尹海翔

（深圳信息職業(yè)技術(shù)學(xué)院信息中心，廣東 深圳 518172）

一種基于認(rèn)證系統(tǒng)的多運(yùn)營商共網(wǎng)解決方案

尹海翔

（深圳信息職業(yè)技術(shù)學(xué)院信息中心，廣東 深圳 518172）

本文分析了校園網(wǎng)的常見運(yùn)營模式，并針對目前熱衷的多運(yùn)營商運(yùn)營模式的缺點(diǎn)，提出了一種基于認(rèn)證系統(tǒng)的運(yùn)營商共網(wǎng)解決方案。該方案通過將認(rèn)證系統(tǒng)的VLAN下發(fā)功能與出口路由器的源地址策略路由功能相結(jié)合，實(shí)現(xiàn)運(yùn)營商在同一張網(wǎng)中和諧共處，消除了安全隱患，解決了訪問內(nèi)網(wǎng)資源的問題。

認(rèn)證系統(tǒng)；策略路由；共用網(wǎng)絡(luò)

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，訪問互聯(lián)網(wǎng)成為學(xué)生用戶的剛性需求。部分經(jīng)費(fèi)充足的高校，早期往往獨(dú)立建設(shè)校園網(wǎng)，自主運(yùn)營，但后期逐漸分化為兩類：引入運(yùn)營商或者堅(jiān)持學(xué)校運(yùn)營[1]。部分經(jīng)費(fèi)或者人員相對緊張的高校，則往往引入運(yùn)營商共同建設(shè)和運(yùn)營。與學(xué)校運(yùn)營相比，運(yùn)營商的介入可降低學(xué)校的運(yùn)營成本，減少對技術(shù)人員的需求，憑借其帶寬的先天優(yōu)勢可為用戶提供更優(yōu)質(zhì)的網(wǎng)絡(luò)質(zhì)量，因此成為目前的應(yīng)用趨勢。但若按目前普遍的做法，僅引入一家運(yùn)營商，則會因?yàn)槿鄙俑偁?，?dǎo)致用戶選擇性少、上網(wǎng)資費(fèi)較高，服務(wù)質(zhì)量難以保證等問題。

因此，引入多家運(yùn)營商，既可為學(xué)生提供各具特色的資費(fèi)套餐，滿足不同學(xué)生的需求，又可通過競爭降低網(wǎng)絡(luò)費(fèi)用，提高服務(wù)質(zhì)量。目前多運(yùn)營商運(yùn)營的模式包括以下兩種：

（1）各自建網(wǎng)模式。各運(yùn)營商均獨(dú)自鋪設(shè)自有網(wǎng)絡(luò)線路，提供獨(dú)立接入服務(wù)。但由于需建設(shè)基礎(chǔ)網(wǎng)絡(luò)，增加項(xiàng)目成本，因此上網(wǎng)資費(fèi)普遍較高。新增加用戶后運(yùn)營商需穿墻打洞新增線路，影響建筑物美觀。此外，由于各運(yùn)營商網(wǎng)絡(luò)相互獨(dú)立，用戶相互之間不便于互聯(lián)，不能訪問校園網(wǎng)內(nèi)部資源，外部資源也必須通過互聯(lián)網(wǎng)訪問，訪問速度不能得到保證；用戶不能免費(fèi)訪問教育網(wǎng)。

（2）基于PPPoE協(xié)議[2]局部共網(wǎng)模式。運(yùn)營商將BRAS與校園網(wǎng)連接，不需要額外建設(shè)網(wǎng)絡(luò)，一定程度上克服了各自建網(wǎng)模式的缺點(diǎn)。但由于撥號后用戶將獲得外網(wǎng)IP地址，仍不能解決訪問校園網(wǎng)資源及免費(fèi)訪問教育網(wǎng)的問題，且由于協(xié)議自身的限制運(yùn)營商必須接入校園網(wǎng)內(nèi)部使用局部校園網(wǎng)，導(dǎo)致學(xué)校網(wǎng)絡(luò)設(shè)備暴露在公網(wǎng)上，帶來一定的安全隱患。此外，由于PPPoE協(xié)議是透傳的，接入層和匯聚層交換機(jī)無法識別運(yùn)營商應(yīng)用，無法對運(yùn)營商流量作出有效控制，影響學(xué)校正常業(yè)務(wù)的運(yùn)行[3]。

