魏育華 (廣州華立科技職業(yè)學(xué)院機電與自動化學(xué)部,廣州增城 511325)

基于PPDR模型的高校校園網(wǎng)網(wǎng)絡(luò)優(yōu)化與管理

魏育華 (廣州華立科技職業(yè)學(xué)院機電與自動化學(xué)部,廣州增城 511325)

從廣州華立科技職業(yè)學(xué)院院校園網(wǎng)的現(xiàn)狀和需求出發(fā),結(jié)合網(wǎng)絡(luò)設(shè)計目標和設(shè)計原則,深入分析了學(xué)院校園網(wǎng)網(wǎng)絡(luò)規(guī)模、應(yīng)用類型、用戶類型、管理需求和安全需求,利用技術(shù)選型,為學(xué)院新校區(qū)的網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)絡(luò)功能進行二期網(wǎng)絡(luò)工程項目改造,提出了有效的解決方案,從而使新、老校區(qū)更好的銜接,真正實現(xiàn)有效管理,提高了系統(tǒng)的穩(wěn)定性、可靠性及運營性,優(yōu)化網(wǎng)絡(luò)資源,提高網(wǎng)絡(luò)管理效率。

PPDR模型;校園網(wǎng);網(wǎng)絡(luò)優(yōu)化;網(wǎng)絡(luò)管理

為適應(yīng)現(xiàn)代化教育的發(fā)展需要,學(xué)校通過信息化建設(shè),把計算機應(yīng)用于學(xué)校的管理、辦公、教師備課、多媒體教學(xué)和發(fā)布校園新聞等等。通過連接教育網(wǎng)和Internet,可以查找資料并和其他院校共享資源,獲得更廣泛的合作,建設(shè)校園網(wǎng)并提供遠程教學(xué)和對外強有力的宣傳窗口,提高學(xué)校的影響力,讓更多的考生和家長了解學(xué)校[1]。信息化的建設(shè)和應(yīng)用,必將對學(xué)校的各個方面形成一種強有力的良性沖擊,從而使學(xué)校屹立于21世紀信息化浪潮的前沿?廣州華立科技職業(yè)學(xué)院院級教學(xué)質(zhì)量工程項目(華立職院[2013]10號)。。

1 需求分析

1.1 應(yīng)用需求

網(wǎng)絡(luò)應(yīng)用需求包括辦公、服務(wù)、教學(xué)、科研等4個方面,而學(xué)校不同具體的應(yīng)用需求也會有所不同。對辦公和服務(wù)方面的網(wǎng)絡(luò)設(shè)計應(yīng)考慮網(wǎng)絡(luò)帶寬的大小,對教學(xué)和科研方面其安全性、擴展性和穩(wěn)定性等問題是要著重考慮的[1]。所以,應(yīng)根據(jù)學(xué)校的實際情況來考慮網(wǎng)絡(luò)的應(yīng)用需求。常用的網(wǎng)絡(luò)應(yīng)用類型有網(wǎng)絡(luò)操作系統(tǒng)、OA、E-mail、BBS、視頻點播、無線局域網(wǎng)等。

1.2 用戶需求

1)用戶群體 校園內(nèi)有學(xué)生、教職工和家屬等群體,其中學(xué)生群體人數(shù)規(guī)模較大,其次是教職工,然后是家屬。

2)上網(wǎng)時間 學(xué)生早上上課前、午間休息、白天下課后、晚上和周末上網(wǎng)時間多一點,有一些是去圖書館用計算機查詢相關(guān)資料;教職工一般是在上班期間上網(wǎng);家屬一般是在下班后和周末上網(wǎng)。

3)網(wǎng)絡(luò)流量分析 根據(jù)用戶群體上網(wǎng)時間的不同,網(wǎng)絡(luò)流量出現(xiàn)不同的應(yīng)用特點,凌晨到早晨用戶一般較少,中午和晚上會出現(xiàn)流量高峰。

1.3 管理需求

一個好的網(wǎng)絡(luò)管理系統(tǒng)可以讓網(wǎng)絡(luò)管理人員更加經(jīng)濟高效地管理網(wǎng)絡(luò),優(yōu)化網(wǎng)絡(luò)資源,降低網(wǎng)絡(luò)運行維護成本。所以網(wǎng)絡(luò)管理系統(tǒng)必須具有拓撲管理、配置管理、性能管理、安全管理、報表統(tǒng)計等功能。

