网站建设与行政管理做网站免费空间
一、学习目标
掌握校园网分层架构设计原则
理解多业务VLAN规划方法
学会部署认证计费系统
实现基础网络安全防护
二、典型校园网场景
需求分析：某中学需建设新型校园网络
覆盖教学楼/宿舍/图书馆三区域
区分教师/学生/访客网络权限
满足2000+终端并发接入
防御ARP欺骗/DDoS等常见攻击
对接教育局专线（10.1.1.0/24）
三、网络拓扑图
四、关键配置步骤
- IP地址规划
|区域|VLAN |网段 |用途|
教师办公 100 172.16.100.0/24 教学管理/OA系统
学生机房 200 172.16.200.0/24 计算机课程教学
宿舍网络 300 172.16.300.0/24 学生个人设备
访客无线 400 172.16.400.0/24 家长/访客接入
设备管理 999 10.255.255.0/24 网络设备管理
- 核心交换机配置（华为CE6850）
# 创建业务VLAN
vlan batch 100 200 300 400 999 # 配置链路聚合（教学楼汇聚）
interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 100 200 lacp priority 1000 # 配置管理VLAN
interface Vlanif999 ip address 10.255.255.1 24 # 启用DHCP中继
dhcp enable
interface Vlanif100 dhcp select relay dhcp relay server-ip 172.16.100.100
- 认证计费系统（Radius基础配置）
# FreeRadius用户文件配置
/etc/freeradius/3.0/users：
teacher1 Cleartext-Password := "Tec@2023" Service-Type = Framed-User, Filter-Id = "vlan100" student01 Cleartext-Password := "Stu#2023" Service-Type = Framed-User, Filter-Id = "vlan300", Session-Timeout = 14400 # 每天4小时 # 计费策略（每月50小时免费）
sqlcounter monthlytraffic { sql_module_instance = sql counter_name = Monthly-Traffic check_name = Max-All-Session reply_name = Session-Timeout key = User-Name reset = monthly query = "SUM(acctsessiontime) FROM radacct \ WHERE username='%{${key}}' \ AND MONTH(acctstarttime)=MONTH(CURDATE())"
}
- 接入层安全配置（H3C S5500）
# 端口安全（每个端口绑定3个MAC）
interface GigabitEthernet1/0/1 port-security max-mac-count 3 port-security intrusion-mode block
# 防ARP欺骗
arp detection enable
arp detection trust interface GigabitEthernet1/0/24
# 风暴抑制
broadcast-suppression 50 # 限制广播流量50%
五、无线网络部署
1. AC控制器配置（H3C WX3510H）
# 创建无线服务模板
wlan service-template 1 ssid Campus-Teacher bind vlan 100 authentication-method open-system service-template enable # 配置802.1X认证
wlan service-template 2 ssid Campus-Student bind vlan 300 security-ie rsn cipher-suite ccmp security-ie rsn security-ie wpa 802.1x authentication-method eap
六、安全防护体系
安全层级 防护措施 配置示例
接入层 802.1X认证+MAC绑定 dot1x authentication-method eap
网络层 ACL策略+IPSG防IP欺骗 ip verify source-ip
边界防护 防火墙DDoS防护+URL过滤 anti-ddos enable
应用层 上网行为管理+敏感内容过滤 url-filter policy block-porn