為此，本文提出一種基于認(rèn)證系統(tǒng)的多運(yùn)營商共網(wǎng)解決方案，既能正確區(qū)分并定向到用戶選定的互聯(lián)網(wǎng)出口，又不會在認(rèn)證后將用戶隔離出校園網(wǎng)，實(shí)現(xiàn)內(nèi)部資源的充分利用。此外，將運(yùn)營商網(wǎng)絡(luò)出口置于出口路由器上，提高了網(wǎng)絡(luò)安全系數(shù)，增強(qiáng)了網(wǎng)絡(luò)流量管控能力。

1 基于認(rèn)證系統(tǒng)的多運(yùn)營商共網(wǎng)方案設(shè)計(jì)

為了充分利用學(xué)?，F(xiàn)有網(wǎng)絡(luò)基礎(chǔ)以及應(yīng)用系統(tǒng)資源，解決人員配備緊張、出口費(fèi)用高昂等問題，結(jié)合學(xué)生對網(wǎng)絡(luò)質(zhì)量、服務(wù)水平要求高，對上網(wǎng)費(fèi)用敏感的現(xiàn)狀，深圳信息職業(yè)技術(shù)學(xué)院設(shè)計(jì)了多運(yùn)營商共網(wǎng)解決方案，向多家運(yùn)營商開放了學(xué)生宿舍區(qū)的校園網(wǎng)，實(shí)現(xiàn)不同運(yùn)營商在同一張網(wǎng)上互不干擾的運(yùn)營。該方案結(jié)合原有的華三認(rèn)證系統(tǒng)，在無需改變原有網(wǎng)絡(luò)架構(gòu)，不增加任何網(wǎng)絡(luò)設(shè)備、不改變用戶使用習(xí)慣的情況下，完美解決了多運(yùn)營商共網(wǎng)運(yùn)營的技術(shù)難題。

1.1 解決方案架構(gòu)

多運(yùn)營商共網(wǎng)解決方案如圖1所示，涵蓋了5個主要組成部件，包括：核心交換機(jī)、接入交換機(jī)、出口路由器、認(rèn)證系統(tǒng)及DHCP服務(wù)器。其中核心交換機(jī)作為連接的橋梁，與其他4個部件相連，形成完整的解決方案。

圖1 多運(yùn)營商共網(wǎng)解決方案架構(gòu)Fig.1 Solution of network sharing for operators

（1）認(rèn)證系統(tǒng)

網(wǎng)絡(luò)準(zhǔn)入控制的概念是思科公司在2003 年首先提出的，通過網(wǎng)絡(luò)準(zhǔn)入控制，確保網(wǎng)絡(luò)中設(shè)備的安全系數(shù)達(dá)到一定程度后才允許接入指定網(wǎng)絡(luò)，使網(wǎng)絡(luò)安全系數(shù)大幅提高。在國內(nèi)華三也推出了“終端準(zhǔn)入控制（EAD，End user Admission Domination）”認(rèn)證系統(tǒng)。現(xiàn)在安全認(rèn)證系統(tǒng)分為兩種類型，一種基于硬件設(shè)備，包括上述思科的NAC和華三的EAD，另一種基于軟件實(shí)現(xiàn)，主要代表有微軟的NAP和Symantec 的SEP[4]。

其中，華三EAD準(zhǔn)入認(rèn)證解決方案得到了廣大用戶的普遍認(rèn)可。2008年12月，CCID賽迪顧問推出的《中國終端準(zhǔn)入解決方案市場白皮書》中顯示EAD已占據(jù)國內(nèi)終端準(zhǔn)入解決方案領(lǐng)域30.7%的銷售份額、38.8%的終端部署份額，綜合競爭力位列第一。截止2012年12月份，在現(xiàn)網(wǎng)中使用EAD的用戶數(shù)突破300萬。該認(rèn)證系統(tǒng)可以很好地做到“入網(wǎng)即認(rèn)證”，在用戶接入的入口，進(jìn)行精細(xì)的控制。系統(tǒng)除了支持基于用戶的用戶名和密碼的身份認(rèn)證之外，還支持用戶所選定的域與獲得的VLAN（Virtual Local Area Network）之間的關(guān)聯(lián)。例如，用戶選擇“電信”域，將獲得劃分給電信用戶的校內(nèi)VLAN，其他域也將獲得類似效果，這是本解決方案中的關(guān)鍵技術(shù)之一。

