采用双出口的校园网的技术分析及实现

第２５卷第３期　２０１１年６月　河南财政税务高等专科学校学报　Ｊｏｕｒｎａｌ　ｏｆ　Ｈｅｎａｎ　Ｃｏｌｌｅｇｅ　ｏｆ　Ｆｉｎａｎｃｅ＆Ｔａｘａｔｉｏｎ　ＶｏＩ．２５．Ｎｏ．３　Ｊｕｎ．２０１１　

基于智能ＤＮＳ和应用层代理技术的　

双出口校园网站加速方案设计　

聂得欣　

（河南财政税务高等专科学校现代教育技术中心，河南郑州４５　１４６４）　

［摘要］目前的双出口校园网站访问速度较慢，基于智能ＤＮＳ和应用层代理技术的双出口网站加　

速方案，可以提高网络的访问速度和安全性。通过搭建虚拟网络实验平台，可以验证这一方案的可行性。　

［关键词］智能ＤＮＳ；正向透明代理；反向代理；网站加速　［中图分类号］ＴＰ３９３．１８　［文献标识码］Ａ　［文章编号］１００８—５７９３（２０１１）０３—００８５—０５　

一、校园网现状分析　目前国内有多家互联网服务提供商（Ｉｎｔｅｒｎｅｔ　Ｓｅｒｖｉｌｅ　Ｐｒｏｖｉｄｅｒ，即ＩＳＰ），主要有中国电信（ＣｈｉｎａＮｅｔ）、　

中国联通（Ｃｈｉｎａ　Ｕｎｉｃｏｍ）、中国移动（Ｃｈｉｎａ　Ｍｏｂｉｌｅ）和中国教育科研网（以下简称教科网ＣＥＲＮＥＴ）。目　

前的高校校园网大多有两个网络出口，校内外通讯的主要流量均通过教科网接人联通、电信等互联网。　

由于存在竞争关系，各ＩＳＰ之间相互访问的带宽较小，访问速度慢甚至连接不上。　针对上述问题，目前通用的解决方案主要有两种。一种是单服务器多网卡方案。该方案在同一台服　务器上使用双域名，一个指向教科网ＩＰ，另一个指向互联网ＩＰ，同时在服务器上设置路由，根据不同的来　

源地址响应。教科网用户使用教科网域名访问服务器，互联网用户使用互联网域名访问服务器。该方案　

采用服务器双ＩＰ方式实现了网络流量的分流，避开了各ＩＳＰ之间的网络瓶颈，其缺点是需要对外公布两　

个不同的域名，使用不方便，当网站较多时，需要多个稀缺的公网ＩＰ。同时，用户直接访问服务器，会造成　服务器的安全隐患。另外一种是双服务器做镜像方案。该方案在上述方案的基础上使用双服务器工作　

高校网络出口解决方案

高校网络出口解决方案

一、高校网络出口现状分析

随着高校信息化建设的开展，教学、科研、办公、生活对于校园网平台的依赖性越来越强。国内的高校经过多年持续不断的基础设施建设和应用提升，已经形成了较为稳定的校园网基础架构、相对丰富的校园网应用平台。但是，在讲究信息共享、资源整合的今天，有一块区域长期以来一直困扰着各大高校就是校园网出口区域。

高校校园网不应该作为一个信息孤岛而存在。网络的价值更重要的是体现在信息的流通、资源的共享。作为校园网络平台的“门户”——出口区域，承担着高校之间相互交流的窗口的重大作用。那么高校的校园网出口到底是怎样一个现状如下：

第一、从学校网络规模、信息点来看；

规模在1000点以下、出口带宽不是很低的情况下，出口区域的规划相对容易，对设备性能的要求相对较低，从而所采用的策略可以宽松一些。目前面临出口难题的主要为信息点数为1000-10000和10000以上的那些高校。

第二、从出口的链路条数和带宽情况来看；

一方面，网络规模较大的学校，出口带宽普遍较高；另一方面，根据学校所在区域有所差别。同时，运营商在不同地区采取的收费标准也对高校出口带宽有着重要的影响。

二、当前校园网出口面临的挑战

第一、NAT性能问题；出口设备要支持NAT（地址转换）是共识的。一方面，校内使用私有地址的情况，访问Internet需要进行NAT；另一方面，即使校内使用真实的教育网IP，那么通过电信或者网通的线路访问外部资源，仍然需要进行NAT（地址转换），因为电信所分配的地址更有限。NAT（地址转换）等于给出口设备增加了一项很重要的任务，但是，从实际情况来看，NAT却成为了上网速度慢的一个重要原因。 第二、支持策略路由问题；

