1、江苏大学网络工程技术课程设计学校课题综合设计报告书班级：姓名：学号：2014年10月30日1、某市政府办公大楼需求分析根据市电子政务建设总体规划“三网一库”基本架构的要求,以及建筑使用功能、建筑层数以及相邻的关系,网络系统建设需求如下:a.网络系统构成。基于三网之间要有较高的安全性、独立性和可靠性,公众信息网(外网)与市政府内部办公网(内网)和政务专网必须物理隔离,为二个独立的网络系统,内网和专网则采用逻辑隔离。b.市政务专网建设目标是作为省政务网的横向接入网,实现省政务信息网的延伸,实现上至国办、省政府,下至各县(市)政府的互联互通。c.网络拓扑及体系结构。无论是市政府内部办公网、政务专网还
2、是外网,均为星型网络拓扑结构;内、外网为核心层、接入层二级交换体系,专网为汇聚层、接入层二级交换体系。d.计算机主干网络采用千兆以太网组网技术,核心层交换机采用千兆以太网交换机,网络主干应支持第三层交换和VLAN(虚拟局域网)划分。e.为了保证网络核心的高可靠性和高带宽,内网的核心层交换机采用双机热备份和端口聚合。f.接入层支干采用10/100Mbps自适应交换以太网,信息点采用10/100Mbps端口到桌面。此次网络系统设计的目标是在建设新网络系统，满足整合数据平台及视频会议等对基础设施提出的各种新需求，同时能够方便灵活的引入并利用各种最新技术。即：一方面，它能适应未来大集中系统的需要，满足
3、不断发展变化的业务需求；另一方面，它要能兼顾到技术的发展趋势，方便用户未来灵活便捷地引入各种先进、实用的技术。网络部分设计阶段主要完成的具体工作如下：（1）实现体育场内基础网络平台的建设。（2）实现体育场内网络高速、稳定、可靠、安全连接。根据体育场现状及未来业务发展规划，此次网络系统建设的主要实现如下目标：（1）建立全台统一、共享、规范的网络系统体系架构。建立满足未来管理和业务发展要求的全台网络系统总体架构，以满足系统资源和信息资源整合的需要，规范和统一新应用系统的技术架构和开发方法，同时逐步调整现有的系统结构。（2）确保系统资源的有效管理和运行，整合系统资源，加强系统资源的有效管理，提高系统
4、资源的利用率，降低系统运行成本。提高系统的可靠性，切实保障播出及关键业务的正常运转。2、网络设计目标与原则2.1 网络建设最终目标（1）系统稳定、安全可靠，内部信息共享，且可迅速传递各类信息对系统之间的信息交换进行总体上的统一规划和设计，最终实现各子系统之间的互联互通，实现信息共享和信息交互，完成信息在不同系统间的传递。（2）提高信息化工作效率建设一个全数字化、网络化的网络系统，通过网络技术标准平台，避免传统设备之间不兼容的问题，提高各种设备间的通配性，提高设备的使用效率。（3）统一的安全管理措施从网络规划、操作系统以及业务系统等各个层次上统一考虑安全措施，并充分考虑易操作性。这其中包括网络的
5、多层次安全的规划与设计、系统运行状况的监控和管理以及防攻击、防病毒等措施的统一规划、设计与部署。2.2网络建设原则根据网络系统分析结果、结合现代网络技术发展趋势，我们确定本次网络设计所采用的总的指导原则如下：（1）安全可靠性原则 网络系统的设计必须遵循可靠性的原则，设计中应尽最大可能减少因 网络系统故障而造成的业务无法正常进行的现象的发生（如：因服务器或网络故障造成用户无法访问业务系统，进而无法进行正常业务的现象等）；同时，设计中还应注重信息安全体系的建设，提高 网络系统的整体安全性，进一步保证数据安全。（2）先进成熟性原则 网络系统的设计应具有产品和技术先进性，先进的产品和技术是未来系统性能
