校园网架构设计与部署实战

一、学习目标

掌握校园网分层架构设计原则

理解多业务VLAN规划方法

学会部署认证计费系统

实现基础网络安全防护

二、典型校园网场景

需求分析：某中学需建设新型校园网络

覆盖教学楼/宿舍/图书馆三区域

区分教师/学生/访客网络权限

满足2000+终端并发接入

防御ARP欺骗/DDoS等常见攻击

对接教育局专线（10.1.1.0/24） 三、网络拓扑图 四、关键配置步骤

IP地址规划 |区域|VLAN |网段 |用途| 教师办公 100 172.16.100.0/24 教学管理/OA系统 学生机房 200 172.16.200.0/24 计算机课程教学 宿舍网络 300 172.16.300.0/24 学生个人设备 访客无线 400 172.16.400.0/24 家长/访客接入 设备管理 999 10.255.255.0/24 网络设备管理 核心交换机配置（华为CE6850） # 创建业务VLAN vlan batch 100 200 300 400 999 # 配置链路聚合（教学楼汇聚） interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 100 200 lacp priority 1000 # 配置管理VLAN interface Vlanif999 ip address 10.255.255.1 24 # 启用DHCP中继 dhcp enable interface Vlanif100 dhcp select relay dhcp relay server-ip 172.16.100.100 认证计费系统（Radius基础配置） # FreeRadius用户文件配置 /etc/freeradius/3.0/users： teacher1 Cleartext-Password := "Tec@2023" Service-Type = Framed-User, Filter-Id = "vlan100" student01 Cleartext-Password := "Stu#2023" Service-Type = Framed-User, Filter-Id = "vlan300", Session-Timeout = 14400 # 每天4小时 # 计费策略（每月50小时免费） sqlcounter monthlytraffic { sql_module_instance = sql counter_name = Monthly-Traffic check_name = Max-All-Session reply_name = Session-Timeout key = User-Name reset = monthly query = "SUM(acctsessiontime) FROM radacct \ WHERE username='%{${key}}' \ AND MONTH(acctstarttime)=MONTH(CURDATE())" } 接入层安全配置（H3C S5500） # 端口安全（每个端口绑定3个MAC） interface GigabitEthernet1/0/1 port-security max-mac-count 3 port-security intrusion-mode block # 防ARP欺骗 arp detection enable arp detection trust interface GigabitEthernet1/0/24 # 风暴抑制 broadcast-suppression 50 # 限制广播流量50%

五、无线网络部署

1. AC控制器配置（H3C WX3510H） # 创建无线服务模板 wlan service-template 1 ssid Campus-Teacher bind vlan 100 authentication-method open-system service-template enable # 配置802.1X认证 wlan service-template 2 ssid Campus-Student bind vlan 300 security-ie rsn cipher-suite ccmp security-ie rsn security-ie wpa 802.1x authentication-method eap

六、安全防护体系

安全层级 防护措施 配置示例 接入层 802.1X认证+MAC绑定 dot1x authentication-method eap 网络层 ACL策略+IPSG防IP欺骗 ip verify source-ip 边界防护 防火墙DDoS防护+URL过滤 anti-ddos enable 应用层 上网行为管理+敏感内容过滤 url-filter policy block-porn