運(yùn)營(yíng)商與高校認(rèn)證計(jì)費(fèi)對(duì)接方案探討

孫明

(遼寧工業(yè)大學(xué) 遼寧錦州 121001)

近年來，互聯(lián)網(wǎng)技術(shù)已經(jīng)成為各行各業(yè)發(fā)展升級(jí)的關(guān)鍵技術(shù)，尤其在移動(dòng)網(wǎng)絡(luò)與光纖網(wǎng)絡(luò)的普及過程中，為人們提供了便捷、高效的信息化生活。在現(xiàn)代高校中，校園網(wǎng)絡(luò)同樣成為支持教學(xué)活動(dòng)、科研發(fā)展、學(xué)生學(xué)習(xí)與娛樂的重要依托，因此在校園網(wǎng)建設(shè)中，必須堅(jiān)持業(yè)務(wù)性、綜合性與應(yīng)用性的綜合需求，以保證滿足當(dāng)前高校教學(xué)、科研以及師生生活學(xué)習(xí)的要求。

1 現(xiàn)代高校建立認(rèn)證計(jì)費(fèi)系統(tǒng)的目的

1.1 提升校園網(wǎng)絡(luò)安全

在高校之中，由于網(wǎng)絡(luò)使用的人員類型較多，比如學(xué)生、教師、職工、臨時(shí)工作人員、訪問者、校內(nèi)商戶、教師家屬、外聘人員等，這就使得高校中的網(wǎng)絡(luò)終端數(shù)需求較高，從而使得帶寬過高而降低了網(wǎng)絡(luò)利用率。與此同時(shí)，由于網(wǎng)絡(luò)使用人員的安全意識(shí)較差，因此在校園網(wǎng)建設(shè)中，必須通過建立認(rèn)證計(jì)費(fèi)系統(tǒng)，以提高其網(wǎng)絡(luò)安全。第一，應(yīng)加強(qiáng)身份識(shí)別與權(quán)限管理。不同的校園內(nèi)人員在連接網(wǎng)絡(luò)時(shí)應(yīng)能夠識(shí)別其身份特征而連入不同的終端網(wǎng)絡(luò)，由此限制其網(wǎng)絡(luò)使用權(quán)限，以此提升網(wǎng)絡(luò)安全[1]。第二，應(yīng)采用多種接入方式融合模式。一方面可以根據(jù)上網(wǎng)終端劃分校內(nèi)外、準(zhǔn)出入、有無線等上網(wǎng)方式，另一方面要通過認(rèn)證系統(tǒng)，對(duì)網(wǎng)絡(luò)區(qū)域、對(duì)象進(jìn)行精細(xì)分類，并建立身份對(duì)接，形成用戶管理、網(wǎng)絡(luò)日志、數(shù)據(jù)統(tǒng)計(jì)等多重功能，可以實(shí)時(shí)監(jiān)測(cè)學(xué)生的網(wǎng)絡(luò)使用情況，降低安全隱患。第三，現(xiàn)代網(wǎng)絡(luò)信息魚龍混雜，其中存在大量負(fù)面信息與糟粕文化，而這是影響學(xué)生身心健康成長(zhǎng)的重要因素；同時(shí)網(wǎng)絡(luò)游戲、綜藝節(jié)目等網(wǎng)絡(luò)娛樂活動(dòng)過多，也會(huì)對(duì)學(xué)生的精神意志與學(xué)習(xí)成長(zhǎng)造成一定的影響，因此可以通過認(rèn)證計(jì)費(fèi)系統(tǒng)進(jìn)行網(wǎng)絡(luò)調(diào)控，控制學(xué)生的上網(wǎng)時(shí)間，限制學(xué)生的上網(wǎng)流量，讓學(xué)生有更豐富的校園生活。

