|
一、體系結構
網絡系統的體系結構包括功能的分層及各層功能通信所遵守的協議。網絡系統的體系結構也稱為“層次與協議的集合”。網絡系統設計的第一步就是選擇網絡體系結構，核心內容是決策應當采用的協議集合。 選擇目前應用范圍最為廣泛，并且是事實上的Internet/Intranet標準的通信協議族TCP/IP，作為架構整個網絡體系結構的核心協議。為了支持遠程訪問功能，還使用了異步通信協議PPP。 下圖說明了我們所選定的整個網絡體系結構：
校園網的網絡總體結構如圖所示：
二、系統設計 2.1 校園網特點 網絡系統分布在整個校園內，系統規模較大；采用綜合布線系統作為網絡的線路基礎；應用以客戶/服務器和瀏覽器/Web服務器為主要模式；信息流動以內部為主，對網絡吞吐能力要求較高；應用系統采用集中配置、集中管理的模式；流量具有中心匯集的特點；適應校校通的需求，未來將與其它網絡互連；支持遠程訪問；可管理性要求較高；提供安全控制措施。 校園網已超出了傳統局域網能覆蓋的范圍，涉及到局域網互連技術，網絡層次較多。職能不同的部門分布在不同的地理位置上，需要進行子網劃分，以便于管理。校園網采用星型拓撲結構。核心是主干網，周圍是各個子網，子網向下連接工作組網，工作組網向下再連接基層網段。計算機根據功能和配置的情況，可以連接到不同的網絡層次。主干網必需有大的帶寬和很強的中心交換處理能力。子網相對獨立，在主干匯接處形成子網邊界。支持遠程訪問。 2.3 系統設計 從上面看出，校園網事實上為園區級網絡，拓撲結構為分層的集中式結構或稱星型分級拓撲。針對這種結構，做出如下設計： 主干網匯接各子網，形成中心交換；子網通過路由器連接到主干網；主干網上不直接接入用戶網絡；網絡中心的網絡構成一個單獨的子網，匯接到主干網；在網絡中心進行集中控制和管理；每個子網按部門劃分成多個工作組網；每個工作組網劃分成多個基層網段；桌面機連接到基層網段上，服務器、工作站連接到高層網絡；流量劃分層次，跨越基層網段的流量匯接到工作組網，跨越工作組網的流量匯接到子網，跨越子網的流量匯接到主干；水平結構對稱，子網、工作組網、基層網段具有一致的流量水準；撥號訪問形成獨立子網，通過路由器接入主干；設立非軍事區，隔離內外部網絡，實現INTERNET互聯；在關鍵子網設立防火墻，防止來自內部或外部的惡意攻擊；在完善的網絡基礎之上，提供基本的INTERNET服務。
2.4網絡技術設計 2.4.1網絡總體結構
從上圖可以看出，校園網網絡系統的總體結構包括如下的部分：
2.4.2 主干網 校園網主干網是數據信息流動的動脈，同時擔負著信息流動的總調度任務。主干網從功能上來看包括幾個方面： 為子網間互聯提供高速路由，實現核心高速交換；連接校園網共享的高性能服務器；實現全網的系統管理和安全管理；實現國際互聯網絡的連接實現撥號接入。 主干網采用核心交換、劃分虛網的設計方案。交換核心使用一臺高性能、高可靠性的交換機，實現冗余備份和負載平衡。這種方案最大的特點是可管理性好、可維護性好。 這種方案通常在廣域網中采用。由于路由器的包轉發速率已達到線速，并且價格大幅度下降，因而在保證性能的前提下，使用路由器作為局域網的互聯方案是合理和可行的。采用路由器組網使網絡的可管理性、可維護性大幅度提高。路由器互聯的網絡系統，有三個網絡層次，因而非常便于管理，這對于大型網絡，特別是需要進行集中控制和維護的網絡來說，尤其重要。 VLAN作為局域網的解決方案，如在桌面的移動管理方面具有一定優勢，但作為大型網絡的整體解決方案，還需要與路由技術配合，所以需要支持虛擬網路由的產品，即具有第三層交換于一體的高性能交換機。 遠程訪問提供電話撥號訪問功能，使用戶在家中、在外地都可以訪問校園網。遠程工作站通過撥號接入校園網，采用點對點的協議為PPP。