当前位置：首页 > news >正文

校园网架构设计与部署实战

news 来源：原创 2025/5/8 4:31:53

一、学习目标

掌握校园网分层架构设计原则

理解多业务VLAN规划方法

学会部署认证计费系统

实现基础网络安全防护

二、典型校园网场景

需求分析：某中学需建设新型校园网络

覆盖教学楼/宿舍/图书馆三区域

区分教师/学生/访客网络权限

满足2000+终端并发接入

防御ARP欺骗/DDoS等常见攻击

对接教育局专线（10.1.1.0/24）
在这里插入图片描述
三、网络拓扑图

四、关键配置步骤

IP地址规划

|区域|VLAN |网段 |用途|
教师办公	100	172.16.100.0/24	教学管理/OA系统
学生机房	200	172.16.200.0/24	计算机课程教学
宿舍网络	300	172.16.300.0/24	学生个人设备
访客无线	400	172.16.400.0/24	家长/访客接入
设备管理	999	10.255.255.0/24	网络设备管理

核心交换机配置（华为CE6850）

# 创建业务VLAN  
vlan batch 100 200 300 400 999  

# 配置链路聚合（教学楼汇聚）  
interface Eth-Trunk1  
 port link-type trunk  
 port trunk allow-pass vlan 100 200  
 lacp priority 1000  

# 配置管理VLAN  
interface Vlanif999  
 ip address 10.255.255.1 24  

# 启用DHCP中继  
dhcp enable  
interface Vlanif100  
 dhcp select relay  
 dhcp relay server-ip 172.16.100.100

认证计费系统（Radius基础配置）

# FreeRadius用户文件配置  
/etc/freeradius/3.0/users：  
teacher1 Cleartext-Password := "Tec@2023"  
   Service-Type = Framed-User,  
   Filter-Id = "vlan100"  

student01 Cleartext-Password := "Stu#2023"  
   Service-Type = Framed-User,  
   Filter-Id = "vlan300",  
   Session-Timeout = 14400  # 每天4小时  

# 计费策略（每月50小时免费）  
sqlcounter monthlytraffic {  
    sql_module_instance = sql  
    counter_name = Monthly-Traffic  
    check_name = Max-All-Session  
    reply_name = Session-Timeout  
    key = User-Name  
    reset = monthly  
    query = "SUM(acctsessiontime) FROM radacct \  
            WHERE username='%{${key}}' \  
            AND MONTH(acctstarttime)=MONTH(CURDATE())"  
}

接入层安全配置（H3C S5500）

# 端口安全（每个端口绑定3个MAC）  
interface GigabitEthernet1/0/1  
 port-security max-mac-count 3  
 port-security intrusion-mode block  
# 防ARP欺骗  
arp detection enable  
arp detection trust interface GigabitEthernet1/0/24  
# 风暴抑制  
broadcast-suppression 50  # 限制广播流量50%

五、无线网络部署

1. AC控制器配置（H3C WX3510H）
# 创建无线服务模板  
wlan service-template 1  
 ssid Campus-Teacher  
 bind vlan 100  
 authentication-method open-system  
 service-template enable  

# 配置802.1X认证  
wlan service-template 2  
 ssid Campus-Student  
 bind vlan 300  
 security-ie rsn  
 cipher-suite ccmp  
 security-ie rsn  
 security-ie wpa  
 802.1x authentication-method eap

六、安全防护体系

安全层级	防护措施	配置示例
接入层	802.1X认证+MAC绑定	dot1x authentication-method eap
网络层	ACL策略+IPSG防IP欺骗	ip verify source-ip
边界防护	防火墙DDoS防护+URL过滤	anti-ddos enable
应用层	上网行为管理+敏感内容过滤	url-filter policy block-porn