1.2 提高校園網(wǎng)絡(luò)速度

隨著高校不斷擴(kuò)招，學(xué)生人數(shù)在持續(xù)上漲，這就使得校園區(qū)域內(nèi)的網(wǎng)絡(luò)終端設(shè)備越來越多，而在占用帶寬影響下，網(wǎng)絡(luò)速度就會(huì)大打折扣。同時(shí)，學(xué)校的教學(xué)活動(dòng)與科研設(shè)施也在逐步升級(jí)，形成了信息化教學(xué)、數(shù)字化建設(shè)等發(fā)展趨勢(shì)，這就對(duì)網(wǎng)絡(luò)速度提出了更高的要求。通過認(rèn)證計(jì)費(fèi)系統(tǒng)，可以使高校與運(yùn)營(yíng)商達(dá)成更全面的合作意向，一方面可以提高校園區(qū)域內(nèi)的網(wǎng)絡(luò)帶寬與速度，為師生提供更好的網(wǎng)絡(luò)環(huán)境；另一方面可以進(jìn)行網(wǎng)絡(luò)改造，落實(shí)無線網(wǎng)絡(luò)的覆蓋與升級(jí)，以此降低終端設(shè)備的帶寬占有率，提高網(wǎng)絡(luò)速度，有效解決帶寬擁塞的問題[2]。

1.3 合理分配網(wǎng)絡(luò)資源

在大多數(shù)高校中，校內(nèi)用戶可以免費(fèi)訪問校內(nèi)資源，但是訪問校外資源時(shí)需要到運(yùn)營(yíng)商營(yíng)業(yè)廳辦理上網(wǎng)寬帶套餐。學(xué)生可以在校園內(nèi)隨時(shí)隨地使用網(wǎng)絡(luò)。但在這種模式下也會(huì)造成網(wǎng)絡(luò)資源分配不合理的問題，一方面會(huì)有大量用戶長(zhǎng)時(shí)間停留在網(wǎng)絡(luò)之上，甚至還有部分用戶會(huì)利用所購買的套餐流量利用網(wǎng)絡(luò)下載大量資源，比如P2P 等應(yīng)用，造成網(wǎng)絡(luò)堵塞，其他人員在使用網(wǎng)絡(luò)時(shí)無法保證速度，降低了網(wǎng)絡(luò)使用效率。另一方面，由于部分人對(duì)網(wǎng)絡(luò)的長(zhǎng)期霸占，還會(huì)導(dǎo)致校園網(wǎng)絡(luò)資源的嚴(yán)重浪費(fèi)，甚至影響教師教學(xué)、科研活動(dòng)等重要工作。因此，高校應(yīng)通過認(rèn)證計(jì)費(fèi)系統(tǒng)可以有效控制和調(diào)節(jié)上網(wǎng)模式，實(shí)現(xiàn)網(wǎng)絡(luò)資源的合理、均衡分配，保證教學(xué)、科研、實(shí)驗(yàn)等重點(diǎn)工作項(xiàng)目的良好網(wǎng)絡(luò)條件。

2 運(yùn)營(yíng)商與高校認(rèn)證計(jì)費(fèi)對(duì)接方案

2.1 學(xué)校與運(yùn)營(yíng)商統(tǒng)一認(rèn)證方案（Web 轉(zhuǎn)PPPOE代撥）

2.1.1 方案簡(jiǎn)介

網(wǎng)絡(luò)用戶通過一次撥號(hào)二次認(rèn)證就可以完成網(wǎng)絡(luò)訪問，用戶上網(wǎng)流程如下：當(dāng)用戶開通訪問互聯(lián)網(wǎng)權(quán)限后，校內(nèi)上網(wǎng)賬號(hào)與運(yùn)營(yíng)商的上網(wǎng)賬號(hào)和密碼已經(jīng)進(jìn)行一對(duì)一綁定。用戶的上網(wǎng)終端連接至校園網(wǎng)，先為其分配IP與DNS地址，用戶通過認(rèn)證計(jì)費(fèi)系統(tǒng)先進(jìn)行第一次認(rèn)證，確認(rèn)其校內(nèi)上網(wǎng)用戶身份。學(xué)校認(rèn)證系統(tǒng)將校內(nèi)上網(wǎng)人員的身份認(rèn)證信息通過與運(yùn)營(yíng)商連接的代撥線路發(fā)送給運(yùn)營(yíng)商BRAS，進(jìn)而完成二次認(rèn)證。

