大学校园服务器的部署方案

大学校园服务器的部署方案用户需要分析服务器所处环境的建设原则服务器局域网技术选择服务器所在网络总体结构网络设备选型和数量网络设备报价网络安全网络管理网络应用描述内容摘要一、用户需要分析对比写字楼和小区，大学校园的网络有其独特的需要。

即要满足老师办公、教学的需要，也要满足学生上网学习娱乐的需要，同时还要考虑学校的监控需要。

项目背景随着信息化程度的提高，越来越多的学（院）校建了校园网和网站，把校园的介绍、规划、招生、研究成果等发布在网站，让更多的人了解自己的校园，甚至在网上即时进行学术交流等。

在网络信息技术高度发展的今天，xxx 大学作为一个高等院校，为了方便学术交流、校友联络、招生报名、研究成果的发布等，建设自己的网站和邮件系统是必须的。

在当前的信息互动交流中，电子邮件的应用凭借其快速、灵活的特点，在整个互联网络应用中有着举足轻重的地位。

xxx 大学提供给师生优质的电子邮件服务，不仅仅可以更好地利用现有网络资源为广大师生服务，还可以充分向海内外树立和宣传xxx 大学的品牌形象，同时也方便了校友与母校的联络。

信息化程度的提高，极大地促进了教育事业的发展，但是随之而来的却是信息安全问题。

xxx 大学校园网以广域网络作为支撑平台，如何保障网络安全成为不可避免的重大问题。

在xxx 大学校园网中，无论是有意的攻击，还是无意的误操作，都将会给信息系统带来不可估量的损失。

攻击者可以窃听网络上的信息、窃取用户的口令和数据库的信息；还可以篡改数据库内容、伪造用户身份、否认自己的签名；更有甚者，攻击者可以删除数据库内容、摧毁网络节点、释放计算机病毒等等。

内部工作人员能较多地接触内部信息，工作中的任何不小心都可能给信息安全带来危险。

这些都使信息安全问题越来越复杂。

面对计算机网络中的种种安全威胁，必须采取有力的措施来保证安全。

无论是在局域网还是在广域网中，网络的安全措施应是能全方位地杜绝各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。

在xxx 大学校园网中，应防患于未然，一旦出了事，亡羊补牢，恐怕为时已晚。

根据网络安全监测软件的实际测试情况显示，一个没有安全防护措施的大型网络，其安全漏洞可达1500 个左右。

目前的网络中虽然采用一些安全产品，有一套安全制度，但由于各种客观和主观的原因仍然存在种种安全上的问题。

同时，由于网络的安全状况随着时间变化而变化，因此在作全网安全考虑时，除了合理的使用和配置各种安全软件、硬件产品以外，日常的检测和后续的服务也越来越受到重视。

2、网络简况在xxx 大学的网络系统中，网络设备产品类型包括路由器、防火墙、核心交换机、工作组交换机、以太网卡等，服务器平台主要为Windows Server2003，工作站系统平台有：Wn/XP/2000 Professional等，主要的服务器为：SMTP邮件服务器、SQL 数据库服务器、FTP 文件传输服务器、OA 办公自动化服务器、网站服务器、图书馆资料管理服务器等等。

根据xxx 大学本部服务器部署拓扑图，本部网络的服务器分成两个部分，一部分是对外提供服务的WEB服务器群、DNS服务器和邮件服务器，另一部分是对内提供服务的教学服务器、数据库服务器、代理服务器等。

对外提供服务的服务器接到了到CNCNet 的防火墙的非军事化区，而对内提供服务的服务器直接接到了主干交换机上。

xxx 大学校园网的财务专网，是通过网通提供的虚拟专网连接起来的一个单独的广域网络，它通过财务信息发布服务器与整个校园网建立联系。

3、系统分析xxx 大学校园网络在规划时，已考虑到了安全方面的问题，也采取了一些措施来保障网络的安全，如使用防火墙、MPLS 虚拟专用网等等。

但是，这些安全措施是不完备的。

(1) 校园网只考虑了对外服务器的安全性，对内服务器则是暴露在内部交换机上，随时可能受到来自内部用户的扫描、窥探和攻击；(2) 整个网络没有采取防病毒措施，如果病毒扩散，将会迅速蔓延到整个网络，后果不堪设想；(3) 在目前只有CNCNet 出口的情况下，所有的服务器都接到一台防火墙的DMZ 上，从系统效率来看，这样是不合适的，如果将来接到了CerNet 上，可以考虑将一部分业务如邮件移到CerNet出口处的防火墙的DMZ区上。

根据安全评估和检测的结果，发现有以下问题：(4) 首先，整个网络的结构复杂，服务器繁多，网络管理员没有合适的工具及时对整个网络的安全状况及时做出评估，无法防患于未然；(5) 其次，我们在对各服务器进行扫描的时候发现，有些服务器打开了多余的服务，攻击者可以通过它们威胁服务器的安全；(6) 最后，有些服务程序本身存在漏洞，这些漏洞可以通过升级服务程序或者对服务器进行设置进行弥补。

