某高校网络安全解决方案

项目概述：1学校概况2需求调查和分析3网络拓扑图4主要设备选型5综合布线系统设计6网络安全设计7计费系统设计8网络管理系统1学校概况建设目标（1）完善计算机网络与信息中心建设，提供更新更全的Internet服务功能、文件服务、素材软件下载、VOD教学视频点播、网络视频会议、校园网站建设、校园BBS公告公用信息的发布等达到高水平服务；（2）为教职工对外联系交流、查询、网络教学创造条件，通过网络密切与国内外的学术联系，提高学校的教学、教研水平。为全体教师和学生提供足够数量的联网微机、在每间教室配备大屏幕；（3）建设校行政管理信息系统，实现管理现代化，增强教育管理的科学性。通过实现办公自动化，提高学校各级管理的效率和水平；（4）实现学校主要的教学、教研、管理计算机联网；建设意义随着当代信息技术的发展，随着多媒体计算机在教育教学过程中的应用越来越普遍，校园网络的建设提到了重要的议事日程。校园网建设是教育信息化建设的重要组成部分，是全面实现素质教育的重要手段，是实现教育现代化的重要标志，校园网是学校信息基础设施。校园网的规模、网络性能、应用水平和普及程度已成为衡量一所院校办学水平高低的重要标志之一。网络现状目前学校拥有计算机大约5000多台，主要集中于实验楼、图书办公楼、校园文化中心。实验楼拥有200台，教室单独放置，没有网络；图书办公楼有30台，其主要功能为日常办公和学生学籍管理、财务管理，多为工作组小型网络，各个部门没有互联互通；文化中心拥有6个计算机教室，和12个多媒体阶梯教室，每个计算机教室拥有60台计算机，且计算机教室独自成网，不能互通，多媒体阶梯教室各配置一台多媒体PC，没有网络连接。综上所述：学校计算机网络覆盖率低，且现有网络不能互通。建设校园网络，创建丰富多彩的校园网络文化对于转变陈旧教育思想和观念，促进教学内容、教学方法、教学结构和教学模式的改革，加快建设教育手段和管理手段的现代化有决定性作用，尤其是对于深化基础教育改革，提高教育质量和效益，培养“面向现代化，面向世界，面向未来”的创新人才更具深远的意义。2需求调查和分析职位人数要求的服务教师200查阅，下载资料，制作课件邮件，网络教学，记录成绩，BBS学生4000查阅，下载资料，邮件，BBS教务处20学籍管理，成绩管理，发布信息财务处20记录学费。发布信息学生勤管中心10邮件管理，发布信息，经分析可得到该校园网应该提供的网络服务有：电子邮件服务：主要进行师生交流、学术探讨；服务：进行对外宣传及对内的信息发布；FTP服务：用来获取学习资料及技术文档；视频点播服务：供师生娱乐；BBS服务：提供学生，教师之间的交流的空间3网络拓扑图4主要设备选型中心服务器中心服务器是整个网络的核心部分。中心服务器是整个网络中网络服务的提供者，它的性能优劣直接影响整个网络的工作效率，它的不稳定又会给网络造成很大的损失。因此在服务器的选型上应考虑如下问题：1.高可靠性2.高效性3.可扩展性和兼容性由于校园网数据量比较大、访问人员比较多，同时承担了大量局域网数据的传输、服务等工作，对服务器的容错性有较高的要求。根据容错技术的现状，我们选用了两台美国DEC公司的PriorisZX6000服务器。基于高能奔腾（PentiumPro）处理器的PriorisZX6000MP服务器为访问客户机/服务器应用和数据库提供了最快的、最肯定的机制，并且配有先进的冗余功能和容错设施从而保证持续不断的高性能及配合未来的可扩充能力。特性：具有267MB/秒峰值带宽的双对等PCI总线PCIRAID、PCIFAST──WIDESCSI接口和PCI快速以太网支持可变速冗余风扇；可选的冗余电源；七个集成的热插拔硬盘托架随机赠送。支持DIGITALWindowsNT集群系统具有数据库和文件服务的容错能力支持所有的工业标准的操作系统最大的可扩充性，可以有多达2.0GBECC内存，1TB外存和12个I/O槽先进的256位四路交叉访问内存结构具有先进的可管理性，集成I2C接口，通过操作控制员控制面板可监视系统状态/报警，借助DIGITAL享有声誉的SERVERWORKS管理程序进行监视。