基于多運營商共建共享的高校網絡建設方案研究與實現

孫中全

(滁州職業技術學院，安徽滁州 239000)

隨著網絡應用的日益增長，教育信息化進程的快速發展，用戶對網絡帶寬資源的需求越來越大，學校需要花費大量資金租用ISP(互聯網服務提供商)手中的網絡資源，卻仍然不能滿足校園網用戶的上網需求，由此高校開始接納運營商參與校園網絡的建設和運維。高校與單運營商合作建設校園網，由一家運營商承擔校園網所有投資，雖然在管理、技術方面更簡單、更容易實現，但這種做法往往會讓校方處在輿論的風口浪尖。從國家政策上看，不提倡單運營商的合作機制，工信部《關于規范基礎電信運營企業校園電信業務市場經營行為的意見》《工業和信息化部關于進一步規范基礎電信運營企業校園電信業務市場經營行為的意見》等都已經明確表明：禁止電信企業與學校等各級教育機構或下屬部門簽訂排他性合作協議(含口頭協議)，不得禁止或限制競爭對手進入校園開展電信業務營銷活動。因此，高校與多運營商合作建設校園網，由多家運營商共同投資建設，是當前高校校園網建設的主流。

1 當前校園網建設存在的問題

校園網改造建設需要投入大量的人力、物力，高職院校多正處于建設發展的初期，建設資金不足、專業技術人員缺乏，大部分院校引入電信運營商投入資金、人力和物力等，共同參與校園網絡建設，運營商利用高校學生資源，通過辦理帶寬、手機業務獲取利益，與學校實現共贏。

現階段多運營商參與校園網建設運維模式主要存在著以下一些問題：各運營商之間網絡相互獨立，重復投資建網，資源浪費嚴重，維護管理比較困難；校園網絡出口無法統一，用戶帳號無法統一，有線無線網絡無法統一；學生寬帶接入方式受限，上網行為和上網時間無法監管；缺少安全審計日志，發生網絡安全事件而無法追查，不符合公安部以及網絡安全法等相關要求。傳統網絡運維模式及出口路由策略無法很好地解決以上問題，急需尋求新的網絡技術和突破口，重新規劃和建設校園網絡。

校園網絡主要包括教學辦公區和學生宿舍區，教學辦公區由學院自建自維護，學生宿舍區由電信和移動兩家運營商各自獨立投資建設，各自維護自家網絡，最終導致學生宿舍橋架網絡線路較多，房間內線路混亂，若出現問題，則故障排除困難，安全隱患較大，宿舍網絡重復投資建設，資金浪費較大，寬帶資源得不到合理利用，學生上網行為得不到監管，在管理、維護期間運營商之間易發生沖突和矛盾。加之后期，聯通運營商的寬帶可能接入，移動網絡技術的快速發展，無線網絡建設迫在眉睫，學生宿舍區橋架也已無法容納后期網絡建設發展需求，教學辦公區和學生宿舍區無法互連互通，學生不能訪問校內教學資源，教師無法監管學生。因此，亟待尋求一種新的網絡技術建設方案，將運營商各自獨立建設的宿舍網絡和教學辦公網絡整合在一起，來解決當前發展中遇到的諸多困難和問題。

2 新校園網建設思路和方案

本文依托我校校園網現狀，針對校園網絡由多家運營商參與建設運維造成的諸多問題，提出了以學校信息技術中心牽頭，寬帶運營商投資建設，通過在一條物理線路上實現多家業務共同運營的總體解決思路和方案，將不同運營商終端用戶進行基于帳號的分組，從而選擇對應的運營商出口線路，通過利用路由準入準出策略、路由策略、分流技術，使各運營商寬帶業務流量完全隔離，實現終端用戶數據報文選擇各自對應寬帶運營商出口線路，本方案主要基于銳捷設備及相關信息管理平臺，校園網絡拓撲如圖1所示。

圖1 校園網絡拓撲圖

極簡出口區：由兩臺高性能出口路由器組成互備方案形式，接有電信、聯通、移動、教育網出口寬帶ISP運營商。

極簡核心區：由兩臺現行主流核心交換機通過虛擬交換單元技術(Virtual Switch Unit，VSU)將兩臺核心虛擬化成一臺，實現統一管理和熱備，整網采用“扁平化”的大二層結構。

極簡運營區：主要由網絡相關認證管理系統組成，主要有引擎、認證計費、運維綜合管理等相關業務系統組成。

數據中心：由于該層主要存放數據、門戶網站、信息系統等，用戶訪問量較大，歸屬于組網建設中安全重點保護區，部署了安全防火墻以及網絡加速等設備，以確保數據安全和訪問速度高效、通暢。

教學辦公和學生宿舍區：主要由三層交換和接入交換機組成，有充足的網絡接口數量，保障和延續了后期網絡的擴展需要。

3 主要實現原理和設備配置

3.1 實現原理

以電信終端寬帶10M用戶上網為例，其它運營商終端用戶上網實現方式和配置相同；在安全出口設備上配置電信10M用戶組和寬帶速率，配置該組用戶訪問控制列表并設置與電信出口相對應的策略路由，通過計費認證系統SAM+相結合匹配，實現動態的、基于用戶角色訪問控制的、帶寬控制的用戶上網模式，實現在一條物理線路上各自用戶從對應運營商寬帶出口準入和準出，且各自流量相互隔離，互不干擾，保障了運營商之間的各自利益。

3.2 設備主要配置

出口設備：

CZC-RSR7708X (config)#user-group DX10M//創建DX10M用戶組名稱

CZC-RSR7708X (config)#ip access-list extended 100 //配置訪問控制列表

CZC-RSR7708X (config-ext-nacl)#permit ip user-group DX10M any //將電信10M用戶組放入該訪問控制列表

CZC-RSR7708X (config)#interface gigabitEthernet 1/0/1 //進入電信寬帶出口接口

CZC-RSR7708X (config-if-GigabitEthernet 1/0/1)#ip rate-control base-account 100 bandwidth both 1280//配置該組用戶為10M寬帶速率

計費認證系統SAM+：

在計費認證系統SAM+上配置接入控制出口聯動策略內容名稱與出口設備配置的用戶組名DX10M相一致，出口聯動配置如圖2所示，圖3為對不同運營商的終端用戶分組設備和管理。

圖2 出口聯動配置

圖3 終端用戶分組配置

核心設備主要配置：

CZC-N18010 (config)#auth-mode gateway //配置網關模式，完成后需重啟

CZC-N18010(config)#snmp-server host 10.202.1.22 informs version 2c ruijie //配置N18K同SAM+的snmp交互

CZC-N18010 (config)#web-auth template eportalv2 //配置portal服務器，進行聯動

CZC-N18010 (config.tmplt.eportalv2)#ip 10.202.1.23

CZC-N18010(config.tmplt.eportalv2)#urlhttp∶//10.202.1.23/eportal/index.jsp

CZC-N18010 (config)#station-move permit //開啟1x認證遷移

CZC-N18010 (config)#web-auth station-move auto //開啟web認證遷移

CZC-N18010 (config)#web-auth station-move info-update

4 測試驗證

對各運營商終端用戶上網數據報文進行逐一測試，驗證不同用戶組的用戶上網數據報文是否會選擇對應運營商寬帶網絡出口進行報文轉發，下面分別選取電信用戶組張三用戶(圖4)和聯通用戶組李四用戶(圖5)的終端設備，對他們各自上網出口數據報文進行測試驗證，使用tracert命令，對訪問百度同一個網站進行路由跟蹤。

圖4 張三用戶路由測試

圖5 李四用戶路由測試

簡述上述不同用戶組用戶訪問同一網站的數據報文路由跟蹤結果：

電信組用戶張三訪問百度網站的數據報文到達IP地址為10.200.1.2的出口設備后，下一跳轉發至183.167.211.145的IP地址，此地址為電信運營商的IP地址，結果證明電信組用戶訪問公網，數據報文選擇電信ISP線路進行轉發。

聯通組用戶李四訪問百度網站的數據報文到達IP地址為10.200.1.2的出口設備后，下一跳轉發至58.243.98.217的IP地址，此地址為聯通運營商的IP地址，結果證明聯通組用戶訪問公網，數據報文選擇聯通ISP線路進行轉發。

根據結果測試證明，在同一物路線路上實現了不同運營商終端用戶訪問公網時的數據報文轉發，可以通過相關網絡技術、策略路由技術以及相關配套軟件系統進行聯動，多運營商共建共享的校園網絡組網方案得到了驗證。

5 結語

本文描述了終端用戶上網方式的路由實現原理及相關網絡技術，實現了多運營商統一出口設備，完成了基于校園網用戶組的多路徑選擇方案，最后通過路由跟蹤測試驗證了方案的可行性，解決了多運營商共同參與高校校園網絡建設難題，實現了高校與運營商共建共享共贏的目標，本方案對高校校園網的運維、管理，都具有很好的借鑒意義，是未來高校校園網建設、運維、管理的一種新模式。