首先，当前校园网是基于多出口的架构。1）为了提高访问速度需要多出口互联。2）为了解决费用问题。ISP运营商需要提供高校解决国际流量费用的好思路。3）解决线路备份问题，避免单出口单点故障的存在。

《教育信息化》发行部：ｃｙｌ＠ｍｏｅ．ｅｄｕ．ｃｎ　网络建设校校通　局域网双出口方案掇讨ｉ　重庆大学经济与工商管理学院　李　洋　曹　端　乔兴旺　向　东　张洪武　宁　宁　摘要：基于ｌｉｎｕｘ系统，通过路由优化、网络地址转换　以及数据包检测等技术．成功地实现了学院局城网双出１：２解　决方案。优化了网络资源．提高了网络安全性。　关键词：路由　网络地址翻译（ＮＡＴ）　网络数据包　中图分类号：ＴＰ３９　文献标识码：Ａ　文章编号：１６７１—７２０１ｌ２００６１０８—００４３一Ｏ２　一、引言　目前很多局域网都拥有双出口乃至多出口，以提高网络速　度和效率，提高网络对单点故障的应变能力。大多数高校的局域　网中，既有中国教育科研网出口，又有其它商业营运网络出口。　高校的这种多出口局域网，基于对网络安全性的考虑，一般都将　ｗＷｗ服务器、Ｅｍａｉｌ服务器以及邱服务器等置于校园网内并将　服务器的出口路由指向教育网；内部普通上网用户访问公共网　络资源时优先使用网速较快的商业性营运网络出口（如网通、电　信等），访问教育网资源和部分国外资源（仅限教育网ＩＰ）时走教　・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●…・●　含的子树为１．３．６．１．４．１．２０１１．１０．２．８．即ｉｓｏ．ｏｒｇ．ｄｏｄ．ｉｎｔｅｍｅｔ．ｐｒｉｖａｔｅ．　ｈｕａｗｅｉ．ｈ３ｃ．ｈ３ｃＣｏｍｍｏｎ．ｈ３ｃＡｃｌ。　【Ｑｕｉｄｗａｙ】　ｓｎｍｐ—ａｇｅｎｔ　ｍｉｂ—ｖｉｅｗ　ｉｎｃｌｕｄｅｄ　ＭｉｂＳｅｃｅｎｇｉｎｅ　１．３．６．１．４．１．２０１　１．１０－２．８　≠≠配置ＳＮＭＰ　Ａｇｅｎｔ的团体，适用于ＳＮＭＰｖｌ及ＳＮＭＰｖ２版　本。团体名为ｉｄｓ，具有对视图ＭｉｂＳｅｃｅｎｇｉｎｅ的写权限。　【Ｑｕｉｄｗａｙ］　ｓｎｍｐ—ａｇｅｎｔ　ｃｏｍｍｕｎｉｔｙ　ｗｒｉｔｅ　ｉｄｓ　ｍｉｂ—ｖｉｅｗ　ＭｉｂＳｅｃｅｎｇｉｎｅ　≠≠配置ＳＮＭＰ　Ａｇｅｎｔ的组，组名为ｉｄｓ，采用ＳＮＭＰｖ３版本。　属于该组的用户传输报文时进行验证和加密．该组的用户具有对　视图ＭｉｂＳｅｃｅｎｇｉｎｅ的写权限。　【Ｑｕｉｄｗａｙ］ｓｎｍｐ—ａｇｅｎｔ　ｇｒｏｕｐ　ｖ３　ｉｄｓ　ｐｒｉｖａｃｙ　ｗｒｉｔｅ　Ｍｉｂｓｅｃｅｎ　ｎ。　≠≠配置ＳＮＭＰ　ａｇｅｎｔ的用户，采用ＳＮＭＰｖ３版本。用户名为ｉｄｓ，　属于ｉｄｓ组。采用ＭＤ５验证协议，验证密码为ｉｄｓ，加密协议为　ｄｅｓ５６，加密密码为ｉｄｓ。　