因此，我们不仅要采用新的安全设备和技术手段来加固现有的网络系统，而且还要使用专业的安全服务对现有的服务器进行安全改造，全方位提高网络的安全性4、方案实施我们综合采用防火墙、入侵检测、内容过滤和安全评估技术，建立xxx 大学校园网安全系统框架：(1) 建立完整可行的网络安全、网络管理策略与技术组织措施；(2) 利用防火墙将内部网络、对外服务器网络和外网进行有效隔离，避免与外部网络直接通信；(3) 利用防火墙建立网络各主机和对外服务器的安全保护措施，保证系统安全；(4) 利用防火墙对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝；利用防火墙加强合法用户的访问认证，同时在不影响用户正常访问的基础上将用户的访问权限控制在最低限度内；(5) 利用防火墙全面监视对公开服务器的访问，及时发现和阻止非法操作；(6) 利用防火墙及各服务器上的审计记录，形成一个完善的审计体系，在策略之后建立第二条防线；(7) 在本部和各分校，利用入侵检测系统，监测对内，对外服务器的访问；(8) 在本部和各分校，利用入侵检测系统，对服务请求内容进行控制，使非法访问在到达主机前被阻断；(9) 在本部使用入侵检测系统的控制台，对各分校的探测器进行统一管理；(10) 在Internet 出口处，使用NetHawk 网络行为监控系统进行网络活动实时监控和内容过滤；(11) 在本部部署RJ-iTop 网络隐患扫描系统，定期对整个网络的安全状况进行评估，及时弥补出现的漏洞；（12）使用安全加固手段对现有服务器进行安全配置，保障服务器本身的安全性；（13）加强网络安全管理，提高校园网系统全体人员的网络安全意识和防范技术1、办公教学的需要：⑴ 校内公文和各种通知的流转（即办公自动化OA）。

传统的打印、张贴等方式已经显得复杂和没有效率，利用网络可以快捷和便利的完成这类工作，使公文和通知可以在任何时候、任何地点被看到，摆脱时间和地点的限制。

⑵ 教务信息管理（即信息服务、信息共享等）。

包括对各种和教务相关的信息，如课程安排，任课教师安排等。

利用网络来对这些信息进行管理，比传统的方式更为方便和快捷。

老师同学们可以通过网络查询成绩和课程表等。

⑶邮件服务⑷网络打印机⑸无线网络接入。

方便老师讲课，使用。

鉴于学校办公计算机所实现的功能主要是对网络数据的查询、修改、添加、删除等操作，因此网络数据应该传输得比较快，才能提高办公的效率。

另外，办公计算机应该能够达到支持视频传送的要求，这就要求网络有足够的带宽，采用交换式10/100M 端口。

⑹远程教学，充分利用XX大学本部丰富优秀的教育资源。

2、学生的需要：⑴互联网应用。

⑵FTP服务。

⑶图书馆电子图书的网络化。

⑷无线网络移动接入。

方便学生在自习室、图书馆可以使用自己的设备（笔记本、手机、PDA ）稳定高速的接入In ternet。

⑸社团活动使用网络3、学校监控的需要：⑴计算机网络传输的视频监视器：利用现有的计算机网络，不需要重新布置模拟监控线路，节约成本；同时，通过计算机网络统一控制监视器。

⑵计算机网络控制的配电房。

⑶图书查询和管理⑷一卡通IC 卡的管理二、服务器所处环境的建设原则1、稳定可靠：对于任何一个计算机网络，稳定都是要首先保证的。

我们使用成熟的数据备份、服务器备份、双机热备份和异地备份技术来保证网络的稳定可靠。

2、速度快：通过使用合理的设备以及介质，可以保证网络速度满足学校正常需求。

3、安全性：保证网络可以抵御来自网络内外的常见攻击。

4、先进性：保证校园网络建好后3年内不过时，5年内不过时。

5、功能齐全：在硬件预算一定的条件下，通过丰富的软件，提供更多的功能。

6、可维护性：网络的核心管理部分架设在学校办公楼，使用CISCO成熟的网络管理软件技术，可以实现IP流量控制，访问权限控制，端口控制的功能。

7、可升级性：网络的无线部分只需要更换AP,就可以实现经济的升级，实现对外来网络技术的支持。

8、经济性：保证用尽量少的钱建设一个够用、适用、实用的校园网络。

9、三、局域网技术选择为了同时满足经济性、移动性、网络性能的需要，我们计划采用有线+无线的局域网方式。

1、有线网络：IEEE802.3u ，IEEE802.3z 主干网络部分使用高速度的1000MB 光纤网络连接，保证速度和稳定。

在用户接入端，使用成熟廉价的100MB 双绞线网络，获得性能和价格平衡。

2、无线网络：IEEE802.11a/b/g通过在有线网络交换机上安装AP 的方式，实现学校范围内的无线网络覆盖，综合考虑性能、价格、成熟度等多方面因素，我们计划采用IEEE802.11a/b/g 标准的发射器作为学院无线网络的AP。

