校园网防火墙核心,中国海洋校园网目前状况

摘 要：中国海洋大学目前的校园网建设完成于2006年8月。经过几年来的使用，网络结构、核心设备性能等出现一些理由，已经不能完全满足目前的运用需求。对中国海洋大学校园网的目前状况以网络结构、核心设备、路由设置、安全设置等方面进行了详细的论述，并对有着的理由进行了有效的浅析。
关键词：校园网；网络浅析；网络优化；网络结构
中图分类号：TP393文献标志码：A文章编号：1673-8454(2012)09-0029-04
一、引言
校园网络是以计算机网络技术为基础的区域教育信息化集成运用系统。它是以计算机网络技术为基础、以网络教育资源与网络教育软件为核心、以构建现代教育和管理方式为目的、以提高教学与管理效益为根本、为学校教育信息化提供全方位服务的教育网络。
随着网络技术的不断进展，人们对网络也有着不同的需求和解决案例。传统的校园网建设中，需要优先解决的理由是校园网内部较为简单的互联互通运用的需求，因此主要对校园网的互联带宽和网络设备的端口密度提出了要求。而随着用户数量越来越多，校园网的运用类型和业务种类越来越丰富，网络流量越来越复杂，对网络设备本身在实际运用中的性能、多业务支持和保障能力以及网络的稳定可靠性方面都提出了更高的要求。
中国海洋大学校园网作为中国教育科研和计算机网（简称CERNET）的全国38个主干节点之一，承担着青岛主节点的建设任务，担负着青岛地区教育机构接入CERNET的保障工作。随着接入学校（或部门）、接入用户的增加，青岛主节点接入CERNET的2.5G出口容量日趋紧张，面对着10G扩容的要求。同时随着下一代互联网（IPv6）的迅猛进展，青岛地区各高校接入中国教育科研IPv6网络（ＣＥＲＮＥＴ２）也势在必行。

二、中国海洋大学校园网目前状况

中国海洋大学校园网由崂山校区网络、鱼山校区网络和浮山校区网络组成，目前的校园网建设完成于2006年8月，采用了万兆核心、汇聚双万兆上联的骨干网络，基本实现了用户百兆、千兆到桌面的接入，三校区之间通过光纤环型链接实现万兆互联，校园网网络拓扑结构如图所示，即使某个链路发生故障也不会影响到三校区的互通，具有较好的冗余度和可靠性。在网络安全管理和用户管理方面采取了虚拟网络、访问制约小学语文教学论文、防火墙、流量管理系统、网络防病毒系统、网络计费管理系统等安全措施。在下一代互联网建设方面，校园网每一个用户都可以通过双栈方式实现IPv6访问。校园网上采取的各种技术措施、安全措施为运转小学数学教学论文在校园网络上的各种教学活动和教学管理系统提供了一定的技术保障。

1.网络结构

三个校区之间校园网络采用万兆环网互联。
崂山校区网络采用三层网络架构，即核心层、汇聚层和接入层。核心层网络设备为两台Cisco 6500系列交换机（A和B）和一台H3C 9500系列交换机（C）；汇聚层分院系区、图书馆区、行远楼区、教学区、北区生活区、南区生活区、服务器区七个物理区域，汇聚层网络设备为：两台Cisco 6500系列交换机、两台H3C 9500系列交换机、三台H3C 7500系列交换机；接入层网络设备为H3C的各种型号的千兆或百兆交换机。
鱼山校区网络和浮山校区网络采用了核心和接入两层网络结构。核心层网络设备各为一台Cisco6500系列交换机；接入层网络设备为H3C的各种型号的千兆或百兆交换机。

2.校园网边界网络

校园网边界出口路由器为一台Cisco 7600系列路由器，它同时也是CERNET青岛地区各高校的CERNET网络接入路由器，该设备只有一块引擎板卡。
CERNET青岛地区主节点的出口路由器为一台单引擎的Cisco 7600系列路由器，

