劉景天

(重慶市育才職業(yè)教育中心 重慶 401520)

中小學校園網(wǎng)絡一般具備結構簡單，但規(guī)模大，終端設備多、上網(wǎng)用戶多，網(wǎng)絡橫跨多棟建筑等特點。從拓撲結構上分析，組建這類網(wǎng)絡一般有三層組網(wǎng)或二層組網(wǎng)兩種模式。

三層組網(wǎng)是指采用“核心—匯聚—接入”模式組建網(wǎng)絡：接入層一般為位于建筑樓層弱電井的二層交換機，建立有若干VLAN，端口配置為Untagged Access模式，用于直接連接終端設備；匯聚層一般為位于建筑弱電控制間的三層交換機，除建立有若干啟用DHCP功能的Interface VLAN，還啟用有OSPF、RIP等動態(tài)路由協(xié)議，用于匯聚建筑內(nèi)各樓層流量，并根據(jù)訪問目標地址將流量送往其他匯聚或核心交換機；核心層一般為位于學校中心機房的路由器或三層交換機，啟用動態(tài)路由協(xié)議，根據(jù)訪問目標地址將流量送往校內(nèi)服務器集群或送往出口防火墻以實現(xiàn)訪問Internet。

二層組網(wǎng)是指采用“核心—接入”模式組建網(wǎng)絡：接入層和三層組網(wǎng)類似，建立有若干VLAN，用于直接連接終端設備。由于沒有匯聚層，接入層一般通過光纜、無線網(wǎng)橋等傳輸介質(zhì)直接連接到核心層；核心層一般為三層交換機，建立有若干啟用DHCP功能的Interface VLAN，并將這些VLAN通過Trunk或Hybrid隧道傳遞到接入交換機。也就是說，所有接入層VLAN的網(wǎng)關都建立在核心交換機上，所有終端設備產(chǎn)生的流量也全部直達核心交換機，再由核心交換機根據(jù)訪問目標地址轉(zhuǎn)發(fā)流量。

一、兩種組網(wǎng)模式在性能方面的比較

首先分析用戶訪問Internet的情況：在三層組網(wǎng)模式下，用戶流量首先到達接入交換機，再經(jīng)過匯聚到達核心。典型情況下數(shù)據(jù)包至少要經(jīng)過三臺設備，經(jīng)歷2跳（Hop）才能到達出口防火墻，第1跳在匯聚層，第2跳在核心層；在二層組網(wǎng)模式下，用戶流量經(jīng)過接入直達核心交換機，經(jīng)過兩臺設備，數(shù)據(jù)包經(jīng)歷1跳即可到達出口防火墻。

然后分析用戶訪問校園內(nèi)網(wǎng)服務器或其他辦公、實訓室終端時的情況。在三層組網(wǎng)模式下，用戶流量到達匯聚后，匯聚交換機根據(jù)訪問目標地址將流量送往核心或者轉(zhuǎn)發(fā)給與自身直接相連的其他接入交換機。理想情況下，用戶訪問目標如果在當前匯聚交換機匯聚范圍內(nèi)，數(shù)據(jù)包只需經(jīng)過三臺設備（接入—匯聚—接入），經(jīng)歷1跳即可完成訪問；在二層組網(wǎng)模式下，無論用戶訪問目標地址如何，流量都必須到達核心進行處理。數(shù)據(jù)包雖然也只需經(jīng)過三臺設備（接入—核心—接入），經(jīng)歷1跳即可完成訪問，但若并發(fā)流量較大時（例如大量用戶同時收看內(nèi)網(wǎng)服務器提供的視頻時），會對核心交換機性能產(chǎn)生一定程度的影響。

二、兩種組網(wǎng)模式在穩(wěn)定性方面的比較

在網(wǎng)絡運行穩(wěn)定性方面，“DHCP串擾”和“廣播風暴”兩類問題在校園網(wǎng)絡中出現(xiàn)頻率較高。

首先分析DHCP串擾問題：在三層組網(wǎng)模式下，DHCP服務一般由匯聚交換機提供，此時若連接的接入交換機發(fā)生DHCP串擾，影響范圍一般局限于受到干擾的VLAN，排查故障位置相對容易，也可以在接入交換機上啟用DHCP Snooping功能以確保匯聚層不會受到DHCP串擾問題的影響；在二層組網(wǎng)模式下，如果受影響的VLAN橫跨多棟建筑（如多棟建筑里的教室共用同一個VLAN），又沒有在接入交換機上啟用DHCP Snooping功能，排查故障位置就會很麻煩。

然后分析廣播風暴問題：在三層組網(wǎng)模式下，網(wǎng)絡環(huán)路的范圍一般不會超過匯聚層。廣播風暴爆發(fā)時，影響范圍一般局限于一棟建筑內(nèi)，不影響其他建筑及校園網(wǎng)核心層正常運行；在二層組網(wǎng)模式下，廣播風暴流量將會直接傳遞到核心交換機，輕則全網(wǎng)發(fā)生數(shù)據(jù)包被大量丟棄的情況，重則全網(wǎng)癱瘓。如果網(wǎng)絡設備上正確啟用了RSTP、MSTP等生成樹協(xié)議和廣播風暴抑制功能，廣播風暴爆發(fā)將會非常罕見。