2.1.2 網(wǎng)絡(luò)改造

以該校使用Web-BRAS 設(shè)備為例，該設(shè)備支持Web 轉(zhuǎn)PPPOE 功能，可以將校內(nèi)認(rèn)證計(jì)費(fèi)系統(tǒng)與運(yùn)營(yíng)商的認(rèn)證計(jì)費(fèi)系統(tǒng)進(jìn)行無縫對(duì)接。該方案部署效率高，節(jié)省對(duì)接時(shí)間，運(yùn)營(yíng)商與學(xué)校的認(rèn)證計(jì)費(fèi)系統(tǒng)做好相關(guān)策略以后，短時(shí)間就可完成對(duì)接。Web-BRAS 設(shè)備分別進(jìn)行兩路連接，一路作為校內(nèi)教師上網(wǎng)專線連接出口防火墻至運(yùn)營(yíng)商網(wǎng)絡(luò)，一路作為學(xué)生上網(wǎng)專線與運(yùn)營(yíng)商代撥認(rèn)證專線互聯(lián)[3]。帶寬可以根據(jù)學(xué)校的具體情況進(jìn)行選擇或擴(kuò)容，當(dāng)學(xué)校網(wǎng)絡(luò)流量需求較高時(shí)，則需要進(jìn)行帶寬擴(kuò)容。另外，Web-BRAS設(shè)備中應(yīng)進(jìn)行路由配置，保證校內(nèi)用戶可以訪問校內(nèi)的各個(gè)應(yīng)用系統(tǒng)。

2.1.3 系統(tǒng)改造

在學(xué)校統(tǒng)一認(rèn)證方案的對(duì)接模式中，還需要對(duì)學(xué)校的認(rèn)證系統(tǒng)進(jìn)行改造升級(jí)。認(rèn)證系統(tǒng)在認(rèn)證校內(nèi)用戶賬號(hào)后，可以通過AAA 數(shù)據(jù)庫進(jìn)行自動(dòng)查詢，確定該學(xué)號(hào)是否完成了寬帶賬號(hào)綁定。如果已經(jīng)綁定運(yùn)營(yíng)商寬帶賬號(hào)，則由認(rèn)證系統(tǒng)自動(dòng)替代用戶向運(yùn)營(yíng)商BRAS發(fā)起認(rèn)證，通過賬號(hào)類型/域選擇、運(yùn)營(yíng)商等信息核對(duì)完成PPPOE認(rèn)證，完成BRAS授權(quán)。

該方案的對(duì)接難點(diǎn)在于兩點(diǎn)，第一，在學(xué)校認(rèn)證系統(tǒng)發(fā)出二次認(rèn)證請(qǐng)求的過程中，PPPOE 認(rèn)證要求其系統(tǒng)提供用戶的各項(xiàng)真實(shí)信息，包括VLAN、接入端口ID等，進(jìn)而完成封裝；第二，在與用戶斷開網(wǎng)絡(luò)連接后，校內(nèi)認(rèn)證系統(tǒng)需要再次將下線報(bào)文傳遞至運(yùn)營(yíng)商認(rèn)證系統(tǒng)，以此實(shí)現(xiàn)網(wǎng)絡(luò)的有效控制。