遠程訪問服務器RAS與調制解調器Modem組合實現遠程訪問功能。在訪問服務器的遠程訪問端口提供訪問控制(Access List)。通過與撥號安全服務器配合，還能實現進一步的用戶認證和授權控制。遠程訪問解決了遠程工作站通過撥號線路對網絡資源的訪問。由于撥號網絡是攻擊網絡的可能的主要入口，因而必須在技術和管理兩個方面加強管理。遠程訪問服務應提供以下功能： 撥號訪問(Telnet/Rlogin/PPP)支持；靜態/動態地址分配；多協議(IP和IPX)透明訪問支持； 用戶訪問和安全控制；撥出(Dial-on-Demand, Dial-Out)功能；自動協議檢測和轉換；遠程控制和維護；網管支持。 撥號網絡是可能的主要攻擊入口，并且采用動態IP分配策略，所以必須與其它網段隔離，直接連到網絡中心路由器上，占用一個獨立的網段，這樣也有利于計費管理。訪問服務器通過路由器與MODEM池接入撥號線。訪問服務器與撥號安全服務器配合，根據身份認證協議(TACACS/RADIUS/KEBEROS)實現撥號用戶的認證和授權。 2.4.4 網間互聯 根據校校通的精神，校園網需要與其它網絡互聯，使信息交換的范圍擴展到整個INTERNET上。目前Internet/Intranet事實上的網間互聯標準是TCP/IP協議。校園網既可以通過邊界路由器和DDN線路，連接到Internet，也可以通過城域網聯到Internet。 如果學校要對外發布信息，應增加對外的信息服務器。對外的Internet服務器由于完成多種服務，所以不但速度要快，I/O能力也必須很強，選擇1臺或多臺高性能服務器作為外部Internet服務器。 外部網段服務器中的配置信息和數據在內部網段做備份，萬一這些服務器受到攻擊或故障，系統和數據能夠快速恢復，不影響對外宣傳。 2.4.5 子網 子網按照學校的地理分布和應用的數據流量進行劃分。每個子網覆蓋一幢樓或樓的某些層。子網通過樓間的戶外光纜與網絡中心相連。子網是一個相對獨立的局域網，內部采用交換技術作為主要連接手段，通過VLAN形成邊界，并與主干網匯接。具體技術方案要點如下： 各子網通過接入交換機接入主干網；各子網采用與主干網一致的通信協議；各子網通過網絡中心實行統一集中的管理；子網內的各工作組網的交換機接入子網交換機；子網內部采用交換技術組網。 2.4.6 工作組網 工作組網可以是一個教學組，也可以是一間辦公室，還可以是其它劃分。??連接到工作組網的交換機上，工作組網實現100M到桌面。具體的技術方案要點如下： 各工作組網接入子網交換機。 各工作組網采用與主干網一致的通信協議。 各工作組網通過網絡中心實行統一集中的管理。 工作組網上可設置工作組內共享的服務器。 工作組網內部采用共享或獨占10M端口的方式組網。
三、 校園網網絡拓撲
網絡安全 1 .網絡安全概述 隨著計算機技術的迅速發展，在計算機上處理的業務也由基于單機的數學運算、文件處理，基于簡單連接的內部網絡的內部業務處理、辦公自動化等發展到基于復雜的內部網(Intranet)、企業外部網(Extranet)、全球互連網(Internet)的企業級計算機處理系統和世界范圍內的信息共享和業務處理。在系統處理能力提高的同時，系統的連接能力也在不斷的提高。但在連接能力信息、流通能力提高的同時，基于網絡連接的安全問題也日益突出，整體的網絡安全主要表現在以下幾個方面：網絡的物理安全、網絡拓撲結構安全、網絡系統安全、應用系統安全和網絡管理的安全等。 因此計算機安全問題，應該象每家每戶的防火防盜問題一樣，做到防范于未然。甚至不會想到你自己也會成為目標的時候，威脅就已經出現了，一旦發生，常常措手不及，造成極大的損失。 2 .物理安全分析 網絡的物理安全是整個網絡系統安全的前提。在校園網工程建設中，由于網絡系統屬于弱電工程，耐壓值很低。