基礎教育專網(wǎng)方案課件

11中國電信陜西公司基礎教育專網(wǎng)方案技術實現(xiàn)方法說明用戶至上用心服務

customerfirstserviceforemost中國電信陜西公司基礎教育專網(wǎng)方案用戶至上用心服務

cus用戶至上用心服務

customerfirstserviceforemost一、基礎教育專網(wǎng)MPLS

VPN的整體結(jié)構說明；二、基礎教育專網(wǎng)的電信側(cè)局數(shù)據(jù)配置要求；三、省、市教育平臺的接入方案；四、學校幾種接入方案的實施說明；五、l2tpVPN撥號認證軟件的設置方法：用戶至上用心服務

customerfirstserv中國電信陜西公司用戶至上用心服務

customerfirstserviceforemost一、基礎教育專網(wǎng)MPLS

VPN的整體構架如下：中國電信陜西公司用戶至上用心服務

customerfi用戶至上用心服務

customerfirstserviceforemost二、基礎教育專網(wǎng)MPLS

VPN的電信側(cè)局數(shù)據(jù)配置要求如下：1、VRF以及相關參數(shù)：地市名稱VRF命名全省八地市相同CTVPN37009-SXJYT地市名稱RD命名CN2設備側(cè)4809：37009全省八地市城域網(wǎng)側(cè)6527X:37009省教育廳平臺65329:37009地市名稱RT命名CN2設備側(cè)4809：3700900全省八地市城域網(wǎng)側(cè)6527X:3700900

省教育廳平臺65329:3700900用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost設備名稱接口/子接口IP地址設備名稱接口/子接口IP地址省教育廳平臺待定/30CN2張家堡12416GE2/1/0/30咸陽中心局T128gei_6/1.1018/30CN2咸陽12416-1GE2/0/6.1017/30咸陽西郊T128gei_3/4.1012/30CN2咸陽12416-2GE2/1/1.1011/30寶雞大廈T128gei_3/4.1016/30CN2寶雞12416-1GE2/0/4.1015/30寶雞神農(nóng)T128gei_3/4.1010/30CN寶雞12416-2GE2/1/0.1019/30渭南中心局T128gei_2/2.1014/30CN2渭南12416-1GE2/2/3.1013/30渭南新大樓T128gei_2/2.1018/30CN2渭南12416-2GE2/1/2.1017/30漢中中心局T128gei_5/1.1012/30CN2漢中12416-1GE2/0/5.1011/30漢中西關T128gei_5/2.1016/30CN2漢中12416-2GE2/1/0.1015/30安康老樓T128gei_2/2.1010/30CN2安康12416-1GE1/0/5.1019/30安康新樓T128gei_2/3.1014/30CN2安康12416-2GE1/0/3.1013/30延安新大樓T128gei_5/3.1018/30CN2延安12416-1GE2/0/4.1017/30延安老局T128gei_5/3.1012/30CN2延安12416-2GE2/1/4.1011/30榆林老局T128gei_4/1.1016/30CN2榆林12416-1GE2/0/0.1015/30榆林新大樓T128gei_1/3.1010/30CN2榆林12416-2GE0/0/1.1019/30張家堡ASBR/VRR-2gei1/0/74/30CN2張家堡12416GE2/1/1.1013/30西華門ASBR/VRR-1gei1/0/78/30CN2西華門12416GE3/1/0.1017/302、各地市城域網(wǎng)ASBR與CN2的對接電路配置：（省平臺直掛CN2）用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost3、教育專網(wǎng)用戶流量評估和帶寬設計：1）第2條所列表格中的電路為城域網(wǎng)與CN2的對接電路，規(guī)劃為陜西電信大客戶跨域vpn組網(wǎng)的共有電路（通過VLAN區(qū)分不同的大客戶），不是教育專網(wǎng)的專用通道。（教育專網(wǎng)VLAN101）2）用戶流量模型設計：陜西教育專網(wǎng)組網(wǎng)中省教育廳平臺直接接入

