基于智能DNS和应用层代理技术的双出口校园网站加速方案设计
聂得欣
（河南财政税务高等专科学校现代教育技术中心，河南郑州450002）摘要：本文针对目前双出口校园网站访问速度较慢问题，提出了基于智能DNS和应用层代理技术的双出口网站加速方案，提高了访问速度和安全性。同时通过搭建虚拟网络实验平台，验证了本方案是可行有效的。
关键词：智能DNS；Bind 9；Squid；正向透明代理；反向代理；网站加速
中图分类号：TP393.07
作者简介：聂得欣（1974-），男，湖北建始人，河南财政税务高等专科学校助教，网络工程师，MCSE，工学硕士，主要从事计算机网络技术研究。
一、现状分析
目前国内有多家ISP，主要有中国教育科研网（CERNET），中国电信（ChinaNet)，中国联通（China Unicom)和中国移动（China Mobile）。由于各ISP之间竞争的关系，各ISP相互访问的带宽较小，成为用户访问网络的瓶颈。
而高校校园网目前大多有两个网络出口，校内外通讯的主要流量均通过教科网和联通、电信等互联网链路。由于存在网络瓶颈，造成互联网用户访问教科网服务较慢，甚至连接不上，同时教科网用户访问互联网时，速度也比较慢。
针对上述问题，目前通用的解决方案主要包括：
1、单服务器，多网卡：该方案在同一台服务器上使用双域名，一个指向教科网IP，另一个指向互联网IP，同时在服务器上设置路由，根据不同的来源地址响应。教育网用户使用教育网域名访问服务器，互联网用户使用互联网域名访问服务器。该方案采用服务器双IP方式实现了网络流量的分流，避开了各ISP之间的网络瓶颈，但缺点是需要对外公布两个不同的域名，使用不方便；且当网站较多时，需要多个稀缺的公网IP；同时用户直接访问服务器，造顾服务器的安全隐患。
2、双服务器做镜像：该方案在上述方案的基础上使用双服务器工作在镜像方式，增加了系统可靠性。但也带来了增加成本和管理困难的问题。
二、方案设计
针对以上方案的问题，本文提出了基于智能DNS和应用层代理技术的双出口校园网站加速方案。该方案不仅可以通过配置智能DNS功能，将同一web服务器域名解析为两个代应用层代理服务器IP地址，实现了同一域名访问多个IP地址，避开了网络瓶颈，提高了网络访问速度；同时通过增加应用层代理服务器，减轻了web服务器工作负载，进一步提高了网络访问速度，并增强了网络访问的安全性。
1、智能DNS：
智能DNS是一种可以智能判断访问用户的IP地址范围，进而能针对同一域名解析出不同IP地址的技术。当用户通过域名访问web服务器时，普通的DNS服务器只负责为用户解析出web服务器域名唯一对应的唋IP地址，而不去判断用户是教科网用户还是互联网用户，所有用户都只能得到同一个web服务器IP地址。而智能DNS会根据用户所在的网络，将域名动态解析为与用户处于相同网络的服务器IP，实现了使用同一域名访问不同网络的web服务器[1][2]。用户只需记住一个域名，即当用户访问校园网站www.***https://www.doczj.com/doc/5f8770861.html,时，教科网的用户通过DNS服务器智能解析得到的是web服务器的教科网IP地址210.***.***.1，互联网的用户通过DNS服务器智能解析得到的是web服务器的互联网IP地址218.***.***.1。
2、应用层代理：
应用层代理是一种代理用户访问web服务器的技术，一般部署在应用层代理服务器上，服务器上缓存有以前访问web服务器的网页。当用户在访问web服务器时，首先访问应用层代理服务器的代理缓存，如果有可直接访问；如果没有则从web服务器上获取网页，再返回给用户访问。应用层代理主要包括正向代理和反向代理两部分。
1）正向代理技术使用代理服务器代理内网用户访问外网服务器，主要有传统代理和透明代理，前者需要用户端设置代理服务器，后者不需要用户端做任何配置，对用户是透明的，但要求代理服务器必须是网关。通过配置代理缓存，提高了内网用户访问外网服务器的速度；
2）反向代理技术使用代理服务器代理外网用户透明访问内网服务器，用户端不需要做任何配置即可访问内网服务器，并通过配置代理缓存，提高了外网用户访问内网服务器的速度。同时通过应用层代理，可隐藏web服务器真实的ip地址，大大增强网络访问的安全性[3]。
3、网络拓扑：
本方案通过搭建虚拟网络平台，在DNS服务器上实现智能DNS功能和增加代理服务器实现应用层代理实现了双出口校园网站的加速。方案网络拓扑结构如图1所示：在边界路由器和核心交换机之间添加两台应用层代理Squid服务器，配置双网卡，连接路由器的网卡eth0的IP地址分别配置为教科网IP地址210.***.***.1和互联网IP地址218.***.***.1，连接核心交换机的网络eth1的IP地址分别配置为私有地址192.168.1.1/24和192.168.2.1/24，同时启动正反向代理服务；在Bind域名服务器上配置智能DNS服务，配置教科网用户和互联网用户IP地址范围，将web服务器域名分别对应解析为科网IP地址210.***.***.1和互联网IP地址218.***.***.1，Bind域名服务器IP地址设置为教科网IP地址210.***.***.8以便访问；web服务器无需特别配置，其IP地址可根据具体情况设置为教科网IP地址或私用IP地址均可，比如210.***.***.2/192.168.***.2；其它服务器如Email服务器也不用重新配置，其IP地址设置为教科网IP地址，比如210.***.***.10。
图1 双出口网站加速方案网络拓扑图
4、工作原理：
参考本方案网络拓扑图（图1），工作原理主要有以下内容：
1）当互联网用户使用域名www.***https://www.doczj.com/doc/5f8770861.html,访问校园web服务器时，首先会访问到IP 地址为210.***.***.8的Bind域名服务器，Bind域名服务器根据用户的IP地址范围将域名www.***https://www.doczj.com/doc/5f8770861.html,智能解析成互联网IP地址218.***.***.1，互联网用户实际上使用218.***.***.1这个IP地址访问Squid应用代理服务器B，当服务器B收到用户访问请求时，即通过反向代理技术访问校园web服务器，访问过程对用户透明，用户不会感觉有代理服务器的存在；同理当教科网用户使用域名www.***https://www.doczj.com/doc/5f8770861.html,访问校园web服务器时，首先会访问到IP地址为210.***.***.8的Bind域名服务器，Bind域名服务器根据用户的IP地址范围将域名www.***https://www.doczj.com/doc/5f8770861.html,智能解析成教科网IP地址210.***.***.1，教科网用户实际上使用210.***.***.1这个IP地址访问Squid应用代理服务器A，当服务器A收到用户访问请求时，即通过反向代理技术访问校园web服务器，访问过程对用户透明，用户不会感觉有代理服务器的存在。
2）当校园内部用户访问教科网或互联网web服务器时比较简单，由于Squid代理服务器处于网关位置，可将其配置为正向透明代理，当用户访问教科网web服务器时，通过Squid 服务器A的正向代理技术访问；当用户访问互联网web服务器时，通过Squid服务器B的正向代理技术访问，访问过程对用户是透明的，用户端不需要做任何配置。
三、实验论证
根据本方案拓扑结构，在VMware虚拟平台上模拟出实际网络环境，通过对Squid代理服务器和Bind域名服务器进行配置，实现了本方案的设计目标，验证了本方案是可行有效的。实验所有软件如表1所示：
表1 虚拟网络环境主要软件列表
1、Squid代理服务器配置
两台Squid代理服务器配置基本相同，以下是Squid B代理服务器的配置文件squid.conf的主要内容：
#Squid 正向透明代理配置
http_port 192.168.2.1:80 transparent //Squid代理服务器B的eth1的IP地址
http_access allow localnet
#Squid 反向代理配置
acl try dstdomain . www.***https://www.doczj.com/doc/5f8770861.html,
http_access allow try
http_port 218.***.***.1:80 vhost vhost //Squid A是210.***.***.1:80，其它都一样cache_peer 210.***.***.1 parent 80 0 no-query originserver name=ndx
cache_peer_domain ndx www.***https://www.doczj.com/doc/5f8770861.html,
cache_peer_access ndx allow try
2、Bind域名服务器配置
Bind域名服务器有关智能dns配置的主要内容：
1）配置域名配置文件named.conf：
view "cernet" //配置教科网视图
{
match-clients{cernetaddr;};
zone "."