为了加强网络中心的容错性我们采用双机热备份的方案，核心交换机选型ＣＩＳＣＯ的产品线很多，适合千兆网主干的产品有４０００系列、５０００系列、６０００系列、８０００系列等。网络系统需要在可靠性、扩充能力等方面具有很好的性能并且必须支持多层交换，４０００系列具有高端口密度和很好的网络交换性能，但不能支持多层交换，所以不能满足需要；５０００系列推出很早，是一个成熟稳定的产品，其交换性能和对新型技术的兼容能力要逊色一些，它也不是本次校园网设计首选；６０００系列从性能、技术都能满足校园网的需要，而８０００系列由于具有更高要求的关键企业的关键应用，对用户而言性能价格比不如６０００，因此本次设计选用Ｃａｔａｌｙｓｔ６０００系列作为校园网的中心交换机。（１）６０００系列中心交换机的主要性能：３２Ｇｂｐｓ的底板带宽；１５Ｍｐｐｓ的多层交换；６个插槽，但最多可有２４０个用户插槽；（２）支持模板８端口千兆位以太网；２４端口１００ＦＸ以太网；４８端口１０／１００以太网ＲＪ－４５；４８端口１０／１００以太网ＲＪ－２１或ＴＥＬＣＯ；（３）多层交换机模块设计在网络中心选用一台Ｃｉｓｃｏ６５０９中心交换机，配置一个热冗余电源、一块交换引擎、一块多层交换模块、两块８端口千兆网端口、由于交换引擎上还具有２个千兆口，因此设备具有１８个可用的千兆口，主干交换机上还配置一块４８端口１０／１００自适应端口，方便连接机房及本层的终端。分布层交换机选型选择分布层交换机要更具各子网的需求而定：（１）教学子网：校园网建网的目的之一是利用计算机网络实现多媒体教学。在教学过程中，大量传送的是文本、图像和部分视频等数据，对速度要求较高，所以设计时推荐所有教学用端口全部采用交换式100M以太网口；（２）办公子网：办公子网主要面向学校的各级领导以及各职能部门，办公计算机所实现的功能主要是对网络数据的查询、修改、添加、删除等操作。只有网络数据传输快，才能更好地提高办公效率。同时，办公计算机应该能够达到支持视频传送的要求。鉴于办公子网将支持视频功能，设计推荐采用交换式100M端口；（3）娱乐子网：宿舍区子网即在学生宿舍内部联网，学生可以直接浏览学校发布的信息及查阅一些电子文档，也可以在宿舍接收老师的远程教学，后勤子网主要为食堂提供售饭一卡通计费系统等，由于宿舍区覆盖范围较广，故在宿舍区设一个网络分中心，以减少至网络中心的光纤数量。在宿舍区网络分中心内配置一台CISCO3508中心交换机，并通过光纤与网络中心直接相连。所以选择各子网的交换机时，通过整个网管系统将各个子网划分在不同的虚拟子网中，这样既满足了各子网与１０００Ｍ主干网的连接，又减少了投资、方便了管理。各子网的工作组交换机均选择CISCO的catalyst3500XL系列交换机中的3548ｘｌ和3548ｘｌ接入层层交换机选型为了满足大量计算机的接入网络，我们需要交换机要有大量的端口，特别是在校园网中，用户量大！所以我们学则Ｃｉｓｃｏ的Ｃａｔａｌｙｓｔ1924ＸＬ系列交换机。它具有24各固定以太网端口。5综合布线系统设计系统设计本系统遵循ISO/IEC11801:11801、GB/T50312-2007、GB/T50311-2007标准设计。采用普天超5类——50/125微妙光纤解决方案，整个布线系统由工作区子系统，水平干线子系统，管理间子系统，主干子系统，设备间子系统，建筑群子系统等六个子系统构成。工作区子系统工作区子系统主要由各个工作区域构成，主要包括终端连接跳线、信息插座和终端设备如计算机、电话等，以上均为超五类配置。信息座有墙上型、地面型、桌上型等多种。根据各工作区信息点位置的不同，应选择相应的信息插座。本方案采用墙面型插座，安装时根据装潢的具体情况，可安装在墙面上，也可安装在隔断上。