基于校園網(wǎng)的高等院校計(jì)算機(jī)網(wǎng)絡(luò)相關(guān)課程教學(xué)與實(shí)驗(yàn)環(huán)境研究

武　裝

摘 要:本文提出應(yīng)充分利用在高?，F(xiàn)有的公共校園網(wǎng)絡(luò)平臺,結(jié)合學(xué)校計(jì)算機(jī)教育教學(xué)需求,構(gòu)建校園網(wǎng)絡(luò)課程教學(xué)與實(shí)驗(yàn)的環(huán)境,為學(xué)習(xí)者提供訪問便捷、接近現(xiàn)實(shí)環(huán)境的網(wǎng)絡(luò)教學(xué)和實(shí)驗(yàn)平臺。目前具體建設(shè)實(shí)現(xiàn)內(nèi)容主要包括三個部分:IPv6技術(shù)學(xué)習(xí)與實(shí)驗(yàn)平臺;校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)分析與研究平臺;網(wǎng)絡(luò)管理與網(wǎng)絡(luò)安全技術(shù)學(xué)習(xí)平臺,是利用校園網(wǎng)絡(luò)資源實(shí)現(xiàn)計(jì)算機(jī)網(wǎng)絡(luò)相關(guān)課程教學(xué)改革的有益嘗試。

關(guān)鍵詞:校園網(wǎng) 網(wǎng)絡(luò)課程 實(shí)驗(yàn)

中圖分類號:G434文獻(xiàn)標(biāo)識碼:A 文章編號:1673-8454(2009)17-0059-04

一、引言

隨著互聯(lián)網(wǎng)的飛速發(fā)展,社會對網(wǎng)絡(luò)技術(shù)人員的需求也在持續(xù)增加。為在學(xué)校搞好計(jì)算機(jī)網(wǎng)絡(luò)課程的教育、教學(xué)工作,提高計(jì)算機(jī)專業(yè)學(xué)生的實(shí)踐能力,提供真實(shí)的、接近現(xiàn)實(shí)環(huán)境的網(wǎng)絡(luò)實(shí)驗(yàn)平臺是十分必要和迫切的。傳統(tǒng)的計(jì)算機(jī)教學(xué)實(shí)驗(yàn)大多在計(jì)算機(jī)機(jī)房中完成,這一方面限制了學(xué)習(xí)實(shí)驗(yàn)的時間與地點(diǎn),給學(xué)習(xí)者帶來很大不便;另一方面計(jì)算機(jī)機(jī)房內(nèi)很難提供非常真實(shí)的網(wǎng)絡(luò)環(huán)境,很難達(dá)到網(wǎng)絡(luò)課程的教學(xué)實(shí)驗(yàn)?zāi)康?。基于?jì)算機(jī)網(wǎng)絡(luò)課程的教學(xué)現(xiàn)狀及實(shí)際的提高網(wǎng)絡(luò)教學(xué)便捷性與高效性的需求,筆者經(jīng)過多年的計(jì)算機(jī)網(wǎng)絡(luò)相關(guān)課程的教育、教學(xué)工作,根據(jù)自己的校園網(wǎng)絡(luò)規(guī)劃、建設(shè)、管理經(jīng)驗(yàn),特提出在高校現(xiàn)有的校園網(wǎng)內(nèi)建設(shè)網(wǎng)絡(luò)課程教學(xué)與實(shí)驗(yàn)的開放環(huán)境。

