孔令峰

（常州信息職業(yè)技術(shù)學(xué)院 江蘇 常州 213164）

1 學(xué)校校園網(wǎng)及學(xué)生宿舍網(wǎng)絡(luò)管理現(xiàn)狀

在高校學(xué)生宿舍的建設(shè)過程中，學(xué)生宿舍的網(wǎng)絡(luò)基本上有兩類建設(shè)模式：一類是學(xué)校自建，另一類是社會(huì)共建。

我校采用的是社會(huì)共建的模式，由運(yùn)營商投資建設(shè)，運(yùn)維管理也全部由運(yùn)營商負(fù)責(zé)，不需要學(xué)校投資，運(yùn)維人員全部由運(yùn)營商負(fù)責(zé)，網(wǎng)絡(luò)出口由運(yùn)營商提供。但是管理中存在相關(guān)問題，比如學(xué)生上網(wǎng)不受學(xué)校的管理控制，運(yùn)營商基于安全理由無法提供學(xué)生的上網(wǎng)記錄等，需要加強(qiáng)對學(xué)生宿舍運(yùn)營商網(wǎng)絡(luò)的管理。

學(xué)校校園網(wǎng)絡(luò)已經(jīng)進(jìn)行了扁平化改造，采用了銳捷的扁平化方案，整體網(wǎng)絡(luò)采用扁平化架構(gòu)，所有網(wǎng)絡(luò)的三層接口地址都在銳捷的N18K 核心交換機(jī)上，出口采用銳捷的77-X 系列路由器，身份認(rèn)證為銳捷SAM+平臺。

學(xué)校內(nèi)所有有線辦公電腦及無線上網(wǎng)均需要進(jìn)行身份認(rèn)證，全網(wǎng)準(zhǔn)入準(zhǔn)出一次性完成認(rèn)證，可以實(shí)現(xiàn)賬號上下行速率限制、登錄區(qū)域限制、登錄數(shù)量限制、登錄時(shí)間限制等功能。

學(xué)生宿舍都是運(yùn)營商鋪設(shè)的GPON 網(wǎng)絡(luò)，學(xué)生用戶都是直接通過運(yùn)營商訪問互聯(lián)網(wǎng)，學(xué)校沒有任何控制權(quán)。隨著網(wǎng)絡(luò)安全要求的提高，學(xué)校要求學(xué)生宿舍必須實(shí)名制且上網(wǎng)流量必須經(jīng)過校園網(wǎng)才能訪問互聯(lián)網(wǎng)，如何把GPON 網(wǎng)絡(luò)融入校園網(wǎng)且不損害運(yùn)營商的利益成為首要問題[1]。

2 高校學(xué)生宿舍網(wǎng)絡(luò)管理的需求

根據(jù)上級主管部門對學(xué)校學(xué)生管理工作要求的不斷提高，需要加強(qiáng)對學(xué)生宿舍運(yùn)營商網(wǎng)絡(luò)的管理，包括留存學(xué)生的上網(wǎng)記錄、對學(xué)生的上網(wǎng)行為進(jìn)行管控、將學(xué)生宿舍上網(wǎng)統(tǒng)一納入校園網(wǎng)進(jìn)行管理等。

為實(shí)現(xiàn)這樣的管理要求，需要在現(xiàn)有校園網(wǎng)絡(luò)及學(xué)生宿舍運(yùn)營商網(wǎng)絡(luò)的基礎(chǔ)上進(jìn)行相應(yīng)的改造。理想情況下，實(shí)現(xiàn)學(xué)生宿舍上網(wǎng)統(tǒng)一管理后，學(xué)生在校內(nèi)使用統(tǒng)一的校園網(wǎng)賬號上網(wǎng)，在學(xué)校任何地方都只需要一套賬號，在教學(xué)區(qū)使用校園網(wǎng)、在宿舍選擇使用運(yùn)營商的網(wǎng)絡(luò)，并由學(xué)校統(tǒng)一進(jìn)行管理，統(tǒng)一留存上網(wǎng)日志，以滿足上級部門對安全管理的需要。

3 學(xué)生宿舍運(yùn)營商網(wǎng)絡(luò)統(tǒng)一管理的實(shí)現(xiàn)方法

學(xué)生宿舍的運(yùn)營商網(wǎng)絡(luò)，均采用了GPON 的方式來構(gòu)建，中間為無源光網(wǎng)絡(luò)，客戶端使用O N U（用戶端的光網(wǎng)絡(luò)單元）接入，局端使用O L T（中心局的光線路終端）匯總，兩者之間通過O D N（無源光器件的光分配網(wǎng)）連通。

