上海外國(guó)語(yǔ)大學(xué)校園網(wǎng)一期改造方案

1、目錄目錄 1. 網(wǎng)絡(luò)設(shè)計(jì)背景網(wǎng)絡(luò)設(shè)計(jì)背景. 2 1.1. 背景. 2 1.2. 現(xiàn)有網(wǎng)絡(luò)概況. 2 1.3. 改造需求. 3 2. 網(wǎng)絡(luò)設(shè)計(jì)網(wǎng)絡(luò)設(shè)計(jì) . 3 2.1. 總體設(shè)計(jì). 3 2.2. 主干網(wǎng)絡(luò)設(shè)計(jì). 4 2.3. 低端網(wǎng)絡(luò)設(shè)計(jì). 5 2.4. 應(yīng)用系統(tǒng). 5 3. 管理管理 . 6 3.1. 安全機(jī)制. 6 3.2. 流量監(jiān)控. 7 4. 報(bào)價(jià)報(bào)價(jià) . 錯(cuò)誤! 未定義書(shū)簽。 1. 網(wǎng)絡(luò)設(shè)計(jì)背景網(wǎng)絡(luò)設(shè)計(jì)背景 1.1.背景 上海外國(guó)語(yǔ)大學(xué)的現(xiàn)有校園網(wǎng)已初具規(guī)模，由于中心位置搬遷，用戶(hù)數(shù)目擴(kuò) 展和加強(qiáng)管理等多方面的需求，在原有的網(wǎng)絡(luò)基礎(chǔ)上進(jìn)行改造，進(jìn)一步完善， 加強(qiáng)安全管理，11 用戶(hù)通信

2、監(jiān)控，提供更多的應(yīng)用服務(wù)。 1.2.現(xiàn)有網(wǎng)絡(luò)概況 現(xiàn)有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖所示。其主要交換設(shè)備均采用 CISCO 公司的產(chǎn)品， 網(wǎng)絡(luò)拓?fù)浔容^簡(jiǎn)單，應(yīng)用服務(wù)相對(duì)集中。 行政樓 新樓 音像 圖書(shū)館 Catalyst5000 Catalyst3000 Catalyst3000 SUN R 上海外國(guó)語(yǔ)大學(xué)校園網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) 中央交換設(shè)備為 Catalyst 5000 配置情況 ？ 邊緣交換機(jī)為兩臺(tái) Catalyst3000.配置情況 ？ 路由器和通信服務(wù)器是 CISCO 2511，8 塊 modem，剩余一個(gè)同步口，一個(gè) 異步口，還可擴(kuò)展 8 路電話(huà)線(xiàn)路和一路外連專(zhuān)線(xiàn) 主服務(wù)器為 SUN 4，設(shè)備陳舊，性

3、能較低。 無(wú)虛網(wǎng)劃分，無(wú)網(wǎng)管， 撥號(hào)用戶(hù)有簡(jiǎn)單的通訊量統(tǒng)計(jì)功能，校內(nèi)專(zhuān)線(xiàn)用戶(hù)無(wú)統(tǒng)計(jì)功能 服務(wù)主要為 Email 和 WWW，提供與 Internet 接入。 1.3.改造需求 服務(wù)多樣性：增加服務(wù)除現(xiàn)有服務(wù)外，可增加計(jì)費(fèi)系統(tǒng)，圖書(shū)檢索，多媒 體系統(tǒng)，BBS 和 FTP，Proxy 服務(wù)等功能。 可管理性：包括對(duì)撥號(hào)用戶(hù)和校內(nèi)專(zhuān)線(xiàn)用戶(hù)的信息量的統(tǒng)計(jì)，對(duì)師生訪(fǎng)問(wèn) 權(quán)限的控制機(jī)制和對(duì)國(guó)外出口的管理。 安全性：加強(qiáng)對(duì)系統(tǒng)的管理，主機(jī)系統(tǒng)應(yīng)有較強(qiáng)的抗攻擊能力，在條件允 許的情況下要有虛網(wǎng)劃分機(jī)制，對(duì)網(wǎng)間的信息交換要有安全策略。 可擴(kuò)充性：現(xiàn)有的網(wǎng)絡(luò)應(yīng)具有很強(qiáng)的擴(kuò)展能力，可以滿(mǎn)足近期內(nèi)可預(yù)見(jiàn)的 用戶(hù)接入需