二、總體介紹

教學(xué)實(shí)驗(yàn)平臺的建設(shè)基于學(xué)校的校園網(wǎng),教學(xué)實(shí)驗(yàn)平臺既屬于整個校園網(wǎng)的一部分,又是一個獨(dú)立的子系統(tǒng)。實(shí)驗(yàn)平臺自成一體,學(xué)習(xí)者可以到網(wǎng)絡(luò)實(shí)驗(yàn)室直接接入實(shí)驗(yàn)平臺進(jìn)行學(xué)習(xí)研究,同時,整個實(shí)驗(yàn)平臺又接入到校園網(wǎng)核心設(shè)備上,這樣學(xué)習(xí)者也可以不必進(jìn)入網(wǎng)絡(luò)實(shí)驗(yàn)室,而是通過任意的校園網(wǎng)接入信息點(diǎn)進(jìn)入到實(shí)驗(yàn)平臺網(wǎng)絡(luò)當(dāng)中進(jìn)行學(xué)習(xí)研究,這樣就極大地方便了學(xué)習(xí)者。教學(xué)實(shí)驗(yàn)平臺的建設(shè)基于上面的設(shè)想與構(gòu)思,目前具體建設(shè)內(nèi)容主要包括三個部分:IPv6技術(shù)學(xué)習(xí)與實(shí)驗(yàn)平臺;校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)分析與研究平臺;網(wǎng)絡(luò)管理與網(wǎng)絡(luò)安全技術(shù)學(xué)習(xí)平臺。除以上列舉的學(xué)習(xí)內(nèi)容外,還可以根據(jù)教學(xué)的實(shí)際需要增加其他的學(xué)習(xí)實(shí)驗(yàn)環(huán)境,下面逐一介紹三個子平臺的建設(shè)情況。

三、IPv6技術(shù)學(xué)習(xí)與實(shí)驗(yàn)平臺

1.平臺建設(shè)背景

IPv6技術(shù)克服了原有協(xié)議棧的很多缺點(diǎn),具有逐漸替代IPv4技術(shù)的趨勢。這一替代過程需要較長的過渡時期,實(shí)現(xiàn)這種過渡的主要技術(shù)包括:隧道、地址翻譯、雙棧?；诰W(wǎng)絡(luò)技術(shù)這一發(fā)展現(xiàn)狀及未來趨勢,通過在校園網(wǎng)絡(luò)內(nèi)建設(shè)IPv6學(xué)習(xí)與實(shí)驗(yàn)平臺,可為學(xué)習(xí)及研究者提供內(nèi)容豐富、效果生動而且可以隨時隨地操作的網(wǎng)絡(luò)學(xué)習(xí)實(shí)驗(yàn)環(huán)境。

2.平臺建設(shè)現(xiàn)狀

(1)網(wǎng)絡(luò)環(huán)境

目前建設(shè)完成的校園網(wǎng)中已包含了IPv4網(wǎng)絡(luò)、IPv4/IPv6混合網(wǎng)絡(luò)、IPv6網(wǎng)絡(luò)等多種網(wǎng)絡(luò)技術(shù)。在對外出口方面,除了原有的Internet 接入與中國教育和科研計(jì)算機(jī)網(wǎng)(CERNET)接入資源外,目前還實(shí)現(xiàn)了1G光纖接入CERNET2。

實(shí)驗(yàn)平臺既屬于整個校園網(wǎng)的一部分,又是一個獨(dú)立的子系統(tǒng)。平臺由多臺IPv6路由器,網(wǎng)絡(luò)交換機(jī)和一套分布式網(wǎng)絡(luò)協(xié)議分析系統(tǒng)構(gòu)成。同時,整個實(shí)驗(yàn)平臺通過兩根千兆光纖接入到校園網(wǎng)核心IPv6設(shè)備上,這樣學(xué)習(xí)者也可以不必進(jìn)入網(wǎng)絡(luò)實(shí)驗(yàn)室,而是通過任意的校園網(wǎng)接入信息點(diǎn)進(jìn)入到實(shí)驗(yàn)平臺網(wǎng)絡(luò)當(dāng)中進(jìn)行學(xué)習(xí)研究。實(shí)驗(yàn)平臺網(wǎng)絡(luò)拓?fù)淙鐖D1所示。

(2)硬件配置

實(shí)驗(yàn)網(wǎng)絡(luò)的硬件配置包括兩大部分:

第一部分是一些校園網(wǎng)絡(luò)當(dāng)中原有的設(shè)備,包括:Cisco6509 核心交換機(jī),Cisco7609核心IPv6路由器。

