大二層按需構(gòu)建靈活的精細(xì)化的校園網(wǎng)絡(luò)

按需構(gòu)建靈活的、精細(xì)化的校園網(wǎng)絡(luò)議題傳統(tǒng)高校校園網(wǎng)絡(luò)分析新型校園網(wǎng)的目標(biāo)和思路新型校園網(wǎng)技術(shù)實(shí)現(xiàn)高校的煩惱

2

創(chuàng)新的壓力監(jiān)管的壓力管理的壓力高校高校校園網(wǎng)最關(guān)注的方面業(yè)務(wù)、應(yīng)用、用戶的承載能力政策和法律法規(guī)的要求管理維護(hù)工作量和難度這些方面是不同區(qū)域不同規(guī)模的學(xué)校所共同關(guān)注的，網(wǎng)絡(luò)架構(gòu)和業(yè)務(wù)部署模式?jīng)Q定了問題存在的必然性大車?yán)●R，小馬拉大車頭疼醫(yī)頭，腳痛醫(yī)腳核心層匯聚層接入層用戶接入相互隔離速率限制802.1X接入控制DHCP偵聽動(dòng)態(tài)ARP檢測(cè)IPv4三層終結(jié)IPv6三層終結(jié)單播、組播控制ACLQoSVPN高速轉(zhuǎn)發(fā)傳統(tǒng)校園網(wǎng)“倒掛”的構(gòu)架現(xiàn)有校園網(wǎng)中經(jīng)常面臨的問題網(wǎng)絡(luò)病毒的傳播和感染，控制手法匱乏ARP欺騙帶來的大面積影響，控制手法匱乏網(wǎng)絡(luò)資源的公平性欠缺——部分人下載占據(jù)大量出口帶寬，影響他人的網(wǎng)絡(luò)訪問和學(xué)習(xí)無法實(shí)現(xiàn)差異化的服務(wù)——網(wǎng)絡(luò)層的簡(jiǎn)單互通，無法針對(duì)不同群體用戶實(shí)現(xiàn)不同的服務(wù)管理維護(hù)工作量的增加，網(wǎng)段多故障過于分散扁平化精細(xì)化平臺(tái)化下一代校園網(wǎng)"新思路，新方法"扁平化用戶接入VLAN隔離IPv4/IPv6雙棧線速轉(zhuǎn)發(fā)IPv4/IPv6雙棧組播控制ACL、速率限制QoSVPN基于用戶的認(rèn)證接入和控制業(yè)務(wù)控制層寬帶接入層QinQVLAN隔離大車和小馬各司其職，各盡所長(zhǎng)更高效更穩(wěn)定更省錢扁平化帶來的優(yōu)勢(shì)控制集中、部署簡(jiǎn)單、擴(kuò)展方便由能力最強(qiáng)，功能最豐富的核心設(shè)備提供業(yè)務(wù)控制和管理豐富的功能較好的性能穩(wěn)定、可靠匯聚/接入設(shè)備，則提供其力所能及的基本功能只提供基本的二層VLAN隔離功能無需支持新的業(yè)務(wù)和功能降低設(shè)備投資（數(shù)量眾多！）由于功能簡(jiǎn)單，因此更加穩(wěn)定可靠全網(wǎng)投資的下降，運(yùn)行成本（電力、空調(diào)）成本的大幅降低網(wǎng)絡(luò)架構(gòu)更易于擴(kuò)展和管理精細(xì)化用戶可分、可離行為可控、可審應(yīng)用可知、可保精細(xì)化控制制傳統(tǒng)的校園園網(wǎng)是粗放放型的網(wǎng)絡(luò)絡(luò)只是滿足了了基本的網(wǎng)網(wǎng)絡(luò)互聯(lián)互互通的需求求，但缺乏乏相應(yīng)的審審計(jì)和控制制手段用戶之間互互相影響，，網(wǎng)絡(luò)中的的攻擊泛濫濫，如ARP攻擊/DHCP仿冒/IP仿冒；用戶只要接接上網(wǎng)絡(luò)，，就能獲得得網(wǎng)絡(luò)的使使用權(quán)，整整個(gè)訪問過過程沒有針針對(duì)性的記記錄、審計(jì)計(jì)和基于用用戶的控制制，導(dǎo)致了了網(wǎng)絡(luò)的無無序使用網(wǎng)絡(luò)使用沒沒有實(shí)名制制，用戶訪訪問行為沒沒有記錄，，出現(xiàn)問題題無法追查查；缺乏針對(duì)性性的控制，，網(wǎng)絡(luò)帶寬寬被大量占占用，重要要應(yīng)用得不不到帶寬保保障；難以實(shí)現(xiàn)靈靈活的用