CN2PE設備（CN2張家堡12416G2/1/0）；其余各地市用戶（各級教育機構和中小學校）采用城域網(wǎng)接入，用戶流量跨域通過CN2傳遞到省平臺，用戶對帶寬的需求主要是實時視頻流業(yè)務（視頻會議時）對帶寬的需求。3）用戶流量的評估：為滿足每個本地網(wǎng)至少100所中小學（學校陸續(xù)接入）每個小學278k/bps流量（峰值流量，只有教育廳召開教育系統(tǒng)視頻會議的時候）即2M帶寬的需求，目前需要每個本地網(wǎng)規(guī)劃200M的帶寬預留。由于每個地市兩條鏈路的承載，每條鏈路保障100M帶寬的QOS；教育專網(wǎng)組網(wǎng)帶寬設計：1）8個地市的城域網(wǎng)到CN2的鏈路，由于采用了雙條鏈路，所以每一條鏈路為教育廳專網(wǎng)保障100M帶寬的QOS保障；（共計16條鏈路）2）教育廳信息平臺直掛CN2PE設備，已經(jīng)占用了一個GE的端口，為減輕CN2的負擔，可以不必保障1G的QOS；由于教育廳召開全省學校視頻會議的時間比較少，所以QOS保障在500M就可以了。

用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost4、教育網(wǎng)IP地址分配：

1）各級教育信息平臺IP分配方案：教育廳中心平臺系統(tǒng)采用教育廳業(yè)務管理平臺-55(10.10/16prefix)，其中-預留給省教育廳中心平臺和各地市教育局平臺內(nèi)部使用，共32個C。/25用于中心平臺與CN2對接。專用DNS服務器地址分配：為便于記憶，將兩臺DNS服務器專網(wǎng)IP地址分別設為：和；每個市（區(qū)）分配2個C地址，省教育廳中心平臺占2個C地址，全省10個市區(qū)加省廳平臺，共用22個C地址，剩余地址留為備用。各市（區(qū)）業(yè)務管理平臺服務器專網(wǎng)IP地址分配如下：省平臺

/西安

/咸陽

/寶雞

/渭南

/安康

/商洛

/漢中

/榆林

/延安

/銅川

/用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost2）用戶業(yè)務使用地址，即各級教育機構、學校終端使用的IP地址。

業(yè)務使用地址建議采用B類私網(wǎng)地址，再進行子網(wǎng)劃分，這樣以來既有充足的IP地址可用，保證所有終端有IP地址可用，為以后擴容留下足夠的空間，也易于實現(xiàn)路由聚合，發(fā)布較少的路由信息去其他網(wǎng)絡。

由于各級教育機構及中小學采用互聯(lián)網(wǎng)的介入方式，所以業(yè)務使用地址不做規(guī)劃；地市 起始 結(jié)束 地址段西安 55 128渭南 55 16咸陽 55 16延安 55 16安康 55 8銅川 55 4商洛 55 8寶雞 55 24漢中 55 12榆林 55 24城域網(wǎng)與用戶對接的地址，隨著用戶大中小學校和教育局對教育專網(wǎng)的接入，各本地網(wǎng)維護部門可根據(jù)省公司的規(guī)劃，在大段地址里面規(guī)劃互聯(lián)地址，本著便于聚斂城域網(wǎng)內(nèi)路由條目的原則即可。用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost三、省、市教育平臺的接入方案：1、省平臺接入方案：省教育廳信息網(wǎng)絡平臺是所有設備均托管在我公司二長數(shù)據(jù)機房。華為高端防火墻E1000E作為信息平臺局域網(wǎng)的出口CE設備，調(diào)通到CN2PE的光纖，接入MPLSVPN教育專網(wǎng)。同時防火墻E1000E調(diào)通到城域網(wǎng)SR的光纖，作為NAT轉(zhuǎn)化代理所有教育廳信息平臺安全上互聯(lián)網(wǎng)。具體拓樸如下：用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost2、市教育局平臺接入方案：全省10個地市教育局信息網(wǎng)絡平臺，作為陜西基礎教育專網(wǎng)的豐富資源，就近接入各地市電信城域網(wǎng)。各市的信息平臺可以托管在各地的電信機房，也可以放置在各地市教育局。省教育廳和省電信公司按照協(xié)議，在每個地市的教育信息平臺出口配置華為高端防火墻E1000E，該設備最好托管在電信機房。該設備上行出兩條千兆線路（網(wǎng)線/光纖均可），一條線路作為CE設備接入城域網(wǎng)PE設備，成為MPLSVPN專網(wǎng)的接入端，綁定專網(wǎng)IP地址；另外一條線路作為各地市L2TPVPN的LNS服務器接入城域網(wǎng)SR，綁定互聯(lián)網(wǎng)IP地址。用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost3、市教育局平臺托管及防火墻LNS管理：1）如果市級教育局的信息平臺托管在電信機房，華為防火墻E1000E下行通過千兆線路連接信息平臺綁定專網(wǎng)IP地址。如果市級教育局的信息平臺放置在教育局，則需要調(diào)通一條從防火墻到教育局的專網(wǎng)線路綁定專網(wǎng)IP地址（帶寬由各地市教育局申請）。原教育局的互聯(lián)網(wǎng)線路不變。