4、求，同時(shí)具有面向新技術(shù)的平滑升級(jí)能力。 2. 網(wǎng)絡(luò)設(shè)計(jì)網(wǎng)絡(luò)設(shè)計(jì) 2.1.總體設(shè)計(jì) 1.主干設(shè)備：根據(jù)目前現(xiàn)有結(jié)構(gòu)和主要設(shè)備，在新的網(wǎng)絡(luò)構(gòu)架中可以有兩種 方案可供選擇， 仍采用以 CISCO 產(chǎn)品為主，在低端桌面型設(shè)備可選用其他廠(chǎng)家的產(chǎn)品，因 為在目前情況下，多數(shù)非同廠(chǎng)家產(chǎn)品還不可能做到無(wú)縫連接，在高端即主 干網(wǎng)上采用異構(gòu)互連的方式可能會(huì)帶來(lái)兩個(gè)問(wèn)題 互連性問(wèn)題，雖然連通是可實(shí)現(xiàn)的，但由于協(xié)議標(biāo)準(zhǔn)的實(shí)現(xiàn)方法不同， 可能會(huì)損失一部分帶寬，實(shí)際使用的帶寬速率要低于聲明帶寬速率。 虛網(wǎng)劃分：目前各廠(chǎng)家實(shí)現(xiàn)虛網(wǎng)協(xié)議方法大多不同，所以在做虛網(wǎng)劃分 時(shí)會(huì)帶來(lái)很多困難，甚至在某些情況下是不可實(shí)現(xiàn)的。 采用其他

5、廠(chǎng)商的低端產(chǎn)品（如 3COM，Intel 等），好處是價(jià)格便宜，且在 目前低通訊量和負(fù)載情況下可以滿(mǎn)足需要，在以后的網(wǎng)絡(luò)升級(jí)過(guò)程中，可以 替換向更低端的用戶(hù)推 2.路由交換與外部互連： 外部網(wǎng)絡(luò)目前仍采用 DDN 連接方式通過(guò)交大與教育網(wǎng)實(shí)現(xiàn)連接，暫時(shí) 還無(wú)提高出口帶寬的要求，目前所用路由器，有 5kpps 的包交換能力和 一空閑同步口，可以滿(mǎn)足近期的擴(kuò)展要求。 如采用虛網(wǎng)技術(shù)就需要一個(gè)內(nèi)部虛網(wǎng)間的信息交換的路由器，至少支持 4 個(gè)虛網(wǎng)即 4 個(gè)以太端口 3.主機(jī)系統(tǒng) 可根據(jù)應(yīng)用系統(tǒng)選擇 SUN+Solaris，PC+NT 和 PC+Linux 的結(jié)構(gòu)， SUN+Solaris 是一種比較安全

6、和穩(wěn)健的網(wǎng)絡(luò)服務(wù)器結(jié)構(gòu)，而且由于管理 員對(duì) SUN 系統(tǒng)較為熟悉，在管理上有經(jīng)驗(yàn)，所以在 UNIX 主機(jī)系統(tǒng)中 仍采用這種結(jié)構(gòu)。但由于價(jià)格較為昂貴，在目前情況下不宜大范圍采用。 PC+NT：管理簡(jiǎn)單方便，價(jià)格適中，但安全性較差，同時(shí)還有缺陷， 同一網(wǎng)段數(shù)目過(guò)多的情況下可能會(huì)出現(xiàn)廣播風(fēng)暴。 PC+Linux：價(jià)格最為便宜，安全性上沒(méi)有很大的把握，另外無(wú)生產(chǎn)廠(chǎng) 家提供可靠的技術(shù)支持，在出現(xiàn)問(wèn)題時(shí)是沒(méi)有保障的。 4.遠(yuǎn)程訪(fǎng)問(wèn) 遠(yuǎn)程撥號(hào)網(wǎng)絡(luò)的擴(kuò)展較為簡(jiǎn)單，目前現(xiàn)有的通信服務(wù)器還可支持 8 路線(xiàn)路的擴(kuò) 展，只要購(gòu)置相應(yīng)的 modem 和申請(qǐng)電話(huà)線(xiàn)路即可。 2.2.主干網(wǎng)絡(luò)設(shè)計(jì) 上海外國(guó)語(yǔ)大學(xué)校園網(wǎng)絡(luò)拓?fù)?/p>

7、結(jié)構(gòu)(改造） 行政樓 新樓 音像 圖書(shū)館 Catalyst3000 Catalyst3000 Catalyst3000 Catalyst5000 SUN R PCS PCS PCS Catalyst 5000： 中央交換設(shè)備采用原有的 Catalyst 5000，利用其 100M Base-T 端口加轉(zhuǎn)換器連 接外部新增設(shè)備。 Catalyst 3000WS-C3016B 配置情況：（原行政樓） 1.10BaseT RJ-45 2.AUI 3.2 擴(kuò)展槽（WS-X3001 上行 100BSAE-TX） 4.EIA/TIA 232 console 5.AUI DB15 SwitchProbe 路

