車兆東，鄧擁軍

(中國海洋大學(xué)網(wǎng)絡(luò)與信息中心，山東青島266100)

中國海洋大學(xué)校園網(wǎng)現(xiàn)狀分析

車兆東，鄧擁軍

(中國海洋大學(xué)網(wǎng)絡(luò)與信息中心，山東青島266100)

中國海洋大學(xué)目前的校園網(wǎng)建設(shè)完成于2006年8月。經(jīng)過幾年來的使用，網(wǎng)絡(luò)結(jié)構(gòu)、核心設(shè)備性能等出現(xiàn)一些問題，已經(jīng)不能完全滿足目前的應(yīng)用需求。對中國海洋大學(xué)校園網(wǎng)的現(xiàn)狀從網(wǎng)絡(luò)結(jié)構(gòu)、核心設(shè)備、路由設(shè)置、安全設(shè)置等方面進(jìn)行了詳細(xì)的論述，并對存在的問題進(jìn)行了有效的分析。

校園網(wǎng)；網(wǎng)絡(luò)分析；網(wǎng)絡(luò)優(yōu)化；網(wǎng)絡(luò)結(jié)構(gòu)

一、引言

校園網(wǎng)絡(luò)是以計算機(jī)網(wǎng)絡(luò)技術(shù)為基礎(chǔ)的區(qū)域教育信息化集成應(yīng)用系統(tǒng)。它是以計算機(jī)網(wǎng)絡(luò)技術(shù)為基礎(chǔ)、以網(wǎng)絡(luò)教育資源與網(wǎng)絡(luò)教育軟件為核心、以構(gòu)建現(xiàn)代教育和管理模式為目的、以提高教學(xué)與管理效益為根本、為學(xué)校教育信息化提供全方位服務(wù)的教育網(wǎng)絡(luò)。

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，人們對網(wǎng)絡(luò)也有著不同的需求和解決方案。傳統(tǒng)的校園網(wǎng)建設(shè)中，需要優(yōu)先解決的問題是校園網(wǎng)內(nèi)部較為簡單的互聯(lián)互通應(yīng)用的需求，因此主要對校園網(wǎng)的互聯(lián)帶寬和網(wǎng)絡(luò)設(shè)備的端口密度提出了要求。而隨著用戶數(shù)量越來越多，校園網(wǎng)的應(yīng)用類型和業(yè)務(wù)種類越來越豐富，網(wǎng)絡(luò)流量越來越復(fù)雜，對網(wǎng)絡(luò)設(shè)備本身在實際應(yīng)用中的性能、多業(yè)務(wù)支持和保障能力以及網(wǎng)絡(luò)的穩(wěn)定可靠性方面都提出了更高的要求。

中國海洋大學(xué)校園網(wǎng)作為中國教育科研和計算機(jī)網(wǎng)（簡稱CERNET）的全國38個主干節(jié)點之一，承擔(dān)著青島主節(jié)點的建設(shè)任務(wù)，擔(dān)負(fù)著青島地區(qū)教育機(jī)構(gòu)接入CERNET的保障工作。隨著接入學(xué)校（或部門）、接入用戶的增多，青島主節(jié)點接入CERNET的2.5G出口容量日趨緊張，面臨著10G擴(kuò)容的要求。同時隨著下一代互聯(lián)網(wǎng)（IPv6）的迅猛發(fā)展，青島地區(qū)各高校接入中國教育科研IPv6網(wǎng)絡(luò)（CERNET2）也勢在必行。