2）防火墻EDOM1000E設備，即是市級教育信息平臺的安全網(wǎng)關，又承擔L2TPVPN的LNS服務器功能。該設備打開WEB控制功能，由各地市級的教育局通過WEB頁面遠程管理和控制本區(qū)域內(nèi)撥號用戶的帳戶；

3）10個地市的防火墻與城域網(wǎng)相連，使用的互聯(lián)IP地址為172網(wǎng)段，使用的L2TP撥號地址池為172網(wǎng)段，數(shù)據(jù)由各地的數(shù)據(jù)機房規(guī)劃，由集成公司負責配置。使用的撥號帳戶命名規(guī)則有專門的文件規(guī)定。在工程驗收后，要配置針對本地互聯(lián)網(wǎng)IP地址范圍的撥號限制。

用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost四、市、縣教育局、中小學校局域網(wǎng)接入基礎教育專網(wǎng)實現(xiàn)方式：1、第一類接入方式：針對區(qū)縣教育局有統(tǒng)一互聯(lián)網(wǎng)出口管理需求，并且已具備支持代理服務的設備條件。轄區(qū)內(nèi)學校首先通過電信線路接入教育專網(wǎng)，在此基礎上，接入專網(wǎng)的學?？赏ㄟ^縣教育局的代理設備訪問互聯(lián)網(wǎng)。該方式下，用戶局域網(wǎng)直接通過電信線路接入MPLSVPN教育專網(wǎng)，用戶局域網(wǎng)內(nèi)的終端電腦使用由當?shù)仉娦欧止竞徒逃种鞴懿块T共同管理分配的專網(wǎng)專用的IP地址。用戶局域網(wǎng)內(nèi)的終端電腦直接成為基礎教育專網(wǎng)的網(wǎng)內(nèi)主機。用戶訪問互聯(lián)網(wǎng)的需求通過縣教育局防火墻集中NAT轉(zhuǎn)換代理上互聯(lián)網(wǎng)。模型圖如下：用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost第一類接入方式的說明：

1）用戶具備區(qū)縣教育城域網(wǎng)的現(xiàn)狀，由市級教育局整理教育城域網(wǎng)的互聯(lián)網(wǎng)接口和基礎教育專網(wǎng)接口；2）學校局域網(wǎng)內(nèi)的終端可以使用172網(wǎng)段的規(guī)劃地址,也可以保持原有局域網(wǎng)地址不變,采用雙NAT雙路由代理的方式,如果采用使用代理方式,也是將172網(wǎng)段的專網(wǎng)地址轉(zhuǎn)換成原有局域網(wǎng)地址;