{
type hint;
file "named.ca";
};
zone "https://www.doczj.com/doc/5f8770861.html,"
{
type master;
file "https://www.doczj.com/doc/5f8770861.html,.zone"; //配置教科网视图
};
};
view "liantong" //配置互联网视图
{
match-clients{liantongaddr;};
zone "."
{
type hint;
file "named.ca";
};
zone "https://www.doczj.com/doc/5f8770861.html,"
{
type master;
file "https://www.doczj.com/doc/5f8770861.html,.zone";
};
};
2）配置教科网区域文件https://www.doczj.com/doc/5f8770861.html,.zone：
$TTL 1D
@ IN SOA dns. ***https://www.doczj.com/doc/5f8770861.html, root.dns. ***https://www.doczj.com/doc/5f8770861.html, (
0 ; serial
1D ; refresh
1H ; retry
1W ; expire
3H ) ; minimum
NS dns. ***https://www.doczj.com/doc/5f8770861.html,.
dns A 210.***.***.8
www A 210.***.***.1 //将Web服务器域名解析为Squid A的eth0的IP地址3）配置互联网区域文件https://www.doczj.com/doc/5f8770861.html,.zone：
$TTL 1D
@ IN SOA dns. ***https://www.doczj.com/doc/5f8770861.html, root.dns. ***https://www.doczj.com/doc/5f8770861.html, (
0 ; serial
1D ; refresh
1H ; retry
1W ; expire
3H ) ; minimum
NS dns. ***https://www.doczj.com/doc/5f8770861.html,.
dns A 210.***.***.8
www A 218.***.***.1 //将Web服务器域名解析为Squid B的eth0的IP地址
四、结束语
通过本方案，可以较好的解决目前存在的访问校园网站较慢和网站多域名问题，并且不需要增加任何网络硬件设备，大大降低了设计成本，非常适合部署在校园网络。当然随着网站访问量的日益增加，Squid代理服务器和Bind域名服务器的负载也会随之增加，这可能会成为新的瓶颈。针对这一问题，下一步将考虑使用服务器集群或虚拟技术代替单台服务器，从而进一步优化本方案。
参考文献：
[1]李晨光. Bind View 加速南北方网络互访[OL]. https://www.doczj.com/doc/5f8770861.html,/Article/38012.html, 2010-5-20
[2] 吕国,钟晓春,张梁,孙皓月.多出口校园网智能DNS服务器的配置[J].河北建筑工程学院学报, 2008，26(3):112-113.
[3]李明慧. 利用squid 反向代理提高网站性能[OL].https://www.doczj.com/doc/5f8770861.html,/developerworks/cn/linux/l-cn-squid/ ,2009-4-2
校园网规划设计方案 21 世纪将是人类全面进入信息化社会的世纪， 21 世纪的教育必须适应信息化社会对教育的需求。为此，各个国家高度重视信息技术对教育的影响和作用，重新调整教育目标，制定教育改革方案，加快推进教育信息化建设。近年来我国也开始重视并特别强调教育信息化。另一方面，在高等教育竞争日趋激烈的大环境下，建设数字化校园，实现教育信息化，强化各项管理，提升综合实力，是各高校的一项紧迫任务。今后学生选择高校，不光是听口碑，看师资，更直接的是通过Internet，接触各所高校的教学科研基本情况。所以，从某种意义上讲，数字化校园还是学校的一Internet名片，一个永远放映的宣传片。一流的高校必将拥有一流的数字化校园并通过此窗口向世界展示自身的实力和形象。 1数字化校园的概念 数字校园是在传统校园的基础上，利用先进的信息化手段和工具，将现实校园的各项资源数字化，形成的一个数字空间，使得现实校园在时间和空间上延伸开来。它是以网络为基础，从环境（包括设备、教室等）、资源（如图书、讲义、课件等）、到活动（包括教学、管理、服务、办公等）的全部数字化。 应用管理：为应用程序设定一系列外部接口规，使得遵循标准的应用能够方便地集成，接口规分为核心集、扩展集和可选集，支持不同级别接口规的应用的集成度不同； 用户管理与认证：提供统一的用户管理与认证，并提供用户单点登录； 权限管理：为用户和应用、以及应用之间的访问权限管理提供统一的规，使得新应用能够被自动发现并被用户使用； 数据交换：提供统一的信息视图和标准的数据交换服务，使得应用之间数据交换规化。 资源检索和查询：提供给用户方便的检索功能，使用户在众多的数字化校园中迅速查找到自己所需要的资源和信息。 管理信息系统：包括教务、科研、财务、人力资源、设备资产、档案等各种管理信息系统等； 数字图书馆：将学校中各种数字图书资源（包括期刊、书籍、论文等）
校园网络方案设计 校园网的设计目标简而言之是将各种不同应用的信息资源通过高性能的网络设备相互连接起来，形成校园区内部的Intranet系统，对外通过路由设备接入广域网。下面是本人收集整理的校园网络方案设计，希望对您有所帮助！ 校园网络方案设计一、学校需求分析 随着计算机、通信和多媒体技术的发展，使得网络上的应用更加丰富。同时在多媒体教育和管理等方面的需求，对校园网络也提出进一步的要求。因此需要一个高速的、具有先进性的、可扩展的校园计算机网络以适应当前网络技术发展的趋势并满足学校各方面应用的需要。信息技术的普及教育已经越来越受到人们关注。学校领导、广大师生们已经充分认识到这一点，学校未来的教育方法和手段，将是构筑在教育信息化发展战略之上，通过加大信息网络教育的投入，开展网络化教学，开展教育信息服务和远程教育服务等将成为未来建设的具体内容。 调研情况 学校有几栋建筑需纳入局域网，其中原有计算机教室将并入整个校园网络。根据校方要求，总的信息点将达到 3000个左右。信息节点的分布比较分散。将涉及到图书馆、实验楼、教学楼、宿舍楼、食堂等。主控室可设在教学楼的一层，图书馆、实验楼和教学楼为信息点密集区。
