基于混合運(yùn)營模式的校園網(wǎng)絡(luò)架構(gòu)優(yōu)化與實(shí)施

范智勇 曾于弼

摘 要 分析了高校校園網(wǎng)在混合運(yùn)營模式下存在的不足，通過產(chǎn)權(quán)結(jié)構(gòu)調(diào)整，實(shí)施網(wǎng)絡(luò)架構(gòu)優(yōu)化，進(jìn)一步明晰了運(yùn)營各方的責(zé)任界面，重新定義了安全邊界，實(shí)現(xiàn)路由上收扁平化，安全上收集中化。實(shí)際應(yīng)用表明，網(wǎng)絡(luò)架構(gòu)優(yōu)化能有效簡(jiǎn)化網(wǎng)絡(luò)管理，實(shí)現(xiàn)校園網(wǎng)絡(luò)運(yùn)營的開放共贏。

【關(guān)鍵詞】混合運(yùn)營模式 網(wǎng)絡(luò)架構(gòu) 扁平化

高校校園網(wǎng)經(jīng)過不同階段的發(fā)展，逐漸趨向采取混合運(yùn)營模式，學(xué)校以市場(chǎng)換技術(shù)和資金的方式，引入第三方共同參與網(wǎng)絡(luò)的運(yùn)營，即自建自營與授權(quán)運(yùn)營相結(jié)合。這種模式能有效緩解學(xué)校的資金和技術(shù)壓力，在短期內(nèi)快速改善校園網(wǎng)絡(luò)質(zhì)量，但在后續(xù)運(yùn)營過程中所出現(xiàn)的使用、維護(hù)、安全等方面的問題，也制約著校園網(wǎng)的進(jìn)一步發(fā)展。本文以莆田學(xué)院為例，分析混合運(yùn)營模式的不足，通過網(wǎng)絡(luò)架構(gòu)優(yōu)化實(shí)現(xiàn)更合理化的網(wǎng)絡(luò)運(yùn)營。

1 混合運(yùn)營模式存在的問題

莆田學(xué)院校園網(wǎng)經(jīng)過多年的建設(shè)，從最初的自建自營，到現(xiàn)在的多運(yùn)營商合作運(yùn)營，逐漸實(shí)現(xiàn)了全校的網(wǎng)絡(luò)覆蓋。整體網(wǎng)絡(luò)采用核心層、匯聚層、接入層三級(jí)網(wǎng)絡(luò)架構(gòu)，其中接入層負(fù)責(zé)用戶的接入、802.1X認(rèn)證準(zhǔn)入控制、ARP動(dòng)態(tài)檢測(cè)等，匯聚層設(shè)備做為三層網(wǎng)關(guān)，核心層負(fù)責(zé)全網(wǎng)數(shù)據(jù)的高速轉(zhuǎn)發(fā)。校園網(wǎng)的運(yùn)營屬于典型的混合運(yùn)營模式，主干網(wǎng)絡(luò)以分期付款的方式由電信墊資建設(shè)，接入層既有校方自建的部分，又有電信、鐵通投資建設(shè)的部分。隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，該模式所存在的一些弊端也逐漸呈現(xiàn)出來：

1.1 接入邊界不清，安全難以管控

校園網(wǎng)的接入邊界基本由第三方負(fù)責(zé)建設(shè)和運(yùn)營，設(shè)備和鏈路的產(chǎn)權(quán)、使用權(quán)在合同期內(nèi)歸屬第三方，導(dǎo)致校方對(duì)于邊界的擴(kuò)展難以監(jiān)管。同時(shí)，受制于接入設(shè)備的功能，邊界的安全防范手段有限，主要通過實(shí)施802.1X認(rèn)證，在接入層設(shè)備的端口上對(duì)用戶進(jìn)行訪問授權(quán)和控制。邊界的安全取決于運(yùn)維人員是否主動(dòng)在端口上配置認(rèn)證準(zhǔn)入策略，而那些不啟用802.1X認(rèn)證的端口則成為可被利用的安全短板，甚至第三方可利用這一機(jī)制自由擴(kuò)展邊界，在學(xué)校的網(wǎng)絡(luò)上開展自己的業(yè)務(wù)。實(shí)際運(yùn)營過程中，校方很難對(duì)大量的設(shè)備進(jìn)行排查監(jiān)控，導(dǎo)致接入邊界存在安全隱患，而其他層級(jí)的設(shè)備又缺乏相應(yīng)的安全防范，從而加劇整個(gè)網(wǎng)絡(luò)的風(fēng)險(xiǎn)。

1.2 設(shè)備型號(hào)不一、兼容性差

多年的建設(shè)和部署，形成網(wǎng)絡(luò)設(shè)備品牌雜、型號(hào)多、功能參差不齊的情況。特別是第三方的設(shè)備多為集團(tuán)采購，型號(hào)和品牌更換頻繁，同時(shí)為了節(jié)省投資，經(jīng)常采用一些低端的產(chǎn)品。設(shè)備的功能、性能難以滿足實(shí)際應(yīng)用的需求，出現(xiàn)不支持ARP防范、不能很好地兼容身份認(rèn)證系統(tǒng)、不支持下發(fā)嚴(yán)格的準(zhǔn)入策略等問題，不僅無法滿足管理上的要求，也直接影響用戶的使用體驗(yàn)。

