，使校园网可以实现安全的用户隔离和对学生认证管理。

4、设备以及配置的选型

（1）服务器

选用专业的高性能服务器作为网络服务器，其中有一台作为主服务器，另一台作为备份服务器，选用高性能的网络操作系统如（Unix、Linux、Windows2000Server等）。

（2）路由器

网络连接的关键设备是路由器（Router），无论是Internet接入，异地网络连接还是大型网络广播域的划分，都离不开路由器，因此，路由器的性能较为重要，选择Cisco公司和3Com公司的产品，就能体现出极高的性能。

（3）交换机

主服务器是整个网络的核心部分,是存储的中心,因此选用可靠性安全性较好的100兆路由交换机,而二级的网络设备由一般的交换机，但交换机应选用性能稳定的交换机。

（4）连接介质

连接介质的选择分两部分，第一部分为各交换机（switch）之间（楼与楼之间，楼层之间）及网络出口干线选择光纤；第二部分为从访问层的交换机到用户的PC桌面选择超五类双绞线。

（5）网卡

工作站网卡选择10/100自适应网卡。服务器可以更换为百兆网卡，以提高性能。

（6）数据存储设备

除选择大容量硬盘外，还可选磁带机、磁盘阵列、光盘阵列，这些外存设备，均可用于储存海量网络数据，如图书资料，多媒体素材及课件学生学籍和成绩管理等。

五、总结

建设一个以办公自动化、计算机辅助教学为核心，以现代网络技术为依托，技术先进、扩展性强、能覆盖学校主要楼宇的校园主干网络，将学校的各种终端设备和局域网连接，并与市教育城域网相连，形成结构合理、内外沟通的校园网络。在此基础上建立能满足教学、教研和管理工作需要的软硬件环境，开发教育教学资源库、信息库，为学校各类人员提供充分的网络信息服务。校园网的建设必将对学校的信息化建设和教学素质的提高起到强大的推动作用，同时提供简单、有效、便捷的理想办公、教学环境。校园网一方面缩短了学校与外界的距离；另一方面，构建了以INTRANET为基础的科学管理体系，必将推动学校信息化建设的极大发展。

第二篇：校园网规划与设计

广东交通职业技术学院

校园网设计与规划

09

姓名： 杰（10号）

旋（8号）

指导老师： 雷

班班级：应用电子技术

前言

校园网络的规划设计是一项系统工程，不同的规划设计方案，可使网络存在较大的性能差异，它不仅体现在网络本身具备的技术特性和应用特点上，也体现了不同用户的各种需求，而校园网的建设必将对我院的信息化建设和教学素质的提高起到强大的推动作用，同时提供简单、有效、便捷的理想办公、教学环境。本文通过对本校校园网建设的研究，着重从校园网现状及须求分析、系统设计原则和实现目标、系统建设方案、VLAN划分及子网配置等四个方面进行了初步的探讨。

21世纪是一个以数字化、网络化与信息化为核心的信息时代。信息技术的高速发展，使得计算机网络发展的非常迅速，已经成为信息科学的一个新的分支。随着计算机网络的发展，校园网已经成为我院走向信息化时代的必然发展趋势，使我国教育管理向智能化发展。校园网以信息资源为根本，硬件网络系统为物质基础，同时以网络软件系统实现系统的管理与使用，是一个具有宽带通路和交互功能的专业性局域网，应具有教学（科研）、管理和通讯三大功能。我院教师的教学、科研工作和学生的学习生活对一个高速的、资源丰富的和应用多方面的校园网的需求是迫切的。

目录

一、现状及需求分析„„„„„„„„„„„„„„„„4

1、计算机网络系统现状

2、校园网系统需求分析

3、网络管理系统设计

二、系统设计原则和实现目标„„„„„„„„„„„„5

1、网络系统设计原则。

2、系统建设目标。（1）统一规划，分步实施。（2）采用先进的成熟的技术。

（3）坚持开放性和标准化，统一网络协议。（4）坚持规范布线，考虑长远发展。（5）建立完善的网络管理体系。（6）易于使用和管理。

三、系统建设方案„„„„„„„„„„„„„„„„„7

1、网络拓扑结构设计。

2、网络拓扑结构设计图

四、VLAN划分及子网配置„„„„„„„„„„„„„9

1、IP地址分配。

2、传输及布线设计。

一、现状及需求分析

1、计算机网络系统现状。

我院占地面积较小，校园网的建设不同于其他高等院校的校园网络，它的结构相对简单，主要集中在校园主干网和综合办公子网、教学子网和宿舍子网的建设方面。

综合办公子网，主要用来完成我院的各项管理功能，为校领导和各个部门提供可靠的数据，实现办公自动化。

教学子网，主要实现多媒体教学，普及计算机网络基础知识。宿舍子网，主要提供学生上网查资料、学习网络知识等。建立网络管理中心，各应用子网设立分中心；建立功能齐备的网络管理系统，保证网络高效可靠地运行，同时提供丰富的网络应用资源和便利的资源访问手段。将网络中心与CERNET相连，并由此进入Internet。校园网逐步为广大教师、学生、科研人员提供丰富的网络应用资源，包括电子邮件服务、网络目录服务、文件访问和共享服务、图书科技情报查询服务、电子新闻服务、远程高速信息服务和计算服务、远程计算机教育、远程计算机协同工作以及教育和科研管理服务等等。

2、校园网系统需求分析。

我院北校区坐落在交通方便的花都区工业大道两旁，始建于1959年，占地面积约66000平方米，建筑面积24000平方米，现有专业60个，在校学生约6000名，拥有由教授、副教授、博士（后）、硕士、高级工程师、高级技师、远洋船长、轮机长等高层次专业人才

组成的是一支团结勤奋，务实进取、干事创业的教师队伍，是一支年轻化、知识化、专业化的优秀群体，在历年的综合评估中，我校2008年成为广东省首批立项建设的省级示范性高等职业学院等光荣称号，受到上级领导特别是当地群众的广泛好评。

。随着网络技术的不断发展，新兴的教学手段在世界各地被广泛地采用，在中国也被各方所接受认可。网络为教师、学生带来了更多的信息、素材，也带来了新的教学沟通方法。随着 “校校通”我院网络工程的推进。构建校园网络系统已经成为必然的趋势。