以延安教育局需求為例說明:1）延安教育城域網(wǎng)原統(tǒng)一互聯(lián)網(wǎng)出口將改變?yōu)橐钥h區(qū)為單位的互聯(lián)網(wǎng)出口，延安市教育信息網(wǎng)絡中心、十三個縣區(qū)教育信息平臺、四個市直學校，共18個互聯(lián)網(wǎng)出口。延安教育城域網(wǎng)內(nèi)各單位原來的私有IP不變，只需在各單位防火墻上將原來統(tǒng)一的私有IP接口地址改為電信公司提供的公網(wǎng)IP接口地址即可。2）延安市以縣區(qū)為單位接入省基礎教育專網(wǎng)，延安市教育信息網(wǎng)絡中心、十三個縣區(qū)教育信息平臺、四個市直學校，共18個省基礎教育專網(wǎng)接口。各單位接入省基礎教育專網(wǎng)，以省基礎教育專網(wǎng)統(tǒng)一規(guī)劃分配的IP地址為專網(wǎng)接口。3）縣區(qū)教育行政事業(yè)單位和下屬學校到縣區(qū)教育信息平臺的連接方式不做任何改變，具體線路租用事宜由縣區(qū)教育局與當?shù)剡\營商協(xié)商決定。延安教育城域網(wǎng)內(nèi)各終端用戶訪問互聯(lián)網(wǎng)或省基礎教育專網(wǎng)通過對應教育信息平臺的防火墻上策略路由（雙路由）來實現(xiàn)。用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost第二類接入方式：對不具備第一類需求條件的區(qū)縣，轄區(qū)內(nèi)學校首先通過電信線路接入互聯(lián)網(wǎng)，在此基礎上再接入基礎教育專網(wǎng)。具體有兩種方式,分別為1、MPLS+L2TP撥號方式和2、一根光纖承載雙業(yè)務方式。如下說明：1）MPLS+L2TP撥號方式：針對采用電信AD線路或者光纖接入互聯(lián)網(wǎng)的學校：

采用VPDN撥號認證方式接入基礎教育專網(wǎng)原理。該方式下，用戶現(xiàn)網(wǎng)通過靜態(tài)IP地址方式接入電信互聯(lián)網(wǎng)，在此基礎網(wǎng)上，用戶局域網(wǎng)內(nèi)需要上專網(wǎng)的終端電腦發(fā)起軟件撥號認證，建立到基礎教育專網(wǎng)LNS設備的L2TPVPN隧道，由專網(wǎng)LNS設備動態(tài)分配專網(wǎng)內(nèi)的IP地址，從而接入MPLSVPN基礎教育專網(wǎng)。用戶的終端電腦可實現(xiàn)根據(jù)需要同時訪問專網(wǎng)和互聯(lián)網(wǎng)資源。模型圖如下：用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost2）一根光纖雙業(yè)務方式：主要針對采用電信光纖接入互聯(lián)網(wǎng)的學校：

采用一根光纖承載兩個業(yè)務方式接入基礎教育專網(wǎng)原理。該方式下，用戶現(xiàn)網(wǎng)通過靜態(tài)IP地址、光纖線路方式接入電信互聯(lián)網(wǎng)，電信城域網(wǎng)設備為用戶分配一個Vlan號，并幫定一個三層互聯(lián)網(wǎng)接口。如果用戶申請采用一根光纖方式接入基礎教育專網(wǎng)，則根據(jù)用戶的局域網(wǎng)設備特點，為用戶實施兩種方式的配置模式：在原有城域網(wǎng)設備接口上為用戶分配第二個Vlan，并幫定VRF和專網(wǎng)地址；或者在原有VLAN上幫定第二個三層接口，綁定并幫定VRF和專網(wǎng)地址；模型圖如下：用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost第二類接入方式的說明：