該方案的實(shí)現(xiàn)原理主要包括5 點(diǎn)，下面以校內(nèi)上網(wǎng)用戶為例展開具體介紹。第一，上網(wǎng)用戶在接入網(wǎng)絡(luò)后，自動(dòng)為上網(wǎng)用戶分配私網(wǎng)IP 地址與運(yùn)營(yíng)商的DNS地址，上網(wǎng)用戶可以正常訪問校內(nèi)資源。第二，上網(wǎng)用戶需要訪問外網(wǎng)資源時(shí)，使用自己的賬號(hào)發(fā)起PPPOE 認(rèn)證，由校內(nèi)BRAS 自動(dòng)完成賬號(hào)類型/域的匹配，確認(rèn)其賬號(hào)所對(duì)應(yīng)的身份信息。學(xué)校BRAS 在身份認(rèn)證過程中，會(huì)檢測(cè)賬號(hào)對(duì)應(yīng)的身份信息，檢查是否已經(jīng)綁定運(yùn)營(yíng)商接入賬號(hào)。如果已經(jīng)完成綁定，系統(tǒng)會(huì)自動(dòng)查詢認(rèn)證請(qǐng)求中用戶信息的后綴，根據(jù)后綴可以選定其運(yùn)營(yíng)商，進(jìn)而將請(qǐng)求信息轉(zhuǎn)發(fā)至對(duì)應(yīng)的運(yùn)營(yíng)商BRAS，從而進(jìn)入二次認(rèn)證階段。第三，運(yùn)營(yíng)商BRAS收到校內(nèi)用戶的認(rèn)證信息后，確認(rèn)上網(wǎng)用戶的身份信息是否有效，如果有效，認(rèn)證成功，完成二次認(rèn)證，運(yùn)營(yíng)商系統(tǒng)則會(huì)將用戶認(rèn)證信息等發(fā)送至校內(nèi)BRAS，最終反饋到用戶[4]。第四，用戶在使用網(wǎng)絡(luò)時(shí)，校內(nèi)BRAS 可以根據(jù)上網(wǎng)賬號(hào)信息將其流量連接對(duì)應(yīng)的運(yùn)營(yíng)商，并通過運(yùn)營(yíng)商設(shè)備將源IP 進(jìn)行NAT 轉(zhuǎn)換，進(jìn)而連接城域網(wǎng)，實(shí)現(xiàn)用戶與互聯(lián)網(wǎng)的有效連接。第五，用戶在設(shè)置學(xué)校IP 地址后，在訪問校園網(wǎng)內(nèi)部資源時(shí)，可以通過路由設(shè)置實(shí)現(xiàn)BRAS 到校園網(wǎng)的互通，進(jìn)而達(dá)到校園內(nèi)網(wǎng)與互聯(lián)網(wǎng)同步使用的目的。

另外，該方案的維護(hù)工作也相對(duì)較難。主要在于綁定賬號(hào)信息的錄入過程相對(duì)較為繁瑣，當(dāng)學(xué)生用戶首次使用校園網(wǎng)開通賬號(hào)時(shí)，需要相關(guān)工作人員在校內(nèi)認(rèn)證系統(tǒng)中完成綁定過程，同時(shí)運(yùn)營(yíng)商側(cè)也需要相關(guān)工作人員在后臺(tái)完成信息導(dǎo)入[5]。在新老賬號(hào)的交替過程中，新賬號(hào)信息一般要直接覆蓋老賬號(hào)，如果賬號(hào)信息到期后未能及時(shí)清除，那么認(rèn)證系統(tǒng)就會(huì)自動(dòng)發(fā)起新的認(rèn)證環(huán)節(jié)，由此在不斷認(rèn)證過程中大大提升了系統(tǒng)壓力，也為系統(tǒng)數(shù)據(jù)的統(tǒng)計(jì)帶來較大困難。

2.1.4 注意事項(xiàng)

在該方案的實(shí)現(xiàn)過程中，校園網(wǎng)與多家運(yùn)營(yíng)商進(jìn)行代撥專線對(duì)接時(shí)，解析工作需要轉(zhuǎn)發(fā)至運(yùn)營(yíng)商的DNS 系統(tǒng)。假設(shè)其他解析工作遞歸至A 運(yùn)營(yíng)商處，那么其他運(yùn)營(yíng)商對(duì)應(yīng)用戶得到的IP地址就會(huì)集中在A網(wǎng)中，流量傳遞時(shí)需要由互聯(lián)接口進(jìn)行轉(zhuǎn)移，由此就會(huì)導(dǎo)致資源訪問出現(xiàn)“舍近求遠(yuǎn)”的現(xiàn)象，更會(huì)造成其他運(yùn)營(yíng)商網(wǎng)絡(luò)質(zhì)量下降的問題，甚至還會(huì)增加網(wǎng)間結(jié)算費(fèi)用。當(dāng)A 運(yùn)營(yíng)商的用戶PPPOE 代撥成功后獲取IP 和DNS 要訪問互聯(lián)網(wǎng)資源時(shí)，要保證每個(gè)運(yùn)營(yíng)商的用戶都要使用自己的DNS解析，以達(dá)到最優(yōu)的上網(wǎng)體驗(yàn)，這就需要Web-BRAS 設(shè)備需要把DNS 也要做相對(duì)應(yīng)的強(qiáng)制轉(zhuǎn)換；如果學(xué)生訪問校內(nèi)網(wǎng)站域名，為了避免舍近求遠(yuǎn)，Web-BRAS設(shè)備也需要做DNS特殊處理，可以在Web-BRAS 設(shè)備設(shè)定校內(nèi)域名和校內(nèi)IP 對(duì)應(yīng)列表，當(dāng)Web-BRAS設(shè)備發(fā)現(xiàn)學(xué)生訪問的是校內(nèi)域名時(shí)直接訪問校內(nèi)內(nèi)網(wǎng)IP，以達(dá)到最優(yōu)訪問速度。