二、中國海洋大學(xué)校園網(wǎng)現(xiàn)狀

中國海洋大學(xué)校園網(wǎng)由嶗山校區(qū)網(wǎng)絡(luò)、魚山校區(qū)網(wǎng)絡(luò)和浮山校區(qū)網(wǎng)絡(luò)組成，目前的校園網(wǎng)建設(shè)完成于2006年8月，采用了萬兆核心、匯聚雙萬兆上聯(lián)的骨干網(wǎng)絡(luò)，基本實現(xiàn)了用戶百兆、千兆到桌面的接入，三校區(qū)之間通過光纖環(huán)型鏈接實現(xiàn)萬兆互聯(lián)，校園網(wǎng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖所示，即使某個鏈路發(fā)生故障也不會影響到三校區(qū)的互通，具有較好的冗余度和可靠性。在網(wǎng)絡(luò)安全管理和用戶管理方面采取了虛擬網(wǎng)絡(luò)、訪問控制、防火墻、流量管理系統(tǒng)、網(wǎng)絡(luò)防病毒系統(tǒng)、網(wǎng)絡(luò)計費管理系統(tǒng)等安全措施。在下一代互聯(lián)網(wǎng)建設(shè)方面，校園網(wǎng)每一個用戶都可以通過雙棧方式實現(xiàn)IPv6訪問。校園網(wǎng)上采取的各種技術(shù)措施、安全措施為運行在校園網(wǎng)絡(luò)上的各種教學(xué)活動和教學(xué)管理系統(tǒng)提供了一定的技術(shù)保障。

1.網(wǎng)絡(luò)結(jié)構(gòu)

三個校區(qū)之間校園網(wǎng)絡(luò)采用萬兆環(huán)網(wǎng)互聯(lián)。

嶗山校區(qū)網(wǎng)絡(luò)采用三層網(wǎng)絡(luò)架構(gòu)，即核心層、匯聚層和接入層。核心層網(wǎng)絡(luò)設(shè)備為兩臺Cisco 6500系列交換機(jī)（A和B）和一臺H3C 9500系列交換機(jī)（C）；匯聚層分院系區(qū)、圖書館區(qū)、行遠(yuǎn)樓區(qū)、教學(xué)區(qū)、北區(qū)生活區(qū)、南區(qū)生活區(qū)、服務(wù)器區(qū)七個物理區(qū)域，匯聚層網(wǎng)絡(luò)設(shè)備為：兩臺Cisco 6500系列交換機(jī)、兩臺H3C 9500系列交換機(jī)、三臺H3C 7500系列交換機(jī)；接入層網(wǎng)絡(luò)設(shè)備為H3C的各種型號的千兆或百兆交換機(jī)。

魚山校區(qū)網(wǎng)絡(luò)和浮山校區(qū)網(wǎng)絡(luò)采用了核心和接入兩層網(wǎng)絡(luò)結(jié)構(gòu)。核心層網(wǎng)絡(luò)設(shè)備各為一臺Cisco 6500系列交換機(jī)；接入層網(wǎng)絡(luò)設(shè)備為H3C的各種型號的千兆或百兆交換機(jī)。

2.校園網(wǎng)邊界網(wǎng)絡(luò)

校園網(wǎng)邊界出口路由器為一臺Cisco 7600系列路由器，它同時也是CERNET青島地區(qū)各高校的CERNET網(wǎng)絡(luò)接入路由器，該設(shè)備只有一塊引擎板卡。

CERNET青島地區(qū)主節(jié)點的出口路由器為一臺單引擎的Cisco 7600系列路由器，2.5G鏈路連接到濟(jì)南的山東大學(xué)節(jié)點。

學(xué)校校園網(wǎng)出口有三條，兩條1G鏈路連接至CERNET青島地區(qū)主節(jié)點的出口路由器，1條500M的聯(lián)通出口。

3.用戶管理

校園網(wǎng)用戶管理區(qū)域劃分為辦公區(qū)和學(xué)生生活區(qū)。

辦公區(qū)：采用億郵寬帶認(rèn)證計費管理網(wǎng)關(guān)，用戶IP地址為管理員人工靜態(tài)分配，IP地址與MAC地址綁定由各區(qū)域的匯聚交換機(jī)完成。辦公區(qū)用戶每人使用一個合法賬號，在校園網(wǎng)內(nèi)“漫游”，不受限制于某一個固定的IP地址。

學(xué)生生活區(qū)：采用城市熱點計費網(wǎng)關(guān)Dr.COM，對接入用戶采用802.1x認(rèn)證，使用DHCP（Dynamic Host Configuration Protocol，動態(tài)主機(jī)配置協(xié)議）動態(tài)分配IP地址。