8、由交換設(shè)備（optional） 四 10M BaseT 端口路由，轉(zhuǎn)發(fā)能力在 50kpps 以上，穩(wěn)定性好，可靠性高， 有一定的 filter 功能。 可采用專(zhuān)用路由器，可選品牌設(shè)備：CISCO，Bay，Intel 或用 PC 路由，在低負(fù)荷情況下是可行的，但有技術(shù)難點(diǎn)，需要測(cè)試其 轉(zhuǎn)發(fā)能力和可靠性。 VLAN1 VLAN2 VLAN3 R SERVER VLAN R 上海外國(guó)語(yǔ)大學(xué)校園網(wǎng)絡(luò)邏輯拓?fù)浣Y(jié)構(gòu) WWW FTP EMAIL. 2.3.低端網(wǎng)絡(luò)設(shè)計(jì) 參見(jiàn)布線(xiàn)方案 2.4.應(yīng)用系統(tǒng) 現(xiàn)有服務(wù)器為 1 臺(tái) SUN 4 性能較低，所有應(yīng)用集中在此機(jī)上，一是負(fù)載過(guò) 重，另外給系統(tǒng)安全運(yùn)行帶來(lái)了很

9、多不利因素。所以對(duì)改造后的網(wǎng)絡(luò)應(yīng)用系統(tǒng) 提出了如下構(gòu)想： DNS+Proxy+WWW：PC Sever +NT +IIS,根據(jù)目前校內(nèi)用戶(hù)數(shù)目和上網(wǎng)信息 資源量，PC+NT 是一種比較經(jīng)濟(jì)，有效的結(jié)構(gòu)。而且微軟的 NT 系統(tǒng)將所 有上面提到了應(yīng)用集成在 NT 系統(tǒng)里給管理帶來(lái)了很大方便。但另一方面需 要指出的是 NT 在安全性和管理角方面有很大不足,需要管理員有較為豐富 的經(jīng)驗(yàn)和完善的監(jiān)控手段和防范機(jī)制，可以在突發(fā)事件產(chǎn)生時(shí)能夠迅速恢 復(fù)和防止再一次入侵 FTP+ Email+撥號(hào)認(rèn)證：SUN+Solaris|+Tacacsd，這一組服務(wù)主要是對(duì)內(nèi)服務(wù)， 撥號(hào)認(rèn)證服務(wù)需要運(yùn)行在 Unix 系統(tǒng)

10、上，所以建議采用如上的結(jié)構(gòu)，根據(jù)目 前用戶(hù)情況，F(xiàn)TP 服務(wù)可綜合在一起，如今后負(fù)載過(guò)重時(shí)再分離。 網(wǎng)管(o)：NT+網(wǎng)管軟件，此項(xiàng)為可選，因?yàn)橐蕴W(wǎng)的網(wǎng)管雖然不是必須的， 但他可以監(jiān)視網(wǎng)絡(luò)設(shè)備的異常，負(fù)載情況和流量。 BBS(o)：SUN4，原有的服務(wù)器過(guò)于老舊，如有需求可做為 BBS 電子公告 牌 圖書(shū)檢索(o)：可建立一個(gè)富士通系統(tǒng)的前端機(jī)，提供友好的 WEB 用戶(hù)界 面可以隨時(shí)檢索館藏書(shū)籍的出借和庫(kù)存情況，目前采用 PC+Linux 的方式比 較好 （注：o 表示 optional,是可選的如此次改造不能實(shí)現(xiàn)，可在今后的升級(jí)中加以實(shí) 現(xiàn)。） 3. 管理管理 管理模式上要加強(qiáng)安全方面考慮

11、，和信息流量的控制， 3.1.安全機(jī)制 1加強(qiáng)主機(jī)系統(tǒng)的抗入侵能力，尤其對(duì) NT 類(lèi)型的服務(wù)器系統(tǒng)。 2應(yīng)用系統(tǒng)盡可能分布在不同的主機(jī)上，關(guān)閉不必要的端口，減少入侵途 徑，在當(dāng)前情況下，應(yīng)本著對(duì)內(nèi)對(duì)外的服務(wù)應(yīng)分開(kāi)，關(guān)鍵和非關(guān)鍵的應(yīng) 用分開(kāi)的原則，將應(yīng)用系統(tǒng)合理的配置在主機(jī)系統(tǒng)上。 3加強(qiáng)對(duì)外部用戶(hù)的訪(fǎng)問(wèn)控制，主要依靠防火墻機(jī)制，現(xiàn)在采用的手段是 在路由器上設(shè)置訪(fǎng)問(wèn)表，和應(yīng)用靜態(tài)路由。 4按應(yīng)用需求應(yīng)劃分虛網(wǎng)，控制校內(nèi)用戶(hù)，各部門(mén)之間的訪(fǎng)問(wèn)權(quán)限。 5加強(qiáng)監(jiān)督機(jī)制，重視線(xiàn)上用戶(hù)行為的監(jiān)視和對(duì)系統(tǒng)日志的分析，能夠及 時(shí)發(fā)現(xiàn)入侵行為，和找到遭入侵后的解決辦法。 6恢復(fù)備份是系統(tǒng)遭受破壞一種有效的簡(jiǎn)潔的