2 網(wǎng)絡(luò)設(shè)計目標

學(xué)院對校園網(wǎng)二期項目的建設(shè)目標是:建設(shè)一個集數(shù)據(jù)、語音、視頻服務(wù)于一體的高帶寬、多功能、多服務(wù)、開放的、多業(yè)務(wù)接入的IP多媒體交換園區(qū)網(wǎng)。該網(wǎng)信號要覆蓋學(xué)校所有區(qū)域,利用有線和無線技術(shù)使學(xué)校所有部門的計算機和數(shù)字化設(shè)備都能夠方便地連接到網(wǎng)絡(luò),將校園網(wǎng)作為一個整體通過寬帶接入到CHIANNET、CERNET,使Internet進入校園。同時,網(wǎng)絡(luò)在建成后,除了滿足自身的業(yè)務(wù)需求外,還應(yīng)該起到一個示范性、品牌性的社會效應(yīng)。

3 項目技術(shù)選型

根據(jù)以上分析,建設(shè)千兆主干已經(jīng)基本滿足目前學(xué)校對帶寬的需求,并可以保持2～3年的發(fā)展期,然后根據(jù)需要,再平滑地把核心骨干層提升到萬兆帶寬。核心交換機需要支持萬兆接口,并支持IPv6技術(shù),以便于網(wǎng)絡(luò)未來平滑地采用IPv6技術(shù)。

為了實現(xiàn)網(wǎng)絡(luò)的可靠性、擴展性和靈活性,在學(xué)院教學(xué)區(qū)采用扁平的兩層網(wǎng)絡(luò)結(jié)構(gòu),即接入層和骨干層,在學(xué)生生活區(qū)采用傳統(tǒng)的三層結(jié)構(gòu),即路由接入層、匯聚層和骨干層。

接入層則主要是提供最終10/100M的桌面接入,同時通過Vlan劃分等技術(shù)來保證用戶之間訪問的安全性,同時接入層還承擔(dān)了大量的本地數(shù)據(jù)流量。

匯接層主要由三層交換機和接入服務(wù)器構(gòu)成,其重要功能是提供接入層到骨干層的中繼,同時通過DHCP服務(wù)器來分配用戶的IP地址,使用路由協(xié)議實現(xiàn)VLAN間的路由,為本地的數(shù)據(jù)流提供高性能的交換。

骨干層主要采用高性能的多層交換機(交換路由器),建議使用千兆以太網(wǎng)作為傳輸主干,使用1Gbps/10Gbps以太網(wǎng)作為接入連接,其主要作用是提供主干上的高性能數(shù)據(jù)交換,以便為分散的各節(jié)點提供集中應(yīng)用。

4 網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計

學(xué)院二期項目工程包括新校區(qū)的網(wǎng)絡(luò)建設(shè)及老校區(qū)的網(wǎng)絡(luò)運營改造。新校區(qū)將新建一數(shù)據(jù)中心作為全?？偝隹?老校區(qū)將從新校區(qū)接入。原有網(wǎng)絡(luò)中心作為學(xué)院二級數(shù)據(jù)中心,主要管理老校區(qū)。

二期工程網(wǎng)絡(luò)中心配置了1臺萬兆核心交換機。未來根據(jù)網(wǎng)絡(luò)規(guī)模和應(yīng)用的發(fā)展,可以在信息點比較集中的地方增加核心交換機,核心交換機之間可以擴展到10G的鏈路帶寬。

根據(jù)現(xiàn)在的規(guī)劃需求,在學(xué)生宿舍區(qū)(8棟)采用傳統(tǒng)的三層網(wǎng)絡(luò)結(jié)構(gòu),每棟宿舍樓配置了匯聚交換機;每個匯聚交換機通過千兆鏈上聯(lián)到核心交換機;而在教學(xué)樓(2棟)、行政樓、2個活動中心則采用兩層網(wǎng)絡(luò)結(jié)構(gòu),即接入交換機直接通過光纖上聯(lián)到核心交換機。

接入交換機按照每個建筑物的樓層、分支配線間為單位進行配置,同一建筑物為單位進行配備,同一建筑物中安裝在同一地點的多于2臺的交換機根據(jù)情況采用堆疊方式,每個堆疊組中應(yīng)提供至少1個千兆端口。接入交換機向用戶提供10/100M或者可以做端口限速接入。目前采用的交換機均支持兩個端口的千兆上聯(lián),今后可以根據(jù)實際應(yīng)用,如果用戶需要較高的帶寬,或者需要冗余的鏈路,可以采用兩個千兆端口匯聚上聯(lián)。