需求功能 校园网最终必须是一个集计算机网络技术、多项信息管理、办公自动化和信息发布等功能于一体的综合信息平台，并能够有效促进现有的管理体制和管理方法，提高学校办公质量和效率，以促进学校整体教学水平的提高。 二、设计特点 根据校园网络项目，我们应该充分考虑学校的实际情况，注重设备选型的性能价格比，采用成熟可靠的技术，为学校设计成一个技术先进、灵活可用、性能优秀、可升级扩展的校园网络。考虑到学校的中长期发展规划，在网络结构、网络应用、网络管理、系统性能以及远程教学等各个方面能够适应未来的发展，最大程度地保护学校的投资。学校借助校园网的建设，可充分利用丰富的网上应用系统及教学资源，发挥网络资源共享、信息快捷、无地理限制等优势，真正把现代化管理、教育技术融入学校的日常教育与办公管理当中。学校校园网具体功能和特点如下： 技术先进 采用千兆以太网技术，具有高带宽1000Mbps 速率的主干，100Mbps 到桌面，运行目前的各种应用系统绰绰有余，还可轻松应付将来一段时间内的应用要求，且易于升级和扩展，最大限度的保护用户投资； 网络设备选型为国际知名产品，性能稳定可靠、技术先
校园网安全防护解决方案
提纲
校园安全防护需求分析 校园安全防护解决方案 典型案例
https://www.doczj.com/doc/5f8770861.html,
2
职业院校网络面临的安全问题
出口网络问题：多出口，高带宽，网络结构复杂 P2P应用已经成为校园主流 病毒、蠕虫传播成为最大安全隐患 核心网络问题：缺少相应的安全防护手段 无法对不同区域进行灵活的接入控制 主机众多管理难度大 数据中心问题： 缺少带宽高高性能的防护方案 无法提供有效的服务器防护 数据中心网络资源有限但浪费严重 用户认证问题： 用户认证计费不准，不灵活 无法针对用户进行有效的行为审计 用户带宽滥用现象严重
https://www.doczj.com/doc/5f8770861.html,
3
挑战之一：不断增加的校园出口安全威胁
应用层威胁来势凶猛 网页被篡改 带宽总也不够 服务器应用访问很慢
https://www.doczj.com/doc/5f8770861.html,
病毒和蠕虫泛滥 间谍软件泛滥 服务器上的应用是关键应 用，不能随时打补丁
4
?“网络B超” 是优化安全管理的有效工具！
挑战之二：业务系统集中后的数据中心安全
如何解决数据共享和 海量存储的问题？ 资源静态配置 数据增长迅猛 访问量越大，性能越 低，如何解决？ 大量并发访问 性能无法保障
体系平台异构 管理移植困难 如何保障数据访问不 受设备、时空限制？
招生科研财务 关键信息无保护 数据安全如何保障？
?集中管理是解决问题的前提和基础 ?数据资源整合是优化资源管理的必由之路
https://www.doczj.com/doc/5f8770861.html,
5
校园网双出口组网案例 VPC2：192.168.2.100GW：192.168.2.1VLAN2 VPC3：192.168.3.100GW：192.168.3.1VLAN3 SW2配置： SW2#vlan database SW2(vlan)#vtp transport SW2(vlan)#vtp tran SW2(vlan)#vtp transparent SW2(vlan)#vlan 2 SW2(vlan)#vlan 3 SW2(vlan)#exit SW2#config t SW2(config)#int vlan 2 SW2(config-if)#ip add 192.168.2.1 255.255.255.0 SW2(config-if)#no shut SW2(config-if)#int vlan 3 SW2(config-if)#ip add 192.168.3.1 255.255.255.0 SW2(config-if)#exit SW2(config)#int f1/2 SW2(config-if)#switchport mode access SW2(config-if)#switchport access vlan 2
SW2(config-if)#switchport mode access SW2(config-if)#switchport access vlan 3 SW2(config-if)#int f1/1 SW2(config-if)#no switchport SW2(config-if)#ip add 192.168.1.2 255.255.255.252 SW2(config-if)#no shut SW2(config-if)#exit SW2(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.1//缺省路由指向RT SW2(config)#ip route 192.168.0.0 255.255.0.0 null 0//黑洞路由，在RT1上配置了一条汇总路由指向SW2，为了防止路由环路。 TEL配置： Tel-Internet(config)#interface Loopback0 Tel-Internet(config-if)#ip address 202.202.0.1 255.255.255.255 Tel-Internet(config-if)#no shut Tel-Internet(config)#interface FastEthernet1/0 Tel-Internet(config-if)#ip address 222.222.222.1 255.255.255.252 Tel-Internet(config-if)#no shut Tel-Internet(config)#interface FastEthernet2/0 Tel-Internet(config-if)#ip address 202.202.202.1 255.255.255.252 Tel-Internet(config-if)#no shut Tel-Internet(config)#ip route 200.200.0.0 255.255.0.0 222.222.222.2 Tel-Internet(config)#ip route 202.202.0.0 255.255.0.0 Null0 EDU配置 Edu-Internet(config)#interface Loopback0 Edu-Internet(config-if)#ip address 200.200.0.1 255.255.255.255 Edu-Internet(config-if)#no shut Edu-Internet(config)#interface FastEthernet1/0 Edu-Internet(config-if)#ip address 222.222.222.2 