6、的保证。在信息技术飞速发展的今天，我们选择的产品和技术应具有一定的前瞻性，能够适应未来一段时间（4-5 年）业务需求及技术发展变化的需要。 同时，尽可能兼顾产品和技术的成熟性，增强 网络系统的整体稳定性。（3）开放与可扩展性原则 网络系统的设计应选择开放式设计的产品或技术，满足系统间灵活的信息交互的需要。同时，充分考虑产品可扩展性，满足不断发展变化的业务和技术需求 。（4）统一标准化原则 网络系统的设计应该坚持标准化的原则，采用业界公认的行业或技术标准，降低管理复杂度。同时，坚持统一化的原则（如：统一vlan划分，统一的ipaddress分配等）应尽可能采用统一的标准。（5）经济性原则 网络系
7、统的设计必须实用、经济，应该尽量利用现有资源，坚持在先进、高性能前提下合理投资，以期在成本最佳的前提下获得最大的经济效益和社会效益。3、网络设计方案网络系统技术的选择不仅关系到整个网络系统性能的好坏，还涉及到未来整个网络系统如何有效地与新技术接轨和升级的问题，希望一次投入，可以满足和适应不断发展的应用环境；对设计者来讲，网络技术的选择首先应立足满足于目前的需求，选择一种适当的有发展前途的网络技术。采用何种技术来构建网络系统应考虑如下几个方面：（1）按照新一代网络技术结构来设计网络系统；（2）按照模块化、结构化的原则设计，便于扩充和升级；（3）考虑技术的先进性，但以实用性及技术的成熟性和简易性为
8、主；（4）在网络建成后，提供基本的服务和应用，充分体现和发挥网络的价值与效益。网络技术选择的关键是考察这种技术是否能够满足用户的需要，并且在一定阶段内是否有扩展能力。当今，网络主干技术的选择多种多样，究竟什么是符合计算机网络系统的技术，需要我们认真考虑。在网络技术的选择中，根据前述用户需求和分析可以得出需要高速网络技术来满足应用的需要，随着业务需求的不断升级，桌面接入的带宽升级已经成为当前网络建设的一个主题，经历了长时间的酝酿后，随着千兆网卡的普及、千兆端口价格的不断下降以及万兆下移的快速发展，“百兆到桌面，千兆局域网”已经在国内很多区域、行业的应用中成为实际需求。这一切都预示着网络主干应该提
9、供更高或更容易扩展的带宽能力。在本方案设计在核心、接入层均采用高速千兆技术，是应用的需要，也是今后应用发展的需要， 因此，在此次网络系统建设中，核心层与汇聚层主干网络全部采用千兆以太网技术，核心交换机支持高密度万兆以太网端口接入能力，以便在今后平滑扩容。4、网络整体设计网络的结构是层次化的，正确理解网络层次的划分和每个层次的主要作用，有助于我们合理选择网络拓扑和网络技术。从理论上可以划分为三个层次，即核心层（Core Layer）、汇聚层（Distribution Layer）和访问层（Access Layer）。本次的核心层同事兼有汇聚层功能。核心层主要承担高速数据交换的任务，同时要为各汇聚
10、节点提供最佳传输通道。汇聚层的主要任务是把大量来自接入层的访问路径进行汇聚和集中，承担路由聚合和访问控制的任务。这就要求汇聚层设备必须具备良好的可扩展性，必须使用模块化的体系结构，可通过增加板卡提高端口密度，以便汇聚更多的接入层设备。接入层的主要任务是完成用户的接入，它直接和用户连接，可能遭受ARP风暴、MAC扫描、ICMP风暴、带宽攻击等等攻击方式，对安全性的要求很高，另一方面必须提供灵活的用户管理手段。4.1政府办公大楼网络拓扑设计网络外网系统结构如下图所示如上图所示，我们选择在网络核心机房放置外网核心交换机，配置一台可支持万兆的H3C核心交换机H3C LS-5500-28F-EI，LS-
11、5500-28F-EI交换机采用分布式结构，且LS-5500-28F-EI交换机支持双主控板，电源系统采用2+1电源冗余热备份，能够满足苛刻的电信级网络可靠性要求。LS-5500-28F-EI交换机在线速转发的基础上能够提供强大的QoS保障，并支持丰富的ACL、策略路由、安全等特性。LS-5500-28F-EI交换机采用功能强大的ASIC芯片进行高速路由查找，并通过Crossbar技术进行高速报文交换，从而大大提升了路由交换机的转发性能和扩充能力，完全满足现在网络需求。并且直接通过千兆多模光纤与各楼层接入交换机直接互联，使综合楼网络统一管理和运行。 LS-5500-28F-EI具备多业务特性，