1.3 產(chǎn)權(quán)結(jié)構(gòu)混亂、管理層級(jí)過多，部署和維護(hù)難度大

三層架構(gòu)下的網(wǎng)絡(luò)建設(shè)，需要耗費(fèi)大量精力在接入層、匯聚層設(shè)備的功能配置上，部署難度大，且對(duì)實(shí)施人員的技術(shù)要求比較高。匯聚層、核心層同時(shí)部署二、三層協(xié)議，縱向關(guān)聯(lián)度較大，導(dǎo)致故障定位需要多方溝通和協(xié)調(diào)。而整網(wǎng)的設(shè)備產(chǎn)權(quán)結(jié)構(gòu)混亂，出現(xiàn)第三方之間的網(wǎng)絡(luò)建設(shè)交叉的情況，不僅加大了故障的排查難度，而且易出現(xiàn)相互間的不信任和推諉，極大的影響了運(yùn)維服務(wù)質(zhì)量。

2 網(wǎng)絡(luò)架構(gòu)優(yōu)化與應(yīng)用分析

基于校園網(wǎng)開放性運(yùn)營的發(fā)展趨勢(shì)，為了解決當(dāng)前運(yùn)營所存在的問題，必須改變現(xiàn)有校園網(wǎng)設(shè)備層次和能力層次倒掛的局面，實(shí)施網(wǎng)絡(luò)架構(gòu)優(yōu)化。本次改造中，在現(xiàn)有網(wǎng)絡(luò)的基礎(chǔ)上，由學(xué)校投資部署了新的核心交換機(jī)、身份認(rèn)證計(jì)費(fèi)系統(tǒng)、流量控制設(shè)備，實(shí)現(xiàn)扁平化大二層架構(gòu)，并進(jìn)一步明晰了網(wǎng)絡(luò)產(chǎn)權(quán)結(jié)構(gòu)和運(yùn)維責(zé)任界面。

2.1 扁平化網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)

如圖1所示，將傳統(tǒng)的三層網(wǎng)絡(luò)架構(gòu)調(diào)整為大二層扁平結(jié)構(gòu)，整個(gè)網(wǎng)絡(luò)劃分為業(yè)務(wù)控制層和寬帶接入層。業(yè)務(wù)控制層由核心層設(shè)備組成，提供網(wǎng)絡(luò)中的用戶接入控制、業(yè)務(wù)功能實(shí)現(xiàn)等，寬帶接入層由接入層、匯聚層組成，負(fù)責(zé)二層數(shù)據(jù)轉(zhuǎn)發(fā)、VLAN透?jìng)骱投丝诟綦x等。

2.1.1業(yè)務(wù)控制層

部署兩臺(tái)臺(tái)功能豐富、性能強(qiáng)大的核心交換機(jī)作為三層網(wǎng)關(guān)，采用虛擬化技術(shù)，結(jié)合鏈路聚合實(shí)現(xiàn)全網(wǎng)雙歸雙活。將原有部署在接入層交換機(jī)上的802.1X認(rèn)證功能上收到核心交換機(jī)上，配合身份認(rèn)證計(jì)費(fèi)管理系統(tǒng)，實(shí)現(xiàn)基于用戶身份的實(shí)名認(rèn)證。出口流量控制與身份認(rèn)證計(jì)費(fèi)系統(tǒng)聯(lián)動(dòng)，可按照流量、時(shí)長等制定差異化的帶寬服務(wù)，從而實(shí)現(xiàn)靈活的、精細(xì)化的校園網(wǎng)認(rèn)證計(jì)費(fèi)管理。出口網(wǎng)關(guān)負(fù)責(zé)路由、NAT、鏈路負(fù)載均衡等業(yè)務(wù)，并集成豐富的防火墻功能，構(gòu)筑安全的出口邊界。

2.1.2寬帶接入層

寬帶接入層設(shè)備只啟用二層VLAN功能，為接入交換機(jī)的每個(gè)端口劃分單獨(dú)VLAN，實(shí)施端口隔離，有效防范ARP欺騙和DHCP仿冒。用戶通過802.1X客戶端認(rèn)證上網(wǎng)，遵循統(tǒng)一下發(fā)的準(zhǔn)入策略，可以做到防代理、防私設(shè)地址等桌面端的功能限制，從而最大限度保障接入端的網(wǎng)絡(luò)安全。

