校园网络拓扑图及设置

① 校园网基本网络搭建及网络安全设计分析

摘要：伴随着Internet的日益普及，网络应用的蓬勃发展，网络信息资源的安全备受关注。校园网网络中的主机可能会受到非法入侵者的攻击，网络中的敏感数据有可能泄露或被修改，保证网络系统的保密性、完整性、可用性、可控性、可审查性方面具有其重要意义。通过网络拓扑结构和网组技术对校园网网络进行搭建，通过物理、数据等方面的设计对网络安全进行完善是解决上述问题的有效 措施 。

关键词：校园网；网络搭建；网络安全；设计。

以Internet为代表的信息化浪潮席卷全球，信息 网络技术 的应用日益普及和深入，伴随着网络技术的高速发展，各种各样的安全问题也相继出现，校园网被“黑”或被病毒破坏的事件屡有发生，造成了极坏的社会影响和巨大的经济损失。维护校园网网络安全需要从网络的搭建及网络安全设计方面着手。

一、 基本网络的搭建。

由于校园网网络特性（数据流量大，稳定性强，经济性和扩充性）和各个部门的要求（制作部门和办公部门间的访问控制），我们采用下列方案：

1. 网络拓扑结构选择：网络采用星型拓扑结构（如图1）。它是目前使用最多，最为普遍的局域网拓扑结构。节点具有高度的独立性，并且适合在中央位置放置网络诊断设备。

2.组网技术选择：目前，常用的主干网的组网技术有快速以太网（100Mbps）、FDDI、千兆以太网（1000Mbps）和ATM（155Mbps/622Mbps）。快速以太网是一种非常成熟的组网技术，它的造价很低，性能价格比很高；FDDI也是一种成熟的组网技术，但技术复杂、造价高，难以升级；ATM技术成熟，是多媒体应用系统的理想网络平台，但它的网络带宽的实际利用率很低；目前千兆以太网已成为一种成熟的组网技术，造价低于ATM网，它的有效带宽比622Mbps的ATM还高。因此，个人推荐采用千兆以太网为骨干，快速以太网交换到桌面组建计算机播控网络。

二、网络安全设计。

1.物理安全设计 为保证校园网信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的__带来了极大的危害。为了防止系统中的信息在空间上的扩散，通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。正常的防范措施主要在三个方面：对主机房及重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运行主要设备，以防止磁鼓、磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风、波导，门的关起等。对本地网 、局域网传输线路传导辐射的抑制，由于电缆传输辐射信息的不可避免性，现均采用光缆传输的方式，大多数均在Modem出来的设备用光电转换接口，用光缆接出屏蔽室外进行传输。

2.网络共享资源和数据信息安全设计 针对这个问题，我们决定使用VLAN技术和计算机网络物理隔离来实现。VLAN（Virtual LocalArea Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。

IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。

但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到 其它 VLAN中，即使是两台计算机有着同样的网段，但是它们却没有相同的VLAN号，它们各自的广播流也不会相互转发，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN是为解决以太网的广播问题和安全性而提出的，它在以太网帧的基础上增加了VLAN头，用VLANID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。从目前来看，根据端口来划分VLAN的方式是最常用的一种方式。许多VLAN厂商都利用交换机的端口来划分VLAN成员，被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。

但是，这种划分模式将虚拟网络限制在了一台交换机上。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。以交换机端口来划分网络成员，其配置过程简单明了。

3.计算机病毒、黑客以及电子邮件应用风险防控设计 我们采用防病毒技术，防火墙技术和入侵检测技术来解决相关的问题。防火墙和入侵检测还对信息的安全性、访问控制方面起到很大的作用。

第一，防病毒技术。病毒伴随着计算机系统一起发展了十几年，目前其形态和入侵途径已经发生了巨大的变化，几乎每天都有新的病毒出现在INTERNET上，并且借助INTERNET上的信息往来，尤其是EMAIL进行传播，传播速度极其快。计算机黑客常用病毒夹带恶意的程序进行攻击。

