目 录
一、用户需求分析 1
二、网络拓扑设计及原则 3
（一）拓扑设计 3
（二）设计原则 5
三、网络方案设计 6
（一）网络结构分析 6
1．核心层 6
2．分布层 6
（二）网络架构设计 6
（三）扩展的考虑 7
（四）网络VLAN的设计 7
（五）网络安全设计 8
（六）服务器 10
四、IP地址规划原则 ....................................................11
五、综合布线...................................................12
六、材料清单...................................................14
七、总结 ...............................................................15
八、附录.......................................................16
1、用户需求分析
（一）、校园总体情况：
学院校区内有教学楼一栋，实训楼一栋。
教学楼呈一字型，长约120米，宽约 20米，有5层，每层大约具有21个房间，层高3.5米，每个房间长大约10米，宽大约9米，走廊约2米，主配线间设在3楼（321）。示意图如下：
教学楼有10个实验室,10个教室,每5个办公室为一个系所有,共6个系,其余为行政办公室。
实训楼呈一字型，长约120米，宽约 20米，有6层，每层大约具有21个房间，层高3.5米，每个房间长大约11米，宽大约7.5米，走廊约2米，主配线间设在3楼（321）。示意图如下：
（二）、校园网建设的具体需求：
（1）学院采用1000M做骨干，100M到桌面。
（2）校园网内具有WWW服务器、FTP服务器、DNS服务器用于提供一些培训中常用的资料下载，网络管理等。
（3）学校采用基于SQL server2000 数据库做开发平台。
（4）校园网采用路由器结构进行接入，网络互联设备(交换机、路由器、线缆、及其他设置)。
（5）所有实验室各自划分VLAN，各系办公室各自划分VLAN，行政办公室为一个VLAN，教室为一个VLAN，服务器组为一个VLAN。
（6）做好路由器的安全通信工作，所有的路由器均能过滤“冲击波”、“震荡波”病毒和“广外女生”、“ 冰河”、“ Netspy”、“ WAY”等木马程序。
（7）所有实验室各自划分VLAN之间不能互访。
（8）网络中心设在实训楼的321和教学楼的321, 实训楼与教学楼相距100米，两楼用光纤连接。
（9）选择客户机ＴＣＰ／ＩＰ配置的最佳方案，以最大限度的减少ＩＰ地址的冲突和管理员的工作量。
（10）交换机考虑安全性。
（11）学校分配得到公有IP地址为202.202.202.1—202.202.202.5。
2、网络拓扑设计及原则
（1）、拓扑设计
局域网采用树型网络结构拓扑。拓扑图如图（1）：
图（1）
树型网络结构是目前在局域网中应用得最为普遍的一种。在校园网络中几乎都是采用这一方式。它是因网络中的各工作站节点设备通过一个网络集中设备（如集线器或者交换机）连接在一起。这类网络目前用的最多的传输介质是双绞线，如常见的五类线、超五类双绞线等。它的基本连接图示如图所示。
选择这种拓扑结构网络的主要原因有如下几点：
（1）容易实现：它所采用的传输介质一般都是采用通用的双绞线，这种传输介质相对来说比较便宜，如目前正品五类双绞线每米也仅1.5元左右，而同轴电缆最便宜的也要2.00元左右一米，光缆那更不用说了。
（2）节点扩展、移动方便：节点扩展时只需要从集线器或交换机等集中设备中拉一条线即可，而要移动一个节点只需要把相应节点设备移到新节点即可，而不会像环型网络那样"牵其一而动全局"；
（3）维护容易；一个节点出现故障不会影响其它节点的连接，可任意拆走故障节点；
（4）采用广播信息传送方式：任何一个节点发送信息在整个网中的节点都可以收到，这在网络方面存在一定的隐患，但这在局域网中使用影响不大；
（5）网络传输数据快：这一点可以从目前最新的1000Mbps到10G以太网接入速度可以看出。
（二）、设计原则
本方案的设计将在追求性能优越、经济实用的前提下，本着严谨、慎重的态度，从系统结构、技术措施、设备选择、系统应用、技术服务和实施过程等方面综合进行系统的总体设计，力图使该系统真正成为符合该中学的网络系统。
从技术措施角度来讲，在网络的设计和实现中，本方案严格遵守了以下原则：
1、实用性和集成性 ：系统的软硬件设计、还是集成，均以适用为第一宗旨，在系统充分适应企业信息化的需求的基础上进而再来考虑其他的性能。
2、标准性和开往性 ：只有支持标准性和开放性的系统，才能支持与其它开放型系统一起协同工作，在网络中采用的硬件设备及软件产品应该支持国际工作标准或事实上的标准，以便能和不同厂家的开放性产品在同一网络中同时共存。
3、先进性和安全性： 系统所有的组成要素均应充分地考虑其先进性。不能一味地追求实用而忽略先进，只有将当今最先进的技术和我们的实际应用要求紧密结合，才能获得最大的系统性能和效益。
