文/鄒仁明 勞鳳丹

利用VPN服務(wù)快捷訪問校內(nèi)外資源

文/鄒仁明 勞鳳丹

VPN虛擬專用網(wǎng)絡(luò)技術(shù)利用數(shù)據(jù)加密技術(shù)將網(wǎng)絡(luò)與網(wǎng)絡(luò)或遠(yuǎn)程個人計算機與網(wǎng)絡(luò)連接起來，實現(xiàn)在公共網(wǎng)絡(luò)上的安全數(shù)據(jù)傳輸。中國農(nóng)業(yè)大學(xué)實施的VPN服務(wù)有兩種類型：一類是為校內(nèi)用戶快速訪問校外資源而設(shè)立的校內(nèi)VPN服務(wù)，使用戶通過教育網(wǎng)、公網(wǎng)雙出口線路快速訪問校外資源；另一類是為校外用戶安全訪問校內(nèi)資源而提供的校外VPN服務(wù)，使用戶安全快捷地訪問指定的校內(nèi)資源，如：財務(wù)管理系統(tǒng)、教務(wù)系統(tǒng)、圖書館文獻(xiàn)查詢服務(wù)等。本文主要介紹本校在VPN方面的一些應(yīng)用經(jīng)驗。

校內(nèi)VPN服務(wù)

為解決校內(nèi)用戶訪問公網(wǎng)資源網(wǎng)速慢、訪問國際網(wǎng)資源費用高等的一系列問題，多數(shù)高校的做法是增加公網(wǎng)線路，在校園網(wǎng)出口路由器上實施教育網(wǎng)和公網(wǎng)雙出口或多出口機制，利用策略路由或動態(tài)鏈路負(fù)載均衡設(shè)備自動分配出口路由，讓用戶快捷地訪問校外資源。但在我校，網(wǎng)絡(luò)用戶有3萬多人，上網(wǎng)的計算機近2萬臺，我們實行的上網(wǎng)控制策略是用戶包月訪問國內(nèi)資源，按國際流量計費控制國際資源訪問。教育網(wǎng)的出口帶寬為千兆，而公網(wǎng)出口帶寬僅為100兆，二者出口帶寬不對稱。如果實行雙出口機制，上網(wǎng)控制策略暫時不能改變，對用戶上網(wǎng)行為也就不能有效控制，那么公網(wǎng)出口將會出現(xiàn)嚴(yán)重堵塞，不能為用戶提供快捷的上網(wǎng)服務(wù)。

建立校內(nèi)VPN服務(wù)，宗旨是保留校園網(wǎng)原出口結(jié)構(gòu)及控制策略不變，將校內(nèi)VPN服務(wù)單獨連接到校園網(wǎng)和公網(wǎng)出口線路，使之能快速訪問教育網(wǎng)和公網(wǎng)資源，通過對VPN服務(wù)局部增加接入控制策略，讓用戶自愿選擇這種VPN快速上網(wǎng)服務(wù)。目前此服務(wù)的控制策略為：對校外網(wǎng)絡(luò)資源不分國內(nèi)、國外，限制每個用戶的下行帶寬為1Mbps，為校園網(wǎng)用戶每月免費提供10小時，增加充值延時或包月不限時的附加服務(wù)，以滿足不同用戶的使用需求。

校內(nèi)VPN的設(shè)計構(gòu)架如圖1所示，VPN設(shè)備采用PC服務(wù)器＋RouterOS路由器軟件構(gòu)建，配雙網(wǎng)卡，分別連接校園網(wǎng)、公網(wǎng)，路由設(shè)計為：訪問教育網(wǎng)資源及校外文獻(xiàn)查詢資源指向校園網(wǎng)接口，其它路由指向公網(wǎng)接口。接入認(rèn)證采用外部Radius認(rèn)證方式，外部認(rèn)證服務(wù)采用FreeRadius＋MySQL共享軟件搭建。用戶的認(rèn)證賬戶使用現(xiàn)有的計費賬戶，在網(wǎng)上自助申請開通校內(nèi)VPN服務(wù)、按需選擇不同的VPN使用時長，使用費用從校園網(wǎng)計費系統(tǒng)中扣除。申請成功后，用戶即可按VPN撥號方式接入VPN服務(wù)、快速訪問校外資源。RouterOS路由器提供外部日志功能，能記錄用戶的訪問網(wǎng)址，便于安全審計。

