陳曄

摘要：智慧校園大背景下，根據(jù)細分的用戶需求，采取不同的應對手段優(yōu)化校園網(wǎng)。

關鍵詞：校園網(wǎng)場景路由協(xié)議；DCFS

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2018）08-0017-02

1建設背景

本方案整體采用大二層的網(wǎng)絡架構取代傳統(tǒng)三層網(wǎng)絡架構，校園網(wǎng)的接入、匯聚設備完全為純二層設備，只在核心交換上啟用三層路由。方案整體采用模塊化的體系架構，將校園網(wǎng)分為網(wǎng)絡核心區(qū)、宿舍接人區(qū)、辦公區(qū)、專網(wǎng)區(qū)、服務器區(qū)、出口區(qū)等區(qū)域，網(wǎng)絡核心區(qū)保證可靠、高效的數(shù)據(jù)交換，同時核心作為三層網(wǎng)關啟用路由協(xié)議，宿舍區(qū)、辦公區(qū)主要負責區(qū)域高速接入，專網(wǎng)區(qū)主要部署財務相關的一卡通等各項應用，網(wǎng)絡出口區(qū)負責保證整個校園網(wǎng)絡的安全，對不同的流量類型區(qū)分控制，保證帶寬的有效使用，同時部署Cache緩存系統(tǒng)進行應用加速，提升校園網(wǎng)用戶的體驗。

2用戶需求場景細分圖

場景一：高可靠性HA場景

隨著學校在IP網(wǎng)絡上部署的應用越來越多，學校的學習生活、教學等對于網(wǎng)絡依賴程度越來越高，網(wǎng)絡成為學校正常運轉(zhuǎn)的最基本因素之一。網(wǎng)絡一旦故障，就如同斷電缺水一般，其負面影響不可估量。

鏈路的高可靠——虛擬化

VSF技術是將兩臺核心設備虛擬化成一臺設備，從而達到高可靠易管理的網(wǎng)絡要求，VSF保證鏈路上的高可靠體現(xiàn)在多個方面。

場景二：路由上收場景

本方案采用大二層的網(wǎng)絡結(jié)構，路由上收到核心，使用VSF+PortChannel技術進行組網(wǎng)，所有的配置全部集中到核心設備上，在接人端只需要進行一些簡單的vlan劃分的配置。采用路由上收與傳統(tǒng)三層結(jié)構對比如下：

場景三：認證上收場景

路由上收降低了網(wǎng)路部署的復雜度，提高了運營效率。伴隨路由上收，校園計費也將上收到核心進行認證終結(jié)。認證上收后，認證相關的配置僅需要在核心設備上進行配置。配置簡化，節(jié)省體力，降低大規(guī)模部署時的出錯幾率，后期容易維護。場景四：Portal、1x一體化場景

核心同時支持portal認證與802.1x認證；

Portal認證與1x認證可以按照按照端口或vlan設置開啟或關閉；

同一端口/vlan下支持同時開啟portal與1x，分別開啟portal或1x，或免認證；

場景五：有線無線一體化場景

本方案采用現(xiàn)有的CS16809核心交換機作為有線無線統(tǒng)一的NAS網(wǎng)關，AC只負責無線的管理，有線無線的認證流程完全相同，可以選擇使用802.1x認證或者Portal認證。

場景六：IPv4、v6一體化場景

IPv4與IPv6共存是目前高校校園網(wǎng)普遍存在的現(xiàn)象，隨著兩期CNGI的建設，目前國內(nèi)大多數(shù)高校都建設了IPv6網(wǎng)絡接入cernet2，在認證的環(huán)節(jié)采用V4、v6一體化的認證方案，認證未通過前，除去免費資源外，內(nèi)網(wǎng)和內(nèi)網(wǎng)、內(nèi)網(wǎng)和外網(wǎng)都是隔離的，不能互訪，IPv4認證通過后，IPv6的數(shù)據(jù)可以通過。

場景七：有效認證報文識別場景

大二層網(wǎng)絡部署后認證報文、HTTP請求等都由核心交換機進行處理，當用戶開機后，即使沒有打開網(wǎng)頁進行登陸，也可能會有主機360、有道、QQ等客戶端同時發(fā)起HTTP請求，此時核心交換機與Portal Server壓力非常大，針對這種情況，可以采用指定域名的方式認證，舉例如下：

場景八：特殊MAC、VLAN免認證場景

校園網(wǎng)內(nèi)的區(qū)域、人員、設備情況復雜，很多學校都會有特殊的免認證的需求，當免認證的終端數(shù)量較少時，可以采用記錄設備MAC地址，在核心設備上配置針對特殊MAC地址免認證的方法解決；當需要免認證的終端數(shù)量較大時，采用逐個記錄MAC地址的方式工作量大，在這種情況下，可以把需要免認證的終端統(tǒng)一劃分到一個特定的vlan中，在核心上設置針對該特殊vlan的免認證來解決。

