高可用性校园网通信子系统设计

操惊雷

摘要：随着教育信息化步伐的加快，作为数字化校园的网络支撑环境建设和改造成为各学校信息化建设的基础。高可用性校园网通信子系统的设计，成为校园网络建设需要关注和解决的关键问题。该文通过需求、理论和实践三个方面，设计既满足支撑学校教学和管理需求、又能节约建设经费的校园网通信子系统，以抛砖引玉。

关键词：高可用性；通信子系统；设计

中图分类号：TP271文献标识码：A文章编号：1009-3044(2012)24-5761-02

在传统的客户端/服务器环境中，校园网的作用仅仅是提供网络连接。但是，在数字化校园建设全面铺开的今天，校园网已经成为学校支持新的应用，提高工作、学习效率，以及为学生、老师提供多种服务的关键。当今天的校园采取多种措施，拟将校园网络建设或改造成为一种可以帮助师生提高教学与学效率的工具时，也必须设法保护网络及其所传输的数据，确保网络及其资源的安全性、可用性，同时还要降低开支。

一般而言，校园网可分为接入子网、通信子网、资源子网和存储子网四个部分，通信子网由核心层、分布层和接入层组成，实现校园网内部信息的交换和传送。通信子网是指网络中实现网络通信功能的设备及其软件的集合，通信设备、网络通信协议、通信控制软件等属于通信子网，是网络的内层，负责信息的传输。主要为用户提供数据的传输，转接，加工，变换等[1]。可以认为通信子网是校园网的核心部分，高可用性校园网通信子网设计，是校园网络建设需要关注和解决的关键问题。

1校园网通信子系统设计需要解决的问题

校园网通信子系统设计需要注意以下问题：

1.1安全性保证

校园网络环境主要是局域网，而传统的局域网并不安全。据调查，校园网遭遇的安全威胁有一半以上来自于内部网络用户有意或无意的攻击，25%到30%的无线接入点是自行安装的不安全的恶意设备[2]。同时，蠕虫的泛滥也给校园网络带来巨大的损失。

校园网内，任何一个角落的漏洞都有可能带来大面积的灾难。为了保护校园网络，必须部署安全策略和机制，一方面防御外来入侵者，一方面确保内部用户的诚实性。这就意味着，校园网的通信子系统要设计安全措施：①防止外部黑客进入网络；②进入校园网络需要经过授权；③能有效防止网络内部用户发动有意的或者无意的攻击；④为不同类型的用户提供不同等级的访问权限和速率限制。

1.2可用性保证

数据中心应用中断带来的直接损失将是巨大的，更是无可估量的。当学校把越来越多的关键应用和IP语音系统部署在园区/大楼网络上时，他们把高可用性的要求提到了非常重要的地位。1.3可扩展性保证

信息化建设新技术不断涌现，今天的校园网建设，都希望能充分发挥效益和保护投资，一旦新的技术出现时，新的应用和技术能顺利地集成到校园网络中去。

2网络结构与设计理论

校园网通信子网，可通俗理解为一个学校的局域网络，通过接入子系统连接Internet，在对内部用户提供流畅地访问互联网资源和内部资源的通道的同时，还需要为外部用户提供按规则访问学校内部资源的通道。如何在网络高可用性、业务连续性、业务灵活性与延展性以及网络性能提升等方面的综合解决方案，是校园网通信子系统设计的目标。

在一些中小型网络中，采用了两级的设计，尽管这样可以节省成本，但是，从路由协议的角度看，每个配线间中的所有三层交换机都是彼此“相邻”的，这就意味着有很多台相邻的路由器，第三层路由协议的恢复速度将会比较慢。所以，校园网络的通信子系统设计核心、分布和接入层三层结构。

2.1核心层双机无忧

核心层是整个网络的心脏，它将所有分布层、数据中心和WAN汇聚（两个远程站点之间的连接）连接起来。

虽然可以将多个核心节点合并到配备冗余交换管理引擎的单个机箱之中，以此节省一些成本，但从维护和运行的角度说，冗余拓扑结构可实现较好的收敛性和可用性。因此，为保证网络安全可靠地运行，满足数字化校园的业务需求，一般在核心层部署两台相同配置的高性能交换机，作双机热备，以冗余方式连接到所服务的每个汇聚设备，并提供足够的端口数量、足够大的背板带宽，保证核心层完全满足全网运行的交换容量。