二、系统设计原则和实现目标。

1、网络系统设计原则。

（1）我院校园网主要为服务于教育、教学，实现我院的信息化教育。所以在校园网设计的初期就要充分考虑到教育教学的需要与实际经济承受能力的紧密结合，本着高效、适用、实用的原则，有计划、有重点，分层次，积极稳妥地推进校园网信息化建设。严格规范校园网信息化建设及相应的软件平台的开发标准，以确保校园网的整体建设规划和管理要求的一致性，才能真正为我院的教育、教学添砖加瓦。

（2）在建设校园网的时候还要应做到培训在先、建网建库同行、重在应用三个关键点。切实做好我院教师、技术、管理与行政人员的不同层次的培训，形成一支能使校园网充分发挥使用效益的应用队伍、教学软件开发队伍和能保证校园网正常持续运行的软、硬件管理队伍。只有这样，才可以使老师积极开发、推广、使用教育教学软件，自愿自主的建设校园网信息资源库，充分发挥校园网在当今教育普及

中的重要作用，是我们的教育信息化建设真正落到实处。（3）对原有资源进行升级改造，要充分利用现有的设备，并充分考虑到原有设备和新建网络的融合和互通，使资源可以得到充分的利用，实现资源的优化配置和合理应用，这也是对于资金比较困难的我院在建设校园网一种解决途径。

2、系统建设目标。

在满足校园网络需求的基础上结合当前网络的发展趋势及我院的经济状况来确定校园网设计：（1）统一规划，分步实施。

网络技术快速发展的特点以及我院经济承受能力决定了很多我院校园网建设无法一步到位，为了使有限的资金能够发挥最大的作用,避免重复投资造成浪费，网络设计必须分布实施。

（2）采用先进的成熟的技术。

采用通用的、成熟的技术方案可以降低建设成本、减小设计、施工和使用难度、缩短建设周期。有利于保护投资，并且有利于校园网的维护和升级。

（3）坚持开放性和标准化，统一网络协议。

校园网的实现要求通讯协议、网络平台等应具有世界性的开放性和标准化的特点，并且应采用统一的网络体系结构。

（4）坚持规范布线，考虑长远发展。

布线系统使网络的重要基础，布线系统的好坏是衡量一个网络好坏的非常重要的标志。布线系统不合理将降低网络的可靠性，使网络

难以管理和维护，所以必须采用标准的综合布线系统。

（5）建立完善的网络管理体系。

必须建立健全的规章制度，采用集中统一管理的方法，以便于网络的维护和管理。

（6）易于使用和管理。

校园网的各种软件应用项目必须易于使用，对最终用户的起点要求不能太高，一般以熟练使用操作系统、办公软件系统、浏览器和电子邮件系统为宜；系统的日常管理和维护工作要方便、简易。网络拓扑结构一经配置确定，不应轻易更改。

三、系统建设方案。

1、网络拓扑结构设计。

（1）网络的拓扑结构包括物理结构和逻辑规划两方面。物理结构容易受到重视，而通讯协议规划不合理、软件设置不当是引起网络故障、降低网络性能最常见的原因。因此，网络拓扑结构设计时必须进行物理和逻辑两方面的规划，在拓扑结构图中示明IP地址、子网、网关和路由等逻辑规划信息。

（2）在设计网络拓扑结构时，必须当考虑到未来3～5年内我院的发展和布局结构的调整。物理网段布局要充分考虑网络的成长性。对本地通信负荷大的局域网（如多媒体教室、软件实现的电子教室等），要采取分段的方法进行隔离。同一网段中的计算机数量要有一定限制。对一个应用较为完善的校园网，必须划分子网以保障网络干线负载均衡。要做到即使有客户机的IP地址与某台服务器重复，其

他网段甚至该客户机所在网段的其余工作站仍能正常通信。

（3）从我院的实际情况出发,实现各个部分的智能化操作。网络采要分为主干网和部门网两个层次。以放射状的形式连到宿舍以及机房和教职工宿舍。网络结构具有先进性、实用性、可靠性，又充分的保证我院的投资在相当时间内具有保值性。同时系统具有可扩充性和可升级性的特点，以方便我院进行网络扩充和升级改造。

2、网络拓扑结构设计图

宿舍网

四、VLAN划分及子网配置。

1、IP地址分配。根据实际需要划分

2、传输及布线设计。布线系统设计原则：

（1）灵活性：布线系统只通过跳线，而无需对线路，插座做任何改动，便可以在任何一间办公室，机房，教室，信息点为用户提供终端，局域网工作站等不同性质的应用。

（2）先进性：用户对该布线系统不用做任何修改，只需引入新的网络设备，便可用该布线系统支持更先进的应用。

（3）可靠性：该布线系统应能保证使用寿命与性能可靠，并有一定的冗余接口以备应用增加或不可预期损坏时使用。

（4）标准化：各种设计规范，技术指标及产品均符合国际和国家的各类工业标准，并提供多厂商产品的支持能力。

（5）可扩充性：布线系统具有很长使用寿命，而信息技术的发展又特别快，因此在设计布线系统使，应考虑具有充分的扩展能力。

根据以上原则：网络中心综合布线需要采用集中式的网络配置方案，因为它具有以下的优点：易于管理维护，安全性好，网络易于调整，扩展性好。

3、网络管理系统设计

（1）网络管理的目的在于保证网络正常、稳定地运行，随着网络管理的作用日益上升，网络管理也担负了整合网络资源、协调网络

运行的重任。网络管理基本上提供了保障网络系统正常运行的基本功能，它担当着网络的维护重任，负责排除网络故障等；更重要的是，它在提高网络性能上的作用日益突出，因为网络动态性能的提高是通过网管系统来解决的。网管系统是整个网络工作状态的名副其实的调度中心。

（2）校园网作为学院日常工作的重要信息化平台，对教学资源共享、人力资源管理、办公支持、内部交流、远程教育、培训招生、对外合作等几乎所有的我院业务提供服务，因此，对校园网建设提出了可运营和多业务支持的要求。

总之，建设一个以办公自动化、计算机辅助教学为核心，以现代网络技术为依托，技术先进、扩展性强、能覆盖我院主要楼宇的校园主干网络，将我院的各种终端设备和局域网连接，并与市教育城域网相连，形成结构合理、内外沟通的校园网络。在此基础上建立能满足教学、教研和管理工作需要的软硬件环境，开发教育教学资源库、信息库，为我院各类人员提供充分的网络信息服务。校园网的建设必将对我院的信息化建设和教学素质的提高起到强大的推动作用，同时提供简单、有效、便捷的理想办公、教学环境。校园网一方面缩短了我院与外界的距离；另一方面，构建了以INTRANET为基础的科学管理体系，必将推动我院信息化建设的极大发展。

