【文章內(nèi)容簡介】 E廈門 PE （ L A C ）泉州 L NSL 2 T P 隧道普通用戶撥號后通過 M P L S V P N接入泉州校區(qū)固定 IP 用戶通過L 2 T P 接入泉州校區(qū) 以華大為例 華大廈門分校區(qū)終端訪問泉州校區(qū)校園網(wǎng)可以兩種方式： L2TP 接入方式： 在實驗機房和辦公室等接入相對較頻繁，可信任度也較高的區(qū)域。固定用戶通過L2TP 接入泉州校區(qū)。廈門分校區(qū)的固定 IP 用戶采用就近的一臺 BRAS 最為 LAC 設備，用戶通過 PPP 連接到 LAC， LAC 隨即與 LNS 建立 L2TP 隧道和電路，在 LNS 與校園網(wǎng)之間建立中繼，并互相指定明細路由；廈門分 校區(qū)的固定 IP 用戶就可以接入到泉州校區(qū)。 系統(tǒng)設計方案 第 16 頁 MPLS VPN 接入方式： 校內(nèi)普通用戶撥號后通過 MPLS VPN 接入泉州校區(qū)。用 MPLS VPN 實現(xiàn)互聯(lián)，通過 MPLS 核心網(wǎng)絡，互聯(lián)的兩端網(wǎng)絡分別就進接入 PE 節(jié)點，中間通過高校安全的 MPLS技術實現(xiàn)，這種方式是目前的主流實現(xiàn)方式，可以提供豐富的安全和質(zhì)量可控服務，基于分組機制的網(wǎng)絡技術使得互聯(lián)帶寬可以輕松地擴充到 1G 以上 。 通過 MPLS VPN 和 L2TP 隧道，保證廈門校區(qū)用戶可獲得與泉州校區(qū)完全相同的網(wǎng)絡接入方式。 統(tǒng)一的 AAA 平臺使得師生可以在兩個校區(qū)之間自由漫 游，享受完全一致的網(wǎng)絡體驗。 中國電信強大的 MPLS 核心網(wǎng)絡和 CN2 網(wǎng)絡，保證兩個校區(qū)之間的數(shù)據(jù)通信和信息共享完全無阻隔，兩個城市之間零距離。 方案的實現(xiàn) 以華僑大學校園網(wǎng)為例，討論方案是如何實現(xiàn)的。 （ 1）用戶接入 所有用戶采用 PPPoE 的方式接入校園網(wǎng)和互聯(lián)網(wǎng)，每個用戶一個賬號，每個賬號 系統(tǒng)設計方案 第 17 頁 同時只允許一臺電腦使用。 （ 2）接入賬號 由于具有差異化的資費需求，考慮到實際經(jīng)濟承受能力，為部分學生提供非包月上網(wǎng)資費標準，同時學校要求上互聯(lián)網(wǎng)的時候不允許同時訪問校園網(wǎng)，因此為每個校內(nèi)用戶提供雙域名賬號的方式。 網(wǎng)絡接入賬號格式為“用戶名” +“ @” +“域名”，通過不同的域名來區(qū)分學生和教職工及訪問的網(wǎng)絡范圍。 帳號撥號方式 ,并根據(jù)后綴方式不同控制上網(wǎng)時間及訪問內(nèi)外網(wǎng)的控制。 以華大和陶瓷學院為例： 華僑大學 ①教師外網(wǎng)： 帳號 @ ②教師內(nèi)網(wǎng)： 帳號 @ ③學生外網(wǎng) : 帳號 @ ④學生內(nèi)網(wǎng) : 帳號 @ （ 3）數(shù)據(jù)路由 當用戶撥號后， BRAS 自動把用戶放到一個 VPN 內(nèi)，用戶不能與同一臺 BRAS 上的其他用戶直接通信，所有的訪問流量將通過（ SR）分流到校園網(wǎng)內(nèi)或者行為控制設備。