255.255.255.252 Edu-Internet(config-if)#no shut Edu-Internet(config)#interface FastEthernet3/0 Edu-Internet(config-if)#ip address 200.200.200.1 255.255.255.252 Edu-Internet(config-if)#no shut Edu-Internet(config)#ip route 200.200.0.0 255.255.0.0 Null0 Edu-Internet(config)#ip route 202.202.0.0 255.255.0.0 222.222.222.1 RT1配置： RT1(config)#int f1/0 RT1(config-if)#ip add 192.168.1.1 255.255.255.252 RT1(config-if)#no shut RT1(config)#int f2/0 RT1(config-if)#ip add 202.202.202.2 255.255.255.252
校园网总体设计及需求分析 校园网网络规划方案 一、校园网需求分析 1.1校园网的需求分析 山东商务职业学院作为现代化的教学场所，校园网的网络规划也是一个不容忽视的项目。校园网建设的目标简而言之是将校园内各种不同应用的信息资源通过高性能的网络设备相互连接起来，形成校园园区内部的Intranet系统，对外通过路由设备接入广域网。 结合实际情况，校园网络需求主要为以下五方面：教学楼、网络信息中心、图书馆、办公楼、宿舍区等。
1.2.1 教学楼 主要为老师投影仪、多媒体教室，将计算机多媒体视听引入课堂教学、声音、图像、动画的普遍采用可以大大提高教学效果。要求老师教学用的机器能上网。 1.2.2 办公楼 办公自动化基本web综合管理信息的信息系统、提示行政、人事、学籍、后勤、财务管理、包裹信件收发管理、教师档案管理、学生档案管理、科技档案管理等、使学校日常办公无纸化、减少办公开支提高办公效率等。 1.2.3 图书馆 图书馆是给师生们提供自主学习的场所，师生可以根据需要自由上网选择与自己索要内容相关的书籍、电子阅览室要求连接Ineternet、使图书馆得到进一步拓展、使师生能够得到更多的的网上资源。 1.2.3 学生宿舍 学生宿舍分为A、B、C、D四大宿舍区。宿舍区的网络构架对学校信息化工作起到了巨大的推动作用，一方面缩短了学校与外界的距离，另一方面，完善了以校园网为基础的管理信息系统，为学生提供了方便。 1.2.3 网络信息中心 中心机房到汇聚层节点采用4兆光纤（多模）连接，汇聚层到接入层采用百兆的五类线（或者超五类）连接。通常考虑，建议数据信息点的接入用交换10/100Mbps自适应以太网端口接入，以便能较经济的提供较高的带宽。整个方案设计的目的是建设一个集数据传输和备份、多媒体应用、语音传输、OA应用和Internet访问等于一体的高可靠、高性能的宽带多媒体校园网。
校园网络设计方案
第一章建网原则 实际上，我国中小学所耗费的信息技术投入远不止上述经费。国人在进行投入的过程中总是追求时髦、讲面子。不考虑学校的实际情况，严重脱离中国的国情和经济发展现状，要知道我们一直是世界上人均收入排名在一百多位的发展中国家。 接着全国兴起了装备计算机的热潮，重点中学和好一点的乡镇中小学开始全面装备286、386计算机，当时的计算机每台近两万元左右，使用不到两年，软件升级，WINDOS全面取代DOS系统，286、386计算机全面淘汰（由此全国又损失数百亿元）.这时候486计算机全面登场，并立即淘汰，586以及档次与配置更高的计算机面世。我们的学校在这场计算机的变革中，就不停的跟在后面赶，不停的被淘汰，由于有些学校领导片面追求时髦、面子，而给学校和国家造成了无法估计的损失。 现在教育部提出：一定的时间内在国内普及信息技术教育，实行"校校通"工程；可是由于一些大的计算机厂家在不停的炒作，进行误导，使得我们有些学校校长、少数教育领导干部头脑发热起来了，认为：校校通就是校园网，校园网就是计算机网；学校为了完成上面下达的任务，不顾本校的实际情况，不顾当地的实际情况，大规模的建
设计算机网，造成学校大量负债，而这个所谓的校园网自从建立起 来后就面临着淘汰，为什么呢？目前，我国大部份的学校连基本的广播网、有线电视网都没有，有的学校的教师连计算机的最简单的常识也没有，更谈不上如何使用它们。在上述情况下，我们在进行校园网建设的过程中应该保持清醒的头脑，花最少的钱、获得最大的效果。 校园网络作用主体不清 建立一个好的校园网络系统包括广播系统、教学管理系统、计算机网络系统等等。计算机网络系统是校园网络系统中的一个组成部份。他们之间是相互补充、相互完善，而不是相互取代的。建设校园网的目的是用于老师传授知识和学生获得知识。传授知识有三种方式：图像，声音，文字。现在一般的人重视的是文字方面知识传授,而忽略 了用图像和声音进行大众的知识传授。文字是声音和图像的补充和记载。从传播知识的作用范围来讲，广播系统传播的范围最广。从设备的增值性来看：最实用的是计算机，其次是教育系统应用软件和广播系统。因此，我们在建校园网时，应先从简易经济和适用的系统做起，再建计算。 第二章校园网的规划设计 2．1校园网建设核心 随着网络规模的扩大和用户数量迅速增加，并且由于院校合并形成了分布于多个校区的校园网，网络结构日趋复杂，网络结点数剧
校园出口设计解决方案 项目小组：CRZ.FZU 小组成员：詹长贵、陈志洲、荣融
目录1. 校园网出口设计的重要性 (2) ................................. 3当前校园网出口面临的挑战 .2 . 多出口支持挑战....................................... 32.1 .......................................... 32.2NAT性能挑战 2.3安全防御挑战 ......................................... 4 ......................................... 42.4流量控制挑战 2.5内容审计挑战......................................... 4 ........................................... 高可靠挑战2.6 4 2.7扩展挑战 (4) 5............................................ . 选择的拓扑方案3. 4. 方案分析 (5) .......................................... 54.1 双出口设计 . 6汇总出口数 据 ................................. 