2.2 學(xué)校與運(yùn)營(yíng)商統(tǒng)分開認(rèn)證方案（Radius代理）

2.2.1 方案簡(jiǎn)介

該方案與學(xué)校統(tǒng)一認(rèn)證方案具有相似性，都采用兩次認(rèn)證的方式完成網(wǎng)絡(luò)連接。區(qū)別則在于兩次認(rèn)證的發(fā)起方不同，該方案認(rèn)證由學(xué)生用戶主動(dòng)發(fā)起，通過學(xué)校與運(yùn)營(yíng)商兩套認(rèn)證系統(tǒng)分別完成認(rèn)證后，根據(jù)學(xué)生對(duì)應(yīng)的用戶組數(shù)據(jù)指向不同的運(yùn)營(yíng)商出口。

2.2.2 系統(tǒng)改造

需要對(duì)學(xué)校的認(rèn)證系統(tǒng)進(jìn)行改造升級(jí)。認(rèn)證系統(tǒng)在認(rèn)證校內(nèi)用戶賬號(hào)后，可以通過AAA數(shù)據(jù)庫進(jìn)行自動(dòng)查詢，確定該學(xué)號(hào)是否完成了寬帶賬號(hào)綁定。如果已經(jīng)綁定運(yùn)營(yíng)商寬帶賬號(hào)，則由認(rèn)證系統(tǒng)自動(dòng)替代用戶向運(yùn)營(yíng)商認(rèn)證系統(tǒng)發(fā)起認(rèn)證，通過賬號(hào)類型/域選擇、運(yùn)營(yíng)商等信息核對(duì)完成賬號(hào)認(rèn)證，完成Web-BRAS授權(quán)。校園賬號(hào)綁定運(yùn)營(yíng)商賬號(hào)，本地欠費(fèi)的情況下不允許訪問運(yùn)營(yíng)商網(wǎng)絡(luò)，只能訪問內(nèi)網(wǎng)資源[6]。

2.2.3 流程說明

第一，用戶瀏覽器的訪問被Web-BRAS 定向到WebPortal認(rèn)證頁面，WebPortal用戶根據(jù)提示輸入用戶名和密碼，WebPortal 收到用戶輸入認(rèn)證信息后，同PortalGetSrv 守護(hù)進(jìn)程通信，獲取存放在數(shù)據(jù)庫的用戶信息，對(duì)用戶信息驗(yàn)證后，進(jìn)入下一步。第二，Web-Portal 同PortalAuthSrv 守護(hù)進(jìn)程通信，將用戶名和密碼等認(rèn)證信息提交給PortalAuthSrv。PortalAuthSrv 通過Portal 認(rèn)證協(xié)議同Bras 通信，提交認(rèn)證信息。第三，Web-BRAS通過radius協(xié)議提交用戶認(rèn)證信息到rad-ProxyAuth 守護(hù)程序。radProxyAuth 將用戶認(rèn)證請(qǐng)求，同時(shí)傳送給本地radius 和運(yùn)營(yíng)商radius 服務(wù)器。本地radius和運(yùn)營(yíng)商radius服務(wù)器分別完成用戶認(rèn)證，將認(rèn)證結(jié)果返回radProxyAuth。radProxyAuth收到本地和遠(yuǎn)端radius的認(rèn)證結(jié)果后，判斷雙方如果都認(rèn)證成功，將認(rèn)證成功結(jié)果返回Web-BRAS，否則返回認(rèn)證失敗信息。第四，Web-BRAS 收到認(rèn)證結(jié)果，返回給portal-AuthSrv。portalAuthSrv 收到認(rèn)證結(jié)果，返回給Web-Portal，用戶得到WebPortal認(rèn)證結(jié)果。