1）如果學校采用MPLS+L2TP撥號方式，可以通過兩種方式實現(xiàn)，一種是每個需要上專網(wǎng)的終端電腦均使用VPN撥號軟件；一種是通過學校局域網(wǎng)的網(wǎng)關實現(xiàn)代理VPN撥號功能；2）如果學校采用一根光纖雙業(yè)務方式，可以通過兩種方式實現(xiàn)，一種是為學校局域網(wǎng)終端分配172網(wǎng)段的專網(wǎng)地址，一種是通過學校局域網(wǎng)的網(wǎng)關實現(xiàn)雙NAT代理功能，（能劃分第二虛擬路由器功能）；3）為方便學校接入，也不過分增加學校改造設備投資，通過西安85中的模型結(jié)構作以下說明，學校內(nèi)部終端不需要改變地址，但是可以使用軟件來完成網(wǎng)關的切換：前置交換機Internet、教育專網(wǎng)、高考專網(wǎng)、…INTER網(wǎng)核心交換機計算機1計算機2計算機3計算機4計算機5原路由器Router路由器Router/代理服務器教育專網(wǎng)高考專網(wǎng)路由器Router/代理服務器高考Sip網(wǎng)關。。。。。。WEB服務器FTP服務器辦公PCVPN服務器高考監(jiān)控平臺用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost4）一根光纖雙業(yè)務方式：推薦實現(xiàn)方法：

兩種模式：一根光纖雙vlan模式主要適合從二層（vlan）上區(qū)別兩種網(wǎng)絡接入的情況且學校局域網(wǎng)出口設備能支撐區(qū)別vlan；一根光纖雙三層接口模式主要適合從三層（IP地址）區(qū)別兩種網(wǎng)絡接入的情況，且學校局域網(wǎng)出口設備能配置兩個網(wǎng)關。根據(jù)其他地市的經(jīng)驗，學校局域網(wǎng)一般情況也不想改變原來的局域網(wǎng)地址規(guī)劃。所以，那么推薦第二種模式，即電信側(cè)在原學校接入端口上綁定VPNVRF和第二段IP地址（專網(wǎng)地址），學校側(cè)配置第二個NAT轉(zhuǎn)換和第二個網(wǎng)關。學校局域網(wǎng)內(nèi)的用戶可以根據(jù)自己的需求，選擇不同的網(wǎng)關路由，訪問不同的出口網(wǎng)絡。5）一根光纖雙業(yè)務方式：推薦技術實現(xiàn)步驟：1、如果用戶選擇在原電信光纖線路的基礎上實現(xiàn)同時接入基礎教育專網(wǎng)，應該由電信的售前支撐人員和學校的網(wǎng)管人員先進行評估，如果局域網(wǎng)出口為功能強的防火墻和路由器則不需要對出口改造；如果局域網(wǎng)出口為代理服務器則需要進行改造；2、采用雙業(yè)務方式，電信側(cè)和學校側(cè)的設備端口數(shù)據(jù)均要修改，所以學校的業(yè)務要受到影響。建議由學校和當?shù)仉娦攀紫冗M行測試后（確認學校設備功能），共同確定業(yè)務割接方案。實施接入需要在學校確定接入專網(wǎng)時間后，通知當?shù)仉娦啪郑谕粋€時間點上，電信局修改局端設備的端口數(shù)據(jù)，學校根據(jù)電信分配的專網(wǎng)IP，修改出口設備的端口數(shù)據(jù)和NAT代理數(shù)據(jù)。3、為方便學校局域網(wǎng)的管理，局域網(wǎng)內(nèi)的終端可以安裝IP切換器自動進行網(wǎng)關的切換。另外在學校局域網(wǎng)出口改造時可以利用華碩的3014系列、飛魚星系列等。