（2）接入交換機(jī)

接入交換機(jī)負(fù)責(zé)連接用戶終端，如果想通過認(rèn)證系統(tǒng)控制到交換機(jī)端口，決定用戶能否接入校園網(wǎng)絡(luò)，以及認(rèn)證系統(tǒng)下發(fā)VLAN后能否應(yīng)用到相應(yīng)交換機(jī)端口，都需要在接入交換機(jī)中應(yīng)用到802.1x協(xié)議或Portal技術(shù)。

802.1 x協(xié)議是一種基于端口的網(wǎng)絡(luò)接入控制協(xié)議（port based network access control protocol）[5]。“基于端口的網(wǎng)絡(luò)接入控制”是指針對接入交換機(jī)端口這一級別進(jìn)行認(rèn)證和控制，如果用戶的設(shè)備能通過認(rèn)證，就解除對該設(shè)備的控制；如果不能通過認(rèn)證，則封鎖該設(shè)備，相當(dāng)于被斷開物理連接[6]。認(rèn)證系統(tǒng)通過802.1x協(xié)議與交換機(jī)配合，可以支持豐富的訪問控制和VLAN授權(quán)信息下發(fā)功能，其中的VLAN授權(quán)信息下發(fā)功能是實(shí)現(xiàn)本方案所必需使用的技術(shù)。

Portal認(rèn)證通常也稱為Web認(rèn)證，該技術(shù)使用時不需要安裝客戶端軟件，且對組網(wǎng)設(shè)備要求不多，特別適合于無線網(wǎng)絡(luò)以及公共場所的認(rèn)證[7]。當(dāng)用戶需要使用網(wǎng)絡(luò)時，須先物理接入網(wǎng)絡(luò)，并使用瀏覽器訪問任意站點(diǎn)。訪問會被轉(zhuǎn)向Portal認(rèn)證頁面。用戶輸入用戶名和密碼通過驗(yàn)證后即可訪問網(wǎng)絡(luò)。由接入交換機(jī)結(jié)合 Portal認(rèn)證方式，可實(shí)現(xiàn)對網(wǎng)絡(luò)用戶的端點(diǎn)準(zhǔn)入控制，由認(rèn)證系統(tǒng)進(jìn)行認(rèn)證、計(jì)費(fèi)以及準(zhǔn)入策略控制和安全狀態(tài)檢測。

（3）DHCP服務(wù)器

DHCP（Dynamic Host Configuration Protocol）服務(wù)器[8,9]通常在大型的局域網(wǎng)絡(luò)環(huán)境中應(yīng)用，主要作用是集中的管理、分配IP地址，使網(wǎng)絡(luò)環(huán)境中的PC動態(tài)的獲得IP地址、網(wǎng)關(guān)地址、DNS服務(wù)器地址等信息。本方案中的DHCP服務(wù)器就是根據(jù)用戶獲得的VLAN，對照預(yù)先配置好的IP地址信息，通過DHCP協(xié)議將校園網(wǎng)內(nèi)網(wǎng)IP地址及相應(yīng)網(wǎng)關(guān)地址、對應(yīng)DNS服務(wù)器地址等下發(fā)到用戶PC。

（4）出口路由器

本解決方案中的出口路由器可以是具有策略路由功能的傳統(tǒng)路由器，也可以是具有智能選路功能的新型路由器或者專業(yè)的負(fù)載均衡設(shè)備，主要是利用其基于源地址的策略路由功能實(shí)現(xiàn)網(wǎng)絡(luò)出口選路。策略路由，是一種策略優(yōu)先的數(shù)據(jù)包路由轉(zhuǎn)發(fā)機(jī)制，常用的有源地址策略路由、目標(biāo)地址策略路由等。其中源地址策略路由是根據(jù)用戶獲得的IP地址決定用戶數(shù)據(jù)包的下一跳轉(zhuǎn)發(fā)路由器。例如，若用戶獲得的是預(yù)置好的電信用戶校園網(wǎng)內(nèi)網(wǎng)IP地址，則將該用戶的數(shù)據(jù)包轉(zhuǎn)發(fā)至電信網(wǎng)絡(luò)出口路由器。