場景九：多運營商認證場景

在多個運營商共同存在的場景下，每個運營商都有自己的認證系統(tǒng)，校園網(wǎng)核心需要能夠識別認證流量，這就需要核心交換機支持基于流的策略。通過基于流的策略配置，實現(xiàn)連通賬號到移動的服務器上去注冊，電信賬號到電信的服務器上注冊。

場景十：用戶隔離場景

安全功能上收到核心交換機，接入交換機可以采用低配置產(chǎn)品，只需要支持簡單的vlan劃分即可，為防止接入端用戶相互訪問攻擊，需要進行隔離，隔離后所有東西向流量必須經(jīng)過核心轉(zhuǎn)發(fā)。用戶隔離有兩個推薦方案：

1）vLAN隔離方案：接入交換機每個端口一個vlan，核心做supervlan。

2）端口隔離方案：每個接入交換機一個vlan，配置端口隔離功能。

場景十一：用戶定位場景

用戶定位解決兩類問題：網(wǎng)絡攻擊溯源、設備原因用戶斷網(wǎng)補償。

用戶定位實現(xiàn)方法：

先在認證計費系統(tǒng)（DCSM-RS、城市熱點、深瀾等）上面查詢用戶的信息。主要包括：用戶所在設備的Port與VLANID；結(jié)合“接入設備VLAN規(guī)劃列表”，可以定位到用戶在哪一臺交換機的哪一個端口；

場景十二：內(nèi)網(wǎng)安全防護場景

內(nèi)網(wǎng)安全防護主要是解決三類安全問題：ARP欺騙，DHCP欺騙，廣播風暴。

針對內(nèi)網(wǎng)安全的防護，可以在核心和接人分別配置如下功能解決問題：

如果接入端的設備不支持如上功能，可以在核心交換機上配置針對特定報文的限速來保證正常業(yè)務報文的轉(zhuǎn)發(fā)。

場景十三：客戶端防代理場景

目前在校園網(wǎng)學生宿舍，會出現(xiàn)多個學生共同使用一個sohu路由器做代理上網(wǎng)的情況。如果學校需要防代理，可以通過在出口限制并發(fā)連接數(shù)的方法來解決。

場景十四：出口安全防護場景

校園網(wǎng)的出口是整個學校的“咽喉”，出口的安全設計對全網(wǎng)的安全至關重要。如何解決教校園網(wǎng)出口的安全問題，是每一個校園網(wǎng)的規(guī)劃者必須要考慮的問題。

使用下一代防火墻產(chǎn)品，以保障用戶應用安全為目標，通過L2-L7層全面威脅防御及強大應用安全管控技術，為用戶提供領先的網(wǎng)絡安全解決方案。

場景十五：出口大流量、高并發(fā)應用場景

目前普通高校普遍具備1-5G的互聯(lián)網(wǎng)接入帶寬，普通高校師生1-2萬，如此大規(guī)模的校園網(wǎng)，在高峰期，校園網(wǎng)出口網(wǎng)關接入設備承受的壓力將會非常之大。

校園網(wǎng)出口網(wǎng)關設備的選擇，不能簡單地依靠吞吐量來選擇設備，高帶寬，大用戶對出口網(wǎng)關設備的選擇應同時考慮吞吐量、NAT性能、最大并發(fā)連接、最大新建連接等幾個重要參數(shù)進行選擇。

場景十六：出口多鏈路負載均衡場景

為保證Internet接入的穩(wěn)定性和處于可用性，現(xiàn)在大多數(shù)學校都接人多個不同的ISP鏈路，但多鏈路網(wǎng)絡解決方案往往是“共享”式，而不是真正的負載均衡。針對這種需求，出口應用網(wǎng)關（DCAD）采用Smart NAT技術與Smart DNS技術分別解決出入流量的負載均衡。

場景十七：出口應用加速場景

深度結(jié)合流量控制系統(tǒng)（DCFS）和互聯(lián)網(wǎng)內(nèi)容緩存系統(tǒng)（DCCache）的功能，為校園網(wǎng)用戶提供精確、高速的互聯(lián)網(wǎng)內(nèi)容服務的同時，提高出口帶寬利用率，提升用戶上網(wǎng)體驗，達到提高用戶滿意度和節(jié)約互聯(lián)網(wǎng)費用的雙重效果。

場景十八：用戶上網(wǎng)行為審計場景

基于校園網(wǎng)管理的需要及公安系統(tǒng)對于用戶訪問互聯(lián)網(wǎng)的行為，地址轉(zhuǎn)換行為有明確的強制需求，校園網(wǎng)在網(wǎng)絡出口配置上網(wǎng)行為審計產(chǎn)品，是大多數(shù)校園網(wǎng)出口產(chǎn)品配置時的標準產(chǎn)品之一。

場景十九：移動辦公與遠程接入

校園網(wǎng)出口設備必須具備完善的VPN接入功能，為師生出差時候能夠快捷的訪問校內(nèi)資源提供安全、穩(wěn)定的遠程通道。安全網(wǎng)關的SSL VPN支持用戶名及USBkey雙因素認證技術、單點登錄技術、客戶端安全完整性檢查技術、主機綁定技術等，這些為客戶端的遠程接入提供了安全便捷的手段。