12、可扩展防火墙模块、负载均衡模块、无线控制器模块、网络流量分析模块等多业务模块，未来可根据业务需求随时进行扩展。接入交换机采用H3C的H3C S3100系列层交换机，它具有19.2G的交换容量和9.6Mpps的二/三层包转发能力，具备丰富的业务特性；多样的队列调度满足高级QoS、更为精细的流分类、限速粒度和组播服务，实现网络控制和带宽优化；支持基于VLAN的服务策略配置等，保证高性能及复杂业务能力，并提供优良性价比，同时可以灵活控制网络带宽，防止网络P2P等下载占用大量网络带宽资源。对于员工Internet访问，我们选择核心交换机前端设置H3C百兆防火墙H3C F100-E做安全访问控制，保证内
13、部网络的安全性，避免来自Internet的攻击，有效的抵御外部网络DOS/DDOS、ARP地址欺骗、端口扫描、内网安全、流量监控、网页过滤、邮件过滤、应用层过滤等功能。同时担负员工访问Internet，实现NAT地址转换功能，并可提供实现各种VPN如：L2TP VPN、GRE VPN、IPSEC VPN等功能。4.2详细网络解决方案4.2.1 VLAN规划VLAN是建立在各种交换技术基础之上的。所谓交换实质上只是物理网络上的一个控制点，它由软件进行管理，所以允许用户利用软件功能灵活地配置资源，管理网络。利用交换设备中的虚网功能，不必改变网络的物理基础，即可重新配置网络。采用虚网功能，网络性能可
14、以获得较大的改善：1.虚网技术能对工作组业务进行过滤，有效地分割通信量，因而能更好地利用带宽，提高网络总的吞吐量。2.采用虚网技术可以将不同楼层或不同房间的设备组成一个网段而不用更改布线，因为虚网技术是从逻辑角度而非物理角度来划分子网的，所以采用虚网技术能减轻系统的扩容压力，将迁移费用降至最小。3.采用虚网技术能有效隔离网络设备，增加网络的安全性和保密性。虚拟网络的安全策略采用的主要协议为IEEE802.1Q，此协议结合有鉴别和加密技术以确保整个网络内部数据的保密性和完整性。4.虚网技术能对属于同一工作组的用户提供广播服务，但与传统的网络协议所不同的是，虚拟网络能限制广播的区域，从而节省网络带
15、宽。5.虚拟网络可以建立在不同的物理网络上，用封装的办法支法支持不同的网络协议络协议，如SNMP、NMP、IPX、TCP/IP、IEEE802.33等，兼容性非常好性非常好。6.虚拟网络中的主要应用技术为“虚网中继”，VLAN Trunking特有技术的采用也成成为了必然。必然。简而言之，VLAN Trunking主要是通过一条高速全双工通道(2000Mbps)来)来实现将将一个LAN Switch端口所划分的不同VLAN与其它LAN Switch中各自相应的VLAN成员进行线路复用连接的技术。VLAN Trunking技术的采用，既节省了信道数据量，又提高了可靠性，并便于管理及方便连接，提高
16、了整个网络吞吐量和性能指标。 4.2.2 QOS实施策略对于局域网网络的带宽资源比较充分，对QOS的要求也相对较低，但是对于大量Internet数据通信的特点，网络中不可避免的存在突发流量，可能造成网络短时期拥塞，随着新业务的开展，另外网络中可能存在大量消耗带宽资源的应用，所以，本项目中仍然需要考虑QOS问题。QoS方案的设计实施，首先需要考虑选择合适的技术框架，也即服务模型。服务模型指的是一组端到端的QoS功能，目前有以下三种QoS服务模型：Best-Effort service尽力服务Integrated service（Intserv）综合服务Differentiated service
