3计算机网络系统集成设计方案ok.docx

1、3计算机网络系统集成设计方案ok楚雄职教中心整体弱电深化设计计算机系统集成上海智信世创智能系统集成有限公司2008年12月制3.1 概述3.1.1 楚雄职教中心职能及规划楚雄职教中心是以教育、培训为主的中高等职业教育培训基地，地处楚雄市鹿城镇，占地2000亩，建筑面积46.44万平方米。将有技术学校、理工大应用技术学院、农业学校、民族中等专业学校以及体育运动学校等五所中等职教学校进驻园区。楚雄职教中心分为信息中心、会展中心、图书馆、学生生活区、体育场馆、商业街、星级酒店、技术学校、理工大应用技术学院、农业学校、中等专业学校以及体育运动学校。有数据信息点约20000个，采用六类综合布线系统。楚雄

2、职教中心网络建设需求分析1. 整体需求分析将建设园区信息高速公路，实现园区内各部门网络互联、承载应用业务、搭建资源共享传输平台，实现入驻园区各学校网络信息融合。该项目对网络的可靠性、稳定性及安全性都提出了更高的要求，网络设计要充分考虑先进性、成熟性、扩展性、高可靠性。2. 特殊需求分析整个园区由五所学校组成，其中既有公共资源，也有需要隔离的资源，还有每个学校独有资源，因此，在设计网络时，应充分考虑整体的网络构架，也要考需要隔离的资源和每个学校自身的需求。3. 统一出口需求园区采用统一的互联网出口，出口可以使用多个运营商的线路，但要统一管理和统一分配出口资源。4. 无线接入需求园区内有体育馆、会

3、展中心、食堂、会议室等等不方便进行有线辐射的地方，可以使用无线接入方式来覆盖，在校园内开阔的地方也可以使用无线来进行覆盖。5. 网络安全性需求园区内部网络安全考虑，首先是公共资源的安全，如数据中心要防止来自内网的攻击和安全事件；其次是各学校自身的数据安全需求；最后是用户的安全需求。出口网络安全考虑，出口是内网和外部INTERNET互通的接口，要建设一个安全、可靠、稳定的出口来防止来自互联网的攻击。6. 统一的数据存储（数据中心）数据中心承担着为职教中心的师生提供各种业务应用的重任，譬如：视频点播、邮件服务、WEB、办公自动化等应用的数据存储任务。规划中的楚雄州职教中心的数据中心业务应用有：数据

4、库应用、OA应用、视频点播应用、邮件应用、web应用、其他应用。统一身份认证为了保障资源的合理使用和网络安全考虑，有必要对上网的用户进行身份认证，以保证用户对校内资源的正常使用和防止非法用户对网络的危害。统一网络管理平台为了保障网络安全、稳定运行，简化管理，必须对所有网络设备的状态、性能、配置、密码、故障、安全事件、资产进行统一管理、监控，使网络管理者能及时、清楚的了解整个网络的运行状况。网络流量分析园区内有视频教学、视频点播、精品课程等对带宽需求较大的应用服务，这些应用主要针对学生的，并且主要是内网访问；校园办公业务，业务主要是老师处理教学任务和办公事务时产生的内网访问。（1） 视频教学业务

5、所产生的流量估计：视频教学业务是可以针对学生开放的的视频化课程，按照每个视频流2Mbps测算，宿舍区10000信息点同时访问率10，教学区10000信息点同时访问率10计算，那么该业务的峰值流量为10000210100002104Gbps。（2） 校园办公流量估计该业务主要是老师处理教学任务和办公事务时产生的内网访问，按照教学区和办公区10000信息点，同时在线率60，同时点击率50，每个访问流占用带宽512Kbps来测算，那么该业务的峰值流量为100000.560501.5Gbps。（3） 其他业务流量校园网络是学校的各种业务的传输平台，目前有许多其他综合业务在通过网络进行传输，今后在网上传