行為控制設備的規(guī)則由校方進行配置，運營商和校方同時具備查詢?nèi)罩镜臋嘞蕖? （ 4） IP 地址分配 當用戶使用校園網(wǎng)后綴的賬號撥入網(wǎng)絡時， BRAS 為用戶分配 10 網(wǎng)段的 IP 地址，只能訪問校園網(wǎng)；用互聯(lián)網(wǎng)后綴的賬號撥入網(wǎng)絡時， BRAS 為用戶分配公網(wǎng) IP 地址 ，只能訪問互聯(lián)網(wǎng)。 訪問互聯(lián)網(wǎng) 在 SR7609 上配置默認路由，指向作為 VPN 出口的二級核心 GSR 設備接口。為了避免私網(wǎng)地址的流量發(fā)往城域網(wǎng)，在 SR 接口的出方向做 ACL，禁止私網(wǎng)源地址流量流出。 SR7609 通過引入靜態(tài)路由把這些前綴公告給 BRAS。 系統(tǒng)設計方案 第 18 頁 訪問校園網(wǎng) 在 SR7609 上配置往華大 6509 中繼口的靜態(tài)路由，把校園網(wǎng)流量引導過去。為了避免公網(wǎng)地址的流量發(fā)往校園網(wǎng)，在 SR 接口的出方向做 ACL，只允許私網(wǎng)為源地址的流量流出。 SR7609 通過引入靜態(tài)路由把這些前綴公告給 BRAS。 （ 5）訪問控制 通過 AAA 服務 器向 BRAS 下發(fā) filterid 屬性來實現(xiàn)對學生上網(wǎng)時間段的控制，目前需要配置兩個模板，如下表： 模板名 用途 LMT_8_24 工作日限制 824 點可上網(wǎng)，周末不限制 LMT_FREE 不限制時間 具體哪些學生需要限制上網(wǎng)時間段由校方?jīng)Q定，可以在輔助管理系統(tǒng)上自行配置。 方案適用范圍 原有校園網(wǎng)改造和新的校園網(wǎng)的建設。 校園網(wǎng)策略部署 （ 1）樓道及園區(qū)交換機 ① 該方案中的樓道交換機可采用現(xiàn)網(wǎng)通用的華為 /中興的二層交換機。 ② 樓道交換機安全策略： ? 樓道交換機用戶之間在用戶端口配置 CVLAN 進行隔離； ? 園區(qū)交換機透傳用戶 CVLAN； ? 樓道和園區(qū)交換機登錄控制參考城域網(wǎng)內(nèi)對應層面交換機配置要求； ? 用戶和網(wǎng)管通過不同 VLAN 實現(xiàn)隔離。 （ 2）校園網(wǎng)匯聚交換機 ? 校園網(wǎng)匯聚交換機與校園內(nèi)網(wǎng)交換機二層 VLAN 互聯(lián)，透傳 BRAS 和校園內(nèi)網(wǎng)交換機互聯(lián)VLAN； ? 校園網(wǎng)匯聚交換機配置 QinQ，匯聚交換機至園區(qū)交換機互聯(lián)端口配置 PVLAN，每個園區(qū)分 系統(tǒng)設計方案 第 19 頁 配 CVLAN 段； ? 校園網(wǎng)匯聚交換機至 BAS 中繼配置二層 trunk 方式，透傳用戶的 QinQVLAN、校園寬帶網(wǎng)二層交換機管理 VLAN BAS 和校園內(nèi)網(wǎng)交換機互聯(lián) VLAN 6； （ 3） BAS ? 終結(jié)用戶 PPPoE 認證請求； ? 作為 DHCP 服務器，為學生分配公網(wǎng)或私網(wǎng) IP； ? 