第三篇：校园网规划与设计

校

园

网

络

规

划

与

设

计

校园网设计与规划

校园网络的规划设计是一项系统工程，不同的规划设计方案，可使网络存在较大的性能差异，它不仅体现在网络本身具备的技术特性和应用特点上，也体现了不同用户的各种需求，而校园网的建设必将对学校的信息化建设和教学素质的提高起到强大的推动作用，同时提供简单、有效、便捷的理想办公、教学环境。本文通过对本校校园网建设的研究，着重从校园网现状及须求分析、系统设计原则和实现目标、系统建设方案、VLAN划分及子网配置等四个方面进行了初步的探讨。

21世纪是一个以数字化、网络化与信息化为核心的信息时代。信息技术的高速发展，使得计算机网络发展的非常迅速，已经成为信息科学的一个新的分支。随着计算机网络的发展，校园网已经成为学校走向信息化时代的必然发展趋势，使我国教育管理向智能化发展。校园网以信息资源为根本，硬件网络系统为物质基础，同时以网络软件系统实现系统的管理与使用，是一个具有宽带通路和交互功能的专业性局域网，应具有教学（科研）、管理和通讯三大功能。学校教师的教学、科研工作和学生的学习生活对一个高速的、资源丰富的和应用多方面的校园网的需求是迫切的。

一、现状及需求分析。

1、计算机网络系统现状。

中小学校园网的建设不同于高等院校的校园网络，它的结构相对简单，主要集中在校园主干网和综合办公子网、教学子网的建设方面。

综合办公子网，主要用来完成学校的各项管理功能，为校领导和各个部门提供可靠的数据，实现办公自动化。

教学子网，主要实现多媒体教学，普及计算机网络基础知识。

建立网络管理中心，各应用子网设立分中心；建立功能齐备的网络管理系统，保证网络高效可靠地运行，同时提供丰富的网络应用资源和便利的资源访问手段。将网络中心与CERNET相连，并由此进入Internet。校园网逐步为广大教师、学生、科研人员提供丰富的网络应用资源，包括电子邮件服务、网络目录服务、文件访问和共享服务、图书科技情报查询服务、电子新闻服务、远程高速信息服务和计算服务、远程计算机教育、远程计算机协同工作以及教育和科研管理服务等等。

2、校园网系统需求分析。

某中学坐落在青山环绕，山川秀美的孔氏乡丁峪村，始建于1958年，占地面积6600平方米，建筑面积2400平方米，现有教学班6个，在校学生200名，教职工17名，其中中学一级教师4名，占全体教师 的23.5%,本科学历6人，占全体教师的35.3%，是一支团结勤奋，务实进取、干事创业的教师队伍，是一支年轻化、知识化、专业化的优秀群体，在历年的综合评估中，我校多次被县教育局获得“昔阳县文明单位”、“教学成绩提高显著学校”、“新课程改革先进单位”等光荣称号，受到上级领导特别是当地群众的广泛好评。

。随着网络技术的不断发展，新兴的教学手段在世界各地被广泛地采用，在中国也被各方所接受认可。网络为教师、学生带来了更多的信息、素材，也带来了新的教学沟通方法。随着 “校校通”学校网络工程的推进。构建校园网络系统已经成为必然的趋势。

二、系统设计原则和实现目标。

1、网络系统设计原则。

（1）中小学校园网主要为服务于教育、教学，实现学校的信息化教育。所以在校园网设计的初期就要充分考虑到教育教学的需要与实际经济承受能力的紧密结合，本着高效、适用、实用的原则，有计划、有重点，分层次，积极稳妥地推进校园网信息化建设。严格规范校园网信息化建设及相应的软件平台的开发标准，以确保校园网的整体建设规划和管理要求的一致性，才能真正为学校的教育、教学添砖加瓦。

（2）在建设校园网的时候还要应做到培训在先、建网建库同行、重在应用三个关键点。切实做好学校教师、技术、管理与行政人员的不同层次的培训，形成一支能使校园网充分发挥使用效益的应用队伍、教学软件开发队伍和能保证校园网正常持续运行的软、硬件管理队伍。只有这样，才可以使老师积极开发、推广、使用教育教学软件，自愿自主的建设校园网信息资源库，充分发挥校园网在当今教育普及中的重要作用，是我们的教育信息化建设真正落到实处。

（3）对原有资源进行升级改造，要充分利用现有的设备，并充分考虑到原有设备和新建网络的融合和互通，使资源可以得到充分的利用，实现资源的优化配置和合理应用，这也是对于资金比较困难的学校在建设校园网一种解决途径。

2、系统建设目标。

在满足校园网络需求的基础上结合当前网络的发展趋势及学校的经济状况来确定校园网设计：（1）统一规划，分步实施。

网络技术快速发展的特点以及学校经济承受能力决定了很多学校校园网建设无法一步到位，为了使有限的资金能够发挥最大的作用,避免重复投资造成浪费，网络设计必须分布实施。

（2）采用先进的成熟的技术。

采用通用的、成熟的技术方案可以降低建设成本、减小设计、施工和使用难度、缩短建设周期。有利于保护投资，并且有利于校园网的维护和升级。

（3）坚持开放性和标准化，统一网络协议。

校园网的实现要求通讯协议、网络平台等应具有世界性的开放性和标准化的特点，并且应采用统一的网络体系结构。

（4）坚持规范布线，考虑长远发展。

布线系统使网络的重要基础，布线系统的好坏是衡量一个网络好坏的非常重要的标志。布线系统不合理将降低网络的可靠性，使网络难以管理和维护，所以必须采用标准的综合布线系统。

（5）建立完善的网络管理体系。

必须建立健全的规章制度，采用集中统一管理的方法，以便于网络的维护和管理。（6）易于使用和管理。

校园网的各种软件应用项目必须易于使用，对最终用户的起点要求不能太高，一般以熟练使用操作系统、办公软件系统、浏览器和电子邮件系统为宜；系统的日常管理和维护工作要方便、简易。网络拓扑结构一经配置确定，不应轻易更改。