第二部分是完全用于實(shí)驗(yàn)研究的非在線網(wǎng)絡(luò)設(shè)備,包括:H3C MSR 5040路由器、H3C MSR 3040 路由器、H3C S3610-28TP 以太網(wǎng)交換機(jī)。

以上所有設(shè)備均支持IPv4/IPv6混網(wǎng)技術(shù)及IPv6純網(wǎng)技術(shù)。涉及了國外主流品牌Cisco設(shè)備以及國內(nèi)主流品牌H3C設(shè)備。

(3)系統(tǒng)參數(shù)配置

對現(xiàn)有設(shè)備的配置主要包括三部分:

第一部分是基本網(wǎng)絡(luò)配置,包括端口的IPv6地址的配置,命令如下:

ipv6 address 2001:0DB8:2:1234/64

exit

第二部分是路由配置,列舉OSPF路由協(xié)議配置,命令如下:

ipv6 ospf 109 area 1

interface Ethernet7/0

ipv6 address 2001:0DB8:0:0:7::/64 eui-64

ipv6 enable

ipv6 ospf 1 area 1

第三部分是配置IPv4網(wǎng)絡(luò)與IPv6網(wǎng)絡(luò)的互聯(lián),涉及了現(xiàn)有的三類過渡技術(shù),下面列舉其中的隧道技術(shù):

ip address 192.168.99.1 255.255.255.0

interface tunnel 0

ipv6 address 3ffe:b00:c18:1::3/127

tunnel source ethernet 0

tunnel destination 192.168.30.1

tunnel mode ipv6ip

ip address 192.168.30.1 255.255.255.0

interface tunnel 0

ipv6 address 3ffe:b00:c18:1::2/127

tunnel source ethernet 0

tunnel destination 192.168.99.1

tunnel mode ipv6ip

3.實(shí)驗(yàn)平臺應(yīng)用情況

實(shí)驗(yàn)平臺目前可為學(xué)習(xí)者提供的學(xué)習(xí)及實(shí)驗(yàn)環(huán)境有:

(1)混網(wǎng)下實(shí)驗(yàn)研究:IPv4向IPv6過渡技術(shù)的研究,IPv4技術(shù)與IPv6技術(shù)的比較;

(2)純網(wǎng)下實(shí)驗(yàn)研究:IPv6網(wǎng)絡(luò)基本概念,IPv6網(wǎng)絡(luò)規(guī)劃與實(shí)施;

(3)IPv6相關(guān)命令的練習(xí)測試:端口IPv6地址配置、IPv6網(wǎng)絡(luò)中靜態(tài)路由配置、IPv6網(wǎng)絡(luò)中動態(tài)路由協(xié)議配置;

(4)IPv6應(yīng)用研究:IPv6網(wǎng)絡(luò)環(huán)境下DHCP、DNS、WWW等服務(wù)的規(guī)劃配置。

四、校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)采集與分析平臺

隨著網(wǎng)絡(luò)在校園內(nèi)的普及以及下一代互聯(lián)網(wǎng)的應(yīng)用與發(fā)展,校園網(wǎng)內(nèi)網(wǎng)絡(luò)數(shù)據(jù)日趨龐大而且錯綜復(fù)雜,由此,對校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)采集與分析的科研就顯得尤為重要。一方面,校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)分析可以配合防火墻、IDS(Intrusion Detection Systems)入侵檢測系統(tǒng)更好地保護(hù)網(wǎng)絡(luò)安全;另一方面,校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)分析可以了解校園網(wǎng)用戶行為的特點(diǎn),更好地為用戶提供網(wǎng)絡(luò)服務(wù),提高網(wǎng)絡(luò)使用效率。

1.校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的采集

目前,我校的校園網(wǎng)已經(jīng)成功接入INTERNET和CERNET2網(wǎng)絡(luò),拓?fù)浣Y(jié)構(gòu)如圖2所示。