2.1.3邏輯功能區(qū)域劃分

為保證第三方之間在網(wǎng)絡(luò)運(yùn)營上的獨(dú)立性，避免網(wǎng)絡(luò)交叉建設(shè)產(chǎn)生的使用和維護(hù)上的爭(zhēng)議，將整個(gè)校園網(wǎng)從邏輯上劃分為接入網(wǎng)絡(luò)區(qū)、核心網(wǎng)絡(luò)區(qū)、出口網(wǎng)絡(luò)區(qū)。其中，核心網(wǎng)絡(luò)區(qū)由學(xué)校投資建設(shè)，確保校方掌握整個(gè)網(wǎng)絡(luò)的運(yùn)營主動(dòng)權(quán)，基于這一公共網(wǎng)絡(luò)平臺(tái)，面向第三方開放出口網(wǎng)絡(luò)區(qū)和接入網(wǎng)絡(luò)區(qū)的運(yùn)營接口，對(duì)外允許提供出口帶寬服務(wù)，對(duì)內(nèi)允許提供用戶端接入服務(wù)，從而改變?cè)袕?fù)雜的網(wǎng)絡(luò)產(chǎn)權(quán)結(jié)構(gòu)，為引入多運(yùn)營商競(jìng)爭(zhēng)機(jī)制提供平臺(tái)基礎(chǔ)。

2.2 應(yīng)用效果分析

2.2.1理清產(chǎn)權(quán)結(jié)構(gòu)，簡(jiǎn)化網(wǎng)絡(luò)管理

通過邏輯功能區(qū)域的劃分，理清了網(wǎng)絡(luò)產(chǎn)權(quán)結(jié)構(gòu)，明晰了各運(yùn)營方的責(zé)任界面，提高了服務(wù)的效率。扁平化的大二層網(wǎng)絡(luò)實(shí)現(xiàn)了網(wǎng)絡(luò)的集中管理，極大簡(jiǎn)化了網(wǎng)絡(luò)結(jié)構(gòu)，也減輕了網(wǎng)絡(luò)部署和維護(hù)的工作量。原先分布在接入層和匯聚層上的繁雜的配置工作，只需在核心交換機(jī)上就能完成集中部署，寬帶接入層只需做簡(jiǎn)單的VLAN劃分和端口隔離配置。校園網(wǎng)由多層管理簡(jiǎn)化成核心層管理為主的架構(gòu)，降低了日常維護(hù)中的故障排查難度，大大縮短了網(wǎng)絡(luò)故障定位及恢復(fù)得時(shí)間，也降低了維護(hù)人員的技術(shù)要求。

2.2.2易于擴(kuò)展和部署，有效保護(hù)現(xiàn)有投資

扁平化的網(wǎng)絡(luò)結(jié)構(gòu)弱化了寬帶接入層設(shè)備的關(guān)鍵性、重要性和復(fù)雜度，這樣一方面解決了接入層不同品牌交換機(jī)的兼容性問題，節(jié)省了改善網(wǎng)絡(luò)所需的設(shè)備升級(jí)投資。另一方面，寬帶接入層不涉及業(yè)務(wù)層面，部署IPV6等新業(yè)務(wù)時(shí)，可以擺脫對(duì)接入設(shè)備的功能依賴，不僅使網(wǎng)絡(luò)具有更好的擴(kuò)展性，而且能有效保護(hù)現(xiàn)有投資。

2.2.3重新定義安全邊界，實(shí)現(xiàn)集中式管理

重新定義了安全邊界，既符合網(wǎng)絡(luò)開放性運(yùn)營的需求，又收緊了安全邊界。接入層通過端口隔離有效保障了用戶之間的安全，認(rèn)證上收到核心層之后，可以對(duì)全網(wǎng)實(shí)施集中的安全控制，而且易于進(jìn)行流量管理和用戶行為分析，杜絕接入層的安全隱患。

3 結(jié)語

混合運(yùn)營模式具有高度的靈活性，是一種適合高校校情發(fā)展的網(wǎng)絡(luò)運(yùn)營方式。通過網(wǎng)絡(luò)架構(gòu)調(diào)整，使整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)變得更加合理，能有效解決接入邊界安全、設(shè)備兼容性等問題，充分發(fā)揮混合運(yùn)營模式的優(yōu)勢(shì)。網(wǎng)絡(luò)層級(jí)的簡(jiǎn)化，降低了運(yùn)維的工作量和難度，有助于提升網(wǎng)絡(luò)運(yùn)營的服務(wù)質(zhì)量，實(shí)現(xiàn)多方共贏。

參考文獻(xiàn)

[1]魏東，王璟珉.校園網(wǎng)絡(luò)建設(shè)運(yùn)營模式的比較分析研究[J].山東青年管理干部學(xué)院學(xué)報(bào)，2007，126（2）：85-87.

[2]湯小康.扁平化的校園網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)[J].信息與電腦，2014（07）：61-62.

[3]張代華，陳宓宓等.基于扁平化和精細(xì)化管理的校園網(wǎng)基礎(chǔ)平臺(tái)建設(shè)[J].軟件，2014，35（08）：59-62.

[4]吳乃忠.基于扁平化架構(gòu)的下一代高校校園網(wǎng)的建設(shè)研究[J].電子世界，2012（18）：28-29.

作者單位

莆田學(xué)院現(xiàn)代教育技術(shù)中心 福建省莆田市 351100