（7）有良好的分层设计，强调应用和服务。

三、系统建设方案。

1、网络拓扑结构设计。

（1）网络的拓扑结构包括物理结构和逻辑规划两方面。物理结构容易受到重视，而通讯协议规划不合理、软件设置不当是引起网络故障、降低网络性能最常见的原因。因此，网络拓扑结构设计时必须进行物理和逻辑两方面的规划，在拓扑结构图中示明IP地址、子网、网关和路由等逻辑规划信息。

（2）在设计网络拓扑结构时，必须当考虑到未来3～5年内学校的发展和布局结构的调整。物理网段布局要充分考虑网络的成长性。对本地通信负荷大的局域网（如多媒体教室、软件实现的电子教室等），要采取分段的方法进行隔离。同一网段中的计算机数量要有一定限制。对一个应用较为完善的校园网，必须划分子网以保障网络干线负载均衡。要做到即使有客户机的IP地址与某台服务器重复，其他网段甚至该客户机所在网段的其余工作站仍能正常通信。

（3）从学校的实际情况出发,实现各个部分的智能化操作。网络采要分为主干网和部门网两个层次。以放射状的形式连到宿舍以及机房和教职工宿舍。网络结构具有先进性、实用性、可靠性，又充分的保证学校的投资在相当时间内具有保值性。同时系统具有可扩充性和可升级性的特点，以方便学校进行网络扩充和升级改造。

2、网络拓扑结构设计图

四、VLAN划分及子网配置。

1、IP地址分配。

2、传输及布线设计。布线系统设计原则：

（1）灵活性：布线系统只通过跳线，而无需对线路，插座做任何改动，便可以在任何一间办公室，机房，教室，信息点为用户提供终端，局域网工作站等不同性质的应用。

（2）先进性：用户对该布线系统不用做任何修改，只需引入新的网络设备，便可用该布线系统支持更先进的应用。

（3）可靠性：该布线系统应能保证使用寿命与性能可靠，并有一定的冗余接口以备应用增加或不可预期损坏时使用。

（4）标准化：各种设计规范，技术指标及产品均符合国际和国家的各类工业标准，并提供多厂商产品的支持能力。

（5）可扩充性：布线系统具有很长使用寿命，而信息技术的发展又特别快，因此在设计布线系统使，应考虑具有充分的扩展能力。

根据以上原则：网络中心综合布线需要采用集中式的网络配置方案，因为它具有以下的优点：易于管理维护，安全性好，网络易于调整，扩展性好。

3、网络管理系统设计

（1）网络管理的目的在于保证网络正常、稳定地运行，随着网络管理的作用日益上升，网络管理也担负了整合网络资源、协调网络运行的重任。网络管理基本上提供了保障网络系统正常运行的基本功能，它担当着网络的维护重任，负责排除网络故障等；更重要的是，它在提高网络性能上的作用日益突出，因为网络动态性能的提高是通过网管系统来解决的。网管系统是整个网络工作状态的名副其实的调度中心。

（2）校园网作为学校日常工作的重要信息化平台，对教学资源共享、人力资源管理、办公支持、内部交流、远程教育、培训招生、对外合作等几乎所有的学校业务提供服务，因此，对校园网建设提出了可运营和多业务支持的要求。

总之，建设一个以办公自动化、计算机辅助教学为核心，以现代网络技术为依托，技术先进、扩展性强、能覆盖学校主要楼宇的校园主干网络，将学校的各种终端设备和局域网连接，并与市教育城域网相连，形成结构合理、内外沟通的校园网络。在此基础上建立能满足教学、教研和管理工作需要的软硬件环境，开发教育教学资源库、信息库，为学校各类人员提供充分的网络信息服务。校园网的建设必将对学校的信息化建设和教学素质的提高起到强大的推动作用，同时提供简单、有效、便捷的理想办公、教学环境。校园网一方面缩短了学校与外界的距离；另一方面，构建了以INTRANET为基础的科学管理体系，必将推动学校信息化建设的极大发展。

第四篇：校园网规划与设计

湖北科技学院

计算机学院课程设计

专 业： 10网络工程 课程名称： 计算机网络 课题名称: 校园网规划与设计 教 师: 学 号: 姓 名:

时 间： 2012 年 6 月 10 日

1、场景

某所学院，有一个校区，校区都有办公区、教学区、教师园区、学生公寓。校区有4000个接入点，在校区图书馆建立网络管理中心，所有计算机通过网络中心的出口访问外网。网络中心提供web服务、FTP服务、DHCP等。web服务器、FTP服务器要求外部网络也能访问。（中心校区图书馆建立无线网络，采用DHCP为无线网络分配IP地址。）学校目前只获得了一个C类地址。（如：200.1.1.0，可任意设定）。

2、要求：

（1）编写课程设计文档，文档中包含需求分析（用户需求、功能需求、设备需求、设备选型、设备位置）、网络规划与实现技术（三层交换、路由技术、NAT技术、IP地址规划、网络设备命名规划、路由规划）、网络设计（拓扑设计、网络配置）、总结。（2）采用packet tracker软件完成拓扑设计。（3）采用packet tracker软件实现网络配置。

（4）上交课程设计文档和packet tracker网络实现文件。

大型校园网络规划与设计

一、需求分析

校区有4000个接入点，在校区图书馆建立网络管理中心，所有计算机通过网络中心的出口访问外网。网络中心提供web服务、FTP服务、DHCP等。web服务器、FTP服务器要求外部网络也能访问。（中心校区图书馆建立无线网络，采用DHCP为无线网络分配IP地址。）学校目前只获得了一个C类地址。（如：200.1.1.0，可任意设定）。

二、实现技术 1.路由技术(1)静态路由协议

静态路由协议需要三个参数：目标网段，子网掩码，下一跳。基本格式：(每个路由器要到达网络的所有网段，直连的网段不需要到达，因为当你使用该协议时直连网段就包含在路由表项中了)Router rip Version 2(路由协议的版本，默认的版本是1版本)Ip router 目标网段 子网掩码 下一跳

(2)动态路由协议

动态路由协议需要一个参数：直连网段

基本格式：(与路由器直连的网段要包含在路由表项中)Router rip Version 2

Network 直连网段

(有几个直连网段就有几个network)(3)缺省路由

缺省路由需要3个参数：0.0.0.0 0.0.0.0 下一跳 基本格式：

Ip router 0.0.0.0 0.0.0.0 下一跳(4)ospf协议

Router rip ospf num(num 是任意数)Network 直连网段 反子网掩码 area 0 2.三层交换

(1)申明vlan 端口划分--申明vlan：int vlan 10--端口划分：int f0/0 switchport mode access ,switchport access vlan 10(这是将端口f0/0划分到vlan 10 中)--Trunk链路的设置：要先封装，后设置 Switchport trunk encapsulation dot 1 Switchport mode trunk(2)vlan ip 设置