17、（Diffserv）区分服务Best-Effort service尽力服务是最简单的服务模型。应用程序可以在任何时候，发出任意数量的报文，而且不需要事先获得批准，也不需要通知网络。网络则尽最大的可能性来发送报文，但对时延、可靠性等不提供任何保证。尽力服务是互联网的缺省传输模式，由于它不区分具体的业务类型，采用先入先出的策略（FIFO）处理，对所有报文都无区别的等同对待，实现起来比较简单，但由于无法为高优先级的实时业务和关键业务提供额外保障，尽力服务模型并不适合用于政务网的建网需求。Integrated serviceIntserv是一个综合服务模型，它可以满足多种QoS需求。这种服务模型在发送
18、报文前，需要向网络申请特定的服务。这个请求是通过信令（signal）来完成的，应用程序首先通知网络它自己的流量参数和需要的特定服务质量请求，包括带宽、时延等，应用程序一般在收到网络的确认信息，即网络已经为这个应用程序的报文预留了资源后，发送报文。而应用程序发出的报文应该控制在流量参数描述的范围内。网络在收到应用程序的资源请求后，执行资源分配检查（Admission control），即基于应用程序的资源申请和网络现有的资源情况，判断是否为应用程序分配资源。一旦网络确认为应用程序的报文分配了资源，则只要应用程序的报文控制在流量参数描述的范围内，网络将承诺满足应用程序的QoS需求。而网络将为每个流
19、（flow，由两端的IP地址、端口号、协议号确定）维护一个状态，并基于这个状态执行报文的分类、流量监管（policing）、排队及其调度，来满足对应用程序的承诺，具有面向连接的特性。因此对网络设备的处理能力有较高要求。传送QoS请求的信令是RSVP（资源预留协议），它通知路由器应用程序的QoS需求。Differentiated serviceDiffserv即区别服务模型，它可以满足不同的QoS需求。与Integrated service不同，它不需要信令，即应用程序在发出报文前，不需要通知路由器。网络不需要为每个流维护状态，它根据每个报文指定的QoS，来提供特定的服务。可以用不同的方法来指定
20、报文的QoS，如IP包的优先级位（IP Precedence)、报文的源地址和目的地址等。网络通过这些信息来进行报文的分类、流量整形、流量监管和排队。通常在配置Differentiated service时，在网络边界的路由器通过报文的源地址和目的地址等对报文进行分类，对不同的报文设置不同的IP优先级，而其它路由器只需要用IP优先级来进行报文的分类。这三种服务模型中，只有Intserv与Diffserv这两种能提供多服务的QoS保障。从技术上看，Intserv需要网络对每个流均维持一个软状态，因此会导致设备性能的下降，或实现相同的功能需要更高性能的设备，另外，还需要全网设备都能提供一致的技术才
21、能实现QoS。而Diffserv则没有这方面的缺陷，且处理效率高，部署及实施可以分布进行，它只是在构建网络时，需要对网络中的设备设置相应的规则，会使配置管理比较复杂。考虑到Diffserv模式具有处理效率高，部署和实时方便的特点，我们建议在本项目中，选用Diffserv模式。4.2.3网络安全解决方案网络安全是任何一个网络建设时首先要考虑的重要问题，TCP/IP网络本身就存在很多安全漏洞，很容易被一些恶意用户利用并实施攻击，或非法占用网络资源，侵犯其它用户的合法利益，甚至导致整个网络系统崩溃。任何一个网络设备都必需首先具备足够的自我保护和防范能力，H3C的交换机和路由器等网络设备在安全性方面有