校內(nèi)VPN服務(wù)存在的問題主要有：用戶需要使用VPN撥號連接訪問外部資源，增加了用戶上網(wǎng)難度；由于VPN服務(wù)并發(fā)處理能力有限，每臺設(shè)備設(shè)計的最大在線用戶數(shù)為2000，因此，只能為部分用戶提供校內(nèi)VPN服務(wù)。目前本校有兩臺VPN設(shè)備在線提供服務(wù)。不過，通過增加VPN設(shè)備、同域名多IP地址域名輪循解析方式可滿足使用用戶數(shù)增長的需求。

圖1 校內(nèi)VPN服務(wù)構(gòu)架

校外VPN服務(wù)

校外VPN服務(wù)是為校外移動用戶安全便捷地訪問校內(nèi)資源和圖書文獻(xiàn)檢索數(shù)據(jù)庫而提供的服務(wù)。我們曾采用RouterOS和OpenVPN軟件分別構(gòu)建校外VPN服務(wù)，但是用戶需要安裝VPN客戶端軟件，我們僅能采用路由方式控制用戶可訪問網(wǎng)段、存在安全隱患，可選的用戶接入認(rèn)證方式也比較有限、難以提供多種安全認(rèn)證需求。我們選擇SSL VPN商用安全接入設(shè)備來提供校外VPN服務(wù)，用戶無需安裝客戶軟件，只需使用瀏覽器訪問VPN服務(wù)，即可安全接入校園網(wǎng)，方便訪問校內(nèi)指定資源。

SSL VPN設(shè)備連網(wǎng)方式如圖2所示：VPN設(shè)備雙網(wǎng)卡連接校園網(wǎng)和公網(wǎng)，分別配置教育網(wǎng)IP地址和公網(wǎng)IP地址，利用DNS按用戶上網(wǎng)IP不同進(jìn)行域名分源解析，使教育網(wǎng)用戶訪問VPN教育網(wǎng)網(wǎng)址、其他用戶訪問VPN公網(wǎng)網(wǎng)址，讓用戶能快速接入VPN服務(wù)器。VPN服務(wù)的接入認(rèn)證手段多樣，可使用內(nèi)部用戶、外部Radius、外部LDAP、數(shù)字證書等認(rèn)證控制方式。對于一般用戶采用校內(nèi)LDAP目錄服務(wù)賬戶來做用戶身份認(rèn)證，按用戶組來定義可訪問的校內(nèi)資源和校外圖書文獻(xiàn)檢索資源，實現(xiàn)不同類型的用戶分配不同的資源訪問權(quán)限。認(rèn)證通過后，以網(wǎng)頁形式列出可訪問資源表（如圖3所示），方便用戶點擊訪問，有些下級鏈接網(wǎng)址被設(shè)置成網(wǎng)頁不可見狀態(tài)，減輕網(wǎng)頁的復(fù)雜性；用戶退出登錄或關(guān)閉資源列表頁面，VPN服務(wù)自動停止。利用VPN服務(wù)的SSO單點登錄功能，還可與校內(nèi)統(tǒng)一身份認(rèn)證系統(tǒng)對接，用戶通過身份認(rèn)證后，即可對校內(nèi)多個管理系統(tǒng)進(jìn)行免登錄訪問。

校外VPN服務(wù)還提供服務(wù)監(jiān)控、日志記錄、系統(tǒng)維護(hù)等功能，方便管理員運行管理和安全審計。

圖2 校外VPN服務(wù)連接

圖3 用戶可訪問的校內(nèi)資源列表

（作者單位為中國農(nóng)業(yè)大學(xué)網(wǎng)絡(luò)中心）