Int vlan 10

(选中vlan)Ip add 217.168.10.0 255.255.255.0 3.nat 技术

主要有：标准访问控制，扩展访问控制，网络地址转换(静态和动态)(1)标准访问控制(接口定在离目标网段近的地方out)

--定义规则

access-list 编号(1-99)deny 网段 反子网掩码（不允许网段那部分访问服务器）

--应用到接口

int f0/0(选定接口)ip access-group 编号(和上面的的数字相同)out(随选择的访问控制方式不同而不同)access-list 10 permit any 禁止217.168 的所有网段访问： access-list 20 deny 217.168.0.0 0.0.255.255 access-list 20 permit any(2)扩展访问控制(接口定义在离源网段近的地方in)--定义规则 access-list 编号 deny 网段 反子网掩码

access-list 110 deny tcp 源网段 反子网掩码

目的网段

反子网掩码（不允许web反问）eq www access-list 110 permit tcp 源网段 反子网掩码

目的网段

反子网掩码（不允许ftp访问）eq ftp access-list 110 permit tcp any any

--应用到接口 int f0/0 选定离源网段近的接口

ip access group 编号(和上面的的数字相同)in(3)地址转换(在三层交换机上配置)三层交换机中的端口要设ip的时候要将端口设置成路由端口，命令：int f0/3 no switchport--接口(是外部转换接口还是内部转换接口)：

Int f0/3 ip nat out side(将f0/3指定为外部转换接口)Int vlan 编号

ip nat inside(将vlan的虚拟接口指定为内部转换接口)静态：指定一个映射，用于服务器

ip nat inside source static 192.168.100.2 200.168.100.20(ip 为192.168.100.2的主机访问外网时，转换的地址为200.168.100.20)动态：指定一组映射 所有映射只能在该组中选 配置地址池：

ip nat pool netin(pool名)200.168.100.100 200.168.100.220 netmask 255.255.255.0(指定地址池用作地址转换)access-list 50 permit 192.168.50.0 0.0.0.255(指定所选网段的地址可以用该地址池进行地址转换)access-list 50 permit 192.168.60.0 0.0.0.255 access-list 50 permit 192.168.70.0 0.0.0.255 access-list 50 permit 192.168.80.0 0.0.0.255 access-list 50 permit 192.168.100.0 0.0.0.255 ip nat inside sourcr list 50 pool netin 允许50列表作为内部转换 show ip nat translation 显示转换结果

基于端口 ip nat inside sourcr list 50 pool netin overload

三、网络规划

本次设计的网络规划如下：(详解见 校园网规划与设计.pkt 文件)200.100.4.0连接的是内网和外网部分

四、网络设计（配置）

运用所给的技术在网络拓扑图中实现网络互通以及其他设计 校园网的设计目的：内网通过网络地址转换后，能访问外网；外网不能访问内网，但能访问内网的服务器。

总的线路：1.网络配通；2.用命令使内网部分不能访问外网3.在router 5中去掉内网的路由表项；4.在三层交换集中使用地址转换(地址池和静态)，配置地址池时不要把服务器所在的vlan也配到地址池中，因为外网要访问服务器的，服务器的vlan使用静态的指定所要转换的地址，网络地址转换后的地址是与外网相连的网段的地址 基本命令如下：(1)设置电脑ip(2)路由设置： Router 4：

-----端口ip设置部分 interface F0/0 ip address 200.100.1.1 255.255.255.0

no shut interface S0/0 ip address 200.100.2.1 255.255.255.0 clock rate 64000-----router 4路由协议部分(路由协议部分等电脑ip和端口ip都设置好了后再来配置)router rip version 2 ip route 200.100.3.0 255.255.255.0 200.100.2.2 ip route 200.100.4.0 255.255.255.0 200.100.2.2 ip route 217.168.10.0 255.255.255.0 200.100.2.2 ip route 217.168.20.0 255.255.255.0 200.100.2.2 ip route 217.168.30.0 255.255.255.0 200.100.2.2 ip route 217.168.40.0 255.255.255.0 200.100.2.2 ip route 217.168.50.0 255.255.255.0 200.100.2.2 router 5: interface F0/0 ip address 200.100.3.1 255.255.255.0 no shut interface F0/1 ip address 200.100.4.1 255.255.255.0 no shut

interface S0/0 ip address 200.100.2.2 255.255.255.0-----router 5的协议部分(该部分没有内网路由的信息，因为网络直允许内网访问外网，不允许外网访问内网不过能访问内网的服务器)ip route 200.100.1.0 255.255.255.0 200.100.2.1 ip route 217.168.50.0 255.255.255.0 200.100.4.2---使内网不能访问外网

access-list 20 deny 217.168.0.0 0.0.255.255 int f0/0 ip access-group 20 out access-list 20 permit any(3)三层交换机命令配置 首先划分vlan： Int vlan 10 Int vlan 20 Int vlan 30

Int vlan 40 Int vlan 50-----设置中继trunk链路 interface F0/1 switchport trunk encapsulation dot1q switchport mode trunk interface F0/2 switchport trunk encapsulation dot1q switchport mode trunk interface F0/3(f0/3使属于vlan 50的此处不做中继接口，不用封装switchport mode access switchport access vlan 50-----vlan ip 的设置 interface Vlan10 ip address 217.168.10.1 255.255.255.0 interface Vlan20 ip address 217.168.20.1 255.255.255.0 interface Vlan30 ip address 217.168.30.1 255.255.255.0 interface Vlan40 ip address 217.168.40.1 255.255.255.0 interface Vlan50)

ip address 217.168.50.1 255.255.255.0--接口(是外部转换接口还是内部转换接口)Int f0/3 ip nat out side In vlan 10 ip nat inside In vlan 20 ip nat inside In vlan 30 ip nat inside In vlan 40 ip nat inside In vlan 50 ip nat inside----路由协议部分

ip route 200.100.1.0 255.255.255.0 200.100.4.1 ip route 200.100.2.0 255.255.255.0 200.100.4.1 ip route 200.100.3.0 255.255.255.0 200.100.4.1-----地址池配置

ip nat pool netin 200.100.4.100 200.100.4.220 netmask 255.255.255.0 access-list 50 permit 217.168.10.0 0.0.0.255 access-list 50 permit 217.168.20.0 0.0.0.255 access-list 50 permit 217.168.30.0 0.0.0.255 access-list 50 permit 217.168.40.0 0.0.0.255 ip nat inside source list 50 pool netin ip nat inside source static 217.168.50.2 200.100.4.20(静态指定)(4)交换机2，3使作傻瓜交换机用的