22、丰富实用的功能，大体可分为两类，一类是自身防攻击措施，另一类是用户安全保证措施。用户严格隔离方法一：用Vlan隔离。在楼层以太网交换机上按端口划分Vlan，每个用户占用一个Vlan。方法二：利用PVlan技术。在楼道交换机上划分PVlan，使用户端口之间不能通信，用户端口只能和Uplink口通信。方法三：使用以太网MUX设备。该类设备将接入层交换机的端口分为两类：上行口Uplink和用户端口。用户端口之间不能通信，Uplink口可以和所有端口通信。通过用户隔离，可以防止用户对网络邻居的工具，阻止冲击波等蠕虫病毒在网上的传播。有效防范MAC扫描和ARP攻击：MAC地址表放置在内存中，容量有限，用
23、户通过不停的发送MAC地址冲刷MAC地址表，通过MAC地址表溢出来更改MAC与IP地址的绑定，从而重新定向流量(CAM Overflow, macoftool工具)。ARP攻击与此类似，它是通过对交换机CPU的处理能力进行大容量冲刷造成其溢出而实现其攻击的。H3C交换机通过将MAC地址与端口绑定、并限制端口下MAC地址的最大学习个数，从而有效地防止MAC扫描，同时也可有效地防范ARP攻击。DHCP攻击、VLAN “Hopping”攻击的防范：使用DHCP Server动态分配IP地址会存在两个问题：一是DHCP Server假冒，用户将自己的计算机设置成DHCP Server后会与局方的DHC
24、P Server冲突；二是用户DHCP Smurf，用户使用软件变换自己的MAC地址，大量申请IP地址，很快将DHCP的地址池耗光。由于DHCP是通过二层广播包起作用的，故在二层严格隔离用户，可防止DHCP Server假冒。为解决DHCP Smurf，在以太网接入时，对用户划分Vlan，由汇聚层交换机控制一个Vlan下申请的最大IP地址数，当该Vlan的IP地址数目达到限制值后，拒绝新的DHCP申请。Vlan的划分可根据实际情况灵活掌握。华为S系列交换机提供dhcp server detect功能，可以检测到非法的dhcp server。同时，在CPE交换机上通过配置流规则，可以将非法端口的
25、dhcp reply报文丢弃。VLAN “Hopping”攻击的解决方案与此类似。采用SNMP v3杜绝网管攻击：网络管理员通过Telnet远程访问网络时，由于Telnet在网络中是明文传输，容易被窃取管理密码，采用支持SSH的交换机，可以对Telnet报文进行加密，截获报文也无法解析密码。华为S系列交换机支持SNMP V3，确保网管信息在传输过程中加密，侦听用户无法获致报文的真正内容。有效抑制广播风暴广播风暴是网络最常见的网络问题，针对此情况H3C S系列以太网交换机提供完善的广播风暴抑制功能，提供了针对特定VLAN的广播风暴抑制比的设定功能，可对VLAN上收到的广播流量进行监控，当广播流量
26、的带宽超过配置的限度时，交换机将过滤该VLAN上超出的流量，保证网络的业务，使广播所占的流量比例降低到合理的范围。防治蠕虫病毒防治蠕虫病毒需要系统管理、网络维护和安全操作部门的协力合作。一般情况下，通过网络设备限制的目的主要是把蠕虫的活动范围限定在已经感染蠕虫病毒的范围内，也就是说是防止蠕虫的扩散。限制需要将网络分段隔离来减慢甚至是停止蠕虫的继续传播。涉及到的具体技术包括在路由器、防火墙、三层交换机等网络上的安全控制点上设置入口和出口包过滤规则。同样的在网络边缘设置入口和出口ACL可以很好的限制蠕虫病毒的传播。一方面我们可以在交换机上配置VLAN，隔离用户，防止染病PC通过ARP扫描感染同网段
27、主机，另一方面，可以通过在汇聚交换机上限制单位时间内ARP报文的数目，以及ARP报文的总流量，从而从二层阻止蠕虫病毒的传播。如下图所示：我们还可以在汇聚交换机上配置ACL，限制蠕虫病毒传播的端口，防止蠕虫病毒的蔓延，如下图所示：5、综合布线设计5、1设计标准我们严格按照以下标准和文件的要求对该政府大楼综合布线系统进行整体设计，确保大楼的综合布线系统是一套完整、规范的信息链路。具体包括以下标准和文件：5.1.1 相关国际、国家标准建筑与建筑群综合布线系统工程设计规范（GB/T50311-2007）建筑与建筑群综合布线系统工程验收规范（GB/T50312-2007）智能建筑设计标准（GB/T503