4.2 RSR-16E 4.3 ACE3000+NPE50的完美组 合 ............ 错误！未定义书签。4.3.1 RG-ACE3000 . .................................... 84.3.2NPE50 (11) 5. 实现的技术 (16) 5 .1 NAT技术 ........................................... 165.2 PPTP VPN 技 术 ....................................... 165.3策略路由技 术 ........................................ 175.4IPv6 over GRE 隧道技 术 ............................... 185.5访问控制技 术 ........................................ 187. 产品的配 件 ............................................... 19RSR-16E 配 件 ............................................ 19附 件： ..................................................... 20RSR-16E技术参 数 (20)
实例:校园网双出口的设计与配置实现 校园网是高校的信息化建设的基础设施，是教学科研管理信息化和现代化的重要平台。大部分高校校园网从初建至今已有几年的历史。初建时，一般都是租用一条DDN线路连接到中国教育和科研计算机网（CERNET）。由于中国教育科研网与一般的电信级运营网络不同，没有非常充裕的线路、设备冗余，有可能发生单点故障，对于校园网的稳定运行有一定的影响。同时，通过CERNET访问其他的共众网如CHINANET、GBNET等速率缓慢。随着校园网用户量增加和基于校园网络的各种网络应用的展开，要求校园网络出口具有较高的网络带宽，原有单一的CERNET出口已不能满足，有必要进一步扩大带宽，通过当地网络服务提供商（ISP）开辟第二出口连入INTERNET是较好的解决途径，许多学校采用了教育网和电信（或联通、铁通等）第二出口的双出口方案，既可以保留教育网资源，同时可以增加带宽，提高了访问INTERNET资源的速度。 各个学校采用了不同的技术实现双出口，但是基本上思路是相同的：对于访问教育网资源和mail流量走教育网出口，对于用户上网来说，走第二出口。这样，一方面提高了校园网出口的冗余，增加了校园网的稳定性，另一方面，也解决了校外访问校园网速度过慢的问题，同时，有效减少教育网的国际流量，降低网络运行费用。 第二出口从连接方式上来说，可以采用DDN专线、ISDN、ADSL等多种技术，具体可以根据需求选择，在本文中不予以讨论。 一、双出口的解决方案 我校在原有一条CERNET接入链路的基础上，通过电信开辟了第二出口。而增加了校园网络出口线路，从理论上说提高了网络带宽，但是如果不调整原有网络系统的结构，其效果不能体现。对该方案，我们有以下几方面的要求： （1）客户端IP地址设置不受影响，即不用重新设置地址就可以正常上网； （2）客户端访问教育科研网的网站时，出口线路CERNET，访问其他站点时，走中国电信线路出口。 （3）解决外部公众网的用户访问我校校园网主页的速度过慢的问题。 （4）校园网络中的邮件走CERNET线路。 （5）尽可能的节约校园网调整、改造的投资。 校园网原出口结构和双出口解决方案结构如图1所示： [attach]276901[/attach] 图1 从图1中可以看到，CISCO catalyst 6509交换机是我校校园网的核心交换机，ssr1是教育网的接入设备，ssr2是电信第二出口的接入设备通过在CISCO catalyst 6509交换机上配置静态路由和策略路由，保证授权的服务器和mail的所有流量都经ssr1到教育网，其它的所有流量经ssr2到电信出口。同时，在ssr2上使用了NAT技术，使有限的电信IP地址可以满足大量校园网并发访问的需求，同时也相应提高了安全系数。 二、涉及的网络技术
校园网设计方案(此文档为word格式，可任意修改编辑！）方案1:
一个完整的校园网建设主要包括两个内容：技术方案设计；应用信息系统资源建设。 技术方案设计主要包括：结构化布线与设备选择、网络技术选型等；应用信息系统资源建设主要包括：内部信息资源建设、外部信息资源建设等。这里我们介绍网络技术选型。 一、网络技术选型设计 校园网络系统基本可分为校园网络中心、教学子网、办公子网、图书馆子网、宿舍子网及后勤子网等。 1.校园网络中心的设计 网络中心设计主要包括主干网络的设计、校园网与Internet的互连、远程访问服务等。 (a)主干网络的设计 主干网络采用联想新推出的LS－5608G智能型8联机箱式千兆以太网交换机作为校园网的中心交换机，它提供8个插槽，可选插8联的10/100Base－TX、2联的100Base－FX或1联的千兆以太网模块。适用于大型主干网络和高速率、高端口密度、多端口类型的复杂网络。
同时可以选择MS－5103千兆位以太网模块(SX/MM/850nm,0－350m)或MS－5104千兆以太网模块(LX/SM/1310nm,0－6km)与下面的各个子网通过千兆位的链路相连。 (b)校园网与Internet的互连： 推荐采用局域网专线接入方式，此方式需要配备路由器等设备，租用专线DDN或帧中继（Frame Relay），也可申请ISDN专线并向CERNET 管理部门申请IP地址及注册域名，以专线方式连入Internet，并提供防火墙、计费管理等功能。 本方案选用联想的LR－2501路由器，具有1个局域网(LAN)，2个广域网(WAN)和1个控制台。支持帧中继(Frame－Relay)、X.25、PPP、HDLC协议。 (c)远程访问服务 采用联想LA－220和LA－240访问服务器，安装在本地局域网中，通过1至4个调制解调器(或ISD TA)和1至4根电话线，即可为远程访问人员提供拨号上网服务，远程用户只需拥有1个调制解调器和1根电话线，通过拨接LA－220或LA－240上所连接的电话号码，就可以登录访问。