4.VLAN設(shè)置

校園網(wǎng)主要通過VLAN隔離，生活區(qū)部分交換機(jī)通過PVLAN即私有VLAN（Private VLAN），實現(xiàn)端口隔離。多數(shù)VLAN終結(jié)于區(qū)域匯聚交換機(jī)，少數(shù)VLAN全網(wǎng)透傳，如VLAN2網(wǎng)管網(wǎng)段，VLAN512校園智能卡網(wǎng)段，VLAN100-110服務(wù)器網(wǎng)段等。

5.數(shù)據(jù)中心網(wǎng)絡(luò)接入

校園網(wǎng)數(shù)據(jù)中心由一臺服務(wù)器匯聚Cisco 6500系列交換機(jī)擔(dān)任所有服務(wù)器的接入。中心現(xiàn)有60多臺服務(wù)器，大部分單網(wǎng)口連接在服務(wù)器匯聚交換機(jī)上；其他單位40多臺服務(wù)器托管在中心機(jī)房，中心提供服務(wù)器的網(wǎng)絡(luò)接入及環(huán)境保證，服務(wù)器的系統(tǒng)由設(shè)備歸屬單位維護(hù)。

數(shù)據(jù)中心現(xiàn)有SAN存儲陣列一套IBM DS4800，存儲容量為30T，為郵件、FTP等業(yè)務(wù)系統(tǒng)使用。

學(xué)校校園網(wǎng)上承載有多個業(yè)務(wù)系統(tǒng)，多為B/S架構(gòu)，如數(shù)字化校園、校園智能卡系統(tǒng)、人事管理系統(tǒng)、科研管理系統(tǒng)、選課系統(tǒng)、圖書管理系統(tǒng)、BBS、FTP校內(nèi)共享資源下載系統(tǒng)、視頻組播系統(tǒng)等。全校各業(yè)務(wù)系統(tǒng)各自采用手工數(shù)據(jù)備份，沒有統(tǒng)一的自動備份恢復(fù)機(jī)制及異地災(zāi)備系統(tǒng)。

6.路由設(shè)置

核心與核心間和核心與匯聚間運行OSPF（Open Shortest Path First，開放式最短路徑優(yōu)先）（OSPFv2和OSPFv3），根據(jù)路徑cost值的不同選擇最優(yōu)路由。骨干區(qū)域Area0，覆蓋了魚山校區(qū)核心、浮山校區(qū)核心、嶗山校區(qū)核心及嶗山校區(qū)區(qū)域匯聚，用戶路由位于其他區(qū)域。

核心交換機(jī)和區(qū)域邊界路由器之間運行靜態(tài)路由協(xié)議，為了滿足生活區(qū)和辦公區(qū)流量分流的要求，在核心交換機(jī)中使用PBR策略路由。

7.組播設(shè)置

組播源分布于各個校區(qū)，采用PIM-DM組播路由協(xié)議，提供校園電視廣播服務(wù)。用戶通過IGMP或MLD協(xié)議加入或退出組。

8.安全設(shè)置

兩臺核心交換機(jī)A和B各配有一個防火墻模塊，采用流量分擔(dān)的雙主工作方式。每個模塊虛擬為5臺防火墻（CERNET、Insvr1、Insvr2、ykt、shenhuoqu）：CERNET為內(nèi)外網(wǎng)之間虛擬防火墻；Insvr1為服務(wù)器1區(qū)虛擬防火墻；Insvr2為服務(wù)器2區(qū)虛擬防火墻；ykt為校園智能卡區(qū)虛擬防火墻；shenhuoqu為外網(wǎng)和生活區(qū)之間虛擬防火墻。

在其中一臺核心交換機(jī)上配有一塊IDP流量分析模塊，對流量進(jìn)行檢測分析預(yù)警。

校園網(wǎng)安全設(shè)置除了VLAN、防火墻、流量分析模塊之外，還在校園網(wǎng)出口部署有流量監(jiān)控管理系統(tǒng)，對校園網(wǎng)出口鏈路上的應(yīng)用類型進(jìn)行帶寬管理，在保證Web流量的前提下，有效限制P2P流量。