6、输的业务还会继续增加，网络传输性能要能够支撑这些业务。按照以上校内主要流量分析，再考虑其它业务流量，校内核心骨干按照10G速度构建，以满足现在和未来的业务的要求。（4） 出口流量的估计楚雄职教中心主要是从事教学服务，大部分资源均在校内，因此对外网访问的需求主是对一些新闻和学术期刊，考虑到运营商的出口带宽费用问题，应该对一些不必要的、对带宽浪费较大的应用，如互联网视频、BT下载、P2P流量应当加以限制，经过出口流量的和整形，按照学校实际情况，选择一个合适的出口带宽满足现在和未来的要求。本设计采用支持1G接口的出口设备，学校根据需要租用合适的出口线路。3.1.2 建设目标为了满足用户对网络的各种需

7、求，构架一个以以太网技术为构架，万兆主干、千兆汇聚、百兆到桌面的网络并辅以无线接入的高性能网络。整网将统一考虑内网的安全和出口安全，统一的接入身份认证和统一的数据存储中心，为特殊需要和公共网络分开的应用提供逻辑加密链路（vpn），对于一卡通、财务、安防、医疗系统等应用，应当考虑使用物力隔离的专网实现。3.2 网络系统设计原则3.2.1 先进性的原则校园网的设计要充分应用已经成熟的先进技术，如：IPv6技术，无线接入技术，使校园网在未来数年内保持先进；3.2.2 可扩充性要建设成完整统一、组网灵活、易扩充的弹性网络平台，能够随着需求变化，充分留有扩充余地；3.2.3 开放性开放的接口，支持良好的

8、维护、测量和管理手段，提供网络统一实时监控，实现设备的统一管理；3.2.4 安全可靠性设计应充分考虑整个网络的稳定性，支持网络节点的备份和线路保护，提供网络安全防范措施；3.2.5 整体规划，分步实施充分考虑整体的需求，并可以实现校园建设分期建设，后期建设不浪费原有的投资。3.2.6 经济、实用的原则本方案具有良好的性能价格比，在条件满足系统需求的条件下，尽量减少投资。3.3 网络系统方案设计3.3.1 网络连接示意图3.3.2 局域网设计说明7. 网络整体构架说明楚雄职教中心校园网络采用核心、汇聚、接入三层构架方式，分别设置三个核心节点，每个汇聚点以双链路上联至核心节点，接入层已不低于1G的

9、带宽就近接入汇聚节点。（1） 核心节点设计说明三个核心节点分别放置于信息中心（网络中心机房）和会展中心网络机房和学生宿舍核心机房，采用三台高性能万兆路由交换机作为主干核心路由交换机，三台主干核心路由交换机通过万兆光纤链路相连，形成园区的万兆核心，提供无阻塞传输骨干网，并实现负载分担和互为备份，可以在模块或一台设备出现故障时保证网络的不间断正常运行，提高核心网的可靠性和稳定性。考虑到学生宿舍信息点密集、学生使用网络的特点（好奇、喜欢尝试新东西，容易造成安全事故），特别在学生宿舍放置一台核心交换机，对整个学生宿舍进行统一管理，将不安全因素和异常流量隔离在学生区域内，减少对骨干网络的影响。而且，将来

10、如果学生宿舍要单独运营时，可以很简单的把学生宿舍区从园区网剥离开来。信息中心和会展中心核心交换机旁外置防火墙，防火墙所具备的虚拟防火墙功能，能将一台硬件防火墙虚拟成为多个虚拟防火墙分别用于每个需要防火墙保护的网段和部门，提高整网的安全性。在信息中心核心交换机旁配置IDS/IPS等流量监控设备，以实现对整个校园网出口的流量控制和整形，优化网络出口流量，提高出口带宽的利用。由于学校内部拥有如此大规模信息流量的接入，对于汇聚交换机的MAC地址大容量能力及MAC地址的学习更新速度等重要指标提出了严格的要求，需要在进行设备选择时进行着重考虑。（2） 汇聚层设计说明在园区内的图书馆、成教中心、技工学校、理