28、14-2006） 通讯光缆的一般要求（GB/T7427-87） 工业企业通信设计规范（GBJ42-81）IEEE 802.3、802.5国际综合布线标准（TIA/EIA 568-B）客户建筑物电缆通用敷设要求国际标准（ISO/IEC 11801）为电信服务的商业建筑标准（TIA/EIA 569）住宅及小型商业区综合布线标准（TIA/EIA 570）商业建筑电信技术高度管理标准（TIA/EIA 607）非屏蔽双绞线布线测试标准（TIA/EIA TSB67）大楼综合布线系统标准（欧洲标准EN50173）中华人民共和国通信行业标准（YD/T926.2-2000）中国民用建筑设计规范（JGJ/T16-
29、92）美国UL实验室批准的列表5、2布线系统设计目标（1）安全性原则：大楼对网络通信线数据的安全性有着很高的要求。在整个智能化系统中，安全性要放在性能指标的首位，要求在数据不丢失、系统可靠连续运转的同时，还应符合中国或国际有关的安全标准，并可在非理想环境下有效工作，在系统结构和设备选型方面都要坚持高可靠性原则。（2）先进性原则：布线系统的先进性保证了数据信息传输基础设施的持久生命力；保证顺应网络系统的更新应用，针对大楼综合布线系统的要求，我们采用美国圣马汀零误码六类系统，该系统采用业界领先的零误码设计和制造技术，保证网络传输的零误码。同时其元器件级六类系统不仅能满足第一代千兆网络的传输，还能满
30、足下一代网络的传输，及其科技的快速发展。（3）灵活性原则：首先本系统设计已充分考虑以后的使用的余量，尤其在信息点设计上，以确保用户的扩容需求；同时在水平系统上采用六类及超五类系统，无论语音还是数据都考虑留有足够的余量。（4）可管理性原则：大楼综合布线系统将是非常便于管理的系统，首先系统有明确醒目的标签标识和详细完善的布线系统记录，其次系统有全封闭的、完善的布线系统管理器件，确保系统整洁美观。（5）实用性原则：大楼综合布线系统首先在满足系统的可靠性、先进性和适应性的前提下，也要具有良好的性价比，针对本项目的实际需要，目前数据、语音、视频等信号传输的要求，同时考虑到不久的将来网络发展的需求综合考虑
31、用户需求和网络设计一般原则，我们的布线系统设计将以先进性、灵活性、可管理性为主要指导思想，并兼顾其他设计原则，如实用性原则等。5.2.2“安全性（保密性）”解决方案首先要求线缆布置要远离强电,尤其电梯等动力电源, 其次避免与强电线缆形成长距离的平行走线, 万一有平行走线,需采用有效的隔离, 并采取有效的接地， 同时采用更高串音余量即更能抗干扰的带十字骨架的6类线缆以抗衡外来的干扰 。5.2.3“先进性”解决方案六类系统统一采用SMT系列综合布线产品，可以实现千兆传输，支持1000M以太网的各种应用。千兆光纤主干：布线系统的楼宇内的数据主干采用6芯多模室内光纤、语音主干采用三类室内大对数电缆，极
32、大的增加了传输距离，也保证了更快的以太网应用，保证网络扩展。用一套高品质的布线系统虽然在初期投资时费用相对较高，但可以大大降低运行维护费用及系统变更费用。5.2.4“可扩展性”解决方案线槽占空比：在线槽的设计适当增大占空比，并预留一定数量的线缆以备信息点扩展使用。在重要房间或特殊房间预留金属线管以便系统扩展或升级5.2.5“可管理性”解决方案所有的综合布线设备包括插座面板、线缆和配线架等都提供完善的标签系统5.3系统设计与构成的详细说明根据招标文件对本工程综合布线的功能需求，结合该工程的具体特点，该综合布线系统按模块化设计，分为工作区子系统、水平子系统、管理子系统、垂直干线子系统和设备间子系统。设计原则综合布线系统的设计 , 首先要进行需求分析 ,需求分析的主要依据是