Vol.28No.2 Feb.2012 第28卷第2期（下） 2012年2月赤峰学院学报（自然科学版）Journal of Chifeng University （Natural Science Edition ）1 引言 在很多高校的校园网建设中，基于访问速度、资源利用情况和费用的考虑，在接入教科网的同时，还会选择其他ISP 接入方式.通常情况下，当校园网中采用双出口时，要求对原有的用户的影响应尽可能少，即任何客户端IP 地址设置都不用修改，使用户能正常访问网络；当用户访问教科网的网站时，走经由连接到教科网的出口，访问其他网站包括国外站点时，走经由连接到其他ISP 的出口；外部公众网的用户访问校园网的Web 、FTP 、M ail 、DNS 等服务器时，即可以通过教科网提供的IP 地址访问，也可以通过其他ISP 提供的IP 地址访问.2 存在的问题分析 图2-1所示为校园网采用双出口时的网络连接拓扑图.这样的连接通常会带来两个方面的问题，一方面是内部用户访问外网时如何分流，另一方面就是对外发布的服务（如WEB 服务）如何提供给外部访问的问题. 当内部用户访问外部网络时，考虑到通过教科网访问其外的网络流量要收费，且访问速度没有其他ISP 快，所以一般要求所有目的地址为教科网的访问流量走教科网，其他流量走联通网. WEB 服务器同时使用教科网和联通网对外发布，当客户机位于教科网，访问WEB 服务时访问的是联通网提供的IP 地址，发出的数据包会从GE2进入，而返回的数据包会从ETH0出来，当任何一条链路故障时，都将无法正常访问 服务器.当客户机位于教科网以外，访问WEB 服务时访问的是教科网提供的IP ，也会有同样的问题出现.即便网络链路正常，对服务器的访问也存在不确定性因素.要解决以上问题，需要保证当外部客户机访问服务器的数据包从那一个接口进入内部网络就应从该接口返回.3网络接入基本技术 3.1 静态路由与默认路由 静态路由就是手工配置的路由，使得数据包能够按照 设定的路径传送到指定的目标网络.如果路由器遇到没有确切路由的数据包时，通常是按照设定的默认路由进行传送，默认路由是一种特殊的静态路由.3.2 策略路由 基于策略的路由不仅能够根据目的地址，而且能够根据协议类型、 报文大小、应用、IP 源地址或者其它的策略来选择转发路径.策略可以根据实际应用的需要进行定义来控制多个路由器之间的负载均衡、单一链路上报文转发的QoS 或者满足某种特定需求.3.3 NAT NAT 即网络地址转换，是用于解决内部网络连接到公共网络时的一种地址变换技术.通常在内部网络中使用私有IP 地址，当内部网络中的计算机与公共网络中的计算机通信时，NAT 设备将内部网络私有地址转换成公共网络上合法的IP 地址，使通信能正常进行.NAT 有三种常用类型：静态NAT ： 按照一一对应的方式将每个内部IP 地址转换为一个外部IP 地址，这种方式经常用于内部网的服务器需要能够被外部网络访问到时. 动态NAT ：将一个内部IP 地址转换为一组外部IP 地址（地址池）中的一个IP 地址，这种转换不是固定的，而是动态的. 超载（Overloading ）NAT （也称为NAPT ）：是动态NAT 的一种实现形式，在转换时利用了端口号，将[内部IP 地址，端 采用双出口的校园网的技术分析及实现 李文池1,2，杨世平1 （1.贵州大学，贵州 贵阳550000；2.贵州电子信息职业技术学院，贵州 凯里556000） 摘要：针对双出口校园网络提出一种采用静太路由、 NAT 、源地址策略路由技术的综合解决措施方案，主要解决了网络流量分配和通过双出口访问校园网服务器的问题. 关键词：双出口；静态路由；策略路由；NAT 中图分类号：TP393.18文献标识码：A 文章编号：1673-260X （2012）02-0031-02 基金项目：贵阳市科学技术计划项目，[2009］，科2合同字第1-052号 图2-1网络连接拓扑图 31--
NatShell 蓝海卓越 XX校园网络需求分析及解决方案科技开创蓝海专业成就卓越 XX校园网络需求分析及解决方案校园网络接入的需求基本可归纳为以下几个方面: (1高负荷性:一般的校园,都有上千甚至上万的用户,在一开始建设宽带时,用 户数量较少,对负荷要求不高,但随着业务的开展,用户不断的接入网络,当 用户数量达到一个较高的数量时,对网络接入的设备就会有较高的性能要求。 (2高稳定性:由于是给学生和老师提供宽带接入服务的,网络内的用户存在各种 不同时间上网的需求,这就要求网络不能经常中断,由此对网络接入设备的稳 定性提出了极高的要求。 (3高安全性:校园内的用户,其电脑和网络都是由用户个人自行管理,而不是像 网吧一样有网管统一管理,因此内网的攻击,病毒,用户互访的事件,也是层 出不穷,要做好校园的宽带网络,对这些安全问题,也需要一个较好的解决方 案。 (4高性价比:校园网络不仅具有公益性,也还需要赢利,因此具有较高性价比的 设备,能够让校园的宽带投入更低,收回投资更早。 (5可管理、易操作:由于用户的独立性,要求有一个良好的管理系统来对用户进
行计费管理,并且要具备良好的可操作性,这样整个校园网络的管理,才会更 加井然有序。 (6易于升级维护:随着网络的复杂化,对网络设备及维护的要求也越来越高,因 此在构建网络时,就要充分考虑到易升级,易维护的特性。 NatShell 蓝海卓越综合全国数百家大型项目的成功经验,再结合自身对国内教育网络运营的深刻理解,提出了“可管理、可运营、可增值”的校园PPPOE宽带网络解决方案。推出了专门针对校园宽带接入的PPPOE服务器网关,NS-3650系列产品,配合NatShell G50/G500认证计费系统,可以极大的简化校园网络的工作流程,提高用户满意度,具体的解决方案与功能特色如下: 方案说明: 在机房安装一至多台NatShellNS-3650系列拨号服务器网关,校园内的网络用户通过标准PPPOE的方式进行拨号上网,所有的用户上网认证请求统一通过NatShell NS-G500 认证计费系统进行认证和管理。 方案拓扑图如下:
[摘要] 计算机网络安全建设是涉及我国经济发展、社会发展和国家安全的重大问题。本文结合网络安全建设的全面信息，在对网络系统详细的需求分析基础上，依照计算机网络安全设计目标和计算机网络安全系统的总体规划，设计了一个完整的、立体的、多层次的网络安全防御体系。 [关键词] 网络安全方案设计实现 一、计算机网络安全方案设计与实现概述 影响网络安全的因素很多，保护网络安全的技术、手段也很多。一般来说，保护网络安全的主要技术有防火墙技术、入侵检测技术、安全评估技术、防病毒技术、加密技术、身份认证技术，等等。为了保护网络系统的安全，必须结合网络的具体需求，将多种安全措施进行整合，建立一个完整的、立体的、多层次的网络安全防御体系，这样一个全面的网络安全解决方案，可以防止安全风险的各个方面的问题。 二、计算机网络安全方案设计并实现 1.桌面安全系统 用户的重要信息都是以文件的形式存储在磁盘上，使用户可以方便地存取、修改、分发。这样可以提高办公的效率，但同时也造成用户的信息易受到攻击，造成泄密。特别是对于移动办公的情况更是如此。因此，需要对移动用户的文件及文件夹进行本地安全管理，防止文件泄密等安全隐患。 本设计方案采用清华紫光公司出品的紫光S锁产品，“紫光S锁”是清华紫光“桌面计算机信息安全保护系统”的商品名称。紫光S锁的内部集成了包括中央处理器（CPU）、加密运算协处理器（CAU）、只读存储器（ROM），随机存储器（RAM）、电可擦除可编程只读存储器（E2PROM）等，以及固化在ROM内部的芯片操作系统COS（Chip Operating Sys tem）、硬件ID号、各种密钥和加密算法等。紫光S锁采用了通过中国人民银行认证的Sm artCOS，其安全模块可防止非法数据的侵入和数据的篡改，防止非法软件对S锁进行操作。 2.病毒防护系统 基于单位目前网络的现状，在网络中添加一台服务器，用于安装IMSS。
