一、学习目标
掌握校园网分层架构设计原则
理解多业务VLAN规划方法
学会部署认证计费系统
实现基础网络安全防护
二、典型校园网场景
需求分析：某中学需建设新型校园网络
覆盖教学楼/宿舍/图书馆三区域
区分教师/学生/访客网络权限
满足2000+终端并发接入
防御ARP欺骗/DDoS等常见攻击
对接教育局专线（10.1.1.0/24）
三、网络拓扑图
四、关键配置步骤
- IP地址规划
|区域|VLAN |网段 |用途|
教师办公 100 172.16.100.0/24 教学管理/OA系统
学生机房 200 172.16.200.0/24 计算机课程教学
宿舍网络 300 172.16.300.0/24 学生个人设备
访客无线 400 172.16.400.0/24 家长/访客接入
设备管理 999 10.255.255.0/24 网络设备管理
- 核心交换机配置（华为CE6850）
# 创建业务VLAN
vlan batch 100 200 300 400 999
# 配置链路聚合（教学楼汇聚）
interface Eth-Trunk1
port link-type trunk
port trunk allow-pass vlan 100 200
lacp priority 1000
# 配置管理VLAN
interface Vlanif999
ip address 10.255.255.1 24
# 启用DHCP中继
dhcp enable
interface Vlanif100
dhcp select relay
dhcp relay server-ip 172.16.100.100
- 认证计费系统（Radius基础配置）
# FreeRadius用户文件配置
/etc/freeradius/3.0/users：
teacher1 Cleartext-Password := "Tec@2023"
Service-Type = Framed-User,
Filter-Id = "vlan100"
student01 Cleartext-Password := "Stu#2023"
Service-Type = Framed-User,
Filter-Id = "vlan300",
Session-Timeout = 14400 # 每天4小时
# 计费策略（每月50小时免费）
sqlcounter monthlytraffic {
sql_module_instance = sql
counter_name = Monthly-Traffic
check_name = Max-All-Session
reply_name = Session-Timeout
key = User-Name
reset = monthly
query = "SUM(acctsessiontime) FROM radacct \
WHERE username='%{${key}}' \
AND MONTH(acctstarttime)=MONTH(CURDATE())"
}
- 接入层安全配置（H3C S5500）
# 端口安全（每个端口绑定3个MAC）
interface GigabitEthernet1/0/1
port-security max-mac-count 3
port-security intrusion-mode block
# 防ARP欺骗
arp detection enable
arp detection trust interface GigabitEthernet1/0/24
# 风暴抑制
broadcast-suppression 50 # 限制广播流量50%
五、无线网络部署
1. AC控制器配置（H3C WX3510H）
# 创建无线服务模板
wlan service-template 1
ssid Campus-Teacher
bind vlan 100
authentication-method open-system
service-template enable
# 配置802.1X认证
wlan service-template 2
ssid Campus-Student
bind vlan 300
security-ie rsn
cipher-suite ccmp
security-ie rsn
security-ie wpa
802.1x authentication-method eap
六、安全防护体系
安全层级 防护措施 配置示例
接入层 802.1X认证+MAC绑定 dot1x authentication-method eap
网络层 ACL策略+IPSG防IP欺骗 ip verify source-ip
边界防护 防火墙DDoS防护+URL过滤 anti-ddos enable
应用层 上网行为管理+敏感内容过滤 url-filter policy block-porn