校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)包括IPv4及IPv6兩種數(shù)據(jù)包,過渡方式采用雙協(xié)議棧。為了獲取全部的網(wǎng)絡(luò)數(shù)據(jù)包而又不影響網(wǎng)絡(luò)的帶寬,這里采用端口鏡像的方法。即將獲取網(wǎng)絡(luò)數(shù)據(jù)的服務(wù)器部署到IPv4/IPv6雙協(xié)議棧核心交換機(jī)上,并對此交換機(jī)的外出口進(jìn)行端口鏡像,再將網(wǎng)絡(luò)服務(wù)器的網(wǎng)卡設(shè)為混雜模式,這樣網(wǎng)卡就能夠抓取所有進(jìn)出校園網(wǎng)的數(shù)據(jù)報(bào),為校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)分析研究提供了原始數(shù)據(jù)。

配置端口鏡像命令格式如下:

#monitor session number source interface mod_number/port_number both

#monitor session number destination interface mod_ number/port_number

2.校園網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的分析研究

通過端口鏡像的方式獲取了網(wǎng)絡(luò)數(shù)據(jù)報(bào)后,就要根據(jù)具體的需求來分析網(wǎng)絡(luò)數(shù)據(jù)。常見的分析方法有網(wǎng)絡(luò)流量分析、網(wǎng)絡(luò)用戶行為分析等。

(1)校園網(wǎng)網(wǎng)絡(luò)流量分析。網(wǎng)絡(luò)流量是記錄和反映網(wǎng)絡(luò)及其用戶活動的重要載體。目前,除了傳統(tǒng)的HTTP、Email、Web、FTP等應(yīng)用外,P2P的應(yīng)用越來越多,因此,網(wǎng)絡(luò)流量的分析主要采用分類統(tǒng)計(jì)的方法。而網(wǎng)絡(luò)流量分類又主要有聚類和分類兩種算法。聚類是根據(jù)數(shù)據(jù)之間的相似程度將數(shù)據(jù)劃分成不同的數(shù)據(jù)集合,使得這些數(shù)據(jù)集合內(nèi)部對象之間相似度大,而數(shù)據(jù)集合之間的差別大。而分類是一種有監(jiān)督的學(xué)習(xí),其目的是根據(jù)數(shù)據(jù)集的特點(diǎn)構(gòu)造一個分類函數(shù)或分類模型(也常稱做分類器)。該模型能將未知類別的樣本映射到給定類別中的某一個。

(2)校園網(wǎng)網(wǎng)絡(luò)用戶行為分析。網(wǎng)絡(luò)用戶行為是指網(wǎng)絡(luò)用戶的構(gòu)成、特點(diǎn)以及其在網(wǎng)絡(luò)應(yīng)用過程中行為上所表現(xiàn)出來的規(guī)律和模式,而網(wǎng)絡(luò)行為分析就是運(yùn)用多學(xué)科知識研究和分析這種規(guī)律。網(wǎng)絡(luò)行為分析的過程主要包括三個階段:預(yù)處理階段、網(wǎng)絡(luò)用戶行為的模式發(fā)現(xiàn)階段,以及網(wǎng)絡(luò)用戶行為模式分析階段。預(yù)處理階段是指將各種可利用數(shù)據(jù)源,如網(wǎng)絡(luò)日志、網(wǎng)絡(luò)數(shù)據(jù)包等轉(zhuǎn)化為行為數(shù)據(jù)的提取過程。預(yù)處理階段是整個網(wǎng)絡(luò)行為分析的基礎(chǔ)。網(wǎng)絡(luò)用戶行為的模式發(fā)現(xiàn)階段是指利用各種知識、方法發(fā)現(xiàn)網(wǎng)絡(luò)行為的規(guī)律。常用的方法有統(tǒng)計(jì)分析、關(guān)聯(lián)規(guī)則、分類、序列分析、聯(lián)系分析以及依賴模式等。網(wǎng)絡(luò)用戶行為模式分析階段是指對模式發(fā)現(xiàn)中不關(guān)心的規(guī)則

或模式進(jìn)行過濾處理。模式分析最常用的分析方法有知識的查詢機(jī)制,如SQL。

五、網(wǎng)絡(luò)管理與網(wǎng)絡(luò)安全技術(shù)學(xué)習(xí)平臺

1.校園實(shí)驗(yàn)網(wǎng)絡(luò)環(huán)境實(shí)現(xiàn)的目標(biāo)