新校區(qū)核心交換機各通過2個GE光纖鏈路連接到老校區(qū)的核心設(shè)備上,從而把老校區(qū)的用戶上網(wǎng)出口統(tǒng)一到新校區(qū)的核心交換機上。

5 網(wǎng)絡(luò)安全模型

一般安全模型是基于安全策略建立起來的。目前,多數(shù)網(wǎng)絡(luò)安全策略都是建立在認證、授權(quán)、數(shù)據(jù)加密和訪問控制等概念之上的。為了提高整個網(wǎng)絡(luò)的安全性能,學(xué)院二期項目工程采用基于PPDR的網(wǎng)絡(luò)安全解決方案。該方案包括Internet掃描組件、系統(tǒng)掃描組件、數(shù)據(jù)庫掃描組件、實時監(jiān)控制組件和套件決策軟件等內(nèi)容,可用于網(wǎng)絡(luò)安全的策略、保護、檢測、響應(yīng)等各個環(huán)節(jié)。筆者從3個大的方向加以考慮:事前加強網(wǎng)絡(luò)基礎(chǔ)架構(gòu)、事中快速反應(yīng)機制、事后安全審計。

5.1 事前加強網(wǎng)絡(luò)基礎(chǔ)架構(gòu)

1)在網(wǎng)絡(luò)出口處或者在網(wǎng)絡(luò)的每個安全域的邊界部署防火墻。防火墻設(shè)備在網(wǎng)落中起著非常重要的作用,具有安全防范、訪問控制和日志審計等功能,是整個網(wǎng)絡(luò)的主要安全屏障。

2)部署入侵檢測系統(tǒng)IDS。入侵檢測系統(tǒng)是防火墻的合理補充,它可擴展系統(tǒng)管理員的安全管理能力,提高信息安全基礎(chǔ)結(jié)構(gòu)的完整性,幫助管理員洞察網(wǎng)絡(luò)攻擊行為[2]。

3)訪問控制表(ACL)策略。高效的ACL控制功能可以用來保證網(wǎng)絡(luò)設(shè)備本身的安全,是一種由Policy Director使用的方法,它向安全域中的資源提供了細粒度保護,指定對受保護對象執(zhí)行操作所需的條件。

4)安裝能夠預(yù)先發(fā)現(xiàn)網(wǎng)絡(luò)安全隱患的評估系統(tǒng)。安全評估系統(tǒng)主要針對用戶系統(tǒng)內(nèi)部的各種安全漏洞實施漏洞掃描,借以檢查出系統(tǒng)中主機的安全隱患,并提供相應(yīng)的掃描結(jié)果報告,使用戶全面了解系統(tǒng)的安全狀況。

5)對用戶進行身份認證,包括有線接入用戶和無線移動接入用戶。同時,為了實時、準確、快速的定位用戶位置,可以考慮采用多屬性綁定功能加強對用戶的管理。

5.2 事中快速反應(yīng)機制

在新形勢下的網(wǎng)絡(luò)建設(shè),應(yīng)從網(wǎng)絡(luò)的各個層面、各個產(chǎn)品類型的角度考慮全防衛(wèi)的網(wǎng)絡(luò)安全。同時,安全網(wǎng)絡(luò)中的各個設(shè)備組成之間不是相互獨立的,而是互動式的,通過全新的聯(lián)動體系,將網(wǎng)絡(luò)的各個組成部分安全、可靠的互動起來,包括在事先部署的主動防御體系,如防火墻、入侵檢測IDS、安全評估系統(tǒng)、病毒防護系統(tǒng)、郵件安全系統(tǒng)等,從而為用戶提供一個完整的、互動式的安全網(wǎng)絡(luò)架構(gòu)[3]。

5.3 事后安全審計

安全審計系統(tǒng)必須實時監(jiān)測網(wǎng)絡(luò)上和用戶系統(tǒng)中發(fā)生的各類與安全有關(guān)的事件,如網(wǎng)絡(luò)入侵、垃圾郵件、內(nèi)部資料竊取、泄密行為、破壞行為、違規(guī)使用等,將這些情況真實記錄,并能對于嚴重的違規(guī)行為進行阻斷。所以在網(wǎng)絡(luò)設(shè)計之初,選擇防火墻、IDS、郵件過濾系統(tǒng)、防病毒軟件等設(shè)備時就必須考慮這些設(shè)備是否具備安全日志分析、流量報表分析等功能。