【Ｑｕｉｄｗａｙ】　ｓｎｍｐ—ａｇｅｎｔ　ｕｓｍ—ｕｓｅｒ　ｖ３　ｉｄｓ　ｉｄｓ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ—　ｍｏｄｅ　ｒｏｄ５　ｉｄｓ　ｐｒｉｖａｃｙ　ｄｅｓ５６　ｉｄｓ　四、总结　配置生效后登录到设置联动的五个交换机上查看，都可以看　到与ＩＤＳ相关的阻断记录．说明交换设备已和ＩＤＳ产生了联动操　作。一周后再查看ＭＲＴＧ网络主干流量记录图表，可以看到除了　育网出口。　目前局域网多出口解决方案的常用技术有以下几种：　（１）代理服务器方式：该方式简单，设备要求和费用都很低，　不需要大规模地改变原有设备的连接和配置，但是该方式无法提　供某些网络应用服务，且不便于用户操作。　（２）策略路由技术方式：该方式一般通过在网络数据包转发　过程中分析其源ＩＰ地址或者目的ＩＰ地址，查找预定路由表，做出　相应的路由转发决策；有时还需按照特定的规则进行网络数据包　路由，而不是仅仅通过网络数据包目的ＩＰ地址来决定出口选择。　该方式比较灵活．一般来说可以基于源ＩＰ地址、目的ＩＰ地址、网　络数据包大小或者路由负载均衡等方式来实现策略路由。　由于ＩＰ地址不足，局域网一般采用私有ＩＰ地址，故在使用策　略路由时还须配合使用网络地址翻译技术（ＮＡＴ）。网络地址翻译　技术（ＮＡＴ）通过创建一张网络地址翻译表来记录每一个网络连　接的内部ＩＰ地址（源地址）和端口号、转换代理的ＩＰ地址（中间转　换地址）和端口号以及外网ＩＰ地址（目的地址）和端口号。在网络　在上网高峰期有明显的高流量波形出现，其它的流量显示较为平　稳；从ＳｏｌａｒＷｉｎｃｌｓ的“Ｎｅｔｗｏｒｋ　Ｍｏｎｉｔｏｒ”工具日志中可以看到，全　网的交换设备较为稳定，只有极个别的设备出现过中断，但很快　又恢复了连通。由此可见，用ＩＤＳ与交换设备联动来控制网络异　常流量取得了预期的效果。　在实施的过程中也发现存在以下问题：（１）用户对ＩＤＳ预定义　的规则依赖性强。一般ＩＤＳ产品也提供自定义规则的设置，但很　多网络管理员都对设置ＩＤＳ规则不太熟悉。（２）ＩＤＳ的规则是否会　存在错报和漏报．这也是一直以来大家所关注的问题。（３）联动设　备的处理能力有待提高。在测试过程中，当我们把ＩＤＳ所有的预　定义规则都用上的时候，发现联动交换设备相关主板ＣＰＵ使用　率极高，在９０％以上，而这时网络的正常通讯反而受到了影响。后　取消一些规则的使用，联动设备恢复正常。（４）在实际的使用中，　核心层交换机还接人了周边十几栋楼字（接人交换机），所以在核　心层交换机设置了联动功能，如果网络结构简明，核心交换机仅　作核心用，就不用开启联动功能，将有助于提高主干使用效率。　（Ｓ）ＩＤＳ监视端口可能存在丢包。虽然ＩＤＳ与核心交换机之间为干　兆链路，但所镜像的五个端口均为干兆端口。所以在网络使用高　峰期时可能会出现丢包现象。（６）从外网到ＤＭＺ区没有入侵检测　功能。由于ＩＤＳ部署在核心交换机上，对外网到ＤＭＺ的数据流不　能实施监测。⑩　２蚶ＯＯ６　惠８　０　年月