4、成熟性和高可靠性 :网络硬件体系结构在实际应用中能经过较长时间的考验，在运行速度和性能上都应是稳定可靠的、拥有完善的、实用的解决方案，并通到较多的第三方开发商和用户在全球的广泛支持和使用。同时，应从长远的技术发展来选择具有很好前景的、较为先进的技术和产品，以适应系统未来的发展需要。 可靠性也是衡量一个计算机应用系统的重要标准之一。
5、可维护性和可管理性 :整个信息网络系统中的互连设备，应是使用方便、操作简单易学，并便于维护。管理员能方便进行网络管理、维护甚至修复。 在设计和实现时，必须充分考虑整个系统的便于维护性，以使系统万一发生故障时能提供有效手段及时进行恢复，尽量减少损失。
6、可扩充性和兼容性 :网络的拓扑结构应具有可扩展性即网络联结必须在系统结构、系统容量与处理能力、物理接连、产品支持等方面具有扩充与升级换代的可能，采用的产品要遵循通用的工业标准，以便不同的设备能方便灵活地接连入网并满足系统规模扩充的要求。
三、网络方案设计
（一）、网络结构分析
在此次校园网网络的设计中，我们采用层次化模型来设计网络拓扑结构。我们根据实际需求将校园网络结构上分为核心层和接入层、分布层。
1．核心层：作为网络的核心部分,不仅要求实现高速的数据转发,而且要求性能高,容量大,具备高可靠性和高稳定性.通常核心层设备都有设备的备份设计及线路的备份设计。在骨干核心层中，方案中，核心交换机采用多业务万兆核心路由交换机命名为BJLY。多业务万兆核心路由交换机高背板带宽和二/三层包转发速率可为用户提供高速无阻塞的交换，强大的交换路由功能、安全智能技术可为用户提供完整的端到端解决方案。与交换机组成星型网络拓扑结构。为提高核心网络的健壮性，实现链路的安全保障。本方案骨干核心层路由中采用ppp。对于各个业务VLAN可以指向这个虚拟的IP地址作为网关，因此应用ppp技术为核心交换机提供一个可靠的网关地址。
2.接入层：接入层是最终用户(教师、学生) 与网络的接口，它应该提供即插即用的特性，同时应该非常易于使用和维护。本方案中各接入层交换机通过千兆链路上联到汇聚层设备，对下联的桌面设备提供全双工的百兆连接，为各类用户提供无阻塞的交换性能。
4、出口:因为校园网出口采用以太网，所以采用路由器 + 防火墙的方式，起到如下作用：
防火墙提供强有力的服务器、内网安全保护、提供IDS等安全特性；
路由器提供出口路由功能，数据处理能力强，具有强大的NAT功能。
（二）、网络架构设计
于 目 前 学 校 规 模 及 发 展 的 角 度 考 虑 ， 骨 干 网 络 采 用 单 核 心 双 引 擎 或 双 核 心 单 引 擎 的拓 扑 结 构 ， 保 证 核 心 的 稳 定 ； 在 两 栋 实 训 楼 采 用 万 兆 的 ；两层 汇 聚 设 备 ， 实 训 楼 千 兆连 接 入 交 换 机 ； 服 务 器 千 兆 接 入 到 核 心 交 换 机 上 ； 百 兆 到 桌 面 ；
为 了 以 后 扩 展 的 需 要 ；出 于 管 理 和 安 全 方 面 角 度 考 虑 ， 在 全 网 可 采 用 I P + M 绑 定 方 式 ， 全 网 分 布 式 采 用 A L ，并 按 照 部 门 划 分 V L A 划 分 相 应 的 权 限 ， 保 证 学 生 机 房 用 机 对 教 学 办 公 网 没 有 访 问 权 限 ，只 能 访 问 校 内 服 务 器 及 外 网 ； I P 分 配 ： 采 用 D H C P 动 态 获 得 I P 地 址 。
（3）扩展的考虑
鉴于本方案采用千兆骨干网络百兆桌面连接，在网络铺设后期，可以从容的应对网络用户、数据流量暴增等问题。同时，也可以在办公室及一些需要的场所添加ip电话等，以此提高工作效率。
（四）网络VLAN的设计
V L A 划 分 之 后 ， V L A 是 广 播 只 在 子 网 中 进 行 ， 不 会 做 无 意 义 的 广 播 。V L A 划 分 ， 可 以 增 加 网 络 的 安 全 性 ， 在 不 同 的 V L A 间 不 能 随 意 通 讯 ， 只 限 与 本 子 网间 通 讯 ， 不 会 对 其 他 的 子 网 产 生 干 扰 。 要 进 行 访 问 ， 需 要 通 过 三 层 交 换 ， 这 样 信 息 流就 得 到 相 当 好 的 控 制 。网 络 管 理 系 统 采 用 完 全 独 立 的 I P 子 网 和 V L A 实 现 更 加 安 全 的 对 所 有 网 络 设 备 进 行 管理 。 建 立 V L A 和 I P 子 网 的 对 应 关 系 。V L A 间 的 子 网 访 问 ， 可 以 在 两 层 交 换 机 上 实 现 ， 子 网 间 的 通 讯 核心层 上 实行 。
实验要求如下：
教学楼有10个实验室,10个教室,每5个办公室为一个系所有,共6个系,其余为行政办公室。所有实验室各自划分VLAN，各系办公室各自划分VLAN，行政办公室为一个VLAN，教室为一个VLAN，服务器组为一个VLAN。
每层大约具有21个房间,主配线间设在3楼（321）。
