一種基于課表的無線網絡訪問控制策略設計

龔文濤， 郎穎瑩

(中國石油大學(華東) 信息化建設處1,教育發展中心2, 青島 266580)

0 引言

隨著學校信息化建設步伐的不斷深入，校園網建設從規模和深度均有加強，從單一的有線網變成了無線網和有線網融合的園區網，接入設備從單一的臺式電腦和筆記本逐步發展為手機和各種移動終端，如何將校園網中的無線網和有線網做到認證的融合，如何有效管理校園網中的學生網賬號，在教學區和辦公區及學生區實現差異化的網絡計費控制策略變成一個研究熱點和難點[1、2]。

有線網絡區域的認證計費主要是通過有線網中的認證設備檢測學生用戶上網請求包，依據認證的賬號和密碼信息對其能否上網做出判決，最基本的認證模式是基于按月計費的認證模式，有的高校開啟了認證依托流量來計費，隨著有線網和無線網的不斷深入建設[3、4]，有線網和無線網的架構如何融合，認證如何有效聯動，如何對學生上網賬號做好精細化的認證計費管理變成一個研究難點，高校網絡管理人員和建設人員面對日益龐大無序的賬號管理任務，如何協調好網絡建設和網絡管理的關系變得必要和重要[5]。

本文分析和總結了校園網中有線網和無線網的架構及相互關系，提出了一種基于課表聯動的認證計費控制策略，為靈活和精細化管理學生賬號在教學區的上網認證計費提供了思路。

1 學生網絡架構及認證流程需求設計

1.1 學生有線網架構

學生網絡架構介紹：單就學生網絡內部來說，是典型的3層架構，核心、匯聚及接入等3個層次，具體來說在學校的學生宿舍有線網絡里，有一臺學生核心、4臺學生匯聚、分布近50個學生接入機房，所有接入機房的接入交換機達到近300臺，每個學生宿舍有的住6人，有的住4人，需要通過小型的交換機接入到學校的交換機端口上。

校園網絡架構，如圖1所示。

學生匯聚中將所有的接入Vlan的網關設置在匯聚層面，核心和匯聚層走路由，而接入交換機通過配置靜態默認路由指向匯聚的管理接口地址，實現了學生網絡的內部互聯互通。

為進一步豐富學生宿舍網絡資源，學校還特意引入了運營商的資源，包括聯通的出口資源及移動公司的無線硬件資源等，通過校企合作，豐富了學校網絡資源，擴展了學校網絡規模，豐富了廣大學生的學習和生活網絡資源，減少了學校建網成本，然而，多種用戶組下的統一管理變得日益復雜，需求也更加迫切，從學校管理層面，要求能夠對學校的每一個在網注冊的學生的信息和賬號做到精確的管理，避免社會上非學校人員進入學校網絡，將學校網絡整體打造為一個相對內部放開，對外封閉的利于學生學習和生活的網絡平臺。需要對學生在網用戶的認證計費提出更加高的要求和更加嚴格的標準。

圖1 學生網絡架構圖

1.2 無線網絡架構

隨著學校無線網絡的不斷深入建設，在學校教學區的每一個教室，已經布設了無線網絡，依據教室大小和人數多少來規劃布設的AP的數量。

目前學校針對不同需求布設了3種不同類型的無線AP，室外公共區域選擇了布設室外AP，其特點是性能優越，通過天線將信號覆蓋到學校熱點區域。第一期建設布設了44個室外AP，主要覆蓋了學校的熱點步行街，包括學校北門、南門、講堂群等教學區域附近、逸夫樓、圖書館、體育館等重要的公共場所，覆蓋了圖文中心、文理樓、工科樓A座B座C座D座等4座學院樓宇等重要的科研區域、辦公區域，AP露天布置，外面有特制的小柜子作為防護，下接電源模塊到特制的交換機網口上。

教學區域布設了無線，其架構主要是通過光纖將接入pppoe交換機下聯到無線AP中，廣大教工和學生通過無線AP實現上網。目前學校無線已經涵蓋了所有教室，以講堂群為例，如拓撲圖2所示。

圖2 教學區無線架構圖

大部分公共區域，諸如活動室和會議室均已經有無線網絡覆蓋，這樣豐富廣大教工和學生的學習和生活的網絡資源的同時，也加大了網絡管理部門的認證管理難度。

1.3 基于有線鏈路的無線網

校園網歷經數十年發展，有得今日規模，有線覆蓋全校園網的房間，無線網絡起步較晚，建設力度較大，目前覆蓋了校園網中所有教學區域，所有學校會議室和重點公共區域，諸如圖書館和逸夫樓會議室等，覆蓋了校園熱點街道。

無線網需要光纖解決鏈路問題，結合有線網絡豐富的鏈路資源，部分無線網絡需要和有線網絡融合，從核心層面說：無線網絡需要借助有線網的物理鏈路資源，需要借助有線網絡校園核心和重要匯聚。從接入層面說：因為無線網絡分布范圍廣，分布離散性，使得其光纖鏈路成本和交換機成本均居高不下，目前借助有線網絡，將無線網絡融合到有線網中，將無線網VLAN透傳到現有接入辦公網絡接入交換機和學生區域接入交換機中，無線網絡大部分流量通過有線鏈路將全校無線網絡互聯起來，有線網和無線網做到了融合統一，統一的身份計費和訪問權限控制，統一的賬號管理。