11、工大应用技术学院、农业学校、中等专业学校、体育运动学校分别设立分中心，每个分中心部署一台企业级万兆模块化高性能交换机作为汇聚交换机，每台汇聚交换机设备和每台核心路由设备之间两条千兆链路捆绑连接，提供4G的上联带宽，实现负载均衡的同时完成链路的备份。汇聚交换机和核心交换机之间使用OSPF路由协议，不启用VLAN TRUNK ，因为在实际应用中，如果使用TRUNK来扩大vlan的作用域，当某个vlan出现故障时，将会影响到整个网络的正常运行，使用三层连接可以有效避免这种情况的出现。根据实际的使用情况和流量大小，选用不同性价比的汇聚交换机，以提高整网的性价比。（3） 接入层设计说明选择24口/48口

12、两种接入交换机每栋楼根据实际信息点的实际情况来选择接入交换机的端口数量，信息点少的楼宇，可以直接连接到就近的汇聚交换机；信息点密集的楼宇（学生宿舍、计算机机房）可以采用多台交换机堆叠后通过两条千兆链路上联至汇聚交换机。（4） 出口设计出口在整个园区网络中起着连接内部网和外部互联网的重要作用，担负着内外网数据交换和保护内网安全的功能。在本方案中，考虑到多出口和用户有从外网访问内部资源（如办公系统和图书馆资源）和网络安全考虑，在设计时考虑了远程功能和防火墙设计；（5） 虚拟专网的设计在园区网内，对于某些特殊的环境，需要保密、安全地在园区网上点对点的传输，可以通过MPLS VPN来实现。MPLS V

13、PN的实现图解 （6） 组播设计说明在园区网内将使用大量的视频和流媒体，传统的传输方式是单波方式，即多个客户端同时点播一个同步视频流时（如视频会议、电视直播），每个客户端都单独的和服务器连接，建立一个视频流，这样会对网络带宽造成极大的浪费。启用组播后，从服务器只出来一个视频流，在到达交换机后，根据组播设置，复制一份传输到相应的交换机端口，然后传输到下一台交换机，再根据组播设置进行复制和传输，依次类推，直到传输到客户端，这样组播传输方式将大大提高网络带宽的使用率。组播、单波实现比较（7） 路由规划本方案的路由规划采用接入层使用，终结于汇聚层，汇聚层和核心层使用动态路由协议，这样既可以发挥的优点，

14、又可以减少管理者对网络路由管理的工作，同时还可以把的异常流量限制于汇聚交换机。的优点：）增加了网络连接的灵活性网络管理员对网络上工作站可以按业务功能，而不必按地理位置分组。VLAN可以降低移动或变更工作站地理位置的管理费用，特别是一些经常性变动的网络使用VLAN后，这部分管理费用大大降低。实现VLAN的一个更具重要意义的目标是实现虚拟工作组模型。这个模型的概念即如果在园区网环境中完全实现VLAN的话，同一个部门的成员看上去是共享同一个网段，他们绝大多数的网络流量分布于同一个VLAN广播域。一个成员移动到了新的物理位置，他可以不改变工作站的配置而保留原来的工作组关系。相反，如果一个成员需要改变他

15、的工作组关系时，他并不需要改变他的物理位置。网络管理工作可以简化到只需改变用户的VLAN成员关系。2）控制网络上的广播风暴随着网络向交换结构转变，人们失去了路由器提供的防火墙功能。这样广播风暴将发送到每一个交换端口，这就是常说的整个网络是一个广播域。使用交换网络的优势是可以提供低延时和高吞吐量。缺点是增加了整个交换网络的广播风暴。VLAN可以提供建立防火墙的机制，防止交换网络的过量广播风暴。使用VLAN可以将某个交换端口或用户赋予某一个特定的VLAN组，该VLAN组可以在一个交换网中，也可以跨接多个交换机，在一个VLAN中的广播风暴不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生

16、的广播风暴。这样可以减少广播流量，释放带宽给用户应用，减少广播风暴的产生。3）增加网络的安全性人们在LAN上经常传送一些保密的、关键性的数据。保密的数据应提供访问控制等安全手段。一个有效的容易实现的方法是将网络分段成几个不同的广播组，也就是划分VLAN。将保密的、关键性的数据放入一个VLAN，网络管理员通过限制VALN中用户的数量,禁止未经允许而访问VLAN中的应用.交换机端口可以基于应用类型和访问特权来进行分组,被限制的应用程序和资源一般置于安全性VLAN中。4)集中化的管理控制通过集中化的VLAN管理,网络管理员可以确定VLAN组,分配特定用户和交换机端口给这些VLAN组,设置安全性等级,