因我们选择实物配置按照课程设计要求只需完成“具体要求”中（2）、（3）项的其他要求，且VLAN只做5个及以上（实验室2个，教室2个，行政1个）。因此我们只划分了实验室2个，教室2个，行政1个共五个vlan。在实际中实验室需划vlan10-vlan19共10个vlan，系办公室vlan20-vlan25，行政办公室vlan30，教师需划vlan40。
Vlan规划表
（5）网络安全设计
1、校园网络交换机通过内在的多种安全机制可有效防止和控制病毒传播和网络流量攻击， 控制非法用户使用网络，保证合法用户合理化使用网络，如端口安全、端口隔离、ACL、端口 ARP 报文合法性检查、基于数据流的带宽限速、六元素绑定等等， 满足校园网加强对访问者进行控制、限制非授权用户通信的需求；在汇聚、核心交 换设备设置由硬件实现 ACL，对病毒进行过滤，我们选用的汇聚、 核心交换设备都支持SPOH，所以在使用ACL 时将不会影响整个交换机的性能。
1 硬件实现端口与 MAC 地址和用户IP 地址的绑定，严格限定端口上用户接入。
2 通过 Private VLAN 可以在交换机的同一 VLAN 中提供端口之间的通讯 或安全隔离，确保数据流进入有效端口，而不会被发送到其它端口。
3 可实现用户账号、MAC 地址、IP 地址、交换机 IP、 交换机端口等六大元素之间的灵活任意绑定，有效确认用户合法性和唯一性。
4 支持业界特有的 IGMP 源端口检查，有效杜绝非法组播源播放和大量占用大量网络带 宽，提高网络安全性。
5 基于源 IP 地址控制的 Telnet 和 Web 设备访问控制，增强了设备网管 的安全性，避免黑客恶意攻击和控制设备。
6 提供加密传输，保证管理设备信息的安全性，防止黑客攻击和控制设备。
2、解决安全威胁：现代校园网络必须要有一整套从用户接入控制，病毒报文识别到主动抑制的一系列安全控制手段，才能有效的保证校园网络的稳定运行。
防冲击波病毒
随着蠕虫病毒等的攻击手段呈多元化发展，单一的防护措施已经无能为力保 卫校园网络安全。IDS 只能根据预先定义的策略进行检测，对新的攻击方式无能 为力，或者当 IDS 侦测到某终端用户感染病毒后，只能将相关信息形成报告通知 网管人员，等待处理。然而，此时受感染的用户可能已经通过网络散播到了校园 网络的各个角落。
来自网络内部的恶意或误操作攻击
据相关数字显示，目前，网络遭受的恶意攻击90％以上是来自于内部，诸如窃取他人密码等重要信息、盗打 IP 电话、校园一卡通金额被盗等事件时 有发生。对此，如果仅仅 倚靠被动的监测方式，就给事后追查“嫌疑人”的网 管人员制造了难以逾越的瓶颈。
3、防火墙设置
在BJLY上配置防火墙，防火墙是网络间的墙，防止非法侵入，过滤信息等，激活以太端口必须用enable进入，然后进入configure模式 。然后根据需要进行端口命名。配置ip地址内部网络为：192.168.1.0 255.255.255.0 ；外部网络为：202.202.202.1.0 255.255.255.0
（六）服务器
根 据 校 园 网 的 实 际 需 求 ： 数 据 计 算 量 大 ； 实 现 多 种 服 务 如 ： W B 服 务 ， O A 应 用 平 台 ，F T P 服 务 ， 防 病 毒 等 。 应 用 服 务 器 和 数 据 库 分 离 ， 防 止 应 用 服 务 器 被 攻 击 后 ， 影 响 数 据库 安 全 。服 务 器 主 要 用 于 帮 助 学 校 对 校 务 、 学 籍 、 人 事 、 政 教 等 方 面 进 行 管 理 ， 实 现 学 校 的 办 公 自动 化 ， 各 系 统 之 间 实 现 充 分 的 资 源 共 享 ， 提 高 办 公 及 管 理 效 率 。 还 可 以 提 供 资 料 库 管 理 ，
1、WWW服务器：以超文本方式组织网络多媒体信息用户可以在世界范围内任意查找、检索、浏览及添加信息。提供生动直观、易于使用且统一的图形用户界面。服务器之间可以互相链接。可以访问图像、声音、影像和文本型信息。超文本传输协议（Hypertext Transfer Protocol，HTTP)与超文本标记语言（Hypertext Markup language，HTML)。其中，HTTP是WWW服务使用的应用层协议，用于实现WWW客户机与WWW服务器之间的通信；HTML语言是WWW服务的信息组织形式，用于定义在WWW服务器中存储的信息格式。 2、FTP服务器:是在互联网上提供存储空间的计算机，它们依照FTP协议提供服务。 FTP的全称是File Transfer Protocol(文件传输协议)。顾名思义，就是专门用来传输文件的协议。简单地说，支持FTP协议的服务器就是FTP服务器。
3、DNS服务器：DNS服务器是计算机域名系统 (Domain Name System 或Domain Name Service) 的缩写，它是由解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务器为客户机/服务器模式中的服务器方，它主要有两种形式：主服务器和转发服务器。将域名映射为IP地址的过程就称为“域名解析”。