因此，在網絡工程的設計和施工中，必須優先考慮保護人和網絡設備不受電、火災和雷擊的侵害；考慮布線系統與照明電線、動力電線、通信線路、暖氣管道及冷熱空氣管道之間的距離；考慮布線系統和絕緣線、裸體線以及接地與焊接的安全；必須建設防雷系統，防雷系統不僅考慮建筑物防雷，還必須考慮計算機及其他弱電耐壓設備的防雷。總體來說物理安全的風險主要有，地震、水災、火災等環境事故；電源故障；人為操作失誤或錯誤；設備被盜、被毀；電磁干擾；線路截獲；高可用性的硬件；雙機多冗余的設計；機房環境及報警系統、安全意識等，因此要盡量避免網絡的物理安全風險。 網絡拓撲結構設計也直接影響到網絡系統的安全性。假如在外部和內部網絡進行通信時，內部網絡的機器安全就會受到威脅，同時也影響在同一網絡上的許多其他系統。透過網絡傳播，還會影響到連上Internet/Intrant的其他的網絡；影響所及，還可能涉及法律、金融等安全敏感領域。因此，我們在設計時有必要將公開服務器(WEB、DNS、EMAIL等)和外網及內部其它業務網絡進行必要的隔離，避免網絡結構信息外泄；同時還要對外網的服務請求加以過濾，只允許正常通信的數據包到達相應主機，其它的請求服務在到達主機之前就應該遭到拒絕。 4 .系統的安全分析 所謂系統的安全是指整個網絡操作系統和網絡硬件平臺是否可靠且值得信任。目前恐怕沒有絕對安全的操作系統可以選擇，無論是Microsfot 的Windows NT或者其它任何商用UNIX操作系統，其開發廠商必然有其Back-Door。因此，我們可以得出如下結論：沒有完全安全的操作系統。不同的用戶應從不同的方面對其網絡作詳盡的分析，選擇安全性盡可能高的操作系統。因此不但要選用盡可能可靠的操作系統和硬件平臺，并對操作系統進行安全配置。而且，必須加強登錄過程的認證(特別是在到達服務器主機之前的認證)，確保用戶的合法性；其次應該嚴格限制登錄者的操作權限，將其完成的操作限制在最小的范圍內。 5 .應用系統的安全分析 應用系統的安全跟具體的應用有關，它涉及面廣。應用系統的安全是動態的、不斷變化的。應用的安全性也涉及到信息的安全性，它包括很多方面。 --應用系統的安全是動態的、不斷變化的。 應用的安全涉及方面很多，以目前Internet上應用最為廣泛的E-mail系統來說，其解決方案有sendmail、Netscape Messaging Server、Software.Com Post.Office、Lotus Notes、Exchange Server、SUN CIMS等不下二十多種。其安全手段涉及LDAP、DES、RSA等各種方式。應用系統是不斷發展且應用類型是不斷增加的。在應用系統的安全性上，主要考慮盡可能建立安全的系統平臺，而且通過專業的安全工具不斷發現漏洞，修補漏洞，提高系統的安全性。 --應用的安全性涉及到信息、數據的安全性。 信息的安全性涉及到機密信息泄露、未經授權的訪問、破壞信息完整性、假冒、破壞系統的可用性等。在某些網絡系統中，涉及到很多機密信息，如果一些重要信息遭到竊取或破壞，它的經濟、社會影響和政治影響將是很嚴重的。因此，對用戶使用計算機必須進行身份認證，對于重要信息的通訊必須授權，傳輸必須加密。采用多層次的訪問控制與權限控制手段，實現對數據的安全保護；采用加密技術，保證網上傳輸的信息(包括管理員口令與帳戶、上傳信息等)的機密性與完整性。
