构建扁平化校园网络

李玉清

摘 要 随着众多高等学校大规模扩招和多校区建设的推进，校园网的规模在快速地扩大，校园网也要越来越充分地支持各业务系统，一个高效率的基础网络和充分融合的数字化校园对高校教育事业发展的促进作用越来越明显。高校的数字化校园建设需要基础网络具有高性能、高可用性、高可靠性和高安全性的特点。校园网不仅要支持全校师生的上网，还要支持通用的网络应用，包括电子政务、网站、网络财务、电子消费和认证、分布式数据库等。现有的高校基础网络越来越难以适应用户和应用快速的发展，常用的解决办法是设备升级，但是更换设备只能解决一时之需，所以，从调整网络结构和优化网络管理上提升网络的整体性能，是高校校园网正在面临的选择。

关键词 QinQ PPPoE 扁平化

中图分类号：TP393.18 文献标识码：A

1课题背景

这种传统架构下，会带来如下关于应用和管理上的一些困难：

（1）网络实际需求和设备功能经常错位对于靠近用户端的网络边缘设备，如接入和汇聚设备，功能相对单一，但却要提供比较多的功能，而对网络核心设备，其丰富的功能和强大的性能并没得到充分发挥，形成了事实上的网络设备功能和网络实际需求的错位。

（2）VLAN资源受限。对于三层网络设备，单台设备支持4K个VLAN，这个容量不足以实现VLAN的细分和隔离，导致大量用户、应用出现在一个冲突域里，不能进行有效的隔离和保护，用户的应用之间会造成互相影响。

（3）难以做到基于用户的控制。

2 QinQ技术介绍

QinQ技术适时出现其初衷是为了拓展802.1Q VLAN数量的限制，即在原有802.1Q VLAN报文的基础上再打上一层802.1Q VLAN标签，实现标签嵌套，从而让QinQ协议下VLAN数量扩展到4K€？K个。它的内外层标签可以分别代表不同分类，如内层标签代表用户，外层标签代表不同业务，从而实现对用户的隔离和应用数据的分类，基于这种隔离和分类，又可以实现对用户和业务的精细化控制，同时由于QinQ报文携带两层标签，在用户数据穿越运营商网络时，内部标签透明，因此也是一种简单的VPN，他可以作为核心MPLS VPN的延伸，从而实现低成本的点到点的VPN。

3 PPPoE 协议

PPPoE协议通过把PPP协议的可扩展性、管理控制功能和最经济的局域网以太网结合在一起，网络运营商便可以快速部署成熟可靠的互联网业务，它使运营商通过Modem、无线和数字用户线方式，提供多用户宽带服务。它更简单快捷，也降低了用户的使用门滥。

4扁平化网络结构设计

4.1网络结构设计

校园网络的规划参考扁平化网络后，可以将整个网络分为两个逻辑层：核心层设备构成了业务控制层，汇聚、接入层设备构成了宽带接入层。逻辑架构和VLAN划分如下：

（1）用户IPv4地址由核心层设备通过DHCP分配，用户之间通过VLAN隔离，用户的地址分配均从地址池中动态获取。对于目前在校园网中部署的WLAN而言，在新的扁平化和集中控制网络架构中，可实现有线、无线一体化架构。

（2）通过扁平化校园网升级后，更容易实现精细话的管理控制。通过网络构架的改变，可有效解决传统校园网中存在的问题，优化校园网平台，提供对高校校园信息化更好的承载。需要注意的是，构建扁平化校园网和部署精细化管理模式，均对业务控制层，即核心层设备的功能、性能、可靠性和可扩展性提出了更高的要求。

4.2精细化控制设计

在校园网中，为了避免用户之间的相互影响，可以通过网络中汇聚层和接入层交换机的VLAN划分，实现不同用户、不同应用之间的二层隔离，VLAN细分可实现不同用户之间、不同业务之间的逻辑隔离，也便于实现细粒度的流量管理和控制功能，同时也避免了用户之间、业务之间的相互影响，如广播风暴、ARP欺骗等问题。在选择细粒度控制时，在接入层，通过VLAN隔离不同的用户、不同的业务。对于接入层设备，要支持802. 1Q VLAN，在设备的上联口通过起TRUNK的方式，实现多VLAN透传。当用户数量超过4K后，可通过QinQ协议，实现VLAN数量的有效扩展。

在釆用这种方式时，同时需要汇聚交换机对QinQ功能的支持，核心路由器对QinQ的终结的支持，从而大大提高了对密集的接入用户隔离和不同业务隔离控制的支持。

4.3认证方式设计

4.3.1无需认证用户

对于某些特殊的用户和设备，不需要认证，设备获取IP地址后，可以直接上网。设计提供以下几种方案的接入：（1）为用户分配固定IP地址，用户在手动配置地址和网关，直接获得相应的访问权限；对于用户访问权限需要控制的情况，在路由器对应的接口上配置访问控制列表ACL；（2）通过DHCP服务器为用户提供动态地址分配功能。用户的终端接入后，通过DHCP服务获得IPv4地址、网关地址和DNS服务器地址等信息。在提供DHCP服务时，可以基于一定规则，从地址池中提供给用户动态地址，或按照要求，与用户的MAC做绑定，每次都分配给某个网卡同一个IP地址。

4.3.2 PPPoE 认证

PPPoE是在用户和BAS设备之间建立一个PPP连接通道，它是通过将PPP协议运行在Ethernet之上，BAS设备可对每个连接进行分别的管理，可对用户进行基于时长或者流量的计费，相对于IPoE，它是一套成熟、紧凑，且特别是在运营商广泛应用的宽带用户接入方式。

4.3.3 Web Portal 认证

DHCP服务器和Portal服务器配合使用，用户终端通过DHCP得到一个地址，用户可以访问一定资源，也可以通过重定向，强制用户连接到Portal服务器进行认证，在弹出的认证界面输入用户名和密码，Portal服务器会将认证数据发送给RADIUS服务器，如果认证通过，则用户可以访问特定的资源。

参考文献

[1] 肖蠓，王磊.802.lX系统中客户端软件版本检测方法分析[J].昆明：昆明理工大学学报（理工版），2007，32（2）：27-28.

[2] 胡逾峰.QinQ技术的原理及在上海电信的应用[J].济南：科技信息，2007（3）：27-28.

[3] 靳远.城域网灵活QinQ技术的实现[D].西安：西安电子科技大学，2010.