2.5G链路连接到济南的山东大学节点。

学校校园网出口有三条，两条1G链路连接至CERNET青岛地区主节点的出口路由器，1条500M的联通出口。

3.用户管理

校园网用户管理区域划分为办公区和学生生活区。
办公区：采用亿邮宽带认证计费管理网关，用户IP地址为管理员人工静态分配，IP地址与MAC地址绑定由各区域的汇聚交换机完成。办公区用户每人使用一个合法，在校园网内“漫游”，不受限制于某一个固定的IP地址。
学生生活区：采用城市热点计费网关Dr.COM，对接入用户采用802.1x认证，使用DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）动态分配IP地址。

4.VLAN设置

校园网主要通过VLAN隔离，生活区部分交换机通过PVLAN即私有VLAN（Private VLAN），实现端口隔离。多数VLAN终结于区域汇聚交换机，少数VLAN全网，如VLAN2 网管网段，VLAN512 校园智能卡网段，VLAN100-110 服务器网段等。

5.数据中心网络接入

校园网数据中心由一台服务器汇聚Cisco 6500系列交换机担任所有服务器的接入。中心现有60多台服务器，大部分单网口连接在服务器汇聚交换机上；其他单位40多台服务器托管在中心机房，中心提供服务器的网络接入及环境保证，服务器的系统由设备归属单位维护。
数据中心现有SAN存储阵列一套IBM DS4800，存储容量为30T，为邮件、FTP等业务系统使用。
学校校园网上承载有多个业务系统，多为B/S架构，如数字化校园、校园智能卡系统、人事管理系统、科研管理系统、选课系统、图书管理系统、BBS、FTP校内共享资源下载系统、视频组播系统等。全校各业务系统各自采用手工数据备份，没有统一的自动备份恢复机制及异地灾备系统。

6.路由设置

核心与核心间和核心与汇聚间运转小学数学教学论文OSPF（Open Shortest Path First，开放式最短路径优先）（OSPFv2和OSPFv3），根据路径cost值的不同选择最优路由。骨干区域Area0，覆盖了鱼山校区核心、浮山校区核心、崂山校区核心及崂山校区区域汇聚，用户路由位于其他区域。
1[3]

核心交换机和区域边界路由器之间运转小学数学教学论文静态路由协议，为了满足生活区和办公区流量分流的要求，在核心交换机中使用PBR对策路由。

7.组播设置

组播源分布于各个校区，采用PIM-DM组播路由协议，提供校园电视广播服务。用户通过IGMP或MLD协议加入或退出组。
8.安全设置
两台核心交换机A和B各配有一个防火墙模块，采用流量分担的双主工作方式。每个模块虚拟为5台防火墙（CERNET、Insvr1、Insvr2、ykt、shenhuoqu）：CERNET为内外网之间虚拟防火墙；Insvr1为服务器1区虚拟防火墙；Insvr2为服务器2区虚拟防火墙；ykt为校园智能卡区虚拟防火墙；shenhuoqu为外网和生活区之间虚拟防火墙。
在其中一台核心交换机上配有一块IDP流量浅析模块，对流量进行检测浅析预警。
校园网安全设置除了VLAN、防火墙、流量浅析模块之外，还在校园网出口部署有流量监控管理系统，对校园网出口链路上的运用类型进行带宽管理，在保证Web流量的前提下，有效限制P2P流量。
9.网络运用性能测试
（１）Ｐｉｎｇ 外网服务器，比如新浪，延时为１３ｍｓ。
（２）Ｐｉｎｇ 内网服务器如信息化门户，延时在１ｍｓ以内。
（３）办公区访问校内资源延时在１ｍｓ以下，出口流量延时较大，约为１３ｍｓ左右，校内ＦＴＰ下载平均速率约为８０Ｍｂ／ｓ。
（４）校园网核心到出口路由器线路利用率高达８０％以上，宿舍区、教学区和服务器区访问量比较大。
（５）联通出口带宽５００Ｍ几乎满负荷运转小学数学教学论文，以生活区、赛尔网络和信息学院的访问量居多。经限速后，以Ｗｅｂ访问量居多，最高并发数可到２１万。
（６）教育网出口带宽利用率已达６０％，以生活区、赛尔网络和信息学院的访问量居多。经限速后，Web访问量为主，最高并发数可到81万。