基于校園網(wǎng)實(shí)驗(yàn)網(wǎng)絡(luò)環(huán)境的建設(shè)中,首要目標(biāo)就是實(shí)現(xiàn)為學(xué)校任何地域的任何人群在任何時間提供絕大部分網(wǎng)絡(luò)功能的網(wǎng)絡(luò)操作平臺。這個平臺不但要具有普遍性,還要具有可控性,要實(shí)現(xiàn)管理方便,操作安全。

2.設(shè)備選型

校園網(wǎng)的核心路由器是Cisco6509,防火墻選用FWSM防火墻模塊。選用Cisco2600作為實(shí)驗(yàn)網(wǎng)的核心路由器,Cisco3500作為接入交換機(jī),另外提供兩臺IBMX346服務(wù)器分別作為Windows操作系統(tǒng)和Unix操作系統(tǒng)攻防演練服務(wù)器。

3.拓?fù)湓O(shè)計(jì)及設(shè)備配置

平臺拓?fù)浣Y(jié)構(gòu)如圖3所示。

首先進(jìn)行實(shí)驗(yàn)網(wǎng)內(nèi)部的連通性配置。分配給網(wǎng)絡(luò)設(shè)備的IP地址段為172.168.0.0/24,分配給服務(wù)器的IP地址段為172.168.1.0/24。為了實(shí)現(xiàn)這兩個IP段的網(wǎng)絡(luò)訪問,核心路由2600上必須做相應(yīng)的配置,命令如下:

interface fastEthernet 0/1.1

encapsulation dot1Q 10

ip address 172.168.0.1 255.255.255.0

2600對VLAN的區(qū)分是通過子接口來實(shí)現(xiàn)的,網(wǎng)絡(luò)設(shè)備IP段的VLAN號是10,網(wǎng)關(guān)是172.168.0.1。對服務(wù)器IP段的配置另起一個子接口如上配置即可,服務(wù)器IP段的VLAN號是11,網(wǎng)關(guān)是172.168.1.1。3500交換機(jī)的配置:把與路由2600連接的端口配置成TRUNK端口,建立網(wǎng)絡(luò)設(shè)備IP段的VLAN10和服務(wù)器IP段的VLAN11,并把與服務(wù)器連接的端口劃分到服務(wù)器的VLAN11里,然后為3500交換機(jī)配置好IP地址和默認(rèn)網(wǎng)關(guān)。最后為服務(wù)器配置上IP地址,子網(wǎng)掩碼和網(wǎng)關(guān)。

接下來進(jìn)行實(shí)驗(yàn)網(wǎng)與校園網(wǎng)的連通性配置。從物理連接上看,實(shí)驗(yàn)網(wǎng)的核心路由器2600是直接連接到校園網(wǎng)的核心路由器6509,但是為了實(shí)現(xiàn)對實(shí)驗(yàn)網(wǎng)的訪問控制,事實(shí)上的邏輯鏈路是要經(jīng)過6509上的防火墻模塊FWSM,如圖3的拓?fù)渌?。要?shí)現(xiàn)實(shí)驗(yàn)網(wǎng)和校園網(wǎng)的互通,要分別在2600、FWSM、6509上做相應(yīng)的路由配置。首先2600的配置如下:

interface fastEthernet 0/0

ip address 172.168.2.1 255.255.255.252

ip route 0.0.0.0 0.0.0.0 172.168.2.2

FWSM與2600之間通過172.168.2.0/30這個網(wǎng)段路由,FWSM與6509之間通過172.168.3.0/30這個網(wǎng)段路由,由于校園網(wǎng)啟用了OSPF(Open Shortest Path First,開放式最短路徑優(yōu)先)動態(tài)路由協(xié)議,所以在FWSM上只需把路由加入OSPF參與動態(tài)路由即可,但是2600是沒有啟用OSPF的,所以它下連的網(wǎng)段要在FWSM上寫靜態(tài)路由并參與OSPF廣播。這樣就實(shí)現(xiàn)了實(shí)驗(yàn)網(wǎng)與校園網(wǎng)的互聯(lián),并且訪問策略可以由FWSM控制。