6 .管理的安全風險分析 管理是網絡中安全最最重要的部分。責權不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險。當網絡出現攻擊行為或網絡受到其它一些安全威脅時(如內部人員的違規操作等)，無法進行實時的檢測、監控、報告與預警。同時，當事故發生后，也無法提供黑客攻擊行為的追蹤線索及破案依據，即缺乏對網絡的可控性與可審查性。這就要求我們必須對站點的訪問活動進行多層次的記錄，及時發現非法入侵行為。 建立全新網絡安全機制，必須深刻理解網絡并能提供直接的解決方案，因此，最可行的做法是制定健全的管理制度和嚴格管理相結合。保障網絡的安全運行，使其成為一個具有良好的安全性、可擴充性和易管理性的信息網絡便成為了首要任務。一旦上述的安全隱患成為事實，所造成的對整個網絡的損失都是難以估計的。因此，網絡的安全建設是校園網建設過程中重要的一環。 7 .網絡安全措施 --物理措施：例如，保護網絡關鍵設備(如交換機、大型計算機等)，制定嚴格的網絡安全規章制度，采取防輻射、防火以及安裝不間斷電源(UPS)等措施。 --訪問控制：對用戶訪問網絡資源的權限進行嚴格的認證和控制。例如，進行用戶身份認證，對口令加密、更新和鑒別，設置用戶訪問目錄和文件的權限，控制網絡設備配置的權限，等等。 --數據加密：加密是保護數據安全的重要手段。加密的作用是保障信息被人截獲后不能讀懂其含義。 防止計算機網絡病毒，安裝網絡防病毒系統。 --其他措施：其他措施包括信息過濾、容錯、數據鏡像、數據備份和審計等。近年來，圍繞網絡安全問題提出了許多解決辦法，例如數據加密技術和防火墻技術等。數據加密是對網絡中傳輸的數據進行加密，到達目的地后再解密還原為原始數據，目的是防止非法用戶截獲后盜用信息。防火墻技術是通過對網絡的隔離和限制訪問等方法來控制網絡的訪問權限，從而保護網絡資源。其他安全技術包括密鑰管理、數字簽名、認證技術、智能卡技術和訪問控制等等。 網絡管理設計 1.網絡管理概述 網絡是否能真正發揮效益還要看網絡的管理。學校必須有網絡管理員。網絡管理與單機管理有重要區別，其中有大量的網絡軟件要維護，除了保證網內電話、電子公告牌，電子郵件實現報告、論文的無紙化傳遞等網絡聯系暢通，更重要的是保證網絡提供的數據共享能力，網絡管理在數據保密性上也要有保證。且網絡面廣、涉及人員多，免不了有紕漏，要出錯，因此必須設立網管，并且結合制訂一定的管理制度，保證網絡安全、可靠運行。 在校園網絡中，網絡硬件設備、各終端數量較大，都有可能損壞。且隨著師生應用學校計算機網絡頻度增大、水平提高，對網絡的依賴性也越大，因網絡故障而產生影響面也越大，因此維護設備，保證網絡正常運行的管理員的地位相當重要。 為保證學校網絡的正常運行，學校必須制訂網絡公約，大家來遵守，人人有責任來維持學校計算機網運作。各網絡終端都要建立獎罰制度，落實責任人，建立各教研組管理制度、各班級管理制度，讓一系列行之有效的制度來保證網絡的運行。 2.如何有效地管理校園網 校園網管理的主要目的是保障網絡運行的品質，如維持網絡傳送速率、降低傳送錯誤率、確保網絡安全等。所以校園網系統管理的技術人員可借網絡管理工具或本身的技術經驗實施網絡管理，內容可分為下列幾項： 系統管理隨時掌握網絡內任何設備的增減與變動，管理所有網絡設備的設置參數。當故障發生時，管理人員得以重設或改變網絡設備的參數，維持網絡的正常運作。 故障管理為確保網絡系統的高穩定性，在網絡出現問題時，必須及時察覺問題的所在。它包含所有節點動作狀態、故障記錄的追蹤與檢查及平常對各種通訊協議的測試。 效率管理在于評估網絡系統的運作，統計網絡資源的運用及各種通訊協議的傳輸量等，更可提供未來網絡提升或更新規戶擅自使用網絡資源，以及用戶蓄意破壞網絡系統的安全，要隨時做好安全措施，如合法的設備存取控制與加密等。 計費管理了解網絡使用時間，能針對各個局部網絡做使用統計。一則可作為使用網絡計費的依據，更可作為日后網絡升級或更新規劃的參考。 信息管理網絡上的信息分成兩部分，一是由管理員放置的信息，它們的品質一般較高；另一部分是由用戶放置的，可能會有一些問題，要對這部分信息進行管理。 3.