每个信息插座旁边要求有1-2个单相电源插座以供计算机设备使用,信息插座与电源插座间距不得小于20cm,信息插座的位置一般放在离地30cm的地方,方便、美观且考虑防尘、防水。信息点数量应根据工作区的实际功能及需求确定，并预留适当数量的冗余。水平布线子系统水平布线子系统水平子系统是指从各配线架到工作站各信息插座的线路。采用普天的超五类四芯UTP(非屏蔽双绞线)这种配置现存的和已规划的系统，为将来网络重组也提供了最大的灵活性。它达到了国际EIA/TIA的五类标准。即满足现在的需要,也满足不断发展变化的要求。为了设计出最短的电缆布线路由,降低布线的费用,同时也为了设计出满足用户要求的路由,减少数据信息在传输中的损耗和干扰,我们建议采用金属线槽,尽量减少弯曲,与强电等干扰源平行时保持20cm以上的距离。我们关注与水平布线相关的问题,如吊顶金属线槽的走向及尺寸,墙面金属管道的直径及走向,地板下金属通道的大小及走向。为了抑制电缆中的EMI噪声,必须采用屏蔽法：金属管道接地。为了：减少感应的电压和信号辐射；保护在规定范围内的线路不受外界产生的EMI的干扰。管理子系统管理子系统由配线架、机柜所组成，在配线架上使用色标来区分水平线缆和连接在配线架上的设备端接线缆。本管理间语音、数据系统管理为互连管理方式，系统语音管理点设在设备间。在管理间采用标准19英寸标准机柜安装配线架，该种安装方式可便于系统的使用、维护、维修等，并且可保护系统的设备免受外界环境的影响延长系统的使用寿命。19英寸标准机柜在机柜箱体表面进行喷塑处理。按国家标准外表面达到2级，内表面达到4级。亚光喷塑表面，色泽均匀。机柜箱体表面平整度在1平方米面积内不超过1毫米。门与门框的缝隙不超过1.2毫米，且四周缝隙均保持一致。能够保证十年内在外观、性能等方面保持原有质量水平。机柜外壳颜色为灰色。由于管理间内要安装网络设备，因此管理间需进行必要的装修或同等条件的办公室内，并配备照明设备以便于设备维护，同时为保证网络的可靠运行，管理间内应配备三组独立供电的220V电源插座。主干子系统主干子系统是整个建筑物综合布线系统的一部分，它提供建筑物内综合布线系统的主干电缆，它必须能满足当前的系统需求，又能适应今后的发展。通常由大对数铜缆和光缆组成，它的一端接在设备机房的主配线架上，另一端接在分配线间的分配线架上。设备子系统设备子系统由主配线架、设备间中的跳线电缆、适配器组成，它把主配线架与各种不同设备互连起来，如网络设备、程控交换机等。建筑群子系统各楼可采用光纤和主楼进行互连。建筑群数据主干建议采用八芯单光纤进行连接，具有冗余性和可扩充性。整个系统综合采用统一标准的配线组和模块化结构统一布线、一次完成。它的每一个子系统都是一个相互独立的单元组，改变任何一个子系统、不影响其他子系统的正常运作。6网络安全设计鉴于学校自身的特点，系统的可靠性及安全性尤其重要，遵循本系统设计原则中两点，制定出以下细则：系统的安全性，由于学校自身的特点，系统必须具有较高的安全保密性能，本系统应针对不同的对象、环境、防止非法侵入和机密泄露，避免灾难性事件的发生。环境安全性主要是网络、微机所在环境的安全性，所以在主机房的设计方面一定要在UPS电源保障、通风设备、消防设备、烟火预警、监控等方面要考虑周全，按照国家标准进行设计，避免灾难性事件的发生。设备安全性所选用的网络设备,服务器、微机设备，其质量必须稳定可靠、服务过硬，并能通过美国FCCCLASSB级标准，尽可能地减少电磁泄漏量，以保证数据和人体的安全性。应用系统设计安全性所选的网络操作系统、数据库开发平台工具必须能够提供多级安全机制，如多级口令、备份、数据恢复等。2.系统的可靠性对于学校来说，一个系统的正常运行尤为重要，一旦在关键时刻系统出现过障率小，便于维护。在系统结构设计中应充分考虑到网络的负载，尽可能避免网络瓶颈，以及对过障点的隔离作用。物理结构上采用双环树型和星型拓扑结构，其单点的过障不会对其他工作点产生、影响。对于数据的安全可靠性，可以采用如服务器镜像、RAID5磁