6 網(wǎng)絡(luò)管理

當(dāng)計算機網(wǎng)絡(luò)信息化跟工業(yè)化互相結(jié)合后,網(wǎng)絡(luò)管理就顯得非常重要,而網(wǎng)絡(luò)管理系統(tǒng)對于有效地進行網(wǎng)絡(luò)管理也起著非常重要的作用。通過網(wǎng)絡(luò)管理系統(tǒng)加強對網(wǎng)絡(luò)的監(jiān)管,實現(xiàn)積極、主動地網(wǎng)管,及時進行網(wǎng)絡(luò)的管理維護,預(yù)先安排網(wǎng)絡(luò)的維護計劃,對網(wǎng)絡(luò)的運行進行預(yù)警分析,保障業(yè)務(wù)系統(tǒng)的正常運轉(zhuǎn);及時掌握網(wǎng)絡(luò)的故障情況,并分析其中的規(guī)律;實時監(jiān)測網(wǎng)絡(luò)性能,對網(wǎng)絡(luò)異常情況進行追蹤[4]。

在沒有網(wǎng)絡(luò)管理的情況下,網(wǎng)絡(luò)故障的維護往往是當(dāng)業(yè)務(wù)系統(tǒng)出現(xiàn)問題時,網(wǎng)絡(luò)管理人員才去查找網(wǎng)絡(luò)故障原因,使得網(wǎng)絡(luò)維護工作總是處于被動狀態(tài),影響了業(yè)務(wù)服務(wù)水平,增加了網(wǎng)絡(luò)管理部門的壓力。如果能在系統(tǒng)出現(xiàn)故障時及時發(fā)現(xiàn)并定位故障的原因和位置,就能為快速排除故障節(jié)省寶貴的時間,避免網(wǎng)絡(luò)故障對業(yè)務(wù)系統(tǒng)的影響,進而提高網(wǎng)絡(luò)管理水平和效率。

筆者采用的網(wǎng)絡(luò)管理系統(tǒng)是一個面向電信網(wǎng)絡(luò)和企業(yè)網(wǎng)絡(luò)的綜合網(wǎng)絡(luò)管理系統(tǒng),采用電信網(wǎng)絡(luò)與IP網(wǎng)絡(luò)結(jié)構(gòu)相結(jié)合的管理體系架構(gòu)設(shè)計,具有管理多個網(wǎng)絡(luò)、系統(tǒng)及企業(yè)的能力,支持網(wǎng)絡(luò)拓撲管理、故障管理、配置管理、性能管理、服務(wù)器管理、安全管理、報表管理、客戶管理、網(wǎng)絡(luò)用戶認證管理等功能[5]。

7 結(jié)語

該方案是根據(jù)學(xué)院現(xiàn)行的網(wǎng)絡(luò)結(jié)構(gòu)規(guī)劃的可實施方案,不但優(yōu)化了現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu),還實現(xiàn)了不同認證方式的統(tǒng)一管理和不同校區(qū)認證計費的統(tǒng)一管理,同時用二次認證方式解決了出口流量過大導(dǎo)致網(wǎng)速過慢的問題,從根本上解決因為新校區(qū)搶占了帶寬而導(dǎo)致老校區(qū)網(wǎng)速慢的問題,從而使新舊校區(qū)的網(wǎng)絡(luò)更好地結(jié)合和充分地利用起來。

[1]李明.論校園網(wǎng)絡(luò)規(guī)劃設(shè)計的若干問題[J].成才之路,2009(2):25.

[2]劉曄.企業(yè)網(wǎng)絡(luò)信息安全研究[J].中國科技信息,2006(20):15-16.

[3]清華紫光比威公司.網(wǎng)絡(luò)的動感地帶[J].信息安全與通信保密,2003(9):61-62.

[4]教育信息化.武昌區(qū)教育城域網(wǎng)解決方案[EB/QL].http://www.edu.cn/jiejue_fangan_1635/20060323/t20060323_123606.shtml, 2005-04-21.

[5]北大青鳥網(wǎng)絡(luò)工程師培訓(xùn).國內(nèi)主要網(wǎng)絡(luò)管理軟件[EB/QL].http://www.beidaqingniao.org/edu/edu/1755.html,2012-10-25.

[編輯] 張濤

TP393.07

A

1673-1409(2014)22-0039-03

2014-04-01

魏育華(1983-),男,碩士,工程師,現(xiàn)主要從事計算機應(yīng)用、計算機網(wǎng)絡(luò)方面的教學(xué)與研究工作。