網絡管理實施 3.1 網絡管理員 網絡管理員是網絡管理的中堅，對于大型網絡來說，要選派技術能力強的網絡管理人員來專職網絡。網絡管理員除管理好網絡外，還負責培訓用戶等工作。 3.2 實施網絡管理 實施網絡管理時，應抓住以下幾個關鍵環節選好高素質的網絡管理人員并明確責任： --制定嚴格的網絡管理規章制度和操作程序 --選擇合適的網絡管理系統 --認真抓好培訓工作 --制定切實可行的網絡管理計劃和實施方案 --建立并維護好各種文檔 3.3 布線系統的日常維護 做好布線系統的日常維護工作，確保底層網絡連接完好，是計算機網絡正常、高效運行的基礎。目前，城域網和廣域網之間的互連除了微波、衛星通道等無線連接方式外，室外光纜敷設仍然是唯一的有線連接途徑。對布線系統的測試和維護一般借助于雙絞線測試儀和規程分析儀、信道測試儀等，智能化分析儀器的使用提高了布線的管理水平和管理效率，可以更好地保證計算機網絡的正常運行。 3.4 關鍵設備的管理 無論何種規模的計算機網絡，關鍵設備的管理都是一項相當重要的工作。這是因為，網絡中關鍵設備的任何故障都有可能造成網絡癱瘓，給用戶帶來無法彌補的損失。校園網中的關鍵設備一般包括網絡的主干交換機、中心路由器以及關鍵服務器。對這些關鍵網絡設備的管理除了通過網管軟件實時監測其工作狀態外，更要做好它們的備份工作。對主干交換機的備份，目前似乎很少有廠商能提供比較系統的解決方案，因而只有靠網絡管理員在日常管理中加強對主干交換機的性能和工作狀態的監測，以維護網絡主干交換機的正常工作。 3.5 IP地址的管理 在TCP/IP協議已經成為事實上的工業標準的今天，TCP/IP網絡主的任何一臺工作站都需要有一個合法的IP地址才能夠正常工作。在構建:規劃計算機網絡時，應做好機構內部各部門對上網業務的需求調查和統計，確定計算機網絡規模。IP地址管理得當與否，是計算機網絡能否保持高效運行的關鍵。如果IP地址的管理手段不完善，網絡很容易出現IP地址沖突，就會導致合法的IP地址用戶不能正常享用網絡資源，影響網絡正常運行，甚至會對某些關鍵數據造成損壞。
3.6 其他管理工作 當然，對應于不同的網絡環境，還有很多管理工作要做。隨著內部網和Internet的相互連通，網絡管理員除了要維護各種數據的可靠性外，還要保證機密數據的安全。因此，計算機網絡的安全管理(如防火墻的設置)又成為網絡管理中一個非常重要的方面。 應用系統規劃 * 網絡教學平臺建設 * 衛星遠程教育網建設> * 校園視頻點播系統建設 * 校園網信息平臺 * 資源庫建設 校園網項目管理 一、項目分工 校園網的建設是一項系統工程，為了保障工程的進度和質量，也為了使用戶有效管理和維護軟、硬件系統，應成立一個項目實施TEAM，TEAM包括系統集成小組、項目管理小組、施工管理小組、售后服務及培訓小組以及校方負責人員，共同完成這一網絡系統工程。項目管理領導工作由校方和實施公司分別委派一位負責人負責本工程項目總體規劃，統籌制訂工作計劃、協調各小組之間的工作步驟和節奏及有關系統開發和實施過程中重大事件的決策。 二、項目實施 2.1 項目管理小組 建議由校方和實施人員共同組成，成員包括系統集成人員、技術人員、施工管理人員、質量監督人員、財務管理人員等，具體領導和協調以下事項： 方案審查：根據學校要求和實際情況隨時修改調整工程方案； 工程進度：制訂各階段工程進度和監督進度完成情況； 質量監督：隨時發現問題并建議返工； 協調配合：就工程有關事項雙方協調工作，配合工程進度； 后勤保障：對施工人員的主要生活起居提供必要的保障和方便； 質量驗收：根據國際國內有關標準，對本項目進行驗收； 掃尾工作：解決本項目的有關遺留問題。 