9.網(wǎng)絡(luò)應(yīng)用性能測試

（1）Ping外網(wǎng)服務(wù)器，比如新浪，延時為13ms。

（2）Ping內(nèi)網(wǎng)服務(wù)器如信息化門戶，延時在1ms以內(nèi)。

（3）辦公區(qū)訪問校內(nèi)資源延時在1ms以下，出口流量延時較大，約為13ms左右，校內(nèi)FTP下載平均速率約為80Mb／s。

（4）校園網(wǎng)核心到出口路由器線路利用率高達(dá)80%以上，宿舍區(qū)、教學(xué)區(qū)和服務(wù)器區(qū)訪問量比較大。

（5）聯(lián)通出口帶寬500M幾乎滿負(fù)荷運行，以生活區(qū)、賽爾網(wǎng)絡(luò)和信息學(xué)院的訪問量居多。經(jīng)限速后，以Web訪問量居多，最高并發(fā)數(shù)可到21萬。

（6）教育網(wǎng)出口帶寬利用率已達(dá)60%，以生活區(qū)、賽爾網(wǎng)絡(luò)和信息學(xué)院的訪問量居多。經(jīng)限速后，Web訪問量為主，最高并發(fā)數(shù)可到81萬。

三、中國海洋大學(xué)校園網(wǎng)存在的問題及分析

1.二層廣播域過大

目前校園網(wǎng)的核心交換機(jī)和區(qū)域匯聚交換機(jī)之間雖然運行的是三層路由協(xié)議，但是設(shè)備之間互聯(lián)的接口都是使用的二層交換端口，即把接口類型封裝成802.1Q，并允許相應(yīng)的VLAN通過，包括二層互聯(lián)接口的三層虛接口及其他VLAN，從而造成配置復(fù)雜、不容易閱讀、二層廣播域范圍擴(kuò)大等問題。

VLAN是網(wǎng)絡(luò)用戶和資源的邏輯分組，給不同的子網(wǎng)分配不同的端口,從而創(chuàng)建更小的廣播域。VLAN的作用本是分割廣播域，但目前學(xué)校設(shè)置的VLAN太大，無法減少廣播消耗掉更多帶寬的影響，無法避免大二層網(wǎng)絡(luò)的種種問題。大量的用戶、應(yīng)用處于同一個VLAN廣播域內(nèi)，沒有有效的隔離措施和保障手段，相互之間的干擾和影響嚴(yán)重。如目前在校園網(wǎng)中普遍存在的ARP病毒和DHCP仿冒等，導(dǎo)致終端接入網(wǎng)絡(luò)的問題頻發(fā)，網(wǎng)絡(luò)管理員疲于奔命。

2.環(huán)路預(yù)防及STP問題

由于交換域過大，為避免STP（Spanning Tree Protocol，生成樹協(xié)議）所帶來的網(wǎng)絡(luò)震蕩，目前校園網(wǎng)的匯聚層和接入層設(shè)備已關(guān)掉STP功能。由于關(guān)閉STP,失去了STP的環(huán)路預(yù)防功能，環(huán)路所帶來的網(wǎng)絡(luò)風(fēng)險（廣播風(fēng)暴等）常常無法避免。

STP一直以來都是校園網(wǎng)頭痛的問題，難以設(shè)計和部署，轉(zhuǎn)發(fā)和阻塞端口較難規(guī)劃，出現(xiàn)鏈路或者故障時難以定位，并且存在較長的收斂時間，對校園網(wǎng)承載的應(yīng)用影響很大。

3.組播穩(wěn)定性

校園網(wǎng)的核心交換機(jī)上的組播報文是集中式轉(zhuǎn)發(fā)機(jī)制，核心交換機(jī)運行一段時間后，組播進(jìn)程會消耗大量的資源，導(dǎo)致核心交換機(jī)幾近癱瘓，帶來比較嚴(yán)重的網(wǎng)絡(luò)隱患。

匯聚層交換機(jī)在開啟IPv6組播業(yè)務(wù)時，由于設(shè)備不支持基于硬件的IPv6組播流量復(fù)制轉(zhuǎn)發(fā)，經(jīng)常會導(dǎo)致設(shè)備CPU利用率上升至100%，影響其他業(yè)務(wù)的正常運行，甚至造成業(yè)務(wù)中斷。因此，目前中國海洋大學(xué)校園網(wǎng)還未部署IPv6組播業(yè)務(wù)。