用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost3、第三類接入方式：對于學校網(wǎng)絡業(yè)務需求復雜多樣的情況，學?？芍苯优c當?shù)仉娦殴韭?lián)系通過網(wǎng)絡擴容接入基礎教育專網(wǎng)；學校申請專門的線路接入基礎教育專網(wǎng)，和現(xiàn)有的網(wǎng)絡接入物理分開。這種模式適合局域網(wǎng)規(guī)模大或者已經(jīng)存在特定網(wǎng)絡應用的單位。學?？筛鶕?jù)自己的需要規(guī)劃局域網(wǎng)的結(jié)構，合理安排局域網(wǎng)內(nèi)的終端電腦上不同的網(wǎng)絡，實現(xiàn)不同的網(wǎng)絡應用。學校不但可保障已有特定網(wǎng)絡業(yè)務不受影響，還可以自主發(fā)展網(wǎng)絡應用，而不是通過集中統(tǒng)一的出口管理。模型圖如下：用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost1）采用第二條線路接入基礎教育專網(wǎng)的優(yōu)勢與特點：學校根據(jù)網(wǎng)絡規(guī)模專門申請一條線路接入基礎教育專網(wǎng)。學校原有的網(wǎng)絡接入不受影響，原有互聯(lián)網(wǎng)應用不變，特別是網(wǎng)站應用等不受影響，學校可以自主發(fā)展在網(wǎng)絡上的教學活動；學?，F(xiàn)有互聯(lián)網(wǎng)網(wǎng)與基礎教育專網(wǎng)的接入明顯區(qū)分，保障了基礎教育專網(wǎng)的專網(wǎng)特性。安全性、可靠性高，對基礎教育專網(wǎng)的使用不受互聯(lián)網(wǎng)的影響；學校局域網(wǎng)內(nèi)的規(guī)劃也比較靈活，基礎教育專網(wǎng)的接入線路可直接接入局域網(wǎng)的主交換(繞開代理設備)，根據(jù)自己的需要規(guī)劃上專網(wǎng)的主機范圍。不需要和電信協(xié)商原線路的割接方案。電信公司對第二條線路的接入施行比較大的優(yōu)惠政策。2）采用第二條線路接入基礎教育專網(wǎng)的技術流程步驟：學校根據(jù)網(wǎng)絡規(guī)模專門申請第二條線路接入基礎教育專網(wǎng)。電信側(cè)響應客戶需求，根據(jù)專網(wǎng)的地址規(guī)劃為第二條線路分配專網(wǎng)的IP地址，并配置VPN端口數(shù)據(jù)；學校在第二條線路接入學校后，根據(jù)本身局域網(wǎng)的特點和管理需求靈活部安排礎教育專網(wǎng)的接入和局域網(wǎng)的管理。用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost4、關于基礎教育專網(wǎng)質(zhì)量保障對用戶接入方式帶寬選擇的要求意見：為保障基礎教育專網(wǎng)對網(wǎng)絡質(zhì)量的要求，特別是保障教育廳召開全省范圍內(nèi)的動態(tài)視頻會議的專網(wǎng)質(zhì)量。對用戶接入方式的選擇做如下規(guī)范建議:

1、單條ADSL線路接入，為保障動態(tài)視頻流質(zhì)量，最低申請帶寬4兆，最多承載5臺電腦規(guī)模的校園局域網(wǎng)。對于大于5臺規(guī)模的校園局域網(wǎng)，采用擴容的方法接入基礎教育專網(wǎng)；2、對于5臺以上，30臺以內(nèi)的校園局域網(wǎng)，可采用10兆帶寬以內(nèi)的光纖方式接入基礎教育專網(wǎng)；3、對于30臺以上，100臺以內(nèi)的校園局域網(wǎng)，可采用100兆帶寬以內(nèi)的光纖方式接入基礎教育專網(wǎng)；4、針對100臺以上的校園局域網(wǎng)，由于需要同時保障互聯(lián)網(wǎng)和基礎教育專網(wǎng)的質(zhì)量，建議采用擴容的方法接入基礎教育專網(wǎng)。建議學校根據(jù)自己接入基礎教育專網(wǎng)的網(wǎng)絡規(guī)模對應選擇以上四條所規(guī)范的接入方式和帶寬。對于接入基礎教育專網(wǎng)的網(wǎng)絡網(wǎng)絡規(guī)模超過規(guī)范所建議帶寬選擇的單位，電信不承諾其在基礎教育專網(wǎng)之內(nèi)的質(zhì)量保障。(方案網(wǎng)絡側(cè)的設備配置腳本參見下發(fā)的實施方案.)用戶至上用心服務

customerfirstserv用戶至上用心服務

customerfirstserviceforemost五、l2tp撥號認證軟件的設置方法：創(chuàng)建L2TP連接到遠程網(wǎng)絡注意由于Windows2000/xp系統(tǒng)缺省情況下啟動了IPSec功能，因此在發(fā)起VPN