戶戶控制、如如基于身份份、時(shí)間、、位置等……用戶的精細(xì)細(xì)化控制的的手段基于邏輯接接口實(shí)現(xiàn)每個(gè)接入端端口在核心心設(shè)備上對(duì)對(duì)應(yīng)一個(gè)邏邏輯接口在接口上提提供速率限限制、訪問問權(quán)限控制制等能夠基于每每個(gè)用戶實(shí)實(shí)現(xiàn)基于用戶的的身份，在在用戶認(rèn)證證時(shí)動(dòng)態(tài)下下發(fā)控制屬屬性，對(duì)用用戶的訪問問速率、權(quán)權(quán)限等進(jìn)行行控制能夠基于不不同類型的的接入方式式開放/關(guān)閉相應(yīng)的的業(yè)務(wù)功能能由于AP的性能問題題，建議關(guān)關(guān)閉IPv4/IPv6multicast業(yè)務(wù)僅開放單播播業(yè)務(wù)平臺(tái)化網(wǎng)絡(luò)中心業(yè)務(wù)控制層層接入交換機(jī)機(jī)MX960AMX960BMX960CInternetCernet用戶認(rèn)證帶寬/ACLRadiusPortal數(shù)據(jù)中心出口平臺(tái)化QinQ和地址規(guī)劃劃Vlan1-24Vlan1-24Vlan1-24增加外層標(biāo)標(biāo)簽1001增加外層標(biāo)標(biāo)簽1002增加外層標(biāo)標(biāo)簽100310011-2410021-2410031-24提供IPv4/IPv6雙棧的終結(jié)和控控制功能無需IPv6支持無需IPv6支持IPv4address：/24IPv6address：2001:10ad::1/64基于于WEBPortal（IPoE）的的用用戶戶接接入入認(rèn)認(rèn)證證網(wǎng)絡(luò)絡(luò)中中心心業(yè)務(wù)控制層接入交換機(jī)MX960AMX960BMX960C認(rèn)證計(jì)費(fèi)速率控制權(quán)限控制行為管理……InternetCernet用戶認(rèn)證帶寬/ACL流程：1，用戶側(cè)通通過DHCP獲得IP地址，在MX上相應(yīng)生成demux用戶接口；2，用戶demux接口的默認(rèn)權(quán)權(quán)限是特定的的資源，當(dāng)訪訪問其他資源源時(shí)，通過httpredirect重定向到portal頁面上；3，用戶在portal頁面上輸入用用戶名和口令令，認(rèn)證成功功后，radius系統(tǒng)下發(fā)屬性性，調(diào)用定義義的訪問策略略，對(duì)用戶的的demux端口口進(jìn)進(jìn)行行控控制制，，開開放放用用戶戶特特定定的的訪訪問問權(quán)權(quán)限限；；Radius+Portal網(wǎng)絡(luò)絡(luò)中中用用戶戶的的統(tǒng)統(tǒng)計(jì)計(jì)和和分分析析（（僅僅DHCP，無無需需用用戶戶認(rèn)認(rèn)證證））IPv6組播播情情況況統(tǒng)統(tǒng)計(jì)計(jì)—按照照頻頻道道統(tǒng)統(tǒng)計(jì)計(jì)校園園網(wǎng)網(wǎng)有有線線無無線線一一體體化化的的實(shí)實(shí)現(xiàn)現(xiàn)以MX為核核心心的的有有線線無無線線一一體體化化校校園園網(wǎng)網(wǎng)SinglefabricusingVirtualChassistechnologyMXAccessLayer10GbEserversPoEPoE10GEwithLAGWLC-2800MP-532APsCUG全校校有有線線無無線線一一體體化化認(rèn)認(rèn)證證Aruba6000_masterAruba6000_EAruba6000_WAruba6000_NAC60004臺(tái)AP1200多臺(tái)基于每每個(gè)用用戶的的管理理（僅僅DHCP，無需需用戶戶認(rèn)證證）PortVLANSubscriberInterfaceSubscriberInterfaceVLANSubscriberInterfaceSubscriberInterfaceCUG基于瘦客客戶端的的應(yīng)用案案例地大在其其瘦客戶戶端上開開發(fā)了一一些特性性功能，，如提供供了用戶戶多項(xiàng)出出口選擇擇功能：：提供給學(xué)學(xué)生自由由自主的的上網(wǎng)平平臺(tái)和環(huán)環(huán)境，同同時(shí)也提提供了部部分用戶戶的認(rèn)證證直接進(jìn)進(jìn)入VPN，如圖書書館；計(jì)費(fèi)的實(shí)實(shí)現(xiàn)（基基于時(shí)長(zhǎng)長(zhǎng)、流量量）基于Netflow的精細(xì)化化流量分分析和計(jì)計(jì)費(fèi)功能能后臺(tái)數(shù)據(jù)據(jù)庫，針針對(duì)帳號(hào)號(hào)及Channel的復(fù)合記記錄校園網(wǎng)不不再是““黑盒子子”用戶相互互隔離多業(yè)務(wù)功功能支持持細(xì)致的控控制行為識(shí)別別追蹤遠(yuǎn)程實(shí)時(shí)時(shí)診斷基于Netflow的精細(xì)化化流量分分析和計(jì)計(jì)費(fèi)功能能用戶賬單單查詢，，上網(wǎng)時(shí)時(shí)間及流流量等內(nèi)內(nèi)容，都都區(qū)分了了非優(yōu)惠惠和優(yōu)惠惠方式；；流量日志每每隔5—10秒增量備份份一次，保保存在專門門的備份目目錄里面，，目前保存存時(shí)長(zhǎng)是一一年；用戶認(rèn)證進(jìn)進(jìn)入不同的的MPLSVPN[edit]lab@CUG-MX960-RE1#showrouting-instances?Possiblecompletions:DMTJS_GL_VPNRoutinginstancename————多媒體教室室VRFNMA_GL_VPNRoutinginstancename————網(wǎng)管VRTSG_GL_VPN_700Routinginstancename————圖書館VRFUnit_Server_Storage_VPNRoutinginstancename—————服務(wù)器存儲(chǔ)儲(chǔ)的VRFWireless_AP_GL_VPNRoutinginstancename—————無線AP/AC互聯(lián)的VRFYKT_GL_VPN_902Routinginstancename——————一卡通VRFto_3A-PortalRoutinginstancename——————forward，做FBF的filterto_TSG_GL_VPNRoutinginstancename——————virtual-router，IPoE直接接入圖圖書館VPNto_dianxinRoutinginstancename——————forward，做FBF的filterto_jiaoyuRoutinginstancename——————forward，做FBF的filterto_wangtongRoutinginstancename——————forward，做FBF的filter。。。。。。。MX960上面建立了了多種VPN，有VRF、VR、Forwarding；地質(zhì)大學(xué)目目前正在部部署“節(jié)能能水電VRF”，管理全全校水電信信息；核心交換機(jī)機(jī)匯聚交換機(jī)機(jī)接入交換機(jī)機(jī)…………接入控制：：帳號(hào)+IP＋MAC＋端口接入入時(shí)時(shí)段段控控制制認(rèn)證證計(jì)計(jì)費(fèi)費(fèi)報(bào)報(bào)文文上網(wǎng)網(wǎng)業(yè)業(yè)務(wù)務(wù)數(shù)數(shù)據(jù)據(jù)認(rèn)證證客客戶戶端端交換機(jī)接入控制用戶戶Web自助助服服務(wù)務(wù)器器SAMServer數(shù)據(jù)據(jù)庫庫Server計(jì)費(fèi)費(fèi)管管理理系系統(tǒng)統(tǒng)INTERNETFW接入入交