4.安全策略以及攻防服務(wù)器安全策略

實(shí)驗(yàn)網(wǎng)的訪問對象應(yīng)該局限到校內(nèi),應(yīng)該在FWSM上做IP策略加以限制。由于網(wǎng)絡(luò)設(shè)備和服務(wù)器的應(yīng)用目的不同,所以這兩組設(shè)備應(yīng)該分屬兩組不同的策略。對網(wǎng)絡(luò)設(shè)備而言,首先應(yīng)該開放校園網(wǎng)對實(shí)驗(yàn)網(wǎng)網(wǎng)絡(luò)設(shè)備的SNMP(Simple Network Management Protocol,簡單網(wǎng)絡(luò)管理協(xié)議)訪問,被訪問的網(wǎng)絡(luò)設(shè)備也應(yīng)該啟用SNMP協(xié)議,定義相應(yīng)的讀寫團(tuán)體字,以及相應(yīng)的TRAP主機(jī)來實(shí)現(xiàn)自身的SNMP功能。而網(wǎng)絡(luò)設(shè)備對校園網(wǎng)的訪問應(yīng)該限制到具體的某臺FTP服務(wù)器和安裝了網(wǎng)管軟件的TRAP主機(jī)。

對于攻防服務(wù)器而言,必須把訪問服務(wù)器的對象限制在校園網(wǎng)內(nèi),服務(wù)器上也應(yīng)該做好基本的安全策略,對于Windows的服務(wù)器要安裝相應(yīng)的殺毒軟件并啟用自帶的防火墻,補(bǔ)丁應(yīng)打SP2。對于Unix的服務(wù)器,只需要安裝較新版本的操作系統(tǒng)即可。兩臺服務(wù)器都要開啟遠(yuǎn)程控制,以便管理員操作和管理。由于攻防服務(wù)器處于比較惡劣的網(wǎng)絡(luò)環(huán)境中,安全性是很難保障的,所以一定要限制其對校園網(wǎng)的訪問,以免影響整個校園網(wǎng)的安全。

六、結(jié)束語

隨著高校信息化的快速發(fā)展,大量的資金、技術(shù)、人員投入到了校園網(wǎng)絡(luò)建設(shè)當(dāng)中,硬件環(huán)境建設(shè)完成之后,更多的是思考如何利用校園網(wǎng)資源為學(xué)校教學(xué)科研服務(wù)。本文正是著眼于此,在實(shí)際應(yīng)用當(dāng)中,通過上面幾個教學(xué)實(shí)驗(yàn)平臺的建設(shè),結(jié)合計(jì)算機(jī)網(wǎng)絡(luò)體系結(jié)構(gòu)、網(wǎng)絡(luò)管理等相關(guān)課程的教學(xué)實(shí)踐,取得了較好的效果,為計(jì)算機(jī)網(wǎng)絡(luò)課程的教育、教學(xué)改革提供了新的思路。

參考文獻(xiàn):

[1]武裝.計(jì)算機(jī)網(wǎng)絡(luò)管理原理與實(shí)現(xiàn)[M].北京:電子工業(yè)出版社,2009.4.

[2]謝希仁.計(jì)算機(jī)網(wǎng)絡(luò)[M].北京:電子工業(yè)出版社,2003.

[3]Silvia Hagen.IPv6精髓[M].北京:清華大學(xué)出版社,2004.

[4]鄔賀銓.下一代互聯(lián)網(wǎng)和下一代網(wǎng)[J].北京:世界電信,2004(6).

[5]楊家海.推動純IPv6網(wǎng)絡(luò)的建設(shè)[J].中國教育網(wǎng)絡(luò),2006(6).

[6]王志峰,陳海.IPv6下流量監(jiān)測系統(tǒng)的分析[J].計(jì)算機(jī)與現(xiàn)代化,2007(7).