校園扁平化集中管理方案-教育文博

校園扁平化集中管理方案-教育文博

導(dǎo)讀：隨著學(xué)校對(duì)現(xiàn)代信息化建設(shè)的投入越來(lái)越大，越來(lái)越多的業(yè)務(wù)已經(jīng)承載在校園網(wǎng)中為學(xué)生老師提供大量的應(yīng)用。隨著學(xué)校對(duì)現(xiàn)代信息化建設(shè)的投入越來(lái)越大，越來(lái)越多的業(yè)務(wù)已經(jīng)承載在校園網(wǎng)中為學(xué)生老師提供大量的應(yīng)用。這些業(yè)務(wù)系統(tǒng)對(duì)于學(xué)校來(lái)說(shuō)雖然是一個(gè)相對(duì)開(kāi)放的網(wǎng)絡(luò)，但是學(xué)校并不是一個(gè)天然的網(wǎng)吧，需要對(duì)任何接入的終端用戶實(shí)施有效的管理，目前校園一般具有兩種管理策略：基于身份認(rèn)證的準(zhǔn)入管理和基于身份認(rèn)證的準(zhǔn)出管理，兩者功能不一，前者通過(guò)身份驗(yàn)證授權(quán)用戶訪問(wèn)校園網(wǎng)，實(shí)現(xiàn)了入網(wǎng)即認(rèn)證，而后者則授權(quán)用戶訪問(wèn)internet，并配合流控及計(jì)費(fèi)完成學(xué)校對(duì)于用戶的精細(xì)化管理。很顯然基于身份認(rèn)證的準(zhǔn)出管理無(wú)法保障校園內(nèi)網(wǎng)的安全性，所以要做到有效的校內(nèi)安全管理，準(zhǔn)入認(rèn)證必不可少，H3C通過(guò)對(duì)高校準(zhǔn)入認(rèn)證的問(wèn)題提出了自己的扁平化方案。挑戰(zhàn)：校園安全一直是各高校信息部門(mén)最為關(guān)注的問(wèn)題，這些安全問(wèn)題大量來(lái)自與ARP攻擊、ND攻擊等，同時(shí)也面臨著校園用戶在外或在內(nèi)BBS論壇上發(fā)標(biāo)非法言論或其他網(wǎng)絡(luò)違規(guī)行為，解決這一問(wèn)題最好的解決方案就是做用戶之間的隔離，同時(shí)做實(shí)名制的接入認(rèn)證。但是由于802.1qvlan僅僅只支持4K個(gè)用戶VLAN所以使得在每個(gè)用戶隔離上遇到了瓶頸，同時(shí)由于對(duì)于學(xué)校的入口-----接入交換機(jī)，大量的設(shè)備意味著需要大量的配置及管理，這將消耗太多的人力和時(shí)間成本。解決方案及價(jià)值實(shí)現(xiàn)H3C充分了解用戶的需求，并提出了自己的扁平化認(rèn)證解決方案，很好的滿足了用戶安全管理、簡(jiǎn)單運(yùn)維等需求。方案如圖：[y1]安全的基準(zhǔn)PUPV：方案中利用了QINQ的雙層VLAN特性，將接入層設(shè)備的用戶VLAN嵌套在外層VLAN中，實(shí)現(xiàn)了4K*4K個(gè)用戶VLAN的擴(kuò)展，使得能很好的滿足學(xué)校用戶與用戶之間隔離的需求，從根本上斷絕了ARP/ND攻擊保障了校園網(wǎng)絡(luò)的安全性。全面的接入認(rèn)證技術(shù)H3C扁平化方案中采用的BRAS設(shè)備支持目前最全面的認(rèn)證技術(shù)，無(wú)論學(xué)校原有的認(rèn)證技術(shù)是Portal、PPPoE、IPoE、或者M(jìn)AC認(rèn)證，其都能給予良好的支持，使得用戶在改造中能夠?qū)崿F(xiàn)平滑的切換。簡(jiǎn)化配置：在傳統(tǒng)方案中，如果學(xué)校需要添加接入認(rèn)證，那么必須在校園網(wǎng)的入口，即接入交換機(jī)上進(jìn)行認(rèn)證的配置，而學(xué)校的接入交換機(jī)成百上千，給予管理員太大的工作量，極大增加了管理成本，而扁平化方案中，所有的配置全部集中到核心的BRAS設(shè)備上，大大簡(jiǎn)化了網(wǎng)絡(luò)配置，真正打造極簡(jiǎn)網(wǎng)絡(luò)架構(gòu)。IPv6簡(jiǎn)單升級(jí)對(duì)于老校區(qū)的改造，升級(jí)IPv6一直是一件痛苦的事情，傳統(tǒng)方式學(xué)校需要對(duì)于接入或者匯聚進(jìn)行升級(jí)以獲得設(shè)備對(duì)于雙棧協(xié)議的支持，而大量的接入與匯聚改造不僅增加了設(shè)備的采購(gòu)成本，同時(shí)重新配置如此龐大的設(shè)備也讓學(xué)校運(yùn)維人員望而卻步，而在集中式認(rèn)證的組網(wǎng)方式下，所有的匯聚、接入均處于一個(gè)大二層的環(huán)境，實(shí)現(xiàn)了IPv6的自然透?jìng)?。這樣不僅節(jié)約了用戶的成本，還使得用戶配置大大簡(jiǎn)化，極好的契合了目前高校的需求。準(zhǔn)入準(zhǔn)出統(tǒng)一認(rèn)證當(dāng)校園添加了準(zhǔn)入認(rèn)證以后與原有的認(rèn)證系統(tǒng)（準(zhǔn)出認(rèn)證）將形成兩套不同的認(rèn)證模式（校園網(wǎng)內(nèi)不計(jì)費(fèi)，訪問(wèn)外網(wǎng)計(jì)費(fèi)）；傳統(tǒng)的模式將部署兩臺(tái)不同的認(rèn)證設(shè)備，而H3C扁平化技術(shù)提供的ITA特性讓網(wǎng)絡(luò)的簡(jiǎn)化發(fā)