配置訪問互聯(lián)網(wǎng)帳號域和訪問校園網(wǎng)帳號域，互聯(lián)網(wǎng)帳號域?qū)W生獲得公網(wǎng) IP 地址，通過BRAS 普通路由至互聯(lián)網(wǎng)；訪問校園網(wǎng)帳號域關聯(lián)校園網(wǎng)虛擬 VPN，獲得校園網(wǎng)私網(wǎng) IP 訪問校園內(nèi)網(wǎng)； ? 建立與校園內(nèi)網(wǎng)交換機互聯(lián) VLAN 通道，建立校園網(wǎng)虛擬 VPN，并配置私網(wǎng) IP 地址池。當接駁帳號帶訪問校園網(wǎng)后綴域名時，以靜態(tài)路由方式，通過校園內(nèi)網(wǎng)交換機互聯(lián) VLAN 通道訪問校園內(nèi)網(wǎng)； ? 終結(jié)樓道交換機管理 VLAN； ? 配置域名和端口綁定策略。 （ 4）校園內(nèi)網(wǎng)交換機 ? 配置與 BAS 互聯(lián)邏輯 VLAN 及互聯(lián) IP 地址； ? 配置學生用戶私網(wǎng) IP 地址段的回程路由指向與 BAS 互聯(lián)的邏輯 VLAN。 開通所需要的資源 （ 1）新增校園網(wǎng)匯聚交換機至城域網(wǎng) BAS的 1000M 電路 該電路用于學生寬帶 PPPoE 通道、二層交換機網(wǎng)管通道，同時通過該通道迂回學生訪問校園內(nèi)網(wǎng)資源流量至校園網(wǎng)內(nèi)。 （ 2）校園寬帶網(wǎng)樓道、園區(qū)及匯聚二層交換機網(wǎng)管 IP 地址 該 IP 地址由網(wǎng)絡操作維護中心分配。 （ 3）學生校園寬帶使用的 IP 地址池 根據(jù)校園寬帶業(yè)務發(fā)展的預期規(guī)模，按照 1： 的收斂比例 規(guī)劃公網(wǎng) IP 地址數(shù)量，在業(yè)務開通準備階段向網(wǎng)絡操作維護中心申請。 （ 4）校園內(nèi)網(wǎng)交換機與 BAS 互聯(lián) VLAN通道的互聯(lián) IP 根據(jù)校園內(nèi)網(wǎng)交換機 VLAN 使用情況調(diào)整，互連 VLAN 的 IP 地址采用點對點 IP 地址段，該 IP 地址由學校進行規(guī)劃和分配。 （ 5）校園網(wǎng)內(nèi)相關資源所在 IP 地址段和校園網(wǎng)內(nèi)網(wǎng) IP 地址段 系統(tǒng)設計方案 第 20 頁 該資源由政企客戶部和縣區(qū)局前端部門向校方申請。 校園網(wǎng)全方位安全解決方案 網(wǎng)絡健壯性 Si SiLAN AD SL 2+ W iF i EPON接入控制層接入?yún)R聚層 ? 接入?yún)R聚層以上設備所在機房均按照電信級機房要求建設，環(huán)境溫濕度、建筑強度、電力供應具有保證 ? 接入?yún)R聚層以上設 備采用了全面的設備級備份技術，包括雙主控雙電源雙上行等 ? 接入控制層的 BRAS 設備采用了可靠的技術方案，主備板倒換時能夠確保用戶不掉線，業(yè)務不中斷； BRAS 還能夠支持雙機熱備份，確保單臺設備宕機不影響業(yè)務 ? 接入控制層到 BRAS 均采取了中繼多鏈路捆綁，雙歸屬等中繼備份方案，確保不會出現(xiàn)大面積的單點障礙 ? 