4.核心設(shè)備性能問題

校園網(wǎng)的核心交換機(jī)A及核心交換機(jī)B、邊界路由器，整機(jī)性能支持30Mpps包轉(zhuǎn)發(fā)率。由于這些設(shè)備配置的板卡沒有配置DFC（Distributed Forwarding Card，分布式轉(zhuǎn)發(fā)子卡），所以就成了集中轉(zhuǎn)發(fā)模式，所有三層轉(zhuǎn)發(fā)，包括單播和組播，都會送到引擎集中處理。

當(dāng)核心交換機(jī)開啟PBR（Policy-Based Routing，策略路由）、組播后，經(jīng)常會導(dǎo)致核心交換機(jī)的CPU利用率上升。因為PBR策略路由軟件進(jìn)行處理，而不是用設(shè)備硬件ASIC芯片進(jìn)行處理，占用設(shè)備CPU資源，過多的流量使用PBR，會使設(shè)備的CPU利用率急劇升高。隨著未來網(wǎng)絡(luò)管理的精細(xì)化，現(xiàn)有的核心設(shè)備的性能將不足以支撐這些功能的應(yīng)用。

5.防火墻性能問題

校園網(wǎng)的核心交換機(jī)A及核心交換機(jī)B各部署一塊防火墻模塊，此防火墻模塊性能為：吞吐量5.5G，并發(fā)連接數(shù)100萬，新建連接數(shù)每秒1萬。校園網(wǎng)的出口安全防御和數(shù)據(jù)中心的安全防御都由防火墻模塊完成，兩塊防火墻模塊做雙主的部署模式，旨在起到互為備份、負(fù)載均衡的效果。

共劃分了5個虛擬防火墻，分別是辦公區(qū)虛擬防火墻、服務(wù)器1區(qū)虛擬防火墻、服務(wù)器2區(qū)虛擬防火墻、校園卡系統(tǒng)虛擬防火墻、學(xué)生生活區(qū)虛擬防火墻，其中辦公區(qū)虛擬防火墻、服務(wù)器1區(qū)虛擬防火墻、服務(wù)器2區(qū)虛擬防火墻、校園卡系統(tǒng)虛擬防火墻都位于核心交換機(jī)A的防火墻模塊上，學(xué)生生活區(qū)防火墻位于核心交換機(jī)B的防火墻模塊上。

白天核心交換機(jī)A防火墻模塊的壓力比較大，因為白天絕大多數(shù)流量都是和教學(xué)辦公及訪問數(shù)據(jù)中心服務(wù)器相關(guān)的，晚上核心交換機(jī)B的防火墻壓力比較大，因為晚上大多數(shù)都是生活區(qū)的流量。通過辦公區(qū)虛擬防火墻的最大并發(fā)連接數(shù)為80萬，再加上2個服務(wù)器的虛擬防火墻的并發(fā)連接，已經(jīng)超出核心交換機(jī)A防火墻模塊的處理能力，目前核心交換機(jī)A的防火墻模塊已經(jīng)成為帶寬瓶頸。核心交換機(jī)B的防火墻模塊最大的并發(fā)連接數(shù)也有85萬，2臺防火墻模塊均正常工作情況下，白天核心交換機(jī)A的防火墻模塊已經(jīng)處于飽和狀態(tài)、晚上核心交換機(jī)B的防火墻模塊也基本處于飽和狀態(tài)，一旦某個防火墻模塊出現(xiàn)故障，將導(dǎo)致網(wǎng)絡(luò)性能大大下降，嚴(yán)重影響校園網(wǎng)用戶的上網(wǎng)性能。

目前防火墻的雙主工作方式存在設(shè)計缺陷，必須手工切換配置才能完成主備防火墻的切換，導(dǎo)致故障發(fā)生時，無法實現(xiàn)雙機(jī)的可靠性。而且虛擬防火墻錯綜復(fù)雜，流量多次進(jìn)出防火墻模塊，效率低下，如生活區(qū)訪問服務(wù)器區(qū)需經(jīng)過三次防火墻。由于控制點的分散，導(dǎo)致出現(xiàn)問題后，涉及到多個層面的多個設(shè)備，故障點很難定位，故障修復(fù)時間較長。