此外，為了讓用戶在學(xué)生宿舍區(qū)免費(fèi)使用教育網(wǎng)，可通過基于目標(biāo)地址的策略路由功能，凡是以教育網(wǎng)IP地址段作為目標(biāo)地址的數(shù)據(jù)包均轉(zhuǎn)發(fā)至教育網(wǎng)出口路由器。

1.2 實(shí)現(xiàn)思路

學(xué)生用戶先根據(jù)運(yùn)營商提供的資費(fèi)套餐，選擇合適的運(yùn)營商。在用戶認(rèn)證時，除輸入用戶名、密碼外，在認(rèn)證界面的選擇框中人工選擇預(yù)先選定的運(yùn)營商。當(dāng)用戶通過認(rèn)證后，認(rèn)證系統(tǒng)給用戶的接入交換機(jī)下發(fā)對應(yīng)運(yùn)營商出口的VLAN，用戶根據(jù)所屬VLAN分配對應(yīng)IP地址，出口路由器根據(jù)IP地址確定出下一跳所轉(zhuǎn)發(fā)的運(yùn)營商路由器，以實(shí)現(xiàn)用戶出口的分配、選擇。這里以802.1x認(rèn)證為例：

（1）用戶認(rèn)證前

在用戶認(rèn)證前，沒有網(wǎng)絡(luò)接入權(quán)限，不能訪問網(wǎng)絡(luò)資源。因?yàn)镈HCP報(bào)文無法通過端口，用戶甚至連IP地址都獲取不到。

（2）用戶認(rèn)證后

用戶PC1通過認(rèn)證后，認(rèn)證系統(tǒng)給其授權(quán)下發(fā)的VLAN是VLAN10，則PC1獲取到的IP地址在VLAN10的IP地址段內(nèi)；用戶PC2通過認(rèn)證后，認(rèn)證系統(tǒng)給其授權(quán)下發(fā)的VLAN是VLAN20，則PC2獲取到的IP地址在VLAN20的IP地址段內(nèi)。出口路由器做策略，對不同IP的流量轉(zhuǎn)發(fā)到相應(yīng)的運(yùn)營商出口。用戶在攔截界面輸入運(yùn)營商用戶名及密碼，即可訪問互聯(lián)網(wǎng)。

2 多運(yùn)營商共網(wǎng)解決方案的實(shí)現(xiàn)

2.1 實(shí)現(xiàn)過程

多運(yùn)營商共網(wǎng)解決方案目標(biāo)是在同一張網(wǎng)上實(shí)現(xiàn)多運(yùn)營商出口的選路，讓用戶擁有最大的自主選擇權(quán)。解決方案的實(shí)現(xiàn)過程如圖2所示。首先，用戶端PC接入網(wǎng)絡(luò)，通過客戶端或?yàn)g覽器輸入用戶名、密碼、所選運(yùn)營商，發(fā)起認(rèn)證請求。接入交換機(jī)接收到認(rèn)證請求后，向認(rèn)證系統(tǒng)轉(zhuǎn)發(fā)該請求。然后，認(rèn)證系統(tǒng)會校驗(yàn)用戶信息，并根據(jù)用戶對于運(yùn)營商的選擇，匹配預(yù)置的運(yùn)營商VLAN對應(yīng)表，下發(fā)相應(yīng)的VLAN給接入交換機(jī)。接入交換機(jī)設(shè)置VLAN成功后，向認(rèn)證系統(tǒng)返回下發(fā)成功回應(yīng)。接著，認(rèn)證系統(tǒng)向終端返回認(rèn)證成功回應(yīng)。終端此時可訪問DHCP服務(wù)器，發(fā)出獲取IP地址請求。DHCP服務(wù)器收到該請求后，根據(jù)終端所處的VLAN，分配對應(yīng)的IP地址。隨后，終端獲取對應(yīng)VLAN的IP地址，訪問數(shù)據(jù)包流經(jīng)出口路由器。在出口路由器上，不同IP的流量通過策略路由轉(zhuǎn)發(fā)至相應(yīng)的運(yùn)營商。最后，運(yùn)營商彈出Portal認(rèn)證界面。用戶輸入從運(yùn)營商獲得的用戶名及密碼后，即可訪問互聯(lián)網(wǎng)。