3、介质采用：1000Base-TX，100Base-TX，1000Base-SX。

教学楼、办公楼、宿舍楼3部分互联，因为距离较远，使用多模光纤连接。

各个楼内使用100MB 双绞线连接。

4、IP 协议：使用IPV4 协议。

整个网络都使用IPV4 协议标准，节省成本，同时获得良好的兼容性。

宿舍区和机房使用CLASS B分配，其他部分使用CLASS（分配。

4、其他技术VLAN ：计划使用基于端口的虚拟局域网VLAN 技术，有效减小广播域范围，提高网络性能，提高网络安全性，同时减轻了网络管理的工作量。

VPN :使用In ternet型VPN网络方式连接到北京邮电大学校本部。

MESH :在宿舍楼区，使用Azalea的MSR1000无线路由，构建全网装结构无线网络，大大提高无线网络的负载能力。

CSMA/CD ：解决网络交换中冲突的核心技术。

四、网络总体结构1、整个网络采用拓扑星型结构+ 网状结构，尽量减少总线结构的出现，大大降低冲突出现的几率。

2、宿舍区无线网络使用全网状结构连接，利用MESH 技术，避免AP 带宽枯竭，同时提供良好的移动漫游。

3、核心网络设备设在教学楼的计算机中心，在办公楼，学生宿舍都设置核心交换机。

4、核心交换机和核心路由器都做冷备份处理。

XX学校地理结构楼宇分布图校园网总拓扑结构图1000MB 多模光纤 100M 双绞线注：每个楼、部门的方框内均独立划分一个 VLAN ，尽量减少广播风暴校本部」n核心防火墙核心层核心交换机sw1sw2-2 sw2-4教务处 图书馆办公室 &!))[ 刷卡器SW2-3-1机房媒体中心sw2-4-0 超市保卫处食堂楼教学楼监控部SW2-4-2 监视系统刷卡器群 监视器群sw2-4-3 I 一卡通系统服务器组服务器分布图42UShQTP邮件服SQL数据悴服务器FTP文件传楡服务2S匸1OA办公自动化服务器网站服务器團书馆资料骨理服务器器直接介入校园网络（如图）：服务器组直接选择通过核心路由核心层＜宿舍区 ＞拓扑图分布层| 11 1———— 1輕!1I I 卜 ------- 卜-------------------------接入层1000M 双绞线102宿103宿104宿105宿2号楼交换机106宿1层楼交换机sw2-0-2 107宿3号楼交换机4号楼交换机SW2-0-4 5号楼交换机127宿SW2-0-6 7号楼交换机131宿SW2-0-7 8号楼交换机5 层楼交换机SW2-0-0 1号楼交换机SW2-0-3 4 层楼交换机 5层楼交换机4 层楼交换机5 层楼交换机1层楼交换机2层楼交换机1层楼交换机 2层楼交换机 3 层楼交换机E— 1 2层楼交换机3层楼交换机1层楼交换机 2层楼交换机 3层楼交换机 4 层楼交换机 5 层楼交换机SW2-0-5■ 「6号楼交换机n1号楼 1层1号楼II I I I I I I I I I I I I I I I I I I I I I I I I I I注：此图仅画岀《1号楼》-《1号楼1层》-《101宿舍》的详细拓扑结构，其他各级拓扑结构雷同核心层I!结算中心办公室采访麦克风播音室监视器AP图书馆sw2-4播音室办公楼接入层1000MB多模光纤sw2-1图书馆IC卡管理广播综合操作台电子书检索计算机T--------------------------------食堂楼接入层1000MB多模光纤核心层分布层----------------------------sw2-3 厂<教学楼>拓扑图计算机系机械系电子系计算办公室SW2-3-1机房机房网络媒体中心SW2-3-0办公室信管系通信系国际交流数字媒体市场办公室网络国际交流#1房#2机房#3■机房#4媒体中心网络教学楼_——接入层1000MB多模光纤ssassssass核心层＜监控部＞拓扑图保卫系统主机监视器群分布层jSW2-4-1保卫处SW2-4-2监视系统SW2-4-0监控部r—n接入层1000MB多模光纤1000M双绞线一卡通系统观察器观察器监控系统主机IC卡系统主机刷卡器群立体拓扑结构图五、网络设备选型和数量核心路由器：CISCO 3845核心交换机：CISCO WS-C4510R 工作组交换机：CISCO WS-C2960-48TT-L2台6台95台服务器：System x3650(797951c) 6 台MESH网络无线路由器：Azalea MSR 1000 16台无线AP : CISCOAIR-LAP1131AG-P-K9 10 台七、网络安全1整个网络使用防火墙和In ternet相隔离，通过设置必要的安全访问控制策略来保证内部校园网络的安全。