乐善考试网
2014-04-24第2章 中小型网络系统总体规划与设计方法
网络运行环境是指保障网络系统安全、可靠与正常运行所必需的基本设施与设备条件。它主要包括机房与电源两个部分。机房是放置核心路由器、交换机、服务器等核心设备的场所，同时也包括各个建筑物中放置路由器、交换机与布线设施的设备间、配线间等场所。关键的网络设备对供电条件的要求是很高的，必须保证由专用的UPS系统供电。支持信息系统的网络包括网络传输基础设施、网络设备两部分。网络操作系统利用网络通信设施所提供的数据传输功能，为高层网络用户提供共享资源管理服务，以及其他网络服务功能。主要包括网络性能分析，存储管理，网络状态监控。网络应用软件开发与运行环境包括网络数据库管理系统与网络软件开发工具。
在用户单位制定项目建设任务书之后，并且确定网络信息系统建设任务之后，项目承担单位的首要任务就是网络用户调查和网络工程需求分析。网络需求分析的目的是从实际出发，通过现场实地调研，收集第一手资料，对已经存在的网络系统或新建的网络系统有一个系统的认知，取得对整个工程的总体认识，确定总体目标和阶段性目标，为系统总体设计打下基础。需求分析是设计、建设与运行网络系统的关键。网络应用需求调查就是要明晰用户建网的目的、要求与应用。
在确定网络规模、布局与拓扑结构之前，还需要对网络结点地理位置分布情况进行调查。(先调查，后布局)
1、用户数量及分布的位置2、建筑物内部结构情况调查3、建筑物群情况调查
INTERNET/INTRANET服务主要包括：WEB服务、E-MAIL服务、FTP服务、IP电话服务、网络电视会议服务电子商务服务、公共信息资源的在线查询服务数据库服务包括：关系数据库管理系统、非结构化数据库管理系统、企业专用管理信息系统。网络基础服务系统包括：网络管理和服务软件，网络安全管理软件。
网络需求详细分析主要包括：网络总体需求分析、综合布线需求分析、网络可用性与可靠性分析、网络安全性需求，以及分析网络工程造价估算。
网络工程造价估算1、网络设备，如路由器、交换机、集线器、网卡。2、网络基础设施，如UPS电源、机房装修、双绞线与光纤等。3、远程通信线路与接入城域网的租用线路。4、服务器与客户端设备，如服务器群、网络打印机等。5、系统集成费用、用户培训费用与系统维护费用。
大型和中型网络系统必须采用分层的设计思想，这是解决网络系统规模、结构和技术的复杂性的最有效方法。
一个利用新一代网络技术组建的大中型企业网、校园网或机关办公网基本上都采用了3层网络结构。其中，核心层网络用于连接服务器集群、各建筑物子网交换路由器，以及与城域网连接的出口;汇聚层网络用于将分布在不同位置的子网连接到核心层网络，实现路由汇聚的功能;接入层网络用于将终端用户计算机接入到网络之中。典型的系统的核心路由器与核心路由器、核心路由器与汇聚路由器直接使用具有冗余链路的光纤连接;汇聚路由器与接入路由器之间、接入路由器与用户计算机之间可以视情况而选择价格较低的非屏蔽双绞线UTP连接。是否需要分成3层组建的经验数据是：如果结点数为250-5000个，一般需要按3层结构来设计;如果结点数为100-500个，可以不必设计接入层网络，结点可直接通过汇聚层的路由器或交换机接入;如果结点数为5-250个，也可以不设计接入层网络与汇聚层网络。
核心层网络一般要承担整个网络流量的40%-60%目前应用于核心层网络的技术标准主要是GE/10GE,核心设备是高性能交换路由器，连接核心路由器的是具有冗余链路的光纤。
核心网络系统分层设计的另一个好处是可以方便地分配与规划带宽，有利于均衡负荷，提高网络效率。根据实际经验总结：层次之间的上联带宽与下一级带宽之比一般控制在1:20.
在网络设备的选取时，主干设备一定要留有一定的余量，注意系统的可扩展性。路由器一般是根据路由器背板交换能力来划分的。背板交换能力大于40Gbps的称做高端路由器。背板交换能力低于40Gbps的称做中低端路由器。高端路由器一般用作核心层的主干路由器，企业级路由器一般用于汇聚层的路由器，低端路由器一般用于接入层的接入路由器。
路由器的吞吐量涉及两个方面的内容：端口吞吐量与整机吞吐量。端口吞吐量是指路由器的具体一个端口的包转发能力，而整机吞吐量是指路由器整机的包转发能力。高速路由器一般要求长度为1518B的 IP包，延时要小于1ms.