6.數(shù)據(jù)中心網(wǎng)絡(luò)設(shè)置問題

校園網(wǎng)的數(shù)據(jù)中心服務(wù)器匯聚、接入交換機(jī)只有一臺Cisco交換機(jī)，并且只有一個引擎，存在單點故障，可能引發(fā)全網(wǎng)業(yè)務(wù)中斷。

服務(wù)器接入交換機(jī)到核心交換機(jī)采用二層互聯(lián)，大部分服務(wù)器的網(wǎng)關(guān)都位于虛擬防火墻上，校園卡系統(tǒng)的服務(wù)器的網(wǎng)關(guān)位于核心交換機(jī)上，網(wǎng)關(guān)的冗余是采用核心交換機(jī)的HSRP（Hot Standby Router Protocol熱備份路由器協(xié)議）或虛擬防火墻實現(xiàn)，服務(wù)器接入二層到核心有可能會出現(xiàn)二層環(huán)路或二層病毒，從而影響核心交換機(jī)的正常工作。

7.路由設(shè)置問題

目前校園網(wǎng)路由是由OSPF（OSPFv2和OSPFv3）、策略路由PBR、靜態(tài)三種形式組成。

OSPF區(qū)域規(guī)劃不合理，骨干區(qū)域Area0范圍過大，覆蓋了魚山校區(qū)核心、浮山校區(qū)核心、嶗山校區(qū)核心及嶗山校區(qū)區(qū)域匯聚，可能會產(chǎn)生如下問題：

（1）骨干區(qū)域Area0中每臺設(shè)備都維護(hù)全網(wǎng)的鏈路狀態(tài)數(shù)據(jù)庫，對設(shè)備資源（內(nèi)存）占用大，由于核心設(shè)備、各區(qū)域匯聚設(shè)備處理能力不同，影響全網(wǎng)路由收斂時間。

（2）鏈路出現(xiàn)震蕩，會導(dǎo)致網(wǎng)絡(luò)中的路由器頻繁刷新鏈路狀態(tài)數(shù)據(jù)庫，造成網(wǎng)絡(luò)不穩(wěn)定。

（3）網(wǎng)絡(luò)中區(qū)域邊界路由器ABR（Adaptive Bit Rate，自適應(yīng)比特率）過多，不便于做路由過濾或路由策略，如生活區(qū)的路由不發(fā)布到的教學(xué)辦公區(qū)。

（4）核心交換機(jī)和區(qū)域邊界路由器之間運行靜態(tài)路由協(xié)議，為了滿足生活區(qū)和教學(xué)辦公區(qū)流量分流的要求，在核心交換機(jī)中使用PBR策略路由，因為PBR策略路由由軟件進(jìn)行處理，而不是用設(shè)備硬件ASIC芯片進(jìn)行處理，占用設(shè)備CPU資源，過多的流量使用PBR，會使設(shè)備的CPU急劇升高，如把魚山校區(qū)的流量遷移到核心B上，核心B的CPU利用率就會在50%以上，造成網(wǎng)絡(luò)不穩(wěn)定。

8.校園網(wǎng)出口線路擁塞問題

隨著中國海洋大學(xué)校園網(wǎng)用戶的不斷擴(kuò)大，用戶訪問量的增加，無論是教育網(wǎng)線路還是聯(lián)通線路，網(wǎng)絡(luò)出口線路幾乎都是滿負(fù)荷運行。

四、結(jié)束語

一個網(wǎng)絡(luò)系統(tǒng)，無論當(dāng)時的設(shè)計考慮多么完善，但是隨著網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)設(shè)備的發(fā)展，以及對系統(tǒng)應(yīng)用的深入和應(yīng)用范圍的日漸擴(kuò)大，會逐漸暴露出一些問題。通過以上對中國海洋大學(xué)校園網(wǎng)現(xiàn)狀的分析，可以找出目前校園網(wǎng)存在的問題，這就為今后的網(wǎng)絡(luò)優(yōu)化以及升級改造提供了依據(jù)。☉

（編輯：楊馥紅）

book=2,ebook=6

TP393

A

：1673-8454(2012)09-0029-04