交换机0，1需要划分vlan 和将相应的端口划分到相应的vlan中

五、总结

通过这次校园网的规划与设计，进一步的熟悉了网络配置的命令，一个网络由不通到能相互通讯，再到用扩展访问限制网络用户的访问权限，达到一定网络安全，最后到用网络地址转换转换地址，使原本不能访问外网的主机能访问外网。实验开始，确实觉得有点难度，因为那时对这个不是很熟悉，但后来熟悉了以后，觉得还是不难的，只要思路清晰，一步一步的做，最后这也会是一个简单的实验

第五篇：校园网设计与规划

、天 津 机 电 职 业 技 术 学 院

TIANFSDFJIN VOCATIONAL COLLEGE OF MECHANICS AND ELECTRICITY

《信息与网络安全》

大作业报告书

姓 名： 安立国 学 号： 2011333125 班 级： 计信11⑴ 指导教师： 冯 骏 完成日期： 2013.6 成 绩：

一、校园网设计与规划的指导原则...............................................3

二、校园网络中不安全的主要问题...............................................4 1.IP盗用问题...........................................................4 2.防火墙攻击............................................................4 3.Email问题............................................................4 4.各种服务器和网络设备的扫描和攻击......................................4 5.非法URL的访问问题....................................................4 6.病毒防护..............................................................5（1）实用性：........................................................5（2）先进性：........................................................5（3）开放性：........................................................5（4）安全性：........................................................5（5）可靠性：........................................................5（6）简洁性：........................................................5（7）可管理性：......................................................5

三、校园网安全的解决方法.....................................................5 1.采用入侵检测系统......................................................6（1）基于网络的入侵检测..............................................6（2）基于主机的入侵检测..............................................6 2.Web、Email、BBS的安全监测系统........................................7 3.在Linux下配置防火墙..................................................7（1）利用Linux核心中的IP链(IP Chains)规则建立包过滤防火墙。........7（2）利用IP伪装(IP Masquerade)实现内网微机透明访问Internet。.......7 4.利用Squid代理服务与防火墙规则结合构筑透明代理........................8 5.对于无法使用IP伪装方式访问Internet的特殊协议与软件采用Socks代理服务。........................................................................9 6.漏洞扫描系统..........................................................9 7.IP盗用问题的解决.....................................................9 8.利用网络监听维护子网系统安全..........................................9

四、结语....................................................................10

校园网络安全设计

网络安全的本质是网络信息的安全性，包括信息的保密性、完整性、可用性、真实性和可控性等几个方面，它通过网络信息的存储、传输和使用过程体现。校园网络安全管理是在防病毒软件、防火墙或智能网关等构成的防御体系下，对于防止来自校园网外的攻击。防火墙，则是内外网之间一道牢固的安全屏障。安全管理是保证网络安全的基础，安全技术是配合安全管理的辅助措施。学校建立了一套校园网络安全系统是必要的。

一、校园网设计与规划的指导原则

校园网是我国高校基础建设的重要组成部分。充分利用和开发校园内各类信息资源，实现校园仙、大学间的资源共享，科学计算和科研合作，促进大学对外交流是校园网建设的基本宗旨。因此校园网建设必须考虑系统的先进性、开放性、稳定性、安全性可扩充性。

我院校园网由网络中心、主干网和各楼内的局域网组成。主干网以千兆以太网为主，光纤覆盖整个校区。部门级交换机根据下连的计算机数量和网络应用的级别，与中心交换机实现千兆、百兆连接。

校园网的主干网中采用的是子网过滤结构的双路由器的结构，采用Intel Express 9300路由器作为外部路由器。该路由器直接连接Linux服务器，经Linux的包过滤防火墙后连接校园网主交换机Intel Express 550T Routing Switch（具有路由功能，作为校园网的内部子网间的路由器）。

Linux服务器执行堡垒主机的功能，采用Red Hat Linux 7.2版作为操作系统。该系统装有单一集成的可管理的软件包，提供各种服务，包括入侵保护、性能加速、安全的VPN能力以及对外Internet访问的全面控制等。由该主机的包过滤防火墙保护内部网络免受来自Internet的侵害。过滤范围包括内部网络和堡垒主机之间的数据包，以防堡垒主机被攻占。同时，在该堡垒主机上，运行多种服务器，如：电子邮件服务器、web服务器、FTP服务器等等。

Intel Express 550T Routing Switch实现内部路由的功能，有效地阻断内部子网间的广播包发送，最大限度地减轻了网络负担。

二、校园网络中不安全的主要问题

现阶段，我院校园网的主题架构已经成型，然而随着对网络服务要求的进一步提高，我们还要全面地解决在运行中所出现的问题，从而提供更加完善的服务。1.IP盗用问题

校园网内部连接有几千台电脑，一部分电脑通过正常的申请途径申请得到合法的IP地址，另一部分则不然。当某些没有IP地址的用户，冒用他人的合法IP地址时，就会造成网络内部地址的冲突，严重阻碍了合法用户的正常使用。2.防火墙攻击

防火墙系统相关技术的发展已经比较成熟，防火墙系统很坚固，但这只是对于对外的防护而已，它对于内部的防护则几乎不起什么作用。然而不幸的是，一般情况下有70%的攻击是来自局域网的内部人员。所以怎样防止来自内部的攻击是当前校园网建设中的一个非常重要的方面。3.Email问题

由于用户安全观念的淡薄以及网上某些人的别有用心，会给校园网的Email用户发一些不良内容的信件，有时还会携带各种各样的病毒。因此，怎样防止有问题的信件进入校园网的Email系统也是一个待解决的问题。4.各种服务器和网络设备的扫描和攻击