《农业网络信　￣．，５５２ｏｏ８年第６期　网络与电子商务／政务　基于策略路由的双出口校园网的实现　张其梁　（哈尔滨医科大学网络信息中心，黑龙江哈尔滨１５００８１）　摘要：本文介绍了基于策略路由的双出口校园网的实现，理论联系实际进行了分析、配置，较好地解决了混合ＩＰ组网的　校园网用户访问ＩＮＴＥＲＮＥＴ的问题。　关键词：策略路由；ｎａｔ；校园网建设　中图分类号：ＴＰ３９９　文献标识码：Ａ　文章编码：１６７２—６２５１（２００８）０６一Ｏ１１４－０３　Ｔｈｅ　ｒｅａｌｉｚａｔｉｏｎ　ｏｆ　ｔｏ　ｄｏｕｂｌｅ　ｅｘｐｏｒｔｓ　ｃａｍｐｕｓ　ｎｅｔｗｏｒｋ　ｂａｓｅｄ　ｏｎ　ｐｏｌｉｃｙ　ｒｏｕｔｉｎｇ　ＺＨＡＮＧ　Ｑｉ－ｌｉａｎｇ　（Ｎｅｔｗｏｒｋ　Ｃｅｎｔｅｒ，Ｈａｅｒｂｉｎ　Ｍｅｄｉｃａｌ　Ｕｎｉｖｅｒｓｉｔｙ，Ｈａｒｂｉｎ　１５００８１，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｔｈｉｓ　ａｒｔｉｃｌｅ　ｉｎｔｒｏｄｕｃｅｄ　ｔｈｅ　ｒｅａｌｉｚａｔｉｏｎ　ｏｆ　ｄｏｕｂｌｅ　ｅｘｐｏｒｔｓ　ｃａｍｐｕｓ　ｎｅｔｗｏｒｋ　ｂａｓｅｄ　ｏｎ　ｐｏｌｉｃｙ　ｒｏｕｔｉｎｇ．Ｃｏｍｂｉｎｉｎｇ　ｐｒａｃｔｉｃｅ　ｗｉｔｈ　ｔｈｅｏｒｙ　ｔｈｅ　ｎｅｔｗｏｒｋ　ｗａｓ　ａｎａｌｙｚｅｄ　ａｎｄ　ｃｏｎｆｉｇｕｒｅｄ，ａｎｄ　ｐｒｅｆｅｃｔｌｙ　ｒｅｓｏｌｖｅｄ　ｔｈｅ　ｐｒｏｂｌｅｍ　ｏｆ　ｕｓｅｒｓ　ａｃｃｅｓｓｉｎｇ　ｉｎｔｅｍｅｔ　ｉｎ　ａ　ｃａｍｐｕｓ　ｎｅｔｗｏｒｋ　ｗｉｔｈ　ｍｉｘｅｄ　ＩＰ　ａｄｄｒｅｓｓ．　Ｋｅｙ　ｗｏｒｄｓ：Ｐｏｌｉｃｙ　ｍｕｔｉｎｇ；Ｎａｔ；Ｃａｍｐｕｓ　ｂｕｉｌｄｉｎｇ　１　引言　随着互联网的不断发展，接入互联网的用户越来　越多，接入用户对网络的带宽速度，安全可靠性的要　求越来越高。大部分高校校园网接入的中国教育科研　网（ＣＥＲＮＥＴ）与中国公用互联网（ＣＨＩＮＡＮＥＴ）存　在着带宽瓶颈，互访速率很慢。教育网提供了一部分　免费地址，而对于其它地址的访问，是按照流量收费　的。网络流量（特别是国际流量）的不断增大，学校　需要支付高昂的费用。中国公用互联网ｆ以下简称公　网）通常是包月形式，无论学校使用的流量有多大，　每月固定收取一定费用，而且公网上有着大量丰富的　资源。所以许多高校纷纷采取同时接入ＣＥＲＮＥＴ和　ＣＨＩＮＡＮＥＴ，通过策略路由的方式．控制访问流量路　由，提高校园网访问速度和降低网络使用费用，充分　利用ＣＥＲＮＥＴ分配的ＩＰ地址资源和ＣＨＩＮＡＮＥＴ的高　速廉价的出口带宽资源。本文从理论上并且结合在哈　尔滨医科大学的具体应用对基于策略路由的双出口校　园网做一下介绍。　２需求与分析　哈尔滨医科大学的校园网（如图１所示）同时接　入了ＣＥＲＮＥＴ和中国网通（属于ＣＨＩＮＡＮＥＴ），拥有　ＣＥＲＮＥＴ分配的１６个Ｃ类ＩＰ地址段和中国网通分配　的２个Ｃ类的ＩＰ地址段。以华为Ｑｕｉｄｗａｙ　ＮｅｔＥｎｇｉｎｅ　４０为出口路由器，华为Ｑｕｉｄｗａｙ￥８５０５为核心交换　机，下接若于华为Ｑｕｉｄｗａｙ　ｓ５５１６汇聚交换机组成校　园网主干。为了管理和应用方便，校内的所有终端都　采用静态ＩＰ地址方式，校园网用户主要使用的地址是　ＣＥＲＮＥＴ提供的地址，其次是一部分私有地址。　辫１６　ＧＥ　收稿日期：２００８—０３—２０　作者简介：张其梁（１９８０一），男，助教，研究方向：网络通信，信息安全。　～１１４一