17、限制广播域的大小,通过冗余链路负载分担网络流量,跨越交换机配置VLAN通信,监控交通流量和VLAN使用的网络带宽.这些能力有效地提高了网络管理的可控性、灵活性和监视能力，减少了管理的费用。8. 无线局域网（）设计（1） 无线网络的部署无线网络作为有线网络的补充，为部分布线较困难的区域和需要移动办公、学习的用户提供全面、无缝的网络覆盖。在楚雄职教中心校园主办公楼的会议室、多功能厅、图书馆、体育馆等办公场所，由于场地面积大，工作站安放位置不明确，采用综合布线很难满足整个场所及移动用户的需求，因此建议采用无线网，在会议室、多功能厅等办公场所安放一无线访问点，便可满足整个场所的用户方便的接入局域网，不

18、再受综合布线信息点安装位置的限制。本方案建议在一期建设中，选择部分区域，如会议室、会展中心和风雨操场进行无线覆盖的测试使用，在今后的建设中在根据实际需求来分步建设和实施（2） 无线网络的安全无线网络安全部分主要包括以下方面的内容：MAC地址过滤：目前支持基于MAC地址的过滤，限制具有某种类型的MAC地址特征的终端才能进入网络中；SSID管理：是一种网络标识的方案，将网络进行一个逻辑化标识，对终端上发的报文都要求进行上带SSID，如果没有SSID标识则不能进入网络；WEP加密：WEP加密是一种静态加密的机制，通信双方具有一个共同的密钥，终端发送的空口信息报文必须使用共同的密钥进行加密；支持AES

19、加密，AES安全机制是一种动态密钥管理机制，同时密钥生成也基于不对称密钥机制来实现的，同时密钥的管理也定期更新，具有体的时间由系统可以设定，一般情况都设定为5分钟左右，这样非法用户要想在5分钟之内进行获取足够数量的报文进行匹配出密钥出来，从无线空口的流理来看，基本上是不可能的。（3） 无线网络的供电由于本次无线网中AP设备数量较多，AP布放位置根据实际覆盖效果而调整，在已建设完成的建筑物上较难进行本地供电，基于标准的802.3af实现对AP的供电。通过在汇集交换机处叠加一个供电电源或者内嵌交换机内，通过以太网线在传输数据同时给AP供电，供电距离达100米，满足实际组网的要求。（4） 无线产品性

20、能要求产品支持AES、WEP加密等安全标准；漫游切换；支撑QOS能力；支持远程供电。9. 校园内各区域局域网设计（1） 信息大楼子网设计信息大楼是园区内主要的数字化核心区域，包括了大量的计算机教室，将有5000多台计算机，所以在设计时重点考虑每个计算机房的高速接入需求。信息大楼一共有4个配线间（其中一个是网络中心机房），另外3个分别负责一个区域，计算机房分接入交换机（根据每间机房数据点多少使用24或48口交换级堆叠）通过光缆和分配线间的汇聚交换机连接，带宽不低于1G，分配线间汇聚交换机以10G以太网上联至信息中心核心交换机。每个计算机教室除了配置光纤接入到汇聚交换机以外，还将配置配置双绞线数据

21、信息点，以备将来教室功能发生改变时使用。（2） 数据中心子网设计数据中心是整个园区网的核心部分，主要设备为服务器群，就放置与信息大楼网络中心机房，包括了WEB服务器、电子邮件、办公系统服务器、数据库服务器、存储中心、视频点播、直播等等核心应用，这些服务的安全和稳定以及高性能是整个园区网建设的关键部分，因此，在设计数据中心，将重点考虑高速传输、高安全性、高稳定性。本设计将数据中心和信息大楼的网络分开来设计，单独使用两台高性能的汇聚交换机来构建，形成互为备份和负载分担，在两台汇聚汇聚交换机上配置防火墙和IPS模块将数据中心和信息中心的其他用户以及信息中心以外的用户隔离开，以实现对数据中心的安全保护