12、處理手段，所以對(duì)備份工作 要重視起來(lái)，要做到關(guān)鍵數(shù)據(jù)一天一次，非變動(dòng)信息有永久備份，其他 信息視情況而定。備份介質(zhì)可采用硬盤(pán)和磁帶。備份方式可以是更新備 份，增量備份和永久性備份。 3.2.流量監(jiān)控 對(duì)主干網(wǎng)絡(luò)和個(gè)分支用戶(hù)網(wǎng)絡(luò)實(shí)施監(jiān)控，可以發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸，得到用戶(hù)訪(fǎng) 問(wèn)個(gè)信息點(diǎn)的量化數(shù)據(jù)，掌握用戶(hù)的不安全行為，可以為網(wǎng)絡(luò)性能分析和故障 診斷提供豐富的事實(shí)依據(jù)，給網(wǎng)絡(luò)的綜合管理帶來(lái)極大的好處。 1.網(wǎng)管系統(tǒng)：可以在各主要網(wǎng)絡(luò)交換設(shè)備上采集到當(dāng)前設(shè)備的工作狀態(tài)，掌 握各虛網(wǎng)之間的數(shù)據(jù)流量，和交換設(shè)備的各端口的負(fù)載情況。 2.網(wǎng)絡(luò)分析設(shè)備：可以在主干網(wǎng)上監(jiān)視各網(wǎng)段上的包情況，其中包括： 通訊包總量，丟

13、包率 包成分，及其所占比重，如 IP,IPX. 各應(yīng)用包的分配情況：如 Ip 包中 tcp 和 udp 包的百分比，tcp 包中 telnet，ftp，http 等包的比重。 各 IP 發(fā)包的情況，可以判斷網(wǎng)絡(luò)負(fù)載和故障診斷。 3.路由器上的流量控制，限制某些網(wǎng)段或者 IP 地址的訪(fǎng)問(wèn)權(quán)限，與 PROXY 結(jié)合統(tǒng)計(jì)用戶(hù)的出口信息流量。 4.Proxy 服務(wù)，由于路由器的限制，可采用 Proxy 的辦法滿(mǎn)足用戶(hù)對(duì)校園網(wǎng)外 甚至是國(guó)外的訪(fǎng)問(wèn)需求，而且這種訪(fǎng)問(wèn)是受控的，可以根據(jù)用戶(hù)的帳號(hào)， 清楚的了解用戶(hù)對(duì)外訪(fǎng)問(wèn)的信息量 5.撥號(hào)用戶(hù)可根據(jù)用戶(hù)認(rèn)證機(jī)制，掌握用戶(hù)登錄時(shí)間，從而估算大概信息及 資源的耗

14、費(fèi)情況。 4. 預(yù)算預(yù)算 項(xiàng)目名稱(chēng)單價(jià)數(shù)量?jī)r(jià)格(人民 幣) 說(shuō)明 Cisco Catalyst3000 C3106B $7178 WS-X3001 $1943 or Intel 100M Switch 150,000 20,000 接行政樓交換設(shè)備 接入 可選 SUN Ultra 10 A22 A22-UEA1Y9J-128cG X7103A SOLD-2.5.1NOV97-47 X6540A X6262A 10,000.001100,000Email，撥號(hào)認(rèn)證， 計(jì)費(fèi) Cisco Works Windows CWPC-3.1-SNM PC on NT $3743 SNM ON NT CWPC

15、-3.1-OVW$2993 HP - openview On NT. 450,000CISCO 網(wǎng)管 大樓局域網(wǎng)布線(xiàn) 配線(xiàn)架：50.00 模塊面板：100.00 AT&T 線(xiàn)：150.00 人工費(fèi)：130.00 其他材料：50.00 500.0018090,000新樓內(nèi)布線(xiàn) 180 信息點(diǎn) 含 HUB Hayes Modem820,000遠(yuǎn)程撥號(hào)網(wǎng)絡(luò)擴(kuò)展 光纜鋪設(shè) 12 芯 2,700/km 4 芯 1,2000/km 人工+材料 12,000/km 光端頭：200/個(gè) 跳線(xiàn)：300/根 30,000園區(qū)網(wǎng)連接 NT4.0 中文版 220.000 計(jì)費(fèi)軟件 on Tacacsd 10,000110,000 100M transceiver Bay Networks Model 514 100 MBPX Fiber Optic Transceiver 7,500430,000用于 100M 接入 PC SERVER Compaq/Ps200 PII/233 32M 4,3G S