4、SQL数据库 ：SQL Server是微软公司开发的数据库产品，SQL Server 2000被广泛使用，很多电子商务网站、企业内部信息化平台等都是基于SQL Server产品上。 今天的商业环境要求不同类型的数据库解决方案。性能、可伸缩性及可靠性是基本要求，而进入市场时间也非常关键。除这些核心企业品质外，SQL Server 20## 还为您的数据管理与分析带来了灵活性，允许单位在快速变化的环境中从容响应，。SQL Server 20## 为快速开发新一代企业级商业应用程序、为企业赢得核心竞争优势打开了胜利之门。
四、IP地址规划原则
IP地址构成了整个Internet的基础，IP地址资源是整个Internet的基本核心资源，IP地址资源的合理分配和有效利用是整个Internet发展过程中持续有效的一个极具分量的研究课题。
我们在对校园区网IP地址编址设计和分配利用时，遵循了以下几个原则：
1）、自治：校园区网络网络被划分成几个大的自治区域，每个大自治区域中又被划分成几个小的自治区域。
2）、有序：我们按照自治原则将网络进行逻辑划分后，就根据地域、设备分布及区域内用户数量来进行子网规划。同时，我们将IP地址规划和网络层次规划、路由协议规划、流量规划等结合起来考虑。在进行地址分配时，为了提高地址分配效率和地址利用率，我们在编址设计时按照了一定的顺序进行。选择的顺序是自上而下的顺序即自顶向下网络设计方法。
3）、可持续性：考虑到园区内网络用户数将持续高速增长，网络所要承载的业务量和业务种类越来越多，这使得网络需要频频进行技术升级、改造和扩容。
4）、可聚合：在路由表急剧膨胀情况下，可聚合原则是网络地址分配时所必须遵守的最高原则，可聚合原则要求在进行地址规划时，应提供足够的路由冗余功能。
5）、尽量节约IPv4地址：由于IPv4地址越来越少，所以对于IPv4地址的使用需要格外节约。IPv4地址的节约可以通过动态编址技术和NAT技术等来实现。
6）、闲置IP地址回收利用：对于已分配出去的静态IP地址进行定期追踪管理，对长时间闲置的IP地址可经过确认后回收重复利用。
此次方案的设计，我们决定采用一个内部私有C类地址（192.168.0.0）对校园区的网络设备编址。由于从方案本身的网络拓扑图采用了典型的层次化设计，所以对IP地址的编址设计也应采取层次化的设计来完成，并采用VLSM来拓展有限的IP地址。
5、综合布线结构
校园网为园区网，楼群间子系统采用光缆连接，可提供千兆位的带宽，有充分的扩展余地。垂直子系统则位于高层建筑物的竖井内，可采用多模光缆或大对数双绞线。把管理区子系统并入设备间子系统，集中管理。
对于多幢楼宇，可采用多设备间的方法。分为中心设备间和楼栋设备间部分，中心设备间是整个局域网的控制中心，内设有对外（Internet）对内通信的各种网络设备（交换机、路由器），中心交换机通过光缆（地下直埋）与楼栋设备间的交换设备相连，以保证数据的高速传输。在此设备间放置布线的线架和网络设备，端接楼内来自在各层的主干线缆，并端接连接网络中心的光纤。
教学楼：
实训楼：
6、材料清单
7、总结
本次实验主要目的是实现园区网内部网络连通，采用的技术包括vlan的划分，交换机端口安全的配置，协议包括静态路由协议，rip协议，PPP协议，DHCP协议，Telnet协议，NAT协议，VTP协议。在园区网内搭建了三个服务器，分别是DNS服务器、Web服务器和FTP服务器，密码设置，配置访问控制列表，限制部分用户可以访问。
根据拓扑要求连接所需的设备，在交换机上划分vlan实现内部网络畅通，并对端口配置安全限制，起到一定的安全性。在路由器上配置动态和静态路由协议，使内网能够访问外网，并配置NAT，将公网地址转化到私有地址，实现真正的全网络互联。根据实验要求在内网搭建FTP、DNS、Web服务器，为内网、外网提供服务。
在实验操作中，因对交换机及路由器接口不熟悉，在端口配置中出现错误。端口的连接线杂乱不易分辩，缺乏实践经验。在路由器及交换机的配置中未设置密码，安全性差；未对交换机设置ip地址，并为设置远程登录，为后期的网络管理埋下隐患。因平时采用仿真软件练习，配置交换机不打开vlan仍能网络互通；但在实际操作中因vlan为打开导致主机间不能互通。很多时候，只是看书或是在模拟器是做实验是不行的，尽信书不如无书，在真是设备上做实训，碰到很多在书本上学不到的问题并解决了，这才是真正的经验和学习。团结力量大，只要共同努力，不懂的一起交流、沟通，这样才能使得我们从中得到双重的收获，学的不仅仅是知识，而且还有团结的力量。
8、附录
设备端口连接：
服务器：
防火墙：
核心路由配置详情:
交换机配置详情
SW1#sh run
Building configuration...
Current configuration : 2459 bytes
version 12.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
hostname SW1