22、。（3） 成教中心子网设计成教中心属于学校办公要地，需要考虑足够淂可靠性，该大楼设置有一个配线间，个分配线该汇聚配线间分别以光缆与会展中心、信息中心以2G绑定线路相连。（4） 学生生活区子网设计学生宿舍网既有一般网络的特点，又有其特殊性，除了一般网络所必需的可靠性、稳定性和安全性外，在进行学生宿舍网建设规划时，还应该考虑所有信息点的可控性、高性能以及关键业务的QoS保证等。另外，在网络设计中，如何预留扩展空间和进行投资保护，以满足新应用的需求以及信息量增长和变化需要。楚雄职教中心学生宿舍网络是职教中心校园网中的一部分，它与办公网络完全隔离开来，共包括学生公寓15栋和一栋教师管理用房。整个学生宿

23、舍网络比较庞大，为了方便管理，我们采用动态IP分配，每个楼栋为一个网段，划分一个IP地址段和相同的子网掩码，每个楼层为一个VLAN；每个汇聚节点放置一个用于该汇聚区域的地址分配；为了使整个网络能够稳定的运行，减少主核心交换机的网络流量，在学生宿舍区域核心交换机对网络流量进行限制和整形，可以通过在该台核心交换机旁配置防火墙和IDS设备来实现。 根据每栋学生宿舍的分配线间根据数据点多少，选择相应口口堆叠后以千兆接入到该楼汇聚配线间（如果只有一个配线间，则直接上连就近汇聚点），然后汇聚配线间就近以捆绑链路接入汇聚节点交换机，承担链路的冗余和负载均衡。并通过校园主干网接入教育网和Internet。（5

24、） （6） 会展中心子网设计楚雄职教中心会堂建筑面积11500M2，中心将承担展览、会议任务，并兼有相关的展示、演示、表演、集会等功能，业务复杂多样，楚雄职教中心会展中心对网络的性能和安全要求非常高。展览对于网络链接有特殊的要求，希望在开会或参展的同时，需要连接到Internet，这就要求会展中心提供足够的端口。在楚雄职教中心会堂子网设计中，我们采用有线+无线的网络构架。在会堂位置比较固定的地方，通过有线网络连接到会展中心子网。另外，在会展中心架设无线AP接入点覆盖整个会展中心。AP入点连接到会展中心子网，通过校园网接入Internet。（7） 校园办公子网设计校园办公网络是实现办公自动化，提

25、高办公效率，共享办公设备。实现Internet共享接入，方便教师、工作人员查找资料、信息。可以将校园各职能部门日常产生的数据集中起来，便于实现现代化管理。办公子网是校园网中相对独立的一部分，可以单独划分出来。采用千兆交换机上联至校园骨干网，便于今后的新的功能扩展。根据职教中心办公楼楼层布局，把办公子网中心设在信息中心机房，系统安全性方面，目前主要设计的是在路由器和交换机出口处设置的防火墙来实现对办公网的完全保护，同时使用网管软件，实现对网络事件的记录和审计。在大楼内设置文件服务器、打印服务器和邮件服务器，以方便文件的共享、打印和邮件的发送。职教中心办公子网网络拓扑设计（8） 数字化图书馆子网设

26、计数字化图书馆是一个开放式的硬件和软件的集成平台，通过对技术和产品的集成，把当前大量的各种文献载体数字化。高校数字图书馆网络架构上运行的应用系统主要有以下几个：A. 校园网范围内的高速图书资源访问B. 多媒体阅览室和电子教室C. 图书馆对外服务门户网站D. 海量图书资源存储中心E. 通过Internet 的图书资源共享和读者接入服务而所有这些服务对于网络架构又都有其特殊的要求。图书馆网络主干是数据信息流动的动脉，同时还担负着信息流动的总调度任务。主干网从功能上包括几个方面：A. 为图书馆内各个vlan 子网间互联提供高速路由，实现核心数据高速交换。B. 为电子阅览室及电子学习教室提供基于流媒体