高校校园网出口解决方案最佳实践 - 华南农业大学展示^ 锐捷公司项目展示~不为参赛~只想展示 1.2.1 项目背景 2007年，锐捷网络携手华南农业大学，进行了万兆校园网升级改造： 图1-1 华南农业大学全网拓扑图 ?骨干网升级为10G网络。学校任何重要区域到服务区群和出口路由器均为万兆链 路； ?多核心、圆锥形骨干网设计。学校任何重要区域到服务器群和出口均只有1跳路 由； ?四层架构，区域汇聚双归属设计。从架构上充分保证网络稳定可靠； ?全网的统一身份认证。基于SAM系统的用户管理，以及符合学校特色的大量二次 开发。 在骨干网络改造中，华山、东区、五组团三个区域增加了三台核心交换机RG-S8610，
组成万兆环网，承担华南农业大学核心网，同时三台核心交换机与出口路由器Cisco C7606组成圆锥形的网络框架，万兆骨干数据流积聚于出口路由器。万兆骨干的升级，使得校内流量剧增，校内带宽瓶颈得到很好的解决，同时也给出口网络带来了新的调整。 华南农业大学校园网共有信息点将近40000个，如此密集的信息点，对华南农大的出口形成了强大的冲击。出口带宽利用率接近100%，出口带宽极其紧张（华南农业大学2007年的出口线路情况是：教育网1000M、电信100M），师生普遍反映Internet访问常有缓慢现象，影响了办公、教学、生活的网上应用开展。 1.2.2 项目目标 提升出口NAT地址转换性能 ?电信广域网带宽升级到300M； ?教育网链路升级为10G链路，动态带宽最高为1.5G。 准确分析出口应用带宽占比 ?多少用户在使用哪些应用； ?每种应用占用了多少带宽资源。 精细管控出口应用带宽 ?保证教学、办公、科研的关键应用； ?分时段限制P2P应用流量。 访问日志记录 ?08奥运将至，公安部要求对所有校内用户访问校外进行行为记录，因此需要有一套高效的日志管理系统对出口设备的NAT日志进行收集，通过图形化查询界面快速查找相关 日志信息。 2 案例分析 该章节主要可从网络现状、业务现状、问题或需求等多个角度去分析，是对上一章案例概述的详细分析。通过分析现状及问题，为下一章案例方案奠定基础。 2.1 网络现状 出口网络还未改造前拓扑图如下：
校园网是高校的信息化建设的基础设施，是教学科研管理信息化和现代化的重要平台。大部分高校校园网从初建至今已有几年的历史。初建时，一般都是租用一条DDN线路连接到中国教育和科研计算机网（CERNET）。由于中国教育科研网与一般的电信级运营网络不同，没有非常充裕的线路、设备冗余，有可能发生单点故障，对于校园网的稳定运行有一定的影响。同时，通过CERNET访问其他的共众网如CHINANET、GBNET等速率缓慢。随着校园网用户量增加和基于校园网络的各种网络应用的展开，要求校园网络出口具有较高的网络带宽，原有单一的CERNET出口已不能满足，有必要进一步扩大带宽，通过当地网络服务提供商（ISP）开辟第二出口连入INTERNET是较好的解决途径，许多学校采用了教育网和电信（或联通、铁通等）第二出口的双出口方案，既可以保留教育网资源，同时可以增加带宽，提高了访问INTERNET资源的速度。 各个学校采用了不同的技术实现双出口，但是基本上思路是相同的：对于访问教育网资源和mail流量走教育网出口，对于用户上网来说，走第二出口。这样，一方面提高了校园网出口的冗余，增加了校园网的稳定性，另一方面，也解决了校外访问校园网速度过慢的问题，同时，有效减少教育网的国际流量，降低网络运行费用。 第二出口从连接方式上来说，可以采用DDN专线、ISDN、ADSL等多种技术，具体可以根据需求选择，在本文中不予以讨论。 一、双出口的解决方案 我校在原有一条CERNET接入链路的基础上，通过电信开辟了第二出口。而增加了校园网络出口线路，从理论上说提高了网络带宽，但是如果不调整原有网络系统的结构，其效果不能体现。对该方案，我们有以下几方面的要求： （1）客户端IP地址设置不受影响，即不用重新设置地址就可以正常上网； （2）客户端访问教育科研网的网站时，出口线路CERNET，访问其他站点时，走中国电信线路出口。 （3）解决外部公众网的用户访问我校校园网主页的速度过慢的问题。 （4）校园网络中的邮件走CERNET线路。 （5）尽可能的节约校园网调整、改造的投资。 校园网原出口结构和双出口解决方案结构如图1所示： CISCO catalyst 6509交换机是我校校园网的核心交换机，ssr1是教育网的接入设备，ssr2是电信第二出口的接入设备通过在CISCO catalyst 6509交换机上配置静态路由和策略路由，保证授权的服务器和mail的所有流量都经ssr1到教育网，其它的所有流量经ssr2到电信出口。同时，在ssr2上使用了NAT技术，使有限的电信IP地址可以满足大量校园网并发访问的需求，同时也相应提高了安全系数。 二、涉及的网络技术 第二出口方案中涉及技术有如下几种： 1、代理服务器技术 代理服务器一端接入Internet,另一端接入中心路由器，通过代理服务软件实现客户端上网。这种方式配置简单，设备费用低廉，并且不需要大规模改变原有的设备连接和配置。但是相对来说，由于是通过代理软件实现共享上网，访问速度容易受到影响。 2、路由选择 静态路由是在路由器中设置的固定的路由表。除非网络管理员干预，否则静态路由不会发生变化。由于静态路由不能对网络的改变作出反映，一般用于网络规模不大、拓扑结构固定的网络中。静态路由的优点是简单、高效、可靠。在所有的路由中，静态路由优先级最高。当动态路由与静态路由发生冲突时，以静态路由为准。这种方式对于设备的要求较高，配置相对繁琐，但是上网的路由选择与用户无关，用户的上网方式无需进行任何改动，可操作性