有时会有一些用户对校园网的服务器和网络设备进行扫描和攻击，造成网络负载过重，致使服务器拒绝提供服务，或造成校园网不能提供正常的服务。5.非法URL的访问问题

对于一些反动的或不健康的站点，应当禁止校园网用户通过校园网去访问。

6.病毒防护

互联网迅猛发展使得网络运营成为社会时尚，但同时也为病毒感染和快速传播提供了途径。病毒从网络之间传递，并在计算机没有任何防护措施的情况下运行，从而导致系统崩溃，网络瘫痪，对网络服务构成严重威胁，造成巨大损失。近阶段泛滥的“尼姆达病毒”就是典型的例子。因此，如何让校园网更安全，防止网络遭受病毒的侵袭，已成为校园网迫切需要解决的问题。

建设校园网的根本目的是为学校教学、科研和管理提供先进实用的硬件支撑环境。为实现这一目的必须考虑采用先进实用的计算机技术和网络通信技术，把校园网建设成为具有高速、稳定、可靠、安全的校园财干兼顾应用服务系统，提供现场化教学、科研的办公及管理系统，同时拓展校园内多方面的应用。

为此提出一条总原则：“分期建设；逐步实施；先教学系统后扩展应用；精选设备；软件配套。”具体说来有以下几条原则必须考虑；

（1）实用性：校园网建设强网络系统与网络应用以应用推动建设，重视信息资源的开发、利用和效果。

（2）先进性：主干采用先进成熟的网络技术和产品，适应大量数据和多媒体信息传输、处理、交换的需要，使网络具有较强的生命力。

（3）开放性：网络系统支持有国际和国家标准，支持异构型边缘子网互联与集成，易于网络的扩充和升级，使有限的投资得到保护。

（4）安全性：对网上信息提供多层次的、基于策略的安全保护措施。（5）可靠性：网络机构、网络设备、网络系统与应用系统间接口、供应商的产品与服务的信誉等，均具可靠性。

（6）简洁性：网络拓扑结构简洁，硬件和软件按需要进行灵活配置。（7）可管理性：采用较先进的管理软件，实现全网的检测、资源分配、负荷调节、故障定位等功能，并具有良好的人-机操作界面。

三、校园网安全的解决方法

现阶段，由于我院校园网已有较完善的网络系统架构，因此，在保证现有网络工作顺通的同时，再进行开发和完善是解决校园网网络安全的最佳选择。现提出以下解决方法。1.采用入侵检测系统

入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。在入侵检测系统中利用审计记录，入侵检测系统能够识别出任何不希望有的活动，从而达到限制这些活动，以保护系统的安全。在校园网中采用入侵检测技术，最好采用混合入侵检测。需要从两方面来着手-基于网络的入侵检测和基于主机的入侵检测。（1）基于网络的入侵检测

该检测主要通过定期使用专用的网络监视软件分析网络数据流量、主要数据内容来完成，例如使用Intel Express 550T Routing Switch所带的专用管理用具Intel Device View对交换机、端口间的每秒输出包、输入包、广播包的数量进行统计，若发现网络中有某台机器的流量超过正常值，则表示该主机可能感染了某种病毒导致不停地向网络中发出各种进攻。前不久出现的“红色代码II”就可以用此方法进行入侵检测。感染了此病毒的主机将会建立300个线程不定时随机生成IP地址作为攻击目标发出攻击，这样的主机在网络流量监视中是显而易见的。另外，当得知某端口的主机网络流量出现异常时，也可使用专用的网络数据监视器对其发出和接受的数据进行具体监视，例如使用微软SMS(System Manager Server)所带的网络监视器利用SNMP协议对某端口出入数据进行详细分析，可统计出该主机具体是哪种协议、哪个端口所发的数据最多，以及具体的数据内容。例如监视某台感染有“红色代码II”的NT服务器时，则会发现目标端口为80(HTTP)的TCP协议通讯量极高。（2）基于主机的入侵检测

该项检测主要通过防火墙日志以及各种服务软件的日志统计来完成，例如在日志中统计出某时间段服务器接收到来自同一地址的嗅包数量超过一定数值，那么就该考虑是否要在防火墙中加入一条拒绝规则了。又如在FTP服务器中发现某时段某用户登录失败次数超过100次以上，这就表示极可能有黑客在用穷举法试图破译某FTP用户的密码。2.Web、Email、BBS的安全监测系统

在校园网的WWW服务器、Email服务器等各种服务器中使用网络安全监测系统，实时跟踪、监视网络，截获Internet网上传输的内容，并将其还原成完整的WWW、Email、FTP、Telnet应用的内容，建立保存相应记录的数据库。及时发现在网络上传输的非法内容，及时向上级安全网络中心报告，采取措施。并利用专门的日志分析工具对保存在数据库中的访问日志进行统计并绘制统计图，可以对访问地址和流量进行分析，对于明显的攻击便可一目了然了。3.在Linux下配置防火墙

防火墙是一种行之有效且应用广泛的网络安全机制，能够有效防止Internet上的不安全因素蔓延到局域网内部。防火墙从原理上可以分为两大类：包过滤（Packet Filtering）型和代理服务（Proxy Service）型。根据我校具体情况，采用如下防火墙配置方案：

（1）利用Linux核心中的IP链(IP Chains)规则建立包过滤防火墙。

规则具体如下：

① #先用-F 选项清除掉所有规则

② #假设服务器内网IP为192.168.0.22，公有IP为210.77.217.82。将服务器在内网的地址除开放DNS、POP3、Route、FTP、Telnet、Web、SMTP外其他服务全部封死

③ #服务器对外仅提供POP3、FTP、Web、SMTP服务

使用IP链规则建立防火墙的主要原因并不是因为它是免费软件，而是因为IP链规则是一套直接编译在Linux核心中的防火墙，其运行效率是其他外挂在操作系统上的软件防火墙所无法比拟的，因此假若希望在流量较大网络接口安设防火墙，而又不想购买昂贵的硬件防火墙时，采用IP链规则建立包过滤防火墙是一个不错的选择。

（2）利用IP伪装(IP Masquerade)实现内网微机透明访问Internet。

IP伪装是NAT(Network Address Translation网络地址转换)的一种方式，即当内网的机器需要访问Internet时，具有IP伪装功能的服务器会将内部网络使用的非公有IP伪装成同一个公有IP访问Internet，这就可以使内网用户可以透明地访问Internet而不用安装任何客户端软件，减少了许多不必要的麻烦。使用该方式可使大部分软件直接访问Internet，例如使用SMTP、IMAP、POP协议的邮件客户端软件、使用UDP协议的ICQ、OICQ、Real Player、Windows Media Player软件等，而且用户使用内网任何一台微机都可以直接用“Ping”命令测试与Internet的连接，网络测试十分方便。IP伪装是Linux的一项网络功能，具体实现方法如下：