2.2.4 DNS解決方案

DNS處理方式同第一種對(duì)接方式一樣每個(gè)運(yùn)營(yíng)商都使用自己的DNS 解析，校內(nèi)域名訪問也同第一種方案一樣。

2.2.5 注意事項(xiàng)

此對(duì)接難度在于學(xué)校的認(rèn)證系統(tǒng)需要與各運(yùn)營(yíng)系統(tǒng)直接對(duì)接，由于運(yùn)營(yíng)商認(rèn)證系統(tǒng)現(xiàn)在都集中在省公司，基于安全性考慮省公司越來越不同意此種對(duì)接方式，申請(qǐng)此種對(duì)接流程比較多，時(shí)間比較長(zhǎng)，而第一種方式PPPOE代撥則可以做到零對(duì)接。

3 兩種方案的對(duì)比

第一，網(wǎng)絡(luò)改造。Web 轉(zhuǎn)PPPOE 代撥，新的代撥線路直接接入Web-BRAS 即可。Radius 代理，新的寬帶線路一般接入路由器、防火墻或者負(fù)載均衡設(shè)備，需要做下網(wǎng)絡(luò)配置。第二，認(rèn)證方式。Web 轉(zhuǎn)PPPOE 代撥，和普通認(rèn)證一樣，彈出Portal頁面認(rèn)證后，輸入該校賬號(hào)密碼，Web-BRAS 自動(dòng)進(jìn)行PPPOE 撥號(hào)。Radius代理，也是彈出認(rèn)證頁面后，輸入該校賬號(hào)密碼，該校AAA會(huì)把radius代理數(shù)據(jù)轉(zhuǎn)發(fā)到運(yùn)營(yíng)商AAA認(rèn)證。第三，開發(fā)及維護(hù)。Web 轉(zhuǎn)PPPOE 代撥，不用新開發(fā)，Web-BRAS 已有PPPOE 撥號(hào)的功能。Radius 代理，需要本校AAA 和運(yùn)營(yíng)商AAA 進(jìn)行radius 代理配置和程序測(cè)試。第四，資源訪問。Web轉(zhuǎn)PPPOE代撥和Radius 代理都可以同時(shí)訪問校園網(wǎng)和互聯(lián)網(wǎng)。第五，學(xué)生用戶上網(wǎng)行為管控。Web 轉(zhuǎn)PPPOE 代撥，在學(xué)校BRAS 和運(yùn)營(yíng)商BRAS 上都有限制用戶速率等功能。Radius 代理，在學(xué)BRAS 上做限制速率等功能。第六，認(rèn)證故障。Web 轉(zhuǎn)PPPOE 代撥，和家庭寬帶撥號(hào)上網(wǎng)方式一樣，該校AAA 和運(yùn)營(yíng)商AAA 之間不存在故障點(diǎn)。Radius 代理，認(rèn)證計(jì)費(fèi)信息需要本校AAA 轉(zhuǎn)發(fā)給運(yùn)營(yíng)商AAA，通過公網(wǎng)傳輸，數(shù)據(jù)包有錯(cuò)誤或傳輸失敗的概率。第七，新用戶信息錄入。Web 轉(zhuǎn)PPPOE 代撥和Radius代理都需要學(xué)校AAA錄入信息。

4 結(jié)語

綜上所述，在當(dāng)前網(wǎng)絡(luò)時(shí)代背景下，高校應(yīng)當(dāng)為師生創(chuàng)建良好的網(wǎng)絡(luò)環(huán)境，因此高校與運(yùn)營(yíng)商合作建設(shè)成為一種趨勢(shì)，在校園網(wǎng)絡(luò)建設(shè)上雙方需要建立一套完善的認(rèn)證計(jì)費(fèi)系統(tǒng)，既能有效提升校園網(wǎng)的質(zhì)量，也能提高校園網(wǎng)絡(luò)的安全性與資源利用率，同時(shí)也能給企業(yè)帶來經(jīng)濟(jì)效益。