为保护服务器和网络中的工作站免受到计算机病毒的侵害，同时为了建立一个集中有效地病毒控制机制，天下论文网需要应用基于网络的防病毒技术。这些技术包括：基于网关的防病毒系统、基于服务器的防病毒系统和基于桌面的防病毒系统。例如，我们准备在主机上统一安装网络防病毒产品套间，并在计算机信息网络中设置防病毒中央控制台，从控制台给所有的网络用户进行防病毒软件的分发，从而达到统一升级和统一管理的目的。安装了基于网络的防病毒软件后，不但可以做到主机防范病毒，同时通过主机传递的文件也可以避免被病毒侵害，这样就可以建立集中有效地防病毒控制系统，从而保证计算机网络信息安全。形成的整体拓扑图。

第二，防火墙技术。企业防火墙一般是软硬件一体的网络安全专用设备，专门用于TCP/IP体系的网络层提供鉴别，访问控制，安全审计，网络地址转换（NAT），IDS，，应用代理等功能，保护内部 局域网安全 接入INTERNET或者公共网络，解决内部计算机信息网络出入口的安全问题。

校园网的一些信息不能公布于众，因此必须对这些信息进行严格的保护和保密，所以要加强外部人员对校园网网络的访问管理，杜绝敏感信息的泄漏。通过防火墙，严格控制外来用户对校园网网络的访问，对非法访问进行严格拒绝。防火墙可以对校园网信息网络提供各种保护，包括：过滤掉不安全的服务和非法访问，控制对特殊站点的访问，提供监视INTERNET安全和预警，系统认证，利用日志功能进行访问情况分析等。通过防火墙，基本可以保证到达内部的访问都是安全的可以有效防止非法访问，保护重要主机上的数据，提高网络完全性。校园网网络结构分为各部门局域网（内部安全子网）和同时连接内部网络并向外提供各种网络服务的安全子网。防火墙的拓扑结构图。

内部安全子网连接整个内部使用的计算机，包括各个VLAN及内部服务器，该网段对外部分开，禁止外部非法入侵和攻击，并控制合法的对外访问，实现内部子网的安全。共享安全子网连接对外提供的WEB，EMAIL，FTP等服务的计算机和服务器，通过映射达到端口级安全。外部用户只能访问安全规则允许的对外开放的服务器，隐藏服务器的其它服务，减少系统漏洞。

参考文献：

[1]Andrew S. Tanenbaum. 计算机网络（第4版）[M].北京：清华大学出版社，2008.8.

[2]袁津生，吴砚农。 计算机网络安全基础[M]. 北京：人民邮电出版社，2006.7.

[3]中国IT实验室。 VLAN及技术[J/OL], 2009.

② 校园网络拓扑图怎么画，很急，大学论文用

、规划背景问题描述，计算机网络规划需求分析2、网络总体方案设计（包括局域网、接入网等）、该方案的特点。(网络拓扑设计)3、网络体系结构设计：确定主干网,分支网采取何种组网技术；4、选择通信媒体：用户端和中继系统选定传输电缆和传输资源；5、节点规模设计：确定网络的主要节点设备（服务器、客户机、交换机等）的性能指标、台数；6、网络服务器、工作站选型与配置。7IP地址子网划分及方案。8、参考文献（包括互联网上的引用信息）。背景资料1、某市电业局网络规划某市电业局新公楼高16层，共计有160个房间。主楼的南面是附楼，附楼高2层，每层有6个房间，共38个信息点。原电业局公楼（老楼）离新公楼约0.7公里，高5层。该市A区供电局与局新大楼相距100米，其他四个区的供电局（B区、C区、D区、E区）离局新大楼20公里以上。修验厂在老楼院内，离老楼约100米。油务楼、保护仪表间距离老楼分别为150米、130米。油务楼周围还有物资仓库、高压试验楼、修验厂房各有2个信息点，距离在80米之内。局新大楼一期网络工程可上网约120个信息点，老楼计算机应用已有一定规模和水平，目前已有48个信息点。随着生产发展，对工作效率和管理水平现代化要求的提高，对数据流畅通和信息共享提出了更高的要求：1)对市电业局网络系统进行总体设计。2)保留原有计算机软硬件资源，让MIS原有功能模块或子系统仍能继续运行。3)解决全市局范围内的网络通信、公自动化等问题，使网络系统性能、计算机应用水平达到一个新水平。4)考虑到今后的发展、扩充和先进技术的应用，一次布线后新楼最大可供500个信息点联网，老楼最大可供200个信息点联网。