① #启用 IP 转发

② #建立 NAT 规则，令局域网中地址为 192.168.*.* 且其目标地址不在 192.168.*.* 范围内的机器伪装为本机 Internet 有效 IP地址后进行转发。

但该方式并不一定可以使所有连接Internet的软件成功使用，TCP/IP协议的天生缺陷使得极少部分软件无法使用该方式访问Internet，例如当内部网络中某台微机希望连接Internet上的一台FTP服务器，而对方的FTP服务器禁用了或根本不支持被动方式连接，那么连接后就无法上传或下载任何数据，此时则需要使用其他方式连接了。例如后面提到的的Socks代理。4.利用Squid代理服务与防火墙规则结合构筑透明代理

使用IP链规则可以使内网的主机不需要做任何设置就可以访问Web，但其缺点就是当内网数台主机先后访问Internet上某一站点时，第一台将该站点的主页以及页面中的图像从Internet下载到本机，而其它几台访问时也要重复相同的操作，即从Internet下载了同样的内容，这样的重复劳动自然会浪费相当多的带宽，而使用具有Web缓存(Web cache)的代理服务器便可解决此问题。在第一台主机访问该站点时代理服务软件将此网页的内容缓存到本地硬盘，而后其他主机再次访问该站时，代理服务器只是检测该网页是否有更新，若无更新便直接将本机的缓存传送过去，这样既可以节省带宽又有效地提高了上网速度。例如Linux上的Squid代理服务就是一套高效快速的代理服务软件。但麻烦的就是必须在每台机器上设置Web 代理服务器，此时可以简单地使用IP链规则来省略这一操作，即在规则中加入一条转递规则，将访问任何地址80(HTTP)端口的封装包都强制转发到Linux服务器上安装的代理服务器侦听端口。即： #假设Squid代理服务的侦听端口为3128 /sbin/ipchains-A input-i eth0-d 0/0 80-p TCP-j REDIRECT 3128 /sbin/ipchains-A input-i eth0-d 0/0 3128-p TCP-j REDIRECT 这样使内网任何用户访问Internet前都令其通过代理服务器后再访问，不仅有效地加快了上网速度，又可以利用Squid代理服务过滤掉内网无效访问和攻击，实现了透明代理。

5.对于无法使用IP伪装方式访问Internet的特殊协议与软件采用Socks代理服务。

Socks是一组是用客户端/服务器端结构的Proxy协议。Socks的软件组成包含Socks服务器程序及Socks客户端应用程序库。用户的应用程序只要支持Socks协议就能通过Socks代理服务器连接到防火墙外的网络。6.漏洞扫描系统

解决网络层安全问题，首先要清楚网络中存在哪些安全隐患、脆弱点。面对大型网络的复杂性和不断变化的情况，仅仅依靠网络管理员的技术和经验寻找安全漏洞、做出风险评估，显然是不现实的。解决的方案是，寻找一种能查找网络安全漏洞、评估并提出修改建议的网络安全扫描工具，利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。在要求安全程度不高的情况下，可以利用各种黑客工具，对网络模拟攻击从而暴露出网络的漏洞。7.IP盗用问题的解决

在路由器上捆绑IP和MAC地址。当某个IP通过路由器访问Internet时，路由器要检查发出这个IP广播包的工作站的MAC是否与路由器上的MAC地址表相符，如果相符就放行。否则不允许通过路由器，同时给发出这个IP广播包的工作站返回一个警告信息。8.利用网络监听维护子网系统安全

对于校园网外部的入侵可以通过安装防火墙来解决，但是防火墙对于校园网 9 内部的侵袭则无能为力。在这种情况下，可以采用这样的方法：为校园网内部的各个子网做一个具有一定功能的审计文件，为管理人员分析内部网络的运作状态提供依据。

总之，通过以上方法，以及校园网中的原有网络安全措施，基本上可以建立一套相对完整的网络安全系统。不过，网络安全是一个系统的工程，不能仅仅依靠防火墙等单个的系统，而需要仔细考虑系统的安全需求，并将各种安全技术，如密码技术等，结合在一起，才能生成一个高效、通用、安全的网络系统。

计算机网络系统的基础是布线系统，它在整个网络系统投资中只占5%，但因为布线问题而造成的网络故障却占50%以上；另一方面在于布线几乎是永久性的工程，一旦完成再进行改动将十分困难，而且投资将比初期安装高几点。所以应采用最先进的思想和技术

设计布线系统，以满足现阶段以及未来十数年发展的需求；必须统一规划、设计，建设高质量的布线系统，灵活支持环型、总线型、星型以及将来可能出现的网状网，为将来灵活构造校园组网方式在校园网络发展的战略上具有十分重要的义。采用全星型分级拓扑结构的综合布线系统独立于网络实际拓扑，支持现有的ISO880*/IEEE80*协议族所定义的结构结构，就本校建设经验这是最好的选择，具体拓扑如图1.为保障未来15～20年布线系统对网络技术的支持，综合布线水平子系统应尽可能采用目前最新标准定义的系统等级。对具有分院和建筑楼群分散的校园，网络主干应选用光缆，超长距离应考虑单模光缆，以保证支持未来高速IP骨干。对数据流量有特殊要求的场所如：服务器群、视频会议中心等可考虑光缆到桌面。特别是在布线系统设计中，信息点分布尽可能考虑5～10年人员变动、建筑物改造等因素，尽量提高投资效益比。这样结构化综合布线的优势才可能得到最大程度的发挥。

四、结语

在网络安全日益影响到校园网运行的情况下,我们不能够去保障校园网绝对的安全,只能说我们要尽一切可能去制止、减小一切非法的访问和操作,把不安全的因素降到最少,要完善校园网管理制度,对相关的校园网管理人员进行培训,对学生进行网络道德的教育,提高公德意识,安装最新的防病毒软件和病毒防火墙, 10 不断安装软件补丁更新系统漏洞,对重要文件要进行备份,从多个方面进行防范,把校园网不安全因素降到最少。只有通过不断地努力,我们的校园网才能够在比较安全的环境下工作,才能充分发挥它的优势,更好地为我们的教育事业服务。