各家運(yùn)營商網(wǎng)絡(luò)將OLT設(shè)備經(jīng)過匯聚交換機(jī)進(jìn)行匯總，匯聚為兩根萬兆光纖鏈路接到學(xué)校的N18K 核心交換機(jī)，在N18K 上啟用QINQ 二層極簡功能來部署網(wǎng)絡(luò)。

各家運(yùn)營商的出口線路均接到出口設(shè)備銳捷77-X 路由器，出口帶寬根據(jù)各家運(yùn)營商的用戶需求提供。

上網(wǎng)認(rèn)證則由S A M 認(rèn)證平臺直接對接各家運(yùn)營商省公司RADIUS Server 系統(tǒng)，將對應(yīng)運(yùn)營商用戶發(fā)起的認(rèn)證報(bào)文中的校園網(wǎng)賬號轉(zhuǎn)換成運(yùn)營商賬號，直接發(fā)送給對應(yīng)運(yùn)營商的A A A 服務(wù)器進(jìn)行認(rèn)證，認(rèn)證通過則放行上網(wǎng)[2]。

4 學(xué)生宿舍運(yùn)營商網(wǎng)絡(luò)統(tǒng)一管理的相關(guān)配置過程

在進(jìn)行配置割接之前，先與各家運(yùn)營商溝通好了QINQ內(nèi)層VLAN 及外層VLAN 的分配情況，分配結(jié)果為：各家運(yùn)營商統(tǒng)一使用內(nèi)層VLAN：207-266；電信外層VLAN：3501-3800、移動(dòng)外層VLAN：2501-2700、聯(lián)通外層VLAN：2701-2900。

各家運(yùn)營商設(shè)備（ONU 和OLT）的VLAN 配置及QINQ封裝由各自的技術(shù)部門完成，學(xué)校完成核心交換機(jī)及出口路由的相關(guān)配置，以下為相關(guān)配置過程。

核心交換機(jī)（銳捷N18K）配置說明：

（1）添加QINQ 配置，增加外層VLAN 的數(shù)量。

（2）將運(yùn)營商的外層VLAN 劃分到三個(gè)supervlan 中。

（3）分別給三個(gè)運(yùn)營商規(guī)劃一個(gè)B 的地址。

（4）三個(gè)地址段分別配置DHCP 地址池。

（5）將運(yùn)營商三個(gè)地址段用策略路由指向?qū)?yīng)的出口路由器。

出口路由器（銳捷77-X）配置說明：

（1）添加SAM 上配置的學(xué)生用戶組信息。

（2）添加學(xué)生的策略路由以及NAT。

（3）添加運(yùn)營商地址庫路由。

（4）添加DNS 正向代理。

5 學(xué)生用戶宿舍上網(wǎng)的相關(guān)說明

學(xué)生在學(xué)校認(rèn)證時(shí)統(tǒng)一使用的是校園網(wǎng)賬號，在各家運(yùn)營商營業(yè)廳開通的賬號是運(yùn)營商賬號，通常為手機(jī)或固話號碼。學(xué)生在宿舍使用運(yùn)營商網(wǎng)絡(luò)上網(wǎng)前，需要登錄上網(wǎng)認(rèn)證自助服務(wù)系統(tǒng)，將“運(yùn)營商賬號”與“校園網(wǎng)賬號”進(jìn)行綁定，實(shí)現(xiàn)一一對應(yīng)的關(guān)系。

學(xué)生的電腦在接入宿舍的GPON 網(wǎng)絡(luò)后，用瀏覽器打開任意一個(gè)網(wǎng)站，會(huì)彈出認(rèn)證界面，輸入校園網(wǎng)賬號和密碼，在“選擇服務(wù)”欄選擇自己開通的運(yùn)營商，點(diǎn)擊“登錄”認(rèn)證上網(wǎng)。

學(xué)生在宿舍以外地區(qū)上網(wǎng)時(shí)，登錄界面是一樣的，只是在“選擇服務(wù)”欄選擇校園網(wǎng)即可[3]。

6 結(jié)語

目前，學(xué)校對學(xué)生宿舍運(yùn)營商網(wǎng)絡(luò)的統(tǒng)一管理已經(jīng)實(shí)現(xiàn)，當(dāng)然，在實(shí)際割接過程中還是遇到了各種各樣的問題，主要原因在于割接過程牽涉面比較廣、需要協(xié)調(diào)的技術(shù)人員比較多，此處不再詳述。

后續(xù)針對學(xué)生管理的進(jìn)一步需求，對于留存的上網(wǎng)日志，可以進(jìn)行詳細(xì)日志分析，從不同的角度來統(tǒng)計(jì)學(xué)生的上網(wǎng)情況，便于有針對性地開展學(xué)生管理工作，更好地實(shí)現(xiàn)對學(xué)生宿舍的管理。