圖2 用戶網(wǎng)絡(luò)接入實(shí)現(xiàn)流程Fig.2 Implementing process of users accessing internet

2.2 具體配置步驟

以下以802.1x認(rèn)證為例，具體配置步驟包括:

（1）接入交換機(jī)上配置802.1x認(rèn)證、Radius等認(rèn)證配置。

（2）在準(zhǔn)入認(rèn)證系統(tǒng)（以華三EAD認(rèn)證系統(tǒng)為例）為用戶分配VLAN。

（3）配置DHCP服務(wù)器的IP分配策略，為不同VLAN分配不同IP地址。

（4）配置出口路由器的策略路由，將不同IP的流量轉(zhuǎn)發(fā)到不同出口。

2.3 配置實(shí)例

以下以電信用戶、802.1x認(rèn)證為例，具體配置步驟包括:

1）交換機(jī)配置

2）認(rèn)證系統(tǒng)配置

a）增加接入策略，配置下發(fā)的VLAN。如增加名為“電信出口”的接入策略，并設(shè)置下發(fā)VLAN號為“10”。

b）增加接入服務(wù)。如增加服務(wù)名為“電信”的接入服務(wù)，該服務(wù)中引用“電信出口”的接入策略，并使用服務(wù)后綴“CT”域加以區(qū)分。

3）DHCP服務(wù)器配置

在DHCP服務(wù)器中，將學(xué)生宿舍劃分為多個區(qū)域，各區(qū)域的端口總數(shù)應(yīng)少于200個。每個區(qū)域均為其設(shè)置電信、聯(lián)通、移動的VLAN號，以及對應(yīng)的IP地址池、子網(wǎng)掩碼、網(wǎng)關(guān)、運(yùn)營商DNS服務(wù)器IP地址、校內(nèi)DNS服務(wù)器IP地址等信息。配置信息如表1所示。

表1 DHCP服務(wù)器配置信息Tab.1 Configuration of DHCP server

4）出口路由器配置

a）定義訪問控制列表ACL 2000，用來匹配源地址為VLAN 10的報(bào)文。

b）定義0號節(jié)點(diǎn)，指定所有源地址為192.168.10.0的報(bào)文的下一跳為電信出口2.2.2.2。

c）在VLAN10上應(yīng)用轉(zhuǎn)發(fā)策略路由。

3 結(jié)束語

本文介紹了一種基于認(rèn)證系統(tǒng)的多運(yùn)營商共網(wǎng)解決方案，通過認(rèn)證系統(tǒng)對VLAN的下發(fā)，以及出口路由器根據(jù)VLAN對應(yīng)IP實(shí)行策略路由，實(shí)現(xiàn)了多家運(yùn)營商在同一張網(wǎng)上互不干擾的運(yùn)營。通過該方案的實(shí)施，運(yùn)營商不需要投資建設(shè)基礎(chǔ)網(wǎng)絡(luò)，既降低了運(yùn)營成本，又避免了各自布線對學(xué)校造成的影響。對于學(xué)生而言，上網(wǎng)操作與以前基本保持一致，操作便利。學(xué)生訪問校內(nèi)資源與方案實(shí)施前無異，且還可免費(fèi)訪問教育網(wǎng)。通過多家運(yùn)營商相互競爭，在保證網(wǎng)絡(luò)質(zhì)量的同時，為學(xué)生提供了形式多樣、價(jià)格便宜的上網(wǎng)套餐。有運(yùn)營商結(jié)合手機(jī)號碼推廣甚至免費(fèi)贈送寬帶，學(xué)生滿意度比以往大幅提高。對學(xué)校而言，方案免除了學(xué)校在出口帶寬方面的運(yùn)營成本，大大降低了人員投入。技術(shù)實(shí)現(xiàn)上校園網(wǎng)架構(gòu)無需改動，網(wǎng)絡(luò)配置簡單易行。運(yùn)營商僅與出口路由器相連，系統(tǒng)安全系數(shù)高。在運(yùn)維管理方面，學(xué)校與運(yùn)營商之間責(zé)任界限清晰，運(yùn)營商負(fù)責(zé)用戶服務(wù)，以及網(wǎng)絡(luò)模塊以下可接觸事物的維護(hù)工作，校方負(fù)責(zé)接入交換機(jī)以上的校園網(wǎng)設(shè)備維護(hù)工作。