2.2 系統集成小組 由實施公司高級項目管理人員組成，進行學校整個系統的詳細設計方案和系統實施方案，負責系統內各個部分的設備采購、測試、安裝和調試； 2.3 施工管理小組 由實施公司認證工程師負責施工管理，具體領導和協調以下事項： 具體負責每天的工程進度； 質量監督和檢查； 負責施工安全問題； 負責施工人員的工作紀律問題； 三、項目培訓 處理好網絡建設與人員培訓的關系。人員培訓與網絡的建設應同步或超前進行，各校必需有一批懂技術、會使用的人員，才能真正發揮網絡的功能，目前計算機教育和輔助教學發展較慢，缺少人才是一個最重要的原因之一，只有培養和培訓一大批會使用計算機的人才，才能夠發揮出校園網巨大潛能，使校園網的建設更具有更深遠的實際意義。根據工程規模的大小，針對不同層次的用戶培訓應分為以下幾種： 3.1 現場培訓(初培) 現場培訓分兩個部分，一部分培訓在安裝現場，校方應指派日常網絡維護人員參與，了解和掌握有關該網的基礎信息和數據，實施方的安裝工程師將在安裝調試過程中進行相關的培訓；另一部分培訓在使用現場，實施方將于系統調試完畢投入使用后對校方使用人員進行使用培訓，達到使用人員能夠掌握設備性能，進行日常應用操作。 3.2 運行維護培訓(中培) 運行維護培訓著重于培養日常維護和管理人員，最終保證整個網絡能夠順利運行，該部分培訓分理論培訓和現場培訓，校方選派的培訓人員應具有一定的計算機和網絡操作水平，理論培訓最終達到受訓人員拿到結業證書或相關認證；現場培訓將由實施公司資深工程師進行，主要培訓網絡運行和管理過程中問題的解決方案和技巧，目的是使校方網絡降低維護風險和維護費用。 3.3 網絡規劃、設計、管理培訓(高培) 該部分培訓著重于該網絡二期、三期的規劃培訓，目的是使校方具有高素質的網絡規劃、設計和管理人員，校方可選派具有相當計算機專業水平的專業人士參加，和中培類似，使參培人獲得高級別的網絡認證工程師資格，該部分培訓對整個網絡的順利實施具有不可或缺的作用。 3.4合作培訓 網絡運行過程中將不斷會有新技術的應用，建議校方組織終端用戶進行多輪次的使用培訓及網絡基礎知識培訓，使更多的使用者能夠熟練應用系統的各項功能，使校方的投資效益得到迅速回報。 網絡教學平臺建設 聯想網絡教學平臺可對網絡教學提供全面的支持。包括多媒體教學、考試與測評、師生交流、課件開發工具、教學資源管理等多種功能。其中測評系統、同步視頻教鞭、支持學生自主學習和協作學習等功能很有特色，富有創新性。 一、教師功能模塊
二、學生功能模塊
三、教務管理員功能模塊
四、主要特點 一體化解決方案 聯想網絡教學平臺由網上教學支持系統、網上教務管理系統、網絡課件開發系統、網上資源管理系統等四個子系統組成，對網上教學進行全面支持，提供了網絡教學的一體化解決方案。
教學多課件支持 聯想網絡教學平臺支持同步視頻流技術，提高了同步視頻的在線課件開發工具和電子教鞭支持功能，能夠很好的支持網絡多媒體實時教學。 交互式教學策略 聯想網絡教學平臺在答疑系統中采用了詞語知識庫與漢語自動分詞技術，建構了自我擴充的知識庫系統，還提供了同步討論、網上答辯、筆記記錄等一系列進行協作學習或個別學習工具，實現了教師和學生之間、學生與學生之間的充分溝通和交流，給學生自主學習和網上交互創造了條件。 完善的評價體系 聯想網絡教學平臺提供了成績統計與分析等多種評價服務功能，同時基于教育評價的理論，提供了閱卷調查式的非量化評價模式，這兩方面結合起來，為更加合理地評價教與學提供了基礎。 功能完善考試系統 在國內首次實現了真正意義上的網絡題庫系統，該系統提供了試題管理、自動組卷、在線聯機考試、定時交卷、在線聯機閱卷、考試結果查詢、成績統計與分析等全面的服務功能。 平臺集成完整性 完整集成的網絡教學平臺，集成了教務管理、網絡教學、課程開發工具、教學資源管理四個方面的支持功能，可全面支持網上教學的各個環節；目前，聯想網絡教學平臺是國內教學功能最全面的網絡教學系統。 |
|
|