为保证数字化校园的整体需求，在核心层交换机上配置相应数量的千兆电口模块，用于与防火墙及数据中心服务器的连接。

在路由协议支持方面，整个网络中可选用业内使用最广泛的OSPF、BGP、IS－IS和RIP版本2等基于标准的协议。网络设计时，注重对这些协议的实现，为网络故障防御和恢复提供独立验证和亚秒级收敛。

2.2模块化保障分布层高可用性

网络的分布层是接入层交换机的汇聚点。由于校园信息点比较多，采用高性能的模块化的交换设备可显著提高网络整体性能，同时为保障关键应用，关键区域采用双机方式提供设备级的冗余，在每台汇聚层交换机上配置相应的模块，通过两条万兆的链路连接到核心层交换机上，以提供网络的冗余，提高网络的可靠性。与接入层交换也采用万兆的链路进行连接。

通过在分布层采用第三层交换和路由协议将每个VLAN隔离开，创建一个第三层连界，从而保护核心层免遭广播风暴、潜在安全漏洞或生成树配置错误的影响，第三层交换还可限制可能发生的路径窥探，从而进一步提高网络可扩展性。在整个校园网中，分布层设备提供符合VLAN802.1W标准的快速生成树，确保对每个VLAN的快速故障切换。值得注意的是，每个配线间采用一个子网（VLAN）或者多个VLAN，尽可能要避免一个VLAN跨多个配线间。

为实现默认网关冗余，通过部署的热备路由协议（VRRP），以确保当默认网关交换机发生故障时，存在一个备用交换机来接替工作。

在网络设计中，性能是任何网络设计中都必须考虑的一个重要因素，一个从接入层通过网络一直到数据中心的1:1无阻塞防问的网络是不实际的，需要设置一定的超额配置，经验值是从接入层到分布层为20:1的超额配置设计，从分布层到核心层为4:1的超额配置设计。

2.3永续性从接入层开始做起

接入层也常称为“配线间”，它负责将用户接入到网络的其他部分。根据每个配线间根据信息点的数量，我们部署相应数量的接入层交换机，接入层交换机间采用堆叠的方式进行连接。每个堆叠块与分布层交换机之间都是通过千兆的光纤链路进行连接。在关键应用区的接入层交换机上通过两条千兆链路分别连接至汇聚层交换机上，以保证网络的冗余。

接入层是进入网络的第一个接入点，是对合法用户和设备实行认证的理想地点（如防止恶意WLAN接入点等），接入层也是对用户流量进行分类和实现端到端QOS控制的逻辑点。

对于接入层的安全性保障，我们可以设计：

①通过生成树增强特性，建立BPDU Guard和Root Guard两种防止非法交换机连接。

②通过基于端口的网络访问控制、802.1X与RADIUS服务器配合执行基于端口的网络访问控制（802.1X IEEE标准）等技术，实现网络信任与身份确认技术，

③通过技术手段防止中间人攻击、DHCP监听、动态ARP检测、IP Source Guard等措施，保障接入层的网络安全，是保证校园网通信子系统安全的重要措施，在设计校园网的永续性接入层时，需要采用一定的技术手段，实现接入层的安全保障。

3高可用性校园网通信子系统设计

为更好地说明高可用性校园网通信子系统设计，我们通过图1作简要说明。

在图1中的方框部分，是校园网通信子系统的网络拓扑，整个通信子系统采用三层结构，并在核心层、分布层和接入层按该文第2部分的网络结构设计理论，采用相关技术保证通信子网的高可用性。

本方案的核心层使用两台高性能核心交换机，作双机热备。通过调试，在两台交换机之间，通过心跳线相互通信，在无故障时，双机作负载均衡，一旦某台交换机出现故障，另一台交换机立即负担全部数据交换任务（关键业务分布层和关键业务接入层采样相同配置，只不过配置的交换机性能与核心层不同）。

分布层和接入层按业务需求决定是否采用双机模式。同时，在分布层，按配线间（或业务）划分不同VLAN。该拓扑中，我们应根据实际需要，认真分析，决定使用性能不同的交换设备并按需求启用相关功能，以保证并采用相关技术保证整个通信子网安全、可靠运行。

参考文献：

[1]百度百科[EB/OL].http://baike.baidu.com/view/676314.htm.

[2] CNCERT/CC2010网络安全调查报告,2010中国计算机网络安全应急年会报告.