本方案還可進(jìn)一步優(yōu)化，通過與各運(yùn)營商的認(rèn)證計(jì)費(fèi)服務(wù)器對接，自動導(dǎo)入用戶數(shù)據(jù)，包括帶寬、上網(wǎng)期限等信息，便可做到用戶上網(wǎng)僅需認(rèn)證一次，且在認(rèn)證時不需手動選擇運(yùn)營商。

（

）

[1]楊富華,彭鋼.高校校園網(wǎng)運(yùn)營模式比較研究[J].電腦編程技巧與維護(hù),2010,(10),74-75.Yang Fuhua,PengGang.Comparativestudy of campus network operation modes[J].Computer Programming Skills &Maintenance,2010,(10),74-75.(in Chinese)

[2]L.Mamakos,K.Lidl,J.Evarts.RFC 2516.A method for transmitting PPP over ethernet(PPPoE).http://www.ieth.org/ rfc/rfc2516.txt

[3]涂慶華,李華峰.基于PPPoE協(xié)議的多運(yùn)營商共享接入模式研究與實(shí)現(xiàn)[J].中國教育信息化,2014,(12),63-66.TuQinghua,LiHuafeng.Research and realization of networkconnecting mode for operators based on PPPo-Eprotocol[J].The Chinese Journal of ICT in Education,2014,(12),63-66.(in Chinese)

[4]孫剛凝.基于EAD的校園網(wǎng)準(zhǔn)入/準(zhǔn)出統(tǒng)一認(rèn)證方案的研究[J].計(jì)算機(jī)光盤軟件與應(yīng)用,2012,(17),29-30.Sun Gangning.Authentication schemes of campus network base on EAD[J].Computer CD Software and Applications,2012,(17),29-30.(in Chinese)

[5]IEEE 802.1X LAN/WAN bridging &management[OL].http:// standards.ieee.org/getieee802/802.1.html.

[6]范曉寧,劉偉科,林澤東.基于802.1x的校園網(wǎng)認(rèn)證計(jì)費(fèi)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)安全,2007,(11),5-7.FAN Xiaoning,LIUWeike,LINZedong.The design and realization of campus network authentication charging system based on 802.1x[J].Network &Computer Security,2007,(11),5-7.(in Chinese)

[7]馬燕,范植華.Web/Protal認(rèn)證技術(shù)研究[J].微電子學(xué)與計(jì)算機(jī),2004,(21),76-79.Ma Yan,FanZhihua.Research on Web/Protal authentication technology[J].Microelectronics &Computer,2004,(21),76-79.(in Chinese)

[8]DromsR.Dynamichost configuration protocol[S].IETF,RFC2131,1997.

[9]DromsR,Alexander S.DHCP options and BOOTP vendor extensions[S].IETF,RFC2132,1997.

Solution of network sharing for operators based on authentication system

YIN Haixiang
（Information Center,Shenzhen Institute of Information Technology,Shenzhen 518172,P.R.China）

By analyzing the common operation modes of campus networks,a solution of network sharing for operators is presented,which is based on authentication system and aiming at the shortcomings of multi-operators modes.By combining VLAN sending and policy based routing function,the solution solves the problems of network sharing,network security and internal network accessing.

authentication system;policy based routing;network sharing

TP393.1

A

1672-6332（2015）01-0054-05

【責(zé)任編輯：高潮】

2015-03-05

尹海翔（1978-），男（漢），廣東東莞人，講師，碩士，主要研究方向：計(jì)算機(jī)網(wǎng)絡(luò)。E-mail:yinhx@sziit.com.cn