三、中国海洋大学校园网有着的理由及浅析

1.二层广播域过大

目前校园网的核心交换机和区域汇聚交换机之间虽然运转小学数学教学论文的是三层路由协议，但是设备之间互联的接口都是使用的二层交换端口，即把接口类型封装成802.1Q，并允许相应的VLAN通过，包括二层互联接口的三层虚接口及其他VLAN，以而造成配置复杂、不容易阅读、二层广播域范围扩大等理由。
VLAN是网络用户和资源的逻辑分组，给不同的子网分配不同的端口,以而创建更小的广播域。VLAN的作用本是分割广播域，但目前学校设置的VLAN太大，无法减少广播消耗掉更多带宽的影响，无法避开大二层网络的种种理由。大量的用户、运用处于同一个VLAN广播域内，没有有效的隔离措施和保障手段，相互之间的干扰和影响严重。如目前在校园网中普遍有着的ARP病毒和DHCP仿冒等，导致终端接入网络的理由频发，网络管理员疲于奔命。

2.环路预防及STP理由

由于交换域过大，为避开STP（Spanning Tree Protocol，生成树协议）所带来的网络震荡，目前校园网的汇聚层和接入层设备已关掉STP功能。由于关闭STP,失去了STP的环路预防功能，环路所带来的网络风险（广播风暴等）常常无法避开。
STP一直以来都是校园网头痛的理由，难以设计和部署，转发和阻塞端口较难规划，出现链路或者故障时难以定位，并且有着较长的收敛时间，对校园网承载的运用影响很大。

3.组播稳定性

校园网的核心交换机上的组播报文是集中式转发机制，核心交换机运转小学数学教学论文一段时间后，组播进程会消耗大量的资源，导致核心交换机几近瘫痪，带来比较严重的网络隐患。
汇聚层交换机在开启IPv6组播业务时，由于设备不支持基于硬件的IPv6组播流量复制转发，经常会导致设备CPU利用率上升至 100%，影响其他业务的正常运转小学数学教学论文，甚至造成业务中断。因此，目前中国海洋大学校园网还未部署IPv6组播业务。

4.核心设备性能理由

校园网的核心交换机A及核心交换机B、边界路由器，整机性能支持30Mpps包转发率。由于这些设备配置的板卡没有配置DFC（Distributed Forwarding Card，分布式转发子卡），所以就成了集中转发方式，所有三层转发，包括单播和组播，都会送到引擎集中处理。
当核心交换机开启PBR（Policy-Based Routing，对策路由）、组播后，经常会导致核心交换机的CPU利用率上升。因为PBR对策路由软件进行处理，而不是用设备硬件ASIC芯片进行处理，占用设备CPU资源，过多的流量使用PBR，会使设备的CPU利用率急剧升高。随着未来网络管理的精细化，现有的核心设备的性能将不足以支撑这些功能的运用。