③ 现在请你为某个学校做网络设计。（子网规划，路由配置，防火墙配置部分）

一、子网划分设计：
1、 将192.168.1.0分为8个子网，每个子网有32个地址。
2、 子网掩码：255.255.255.224
3、 0子网和广播子网不用。通过使用命令route(config)# ip subnet-zero 指定0子网可用。

如表所列：192.168.1. X （可表示为192.168.1.X / 255.255.255.224或 192.168.1.X / 27）
子网号192.168.1.X 0 32 64 96 128 160 192 224
地址段 0-31 32-63 64-95 96-127 128-159 160-191 192-223 224-255
拟分配资源 不用 连接盯做谈 行政 教务 教室1 教室2 备用 不用
可用地址范围 33-62 65-94 97-126 129-158 161-190
网关地址 33-34 65 97 129 161
备注 0子网 主胡顷页66
代理68 广播子网

二、网络拓扑设计图：

三、静态路由配置：
Teacher： ip route 0.0.0.0 0.0.0.0 172.16.9.1
ip route 192.168.1.128 255.255.255.192 192.168.1.34
(ip route 192.168.1.128 255.255.255.224 192.168.1.34)
(ip route 192.168.1.160 255.255.255.224 192.168.1.34)
Student： ip route 0.0.0.0 0.0.0.0 192.168.1.33

四、防火墙设置：(如图,在teacher路由凯碰器S0和E0端口上设置)
1、ACL 100:
ip access-list extended 100
permit tcp any any established
permit tcp any host 192.168.1.66 eq 80
permit ip any host 192.168.1.68
deny tcp any 192.168.1.128 0.0.0.63 eq 80
permit ip any 192.168.1.128 0.0.0.63
应用在S0接口上:
interface s0
ip address 172.16.9.2 255.255.255.0
ip access-group 100 in

2、ACL 101:
ip access-list extended 101
permit tcp any any established
permit tcp any host 192.168.1.66 eq 80
permit ip any host 192.168.1.68
permit tcp any 192.168.1.96 0.0.0.31 eq 80
permit tcp any 192.168.1.96 0.0.0.31 eq 20
permit tcp any 192.168.1.96 0.0.0.31 eq 21
deny ip any 192.168.1.64 0.0.0.63
permit ip any any
应用在E0接口上:
interface e0
ip address 192.168.1.33 255.255.255.224
ip access-group 101 in

④ 校园网络的拓扑结构图

结构图如下：

由网络节点设备和通信介质构成的网络结构图。网络拓扑定义了各种计算机、打印机、网络设备和其他设备的连接方式。换句话说，网络拓扑描述了线缆和网络设备的布局以及数据传输时所采用的路径。网络拓扑会在很大程度上影响网络如何工作。

(4)校园网络拓扑图及设置扩展阅读

星型网络拓扑结构的一种扩充便是星行树,如左图所示。每个Hub与端用户的连接仍为星型,Hub的级连而形成树。然而,应当指出,Hub级连的个数是有限制的,并随厂商的不同而有变化。

树型结构是分级的集中控制式网络，与星型相比，它的通信线路总长度短，成本较低，节点易于扩充，寻找路径比较方便，但除了叶节点及其相连的线路外，任一节点或其相连的线路故障都会使系统受到影响。

适用场合：只适用于低速、不用阻抗控制的信号，比如在没有电源层的情况下，电源的布线就可以采用这种拓扑。

⑤ 校园网络方案网络拓扑图解释（双核心交换机的使用）

没看见图

1、两条核心间需要做“心跳”连接，也是为了数据交换，做到核心冗余
2、每个汇聚，都需要连接到两个独立得核心，这样，一台核心挂了，可以自动切换到另外一台
3、没看到图
4、也没看到图，猜想也是为了冗余
5、上网需要有互联网出口，根据IP规划配置终端就可以了