三、兩種組網(wǎng)模式在建設無線網(wǎng)絡方面的比較

中小學無線網(wǎng)絡一般采用由無線控制器集中管理若干無線接入點（AC+AP）的拓撲結構組網(wǎng)。無線控制器AC旁路部署在核心層，無線接入點AP吊頂安裝在各棟建筑內(nèi)，一方面通過有線網(wǎng)絡連接AC，另一方面通過ISM頻段連接無線設備。在用戶流量與有線網(wǎng)絡融合方面，可選集中轉(zhuǎn)發(fā)或本地轉(zhuǎn)發(fā)兩種模式：集中轉(zhuǎn)發(fā)是指AP將無線設備產(chǎn)生的用戶流量全部轉(zhuǎn)發(fā)到AC，AC再將流量全部轉(zhuǎn)發(fā)到核心層處理，整個無線網(wǎng)絡工作模式就像一棟虛擬建筑一樣，AC當作匯聚層，AP當作接入層。集中轉(zhuǎn)發(fā)更適用三層組網(wǎng)模式；本地轉(zhuǎn)發(fā)是指AP將用戶流量全部轉(zhuǎn)發(fā)到樓層接入交換機上的本地VLAN，和有線網(wǎng)絡流量混合后直達核心或轉(zhuǎn)發(fā)匯聚處理，AC在無線網(wǎng)絡中只起管理作用，不處理用戶流量。本地轉(zhuǎn)發(fā)更適用二層組網(wǎng)模式。

在三層組網(wǎng)模式下，若無線網(wǎng)絡流量過大，集中轉(zhuǎn)發(fā)會對AC性能產(chǎn)生顯著影響，輕則延遲加大，重則丟包率飆升。雖然三層組網(wǎng)也可選用本地轉(zhuǎn)發(fā)，但由于本地VLAN相對分散，可能多臺匯聚交換機都在提供不同的DHCP地址池，致使用戶IP地址不在同一個網(wǎng)段，加大了應用上網(wǎng)認證、流控限速等管理措施的難度。若AP啟用多個SSID并對應不同的本地VLAN時（如區(qū)分教職工和學生），還會進一步增加復雜度；在二層組網(wǎng)模式下，由于本地VLAN集中統(tǒng)一，上述管理措施容易實現(xiàn)。

四、兩種組網(wǎng)模式在多網(wǎng)融合方面的比較

以校園安防監(jiān)控系統(tǒng)為例，一般采用網(wǎng)絡硬盤錄像機集中管理若干網(wǎng)絡攝像機（NVR+IPC）的拓撲結構組網(wǎng)。為了給建設運維提供便利，目前主流的網(wǎng)絡攝像機IPC均具有二層設備自動發(fā)現(xiàn)功能，硬盤錄像機NVR借助這一功能可以自動發(fā)現(xiàn)同網(wǎng)段內(nèi)IPC并應用配置模板，以及批量修改IP地址、賬號密碼等，非常方便。在二層組網(wǎng)模式下，只需要劃分一個或多個VLAN，再按監(jiān)控區(qū)域?qū)VR和對應的IPC放在同一個VLAN里即可實現(xiàn)上述功能；在三層組網(wǎng)模式下，由于VLAN相對分散，實現(xiàn)上述功能通常需要手動操作。

五、兩種組網(wǎng)模式在上網(wǎng)認證方面的比較

上網(wǎng)認證設備一般串接部署在核心層。在三層組網(wǎng)模式下，核心層通常只能獲取到終端設備的IP地址，無法獲取到其MAC地址，因而只能針對前者進行操作。這樣一來可能又需要先通過匯聚層的DHCP服務將目標終端設備IP地址固定或者直接在終端設備上手動固定地址，過程繁瑣；在二層組網(wǎng)模式下，核心層可以很方便的獲得所有終端設備的MAC地址并傳遞給上網(wǎng)認證設備操作，相比就非常簡單了。

六、結束語

綜上所述，中小學校園網(wǎng)絡三層組網(wǎng)或二層組網(wǎng)在性能上沒有明顯差異。在穩(wěn)定性上，因拓撲結構優(yōu)勢，三層組網(wǎng)在應對校園網(wǎng)常見問題時更勝一籌，二層組網(wǎng)則需要相對更專業(yè)的網(wǎng)絡運維技術才能使穩(wěn)定性有所保證。但在無線網(wǎng)絡建設，與安防監(jiān)控、數(shù)字廣播等業(yè)務系統(tǒng)網(wǎng)絡融合，部署上網(wǎng)認證等具體應用方面，二層組網(wǎng)優(yōu)勢明顯。