5.防火墙性能理由

校园网的核心交换机A及核心交换机B各部署一块防火墙模块，此防火墙模块性能为：吞吐量5.5G，并发连接数100万，新建连接数每秒1万。校园网的出口安全防御和数据中心的安全防御都由防火墙模块完成，两块防火墙模块做双主的部署方式，旨在起到互为备份、负载均衡的效果。
共划分了5个虚拟防火墙，分别是办公区虚拟防火墙、服务器1区虚拟防火墙、服务器2区虚拟防火墙、校园卡系统虚拟防火墙、学生生活区虚拟防火墙，其中办公区虚拟防火墙、服务器1区虚拟防火墙、服务器2区虚拟防火墙、校园卡系统虚拟防火墙都位于核心交换机A的防火墙模块上，学生生活区防火墙位于核心交换机B的防火墙模块上。
白天核心交换机A防火墙模块的压力比较大，因为白天绝大多数流量都是和教学办公及访问数据中心服务器相关的，晚上核心交换机B的防火墙压力比较大，因为晚上大多数都是生活区的流量。通过办公区虚拟防火墙的最大并发连接数为80万，再加上2个服务器的虚拟防火墙的并发连接，已经超出核心交换机A防火墙模块的处理能力，目前核心交换机A的防火墙模块已经成为带宽瓶颈。核心交换机B的防火墙模块最大的并发连接数也有85万，2台防火墙模块均正常工作情况下，白天核心交换机A的防火墙模块已经处于饱和状态、晚上核心交换机B的防火墙模块也基本处于饱和状态，一旦某个防火墙模块出现故障，将导致网络性能大大下降，严重影响校园网用户的上网性能。
2[3]

目前防火墙的双主工作方式有着设计缺陷，必须手工切换配置才能完成主备防火墙的切换，导致故障发生时，无法实现双机的可靠性。而且虚拟防火墙错综复杂，流量多次进出防火墙模块，效率低下，如生活区访问服务器区需经过三次防火墙。由于制约小学语文教学论文点的分散，导致出现理由后，涉及到多个层面的多个设备，故障点很难定位，故障修复时间较长。

6.数据中心网络设置理由

校园网的数据中心服务器汇聚、接入交换机只有一台Cisco交换机，并且只有一个引擎，有着单点故障，可能引发全网业务中断。
服务器接入交换机到核心交换机采用二层互联，大部分服务器的网关都位于虚拟防火墙上，校园卡系统的服务器的网关位于核心交换机上，网关的冗余是采用核心交换机的HSRP（Hot Standby Router Protocol 热备份路由器协议）或虚拟防火墙实现，服务器接入二层到核心有可能会出现二层环路或二层病毒，以而影响核心交换机的正常工作。

7.路由设置理由

目前校园网路由是由OSPF（OSPFv2和OSPFv3）、对策路由PBR、静态三种形式组成。
OSPF区域规划不合理，骨干区域Area0范围过大，覆盖了鱼山校区核心、浮山校区核心、崂山校区核心及崂山校区区域汇聚，可能会产生如下理由：
（1）骨干区域Area0中每台设备都维护全网的链路状态数据库，对设备资源（内存）占用大，由于核心设备、各区域汇聚设备处理能力不同，影响全网路由收敛时间。
（2）链路出现震荡，会导致网络中的路由器频繁刷新链路状态数据库，造成网络不稳定。
（3）网络中区域边界路由器ABR（Adaptive Bit Rate，自适应比特率）过多，不便于做路由过滤或路由对策，如生活区的路由不发布到的教学办公区。
（4）核心交换机和区域边界路由器之间运转小学数学教学论文静态路由协议，为了满足生活区和教学办公区流量分流的要求，在核心交换机中使用PBR对策路由，因为PBR对策路由由软件进行处理，而不是用设备硬件ASIC芯片进行处理，占用设备CPU资源，过多的流量使用PBR，会使设备的CPU急剧升高，如把鱼山校区的流量迁移到核心B上，核心B的CPU利用率就会在50%以上，造成网络不稳定。
8.校园网出口线路拥塞理由
随着中国海洋大学校园网用户的不断扩大，用户访问量的增加，无论是教育网线路还是联通线路，网络出口线路几乎都是满负荷运转小学数学教学论文。
四、结束语
一个网络系统，无论当时的设计考虑多么完善，但是随着网络技术和网络设备的进展，以及对系统运用的深入和运用范围的日渐扩大，会逐渐暴露出一些理由。通过以上对中国海洋大学校园网目前状况的浅析，可以找出目前校园网有着的理由，这就为今后的网络优化以及升级改造提供了依据。
（编辑：杨馥红）
3