boot-start-marker
boot-end-marker
no aaa new-model
system mtu routing 1500
vtp domain cisco
vtp mode transparent
ip subnet-zero
no ip domain-lookup
spanning-tree mode pvst
spanning-tree extend system-id
vlan internal allocation policy ascending
vlan 10
name syl-1
vlan 11
name shiyan-2
vlan 99
name admin
interface FastEthernet0/1
switchport mode trunk
interface FastEthernet0/2
switchport access vlan 10
switchport mode access
interface FastEthernet0/3
switchport access vlan 10
switchport mode access
interface FastEthernet0/4
switchport access vlan 10
interface FastEthernet0/5
switchport access vlan 10
interface FastEthernet0/6
switchport access vlan 10
interface FastEthernet0/7
switchport access vlan 10
interface FastEthernet0/8
switchport access vlan 10
interface FastEthernet0/9
switchport access vlan 10
interface FastEthernet0/10
switchport access vlan 10
interface FastEthernet0/11
switchport access vlan 10
interface FastEthernet0/12
switchport access vlan 10
interface FastEthernet0/13
switchport access vlan 11
switchport mode access
interface FastEthernet0/14
switchport access vlan 11
switchport mode access
interface FastEthernet0/15
switchport access vlan 11
switchport mode access
interface FastEthernet0/16
switchport access vlan 11
switchport mode access
interface FastEthernet0/17
switchport access vlan 11
switchport mode access
interface FastEthernet0/18
switchport access vlan 11
switchport mode access
interface FastEthernet0/19
switchport access vlan 11
switchport mode access
interface FastEthernet0/20
switchport access vlan 11
switchport mode access
interface FastEthernet0/21
switchport access vlan 11
switchport mode access
interface FastEthernet0/22
switchport access vlan 11
switchport mode access
interface FastEthernet0/23
switchport access vlan 11
switchport mode access
interface FastEthernet0/24
switchport access vlan 11
switchport mode access
interface GigabitEthernet0/1
interface GigabitEthernet0/2
interface Vlan1
no ip address
no ip route-cache
shutdown
interface Vlan10
ip address 192.168.10.254 255.255.255.0
no ip route-cache
ip http server
ip http secure-server
control-plane
line con 0
line vty 5 15
end