“三網(wǎng)合一”改造

■山東 黃東

單位財務科配置了多臺電腦，功能各異，有負責打印轉帳支票的，有負責向財政局報預算申請的，有負責與稅務報帳的，還有負責日常辦公的等等。算了一下，財務科3個人，卻配置了7臺臺式電腦。在當前“八項規(guī)定”嚴格實施的形勢下，科級以下干部每人只有6平方米的辦公面積，人、電腦、桌子、材料、檔案櫥等等滿滿當當?shù)財[在一塊，下腳的地方都不好找。因此負責財務的會計想能不能減少一下電腦的數(shù)量，把單一的功能合在一起。

改造過程

筆者經(jīng)過一翻查看，發(fā)現(xiàn)與財政局連接的預算申請系統(tǒng)，以及與稅務局連接的報稅系統(tǒng)都是專線聯(lián)結，采用PPPoE撥號方式連接對端的服務器，然后打開瀏覽器輸入相應的IP就可以聯(lián)結了，標準的B/S結構設計，客戶端留下的東西較少，安全性較好（惟一留下的就是cookie，這個問題很好解決，后面再說）。又查看了一下獲得的IP，都是172段的私有IP。而單位的辦公電腦全部采用固定私有IP方式，由于單位局域網(wǎng)是教育城域網(wǎng)的一個子網(wǎng)，網(wǎng)內用戶較多，也采用172段的IP。表面上看，正好IP段沖突，實際上不沖突，因為它們有各自完全獨立的網(wǎng)關和路由。所以根據(jù)筆者的經(jīng)驗，馬上在腦子出現(xiàn)了一個“三網(wǎng)合一”的想法，網(wǎng)絡結構如圖1所示，針對圖1做以下三點說明：

1、由于財務科是3個人，還有1臺辦公電腦沒在圖中畫出來，它也是聯(lián)結到傻瓜交換機上。傻瓜交換機采用普通的家庭上網(wǎng)用的8端口路由器或交換機都可以，畢竟上網(wǎng)的流量不大，都是辦公用，只要設備穩(wěn)定就行。轉帳支票打印系統(tǒng)是跟隨預算申報系統(tǒng)的，在圖中未畫出。

2、辦公電腦訪問“三網(wǎng)”的方式：缺省情況下，辦公電腦配置辦公局域網(wǎng)固定IP，正常辦公使用。如果需要訪問財政局的預算申請系統(tǒng)，那么就PPPoE撥財政局的賬號，連接完成后就可以了，此時不能訪問辦公局域網(wǎng)絡。斷開此PPPoE撥號連接后，又可以正常訪問辦公局域網(wǎng)。訪問稅務系統(tǒng)也是如此。圖2是撥號成功后通過Ipconfig命令查看本機獲得的IP情況。

從圖2可以看出，本機獲得了兩段不同的IP、子網(wǎng)掩碼、網(wǎng)關等信息。雖然都屬于172段的IP，但是IP不同，所以不會沖突。在這里細想一下，即使是相同的IP也不影響對不同網(wǎng)絡的正常訪問。因為配置固定IP信息時，IP與網(wǎng)關信息不一致，而PPPoE撥號時，IP與網(wǎng)關一致，這樣就可以保障缺省路由不一致。如果再進一步追問，IP不一致，網(wǎng)關一致的情況會如何呢？這種情況出現(xiàn)的可能性極小，但是也會有。即便如此，也不會有問題，仔細觀察上圖中的網(wǎng)卡的物理地址信息，它們是不一致的。PPPoE撥號會虛擬出一個通道專用網(wǎng)卡的MAC值，它與本機的網(wǎng)卡MAC不一致，它只負責與對端的撥號服務器通信，也就是說，在二層通信上不會有問題。再者，在三層上，雖然網(wǎng)關一致，但是，接口IP不一致，躍點數(shù)也不一致，這就能保障數(shù)據(jù)包發(fā)起的源IP不一致以及路由的方向，也就是說，能選擇出正確的路由。下面再通過route print命令看下本機的路由信息，如圖3所示。缺省路由有兩條，一條是本機的，一條是撥號產(chǎn)生的，撥號產(chǎn)生的路由躍點數(shù)小，為“1”，本地固定IP網(wǎng)關關生的是“21”，較大，根據(jù)靜態(tài)路由訪問原則，優(yōu)先選擇躍點數(shù)較小的路由。所以撥號成功后，就只能訪問財政局的預算申報系統(tǒng)或者報稅系統(tǒng)，不能訪問本地網(wǎng)絡。

3、由于財務系統(tǒng)都有較高的安全需求，為了使用訪問這些專用系統(tǒng)不在本機留下東西，筆者給這3臺辦公電腦安裝的360安全衛(wèi)士開啟了定時清理cookie的功能。

總結

實際上此解決方法，與同一網(wǎng)絡內對專用網(wǎng)絡的PPTP、L2TP等VPN的訪問原理一致。如此設置以后，財務科一下子減少了3臺電腦，分別是報稅系統(tǒng)、財政局的預算申報系統(tǒng)、以及轉賬支票打印系統(tǒng)，它們都合并到辦公電腦上。網(wǎng)絡運行兩個多月以來，一直比較穩(wěn)定。