1.4 學生統一賬號認證流程

所有學生均能夠通過學生唯一指定合法賬號一卡通來實現網絡的開通和注銷工作，所有在校生有且僅有一個一卡通，有且僅有一個上網賬號。

通過唯一賬號來完成網絡上網權限管理，學生網分為校園網普通教育網、校園網聯通組和校園網移動組。為此，不同的組的學生制定不同的網絡訪問權限。訪問的對象包括有線網和無線網，而通常的上網計費流程，如圖3所示。

圖3 無線網管認證架構

學生請求通過通道登錄無線，其認證計費信息要發送到無線計費服務器，計費服務器通過后，才允許其上網，而無線網管則是管理所有無線AP的核心設備。

默認的認證流程如下：認證計費通過互動方式，每個學生在上網的時候，主動彈出一個portal認證頁面，通過該頁面來輸入用戶名和密碼，授權服務器將認證后的信息反饋回學生，若是賬號或者密碼錯誤，則拒絕其上網，否則，允許其上網。

2 基于上課時間的無線網控制策略設計

2.1 認證控制策略思路

為做到學生上網賬號和上課時間的聯動綁定，需要將學生上網賬號和學生課表信息對接關聯起來，需要在課表數據庫里面抽取每一個在網注冊學生用戶，每隔一段很小時間，可以設定幾分鐘來讀取其是否有課，重點區域在每節課的上課前10分鐘，將所有有課學生的賬號踢下線，這樣能夠完成對學生賬號上課期間不能夠使用無線網的功能。

2.2 基于上課時間的默認控制策略

就學生賬號在上課期間內，在無線網絡范圍下管理其上線或者下線的管理流程，其學生賬號的認證思路有如下兩種，第一種是基于默認上課期間關閉上網功能的認證思路，其流程如下：

第一步：學生在有無線覆蓋的地方，打開WLAN，選擇發布的SSID，比如學校的無線特定標示。

第二步：打開認證頁面，輸入用戶名和密碼，默認的用戶名和密碼是和有線網絡使用的同一個用戶名和密碼。

第三步：學生用戶輸入用戶名和密碼后，將其信息發送給認證服務器，認證服務器遍歷后臺數據庫中的數據表和相應字段，找到該用戶名和密碼，若是錯誤，發送錯誤報，此次登陸認證被拒絕，其登陸行為結束，否則，跳到第四步。

第四步：依據特定的時間周期，檢查其課表是否有課，若有課，則提示其上課時間不能夠上網，否則，允許其登陸網絡。

第五步：依據時間檢測，若其在上課時間，則讓其下線。

第六步：基于課表的一種聯動，通過實時監控和精細化管理，避免學生在課堂中沉迷無線網絡。

2.3 基于上課老師靈活授權的上網控制策略

這是在前面環節認證管理的思路的基礎上，結合新課程和網絡新技術的發展需求，有教師可以更加靈活授課方式的，有教師需要在上課期間利用網絡的，可以發展為更加靈活的，將上課時間能否上網的權限交送給上課的老師，由任課老師來決定其是否在上課時間上網的權限，具體的認證流程如下：

第一步：老師在申請教室和具體的課程時間的時候，有一個選擇是否“允許學生上課期間上網”的選項按鈕，默認該按鈕是關閉的，也即默認不讓學生上課上網.轉到第二步。

第二步：若是老師認為學生上無線很必要，能夠較好完成課程知識的查詢及授課的互動，可以在網絡上更加靈活和便捷教授學生，則老師可以選擇學生上課，則學生在上課時間內是可以上網的，跳到第第三步，如果老師認為開了網絡后，學生上網沉迷，比較難控制，或者不需要網絡了，則將其上網的按鈕關閉，跳到第四步。

第三步：學生可以在上課期間，憑借其賬號上網。

第四步：學生在老師點擊關閉上課上網網絡后，將指令發送給認證服務器，服務器依靠下線指令，將特定教室特定時間點的學生的在線或者上線的賬號剔除，讓其下線，則學生不可以上網。

依托該兩種課表管理機制結合后，可以靈活控制學生在無線區域的上課課程的聯動，可以讓其便捷地控制學生賬號上網的時間。

3 總結

本文分析和總結了高校網絡架構和學生宿舍網絡賬號情況，針對復雜網絡環境下的多元組的賬號的精確管理需求，提出了一種基于課表的網絡訪問權限管理機制。

通過基于課表的網絡訪問權限管理機制，學校網絡管理者能精細化控制和管理學生上網賬號上無線網絡的權限，對基于安全的精細化網絡管理在訪問控制環節中夯實了基礎，能夠靈活控制學生上網的時間，能夠依據課程授課老師的需求來開放或者關閉學生上網的訪問權限，一定程度強化了對學校網絡管理的精細度，提升了網絡管理水平。