交換換機(jī)機(jī)接入入控控制制技技術(shù)術(shù)———802.1X1、交交換換機(jī)機(jī)彼彼此此兼兼容容性性問問題題網(wǎng)絡(luò)絡(luò)設(shè)設(shè)備備不不兼兼容容、、擴(kuò)擴(kuò)展展功功能能不不兼兼容容2、終終端端問問題題，，不不適適應(yīng)應(yīng)當(dāng)當(dāng)今今終終端端接接入入方方式式客戶戶端端不不兼兼容容，，安安全全特特性性不不兼兼容容；；3、計(jì)計(jì)費(fèi)費(fèi)策策略略問問題題旁掛掛架架構(gòu)構(gòu)沒沒法法對(duì)對(duì)流流量量實(shí)實(shí)施施細(xì)細(xì)分分計(jì)計(jì)費(fèi)費(fèi)策策略略，，無無法法提提供供復(fù)復(fù)雜雜計(jì)計(jì)費(fèi)費(fèi)策策略略；；只能能按按照照時(shí)時(shí)長(zhǎng)長(zhǎng)計(jì)計(jì)費(fèi)費(fèi)，，802.1X的流流量量統(tǒng)統(tǒng)計(jì)計(jì)都都是是基基于于交交換換機(jī)機(jī)端端口口的的；；4、多多節(jié)節(jié)點(diǎn)點(diǎn)的的管管理理問問題題較為為分分散散的的控控制制點(diǎn)點(diǎn)，，不不利利于于進(jìn)進(jìn)行行整整網(wǎng)網(wǎng)的的運(yùn)運(yùn)營(yíng)營(yíng)管管理理及及控控制制5、影響響低低端端接接入入交交換換機(jī)機(jī)運(yùn)運(yùn)行行的的穩(wěn)穩(wěn)定定性性接入入控控制制技技術(shù)術(shù)———802.1X接入入控控制制技技術(shù)術(shù)———PPPoEserversradius認(rèn)證證計(jì)計(jì)費(fèi)費(fèi)CernetBRAS設(shè)備備接入入控控制制技技術(shù)術(shù)———PPPoE1、專專有有客客戶戶端端需需求求，，不不適適應(yīng)應(yīng)當(dāng)當(dāng)今今無無客客戶戶接接入入方方式式2、PPPoE封裝裝和和解解封封裝裝，，帶帶來來效效率率的的降降低低；；3、組組播播的的天天然然缺缺陷陷，，非非純純IP報(bào)文文，，組組播播支支持持不不好好；；接入入控控制制技技術(shù)術(shù)———網(wǎng)關(guān)關(guān)WEB認(rèn)證證Cernet網(wǎng)關(guān)關(guān)認(rèn)認(rèn)證證系系統(tǒng)統(tǒng)AC控制器接入控制制技術(shù)——網(wǎng)關(guān)WEB認(rèn)證1、只是在在出口網(wǎng)網(wǎng)關(guān)位置置實(shí)現(xiàn)控控制；2、無法感感知和解解決內(nèi)網(wǎng)網(wǎng)的安全全問題；；3、無法對(duì)對(duì)內(nèi)網(wǎng)用用戶進(jìn)行行精細(xì)化化的控制制；4、基于優(yōu)優(yōu)化的PC架構(gòu)，無無法實(shí)現(xiàn)現(xiàn)性能的的提升，，已為運(yùn)運(yùn)營(yíng)商所所棄用。。接入控制制技術(shù)——IPoE方式提供ALL-IN-ONE融合的認(rèn)認(rèn)證功能能DHCPv4DHCPv6DHCP+Portal認(rèn)證PPPoE認(rèn)證報(bào)文觸發(fā)認(rèn)證L2TP認(rèn)證PPPoEv4PPPoEv6IPv4overL2TPIPv6overL2TPIPv4PTSPIPv6PTSP02010304基于WEBPortal（IPoE）的用戶接入入認(rèn)證網(wǎng)絡(luò)中心業(yè)務(wù)控制層接入交換機(jī)全面的校園網(wǎng)網(wǎng)精細(xì)化管理理方案MX960AMX960BMX960C認(rèn)證計(jì)費(fèi)速率控制權(quán)限控制行為管理……InternetCernet用戶認(rèn)證帶寬/ACL流程：1，用戶側(cè)通通過DHCP獲得IP地址，在MX上相應(yīng)生成demux用戶接口；2，用戶demux接口的默認(rèn)權(quán)權(quán)限是特定的的資源，當(dāng)訪訪問其他資源源時(shí)，通過httpredirect重定向到portal頁面上；3，用戶在portal頁面上輸入用用戶名和口令令，認(rèn)證成功功后，radius系統(tǒng)下發(fā)屬性性，調(diào)用定義義的訪問策略略，對(duì)用戶的的demux端口進(jìn)行控制制，開放用戶戶特定的訪問問權(quán)限；Radius+Portal校園網(wǎng)實(shí)名制制和計(jì)費(fèi)功能能的實(shí)現(xiàn)實(shí)名制是校園園網(wǎng)精細(xì)化發(fā)發(fā)展的方向能夠做到用用戶身份和和網(wǎng)絡(luò)行為為的一一對(duì)對(duì)應(yīng)能夠做到基基于用戶角角色的控制制能夠?qū)崿F(xiàn)用用戶訪問網(wǎng)網(wǎng)絡(luò)的計(jì)費(fèi)費(fèi)功能能夠提供審審計(jì)功能，，做到有據(jù)據(jù)可查MX系列核心路路由器支持持用戶管理理功能，在在作為核心心路由器的的同時(shí)，提提供用戶接接入網(wǎng)絡(luò)時(shí)時(shí)的認(rèn)證、、控制和計(jì)計(jì)費(fèi)功能核心路由用戶管理MX部署方案A物理結(jié)構(gòu)：：三層（核核心、匯聚聚、接入））核心層匯聚層接入層校園網(wǎng)業(yè)務(wù)務(wù)控制層部署方案B物理結(jié)構(gòu)：：三層（核核心、匯聚聚、接入））核心層匯聚層接入層部署方案C物理結(jié)構(gòu)：：三層（核核心、匯聚聚、接入））核心層匯聚層接入層QinQ和地址規(guī)劃劃Vlan1-24Vlan1-24Vlan1-24增加外層標(biāo)標(biāo)簽1001增加外層標(biāo)標(biāo)簽1002增加外層標(biāo)標(biāo)簽100310011-2410021-2410031-24提供IPv4/IPv6雙棧的終結(jié)和控控制功能無需IPv6支持無需IPv6支持IPv4address：/24IPv6address：2001:10ad::1/64海量配置的的自動(dòng)生成成校園網(wǎng)采用用了VLAN細(xì)分的方式式大量的VLAN帶來了大量量的配置基于模板的的auto-configIPv6的實(shí)名制和和精細(xì)化控控制SLAAC（簡(jiǎn)單、兼容）PPPoE（實(shí)名制、精細(xì)控制認(rèn)證、客戶端）DHCP（實(shí)名制、精細(xì)控制，如何兼容）MXsupportDHCPv6IPv6組播的實(shí)現(xiàn)現(xiàn)MX核心路由器器能夠?qū)崿F(xiàn)現(xiàn)基于硬件件的IPv6組播復(fù)制，，支持每板板卡4000并發(fā)用戶同同時(shí)在線觀觀看視頻節(jié)節(jié)目Cernet華東北節(jié)點(diǎn)點(diǎn)測(cè)試驗(yàn)證證無需匯聚接接入設(shè)備支支持IPv6組播核心匯聚Cernet2邊界路由由器接入以MX為核心的有線線無線一體化化校園網(wǎng)SinglefabricusingVirtualChassistechnologyMXAccessLayer10GbEserversPoEPoE10GEwithLAGWLC-2800MP-532APsCUG全校有線無線線一體化認(rèn)證證AP和AC建立二層隧道道，用戶所有有DHCP報(bào)文經(jīng)AP和AC6000透?jìng)髦罬X960，從而獲取相相應(yīng)地址（流流程跟有線IPoE一致）；MX960上建立WirelessVRF，負(fù)責(zé)所有AP和AC之間的互通；；讓無線用戶戶流量在專用用VPN里面?zhèn)鬏?