校园网安全防护解决方案 随着校园网接入互联网以及其它各种应用的增多，校园网上的各种数据也急剧增加，我们在享受网络带来便利的同时，各种各样的安全问题也就开始困扰我们每一个网络管理人员，如何保证校园网不被攻击和破坏，已经成为各个学校校园网络管理的重要任务之一。本文针对这类问题提出了相应的解决方案，使校园网能够有效应对网络应用带来的安全威胁和风险，以确保校园网系统的安全。 一、校园网安全风险分析 校园网络作为学校信息平台重要的基础设施，担负着学校教学、科研、办公管理和对外交流等责任。在网络建成应用的初期，安全问题还不十分突出，但随着应用的深入，校园网上的各种数据也急剧增加，各种各样的安全问题也就开始困扰我们。对校园网来说，谁也无法保证其不受到攻击，不管攻击是有意的还是无意的，也不管这种攻击是来自外部还是来自内部网络。操作系统、数据库系统、网络设备、应用系统和网络连接的复杂性、多样性和脆弱性使得其面临的安全威胁多种多样。校园网络系统可能面临的安全威胁可以分为以下几个方面： ⒈物理层的安全风险分析 网络的物理安全风险主要指网络周边环境和物理特性引起的网络设备和线路的不可用,而造成网络系统的不可用。我们在考虑校园网络安全时，首先要考虑物理安全风险，它是整个网络系统安全的前提。物理安全风险有：设备被盗、被毁坏，线路老化或被有意或者无意的破坏，通过搭线窃取数据，电子辐射造成信息泄露，设备意外故障、停电，地震、火灾、水灾等自然灾害。 ⒉网络层安全风险分析 网络层是网络入侵者进攻信息系统的渠道和通路。许多安全问题都集中体现在网络的安全方面。由于网络系统内运行的TPC/IP协议并非专为安全通讯而设计，所以网络系统存在大量安全隐患和威胁。校园网是一个应用广泛的局域网，且接入了互联网，如何处理好校园网网络边界的安全问题，直接关系到整个校园网网络系统的稳定运行和安全可控；另一方面，由于校园网中使用到大量的交换机、路由器等网络设备，这些设备的自身安全性直接影响到校园网和各种网络应用的正常运转。例如，路由器口令泄露，路由表配置错误，ACL设置不当等均会
杭州职业技术学院 2003 年4月 摘要 本组网主要完成对杭州职业技术学院校内网络的组网，步线组网及解决方案。 论文主要介绍了杭州职业技术学院的组网，所要完成的是组网的整个过程。重点的说明了校园网的设计思想、难点技术和解决方案。 1．引言说明了校园网建设的目标。 2．校园网的设计需求，简明介绍了杭州职业技术学院的设计需求。及接点数和大概的组网思路。 3．组网拓扑图 关键字：组网，方案，拓扑图，校园网 目录 第一章引言…………………………………………………… 第二章需求分析……………………………………………… 第三章校园网的设计需求…………………………………… 第四章 2.1网管中心………………………………… 2.2 行政管理中心…………………………… 2.3 教学楼…………………………………… 2.4 实验楼…………………………………… 2.5 图书管…………………………………… 第五章网拓扑图……………………………………………… 第六章设计说明……………………………………………… 5.1系统概述…………………………………………… 5.2主干网络设计………………………………… 5.3技术参数………………………………………… 第六章结束语………………………………………………… 致谢……………………………………………………………… 参考资料………………………………………………………… 引言 在网络信息时代的今天，面向新的需求和挑战，为了学校的科研、教学、管理的技术水平，为研究开发和培养高层次人才建立现代化平台，Intranet/Internet技术的高速多媒体校园网。 整个高速多媒体校园网建设原则是"经济高效、领先实惠"，既要领先一步，具有发展余地，又要比较实惠。校园网是集计算机技术、网络技术、多媒体技术于一体的系统，能够最大限度地调动学生对教学内容的参与性以及积极性。 校园网建设的目标主要是建立以校园网络为基础的行政、教学及师生之间交互式管理系统，逐步建立学校信息管理网络，实现办公自动化；为开展网上远程教学、多媒体交互式立体教学模式的探索提供高速、稳定的支持平台；逐步建立计算机辅助教学、计算机辅助考试等系统，为实现多媒体课件制作网络化，教师备课电子化、多媒体化打好基础；保证网络系统的开放性、可持续发展性，便于以后集成视频会议、视频点播等高层次教学功能。 筹划校园网要讨论三个要素，无论是校外连网还是校内连网，要较好地发挥校园网的作用都要涉及三个要素：运载基础设施、运载设施和运载信息。 需求分析 杭州职业技术学院校园网一般为大中等规模的组网，节点数一般300到500个，网络应用也较中型校园网复杂，对通信的要求也较高，因此已经要求百兆交换到桌面，并要求支持多媒体的应用。 所以该校园网网络中心采用FlexHammer24交换机进行堆叠，提供高密度的10/100M自适应端口，二级节点交换机根据具体情况选择μHammer2或μHammer24交换机，对多媒体教室、电子阅览室等需要多媒体应用、要求较大带宽的二级节点则选用μHammer24交换机，提供10/100M兆端口接入用户桌面。普通教室选用μHammer2交换机，提供10M/100m端口接入用户桌面。 FlexHammer和μHammer交换机还具有划分VLAN的功能，使各部门的局域网可自成体系，隔离了广播风
龙源期刊网 https://www.doczj.com/doc/5f8770861.html, 校园网边界出口问题分析及解决方案 作者：蒋海岩 来源：《新教育时代·教师版》2017年第12期 在当今信息高速发展的时代，对带宽的容量、稳定性、安全性的需求都在增加。在大量的需求面前对于网络管理者来说提出了新的要求。除了选择好的运营商，扩充带宽之外，网络管理者还需要制定一套切实可行的边界出口解决方案，今天我就以校园网为例探讨制定一套边界出口解决方案。[1] 一、校园网边界出口主要存在的问题 首先，从大多数校园网的实际环境来看，其网络带宽巨大，而且用户常会运用大量的P2P 类应用（视频、下载），这些应用会产生大量的连接，从而导致并发连接数儿十倍甚至上百倍于实际上网用户数。而且，校园网出口往往会需要网络地址转换（（NAT ， NetworkAddress Translation），但无论是防火墙还是路由器，其核心功能都不是为NAT专门打造的，地址转换过程会极大的消耗硬件性能，这就让网络出口无法发挥最大的效能。[2] 二、校园网边界出口主要需求分析 1.边界出口的功能需求 在校园网总出口增设应用识别功能的边界设备是主流的设计方案，可以实现功能的互补（如内部应用控制设备无法控制的动态应用，可由总出口来处理。反之亦然）。在校园网将 带宽扩升时，在大流量的冲击下，应用层的防火墙是否能够支撑起我们的网络，能否在大流量的情况下，保证内外网间通信能够实现线速转发。所以选择产品参数时我们会尽量的选择万兆级别的边界出口设备。 2.多链路负载均衡功能的需求 现在大多数校园网出口是“多出口”环境，关于多出口链路优化的方案，传统的解决方案一般是通过“策略路由”来做静态的指定，即：A网段走链路1，B网段走链路2。此时，由于 A、B网段使用环境的不同，外网链路经常会出现一个忙一个闲的状况，这是比较常见的问题。另外第二个常见的问题是，在多运营商做接入时（如同时存在联通、电信）流量分配的不合理：多运营商链路接入时，传统的多出口解决方案是利用ISP路由，实现访问“目的地址”是联通地址的数据包走联通线路，目的地址是电信资源的数据包走电信线路，从而避免跨运营商的访问，提高网络访问速度。 3.安全防护的需求