路由器是通过路由表来决定包转发路径的。高速路由器应该能够支持至少25万条路由。
路由器的冗余表现在：接口冗余、电源冗余、系统板冗余、时钟板冗余、整机设备冗余等方面。
Internet通用服务器包括：DNS、E-MAIL、FTP、WWW以及远程通信服务器、代理服务器。
典型的高端路由器的可靠性与可用性指标应该达到：系统故障恢复时间小于30分钟。
交换机从应用规模分类，可以分为：企业级、部门级与工作组级交换机
一般的企业级交换机都是模块式交换机;部门级交换机可是是固定端口，也可以是模块式;工作级交换机是固定端****换机。从应用规模上看，支持500个以上结点的大型应用可以选取企业级交换机;支持300个以下结点的中型应用要选取部门级交换机;支持100个结点以下小型应用要选取工作组级交换机。
背板是交换机输入端与输出端之间的物理通道。背板带宽越宽，交换机数据处理能力就越快，数据包转发延迟越小，性能越优越。全双工端口带宽的计算方法是：端口数X端口速率X2
VLAN的划分可以是基于端口的，也可以是基于MAC地址或IP地址的。
对于作为主干设备的交换机需要注意选择;是否每个端口都有独立的缓冲区，模块或端口是否设计有独立的输入、输出缓冲区，以及缓冲区的队列调度算法。
主要的网络管理协议与软件包括IBM NnetView、HP OPENVIEW、SNMP等。
非对等结构网络操作系统软件分为两部分，一部分运行在服务器上，另一部分运行在工作站上。硬盘服务器将共享的硬盘空间划分成多个虚拟盘体，虚拟盘体可以分为以下三个部分：专用盘体、公用盘体与共享盘体。
网络操作系统分为以下两部分：文件服务器与工作站软件。
Internet/Intranet通用服务器主要包括：DNS服务器、E-MAIL服务器、FTP服务器、WWW服务器，以及远程通信服务器、代理服务器等。基于复杂指令集CISC处理器的INTEL结构的PC服务器的优点：通用性好，配置简单，性能价格比高，第三方支持软件丰富，系统维护方便。基于精简指令集RISC结构处理器的服务器与相应的PC服务器相比，CPU处理能力能够提高50%-75%.集群计算技术可以大大提高服务器的可靠性、可用性与容灾能力。硬盘性能的参数包括：主轴转速、内部传输率、单碟容量、平均巡道时间与缓存。系统高可用性=MTBF / (MTBF+MTBR)
MTBF为平均无故障时间，MTBR为平均修复时间。
服务器选型的基本原则1、根据不同的应用特点选择服务器2、根据不同的行业特点选择服务器3、根据产品的成熟程度选择服务器。在INTERNET中，对网络的攻击可以分为两种基本类型，即服务攻击与非服务攻击。从黑客攻击的手段上看，又可以大致分为以下8种：系统入侵类攻击、缓冲区溢出攻击、欺骗类攻击、拒绝服务类攻击、防火墙攻击、病毒类攻击、木马程序攻击与后门攻击。
服务攻击是指对为网络提供某种服务的服务器发起攻击，造成该服务器的“拒绝服务”,使网络工作不正常。TCP/IP缺乏认证、保密措施。
非服务攻击不针对某项具体应用服务，而是针对网络层等低层协议进行的。
网络服务是通过各种协议来完成的。目前保证协议安全性，有两种基本的方法：一种是用形式化方法来证明一个协议是安全的;另一种是设计者用经验来分析协议的安全性。形式化证明方法是人们所希望的，但一般的协议安全性也是不可判定的。网络协议的漏洞是当今INTERNET面临的一个严重的安全问题。黑客的攻击手段和方法多种多样，一般可以分为主动攻击和被动攻击。网络中的信息安全主要包括两个方面：信息存储安全与信息传输安全。
信息存储安全是指如何保证静态存储在联网计算机中的信息不会被未授权的网络用户非法使用。
信息传输安全是指如何保证信息在网络传输的过程中不被泄露与不被攻击。信息传输安全过程的安全威胁主要有：截获信息、窃听信息、篡改信息与伪造信息。保证网络系统中信息安全的主要技术是数据的加密与解密。
在密码学中，将源信息称为明文。将明文变换成密文的过程称为加密，而将密文经过逆变换恢复成明文的过程称为解密。
目前，全球出现的数万种病毒按基本类型可划分为6种，即引导型病毒、可执行文件病毒、宏病毒、混合病毒、特洛伊木马型病毒与INTERNET语言病毒。灰色软件包括间谍程序、广告程序、后门程序、下载程序、植入程序等
网络系统安全设计的原则
1、全局考虑的原则-整体安全性取决于最薄弱环节。2、整体设计的原则---网络系统安全设计包括预防、检测、反应与应急处理，因此网络系统安全必须包括3个机制：安全防护机制、安全检测机制与安全恢复机制。3、有效性与实用性的原则-网络安全与网络使用是矛盾的两个方面。4、等级性原则 5、自主性与可控性原则6、安全有价原则-网络安全系统的造价是与系统的规模、复杂程序有关。