27、的高速视频应用传输服务。C. 连接图书馆网络共享的高性能数字化信息资源服务器。D. 实现全网的系统管理和安全管理。E. 实现与外网的高速连接，实现网络教学资源共享。图书馆是学校电子资源中心，又是师生活动的主要场所，具有网络访问量大，用户移动性强等特点。因此图书馆我们采用更高性能、更多的安全性及可靠性设计的网络构架，并且针对图书馆用户移动性的特点，网络采用有线网+无线网的网络构架模式，以方便教师和同学们的随时随地访问网络资源。网络拓扑图（9） 各分校子网设计楚雄职教中心是由楚雄技术学校、理工大学应用技术学院、楚雄农业学院、楚雄中等专业学校、楚雄体育运动学校5所学校组成，5所学校分布在园区内。所有

28、学校通过园区骨干网接入Internet和教育网。5所学校既是职教中心的下属单位，又有自己独立的业务，网络设计需要考虑各个分校子网流量到骨干的 汇聚，还需考虑分校自己业务的内部交换。即网络设计将5所学校的网络融入职教中心园区网，各分校和职教中心共用一个骨干网，又有各自独立的子网网络系统，各分校子网具有自己的独立性，也实现各分校子网无缝的链接到校园骨干网。在设计中，每所分校单独成立一个子网，在每所分校设立一个区域汇聚中心，以千兆捆绑双链路上行链接到校园骨干网，通过核心交换机防火墙板来虚拟出多个防火墙来保护每个分校的安全，防止XX的用户进入各独立子网或访问Internet.在各分校子网设计中，每个学

29、校设计一个区域汇聚，在分校的每栋楼设立楼层汇聚，以千兆链路链接到区域汇集交换机，楼层汇集之间以千兆链路连接，并在各区域汇汇聚上终结Vlan信息。依据以上原则：民族中专选择基础实验大楼作为学校的汇聚节点，下连科技教学楼和艺术大楼；技工学校选择A区为学校汇聚节点，下连B区；应用技术学院选择教学楼作为学校的汇聚节点，下连实验楼；10. 数据中心设计数据中心承担着为职教中心的师生提供各种业务应用的重任，譬如：视频点播、邮件服务、WEB、办公自动化等应用的数据存储任务。规划中的楚雄州职教中心的数据中心业务应用有：数据库应用、OA应用、视频点播应用、邮件应用、web应用、其他应用。同时随着校园信息化进程的

30、加快，后续不断会有新的业务加进来。由于各种业务应用种类繁多，为此，有必要在数据中心建设初期构建一个统一的存储平台。（1） 需求分析A. 集中存储为了满足应用系统对于存储的需求，并考虑到性能、扩展性、可靠性等因素。楚雄州职教中心计划建设存储区域网络（SAN），来统一为应用系统提供存储服务。这样即可以有效的提高整套系统的存储利用率，简化管理和维护的工作量，并且有利于实现数据的集中备份；同时利用SAN存储局域网的融合性和可扩展性，实现“服务器群SAN网络存储池”新一代IT架构，保护用户投资，降低用户的总拥有成本（TCO，Total Cost of Ownership）。楚雄州职教中心的服务器的操作系

31、统包括AIXSolarisLinuxWindows等主流的操作系统，SAN需要能够支持这些异构的环境。并且在整合的时候要充分考虑到成本的因素，如交换机、主机适配器（HBA）等。B. 简化管理存储设备在一个企业中的异构化现象十分普遍，为保证存储空间的可管理性和减少SAN结构的复杂性，方案应采用先进、简便的IP-SAN技术和相应的管理软件，保证大数据量简便管理并能够充分发挥系统性能。C. 存储容量的需求综合考虑到各类存储需求后，楚雄州职教中心预计第一期整体需要存储空间为10TB。其中重要的在线数据为4TB，需要提供网络硬盘功能实现存储资源的6TB。在在线数据中，有3TB的重要的数据库信息需要系统提供高等级的数据保护。D. 存储容量扩展随着业务的发展，数据库和各种应用系统也需要越来越多的存储空间。这就要求存储系统能够方便的扩充存储空间。E. 完善数据管理楚雄州职教中心承担着繁重的教育和科研工作，为了保障教育和科研工作的顺利进行，有必要完善数据管理工作，实现更好的数据存储和保护。F. 系统实施规划在系统实施规划上，楚雄州职教中心可以按照存储设备的规划，分步实施整个系统。