，跟跟普通有線業(yè)業(yè)務(wù)流量隔離離開；MX960負(fù)責(zé)所有無線線用戶的IPoE接入認(rèn)證，策策略下發(fā)；AC6000根據(jù)接入AP和SSID，將不同AP/SSID用戶劃入相應(yīng)應(yīng)上行子接口口；WirelessVRFL2tunnelTrunk可靠性的保證證：多機(jī)箱動(dòng)動(dòng)態(tài)分擔(dān)MX960-1匯聚交換機(jī)匯聚交換機(jī)MX960-2可靠性的保證證：多機(jī)箱虛虛擬化匯聚交換機(jī)匯聚交換機(jī)MX960VirtualChassis一卡通、科研研專網(wǎng)的承載載N平面是指在同同一個(gè)物理平平臺(tái)上構(gòu)建出出多個(gè)邏輯上上完全獨(dú)立的的網(wǎng)絡(luò)平臺(tái)，，這些網(wǎng)絡(luò)平平臺(tái)和主網(wǎng)絡(luò)絡(luò)平臺(tái)具有相相同的功能系統(tǒng)C系統(tǒng)A系統(tǒng)B江西高校應(yīng)用用案例高校應(yīng)用案例例高校應(yīng)用案例例9、靜夜夜四無無鄰，，荒居居舊業(yè)業(yè)貧。。。12月月-2212月月-22Friday,December23,202210、雨中黃葉葉樹，燈下下白頭人。。。09:27:5409:27:5409:2712/23/20229:27:54AM11、以我獨(dú)獨(dú)沈久，，愧君相相見頻。。。12月-2209:27:5409:27Dec-2223-Dec-2212、故人人江海海別，，幾度度隔山山川。。。09:27:5409:27:5409:27Friday,December23,202213、乍乍見見翻翻疑疑夢(mèng)夢(mèng)，，相相悲悲各各問問年年。。。。12月月-2212月月-2209:27:5509:27:55December23,202214、他他鄉(xiāng)鄉(xiāng)生生白白發(fā)發(fā)，，舊舊國(guó)國(guó)見見青青山山。。。。23十十二二月月20229:27:55上上午午09:27:5512月月-2215、比不了得就就不比，得不不到的就不要要。。。十二月229:27上上午12月-2209:27December23,202216、行動(dòng)出成果果，工作出財(cái)財(cái)富。。2022/12/239:27:5509:27:5523December202217、做做前前，，能能夠夠環(huán)環(huán)視視四四周周；；做做時(shí)時(shí)，，你你只只能能或或者者最最好好沿沿著著以以腳腳為為起起點(diǎn)點(diǎn)的的射射線線向向前前。。。。9:27:55上午午9:27上午午09:27:5512月-229、沒有失失敗，只只有暫時(shí)時(shí)停止成成功！。。12月-2212月-22Friday,December23,202210、很多事情努努力了未必有有結(jié)果，但是是不努力卻什什么改變也沒沒有。。09:27:5509:27:5509:2712/23/20229:27:55AM11、成功就是是日復(fù)一日日那一點(diǎn)點(diǎn)點(diǎn)小小努力力的積累。。。12月-2209:27:5509:27Dec-2223-Dec-2212、世間成事事，不求其其絕對(duì)圓滿滿，留一份份不足，可可得無限完完美。。09:27:5509:27:5509:27Friday,December23,202213、不不知知香香積積寺寺，，數(shù)數(shù)里里入入云云峰峰。。。。12月月-2212月月-2209:27:5509:27:55December23,202214、意意志志堅(jiān)堅(jiān)強(qiáng)強(qiáng)的的人人能能把把世世界界放放在在手手中中像像泥泥塊塊一一樣樣任任意意揉揉捏捏。。23十十二二月月20229:27:55上上午午09:27:5512月月-2215、楚塞三三湘接，，荊門九九派通。。。。十二月229:27上午午12月-2209:27December23,202216、少年十五五二十時(shí)，，步行奪得得胡馬騎。。。2022/12/239:27:5509:27:5523Dece