大容量接入的 ADSL 2+設備和 EPON 設備均支持多主控板、多電源和多上行中繼保護；并且采用了電信級的接入網(wǎng)機房標準，確保設備在優(yōu)良的環(huán)境中運行 系統(tǒng)設計方案 第 21 頁 用戶追蹤 校園接入網(wǎng)校園核心網(wǎng)校園核心網(wǎng) In te r n e tB RAS 校園網(wǎng)用戶通過 PPPoE 接入網(wǎng)絡；接 入網(wǎng)全程 VLAN 隔離，避免二層竊聽和攻擊；使用 CHAP 鑒權協(xié)議，確保密碼不會被截?。?PPPoE 協(xié)議本身具有 ARP 攻擊免疫能力；支持用戶賬號和物理接入位置的捆綁。 每個用戶一個 VLAN，配合 QinQ 技術，確保用戶的物理接入信息能夠逐層傳遞到接入控制層設備。 每次接入均由 AAA 服務器對 IP 地址、接入位置、賬號、時間等進行記錄。 BRAS 把每次用戶在線的信息發(fā)送到 AAA 系統(tǒng)中進行記錄，盡管校園網(wǎng)內(nèi)部不計費，但是仍然有免費話單存在，因此可以隨時隨地根據(jù) IP 地址反向追蹤到用戶賬號及所在的物理位置。 用戶訪問 inter 進行了二次 web 驗證和記賬，進一步確保信息的準確性。 用戶直接分配公網(wǎng) IP 地址，不需 NAT 地址轉(zhuǎn)換，可以隨時根據(jù)互聯(lián)網(wǎng)服務器反饋的地址追蹤到校內(nèi)用戶賬號及所在物理位置，不受應用的限制。 攻擊防范 Intern et校園網(wǎng)流量監(jiān)測流量過濾攻擊流量 干凈流量 系統(tǒng)設計方案 第 22 頁 ? PPPoE 接入的網(wǎng)絡天生具備抵抗 ARP 攻擊的能力。 ? 從接入控制層到用戶終端的全程二層流量隔離杜絕了廣播類的二次網(wǎng)絡攻擊。 ? 流量監(jiān)測儀實時監(jiān)測從 inter 流入校園網(wǎng)的流量，當發(fā)現(xiàn)網(wǎng)內(nèi)用戶被攻擊時，自動把流量牽引到流量過濾器上，從而達到保護網(wǎng)內(nèi)用戶免受攻擊的目的。 網(wǎng)絡統(tǒng) 一管理 ? 網(wǎng)絡設備管理 ? 綜合網(wǎng)絡管理系統(tǒng)為學校網(wǎng)絡管理中心及電信公司提供網(wǎng)絡的實時監(jiān)控、性能分析等需求。 ? 閉環(huán)故障和用戶申告工單管理機制實現(xiàn)網(wǎng)絡管理的可控性。 ? 用戶管理 ? 通過每用戶一賬號的方式提供全網(wǎng)用戶管理能力，電信公司實現(xiàn)批量賬號開通，單個受理等方式，并報送校方備案。校方通過維護終端可隨時對任何賬號進行激活 /去激活，設置訪問時間控制等各種管理操作。 ? 用戶行為管理 ? 上網(wǎng)行為控制設備的管理客戶端可以為學校提供上下線日志、行為、流量等的后續(xù)追蹤，也可以實時對用戶的網(wǎng)頁行為、文件、郵件及其他多種涉及安全的行為進行 精細化控制。 校園網(wǎng)安全解決方案產(chǎn)品選型（以中興為例） ZXSEC US 統(tǒng)一安全網(wǎng)關 校園網(wǎng)絡面臨主動或被動的攻擊行為是來自防火墻內(nèi)部的，校園網(wǎng)內(nèi)部攻擊，傳統(tǒng)防火墻無法發(fā)現(xiàn)內(nèi)部網(wǎng)絡中的攻擊行為。 傳統(tǒng)防火墻作為訪問控制設備，無法檢測或攔截嵌入到普通流量中的惡意攻擊代 系統(tǒng)設計方案 第 23 頁 碼，比如針對 WEB 服務的 Code Red 蠕蟲等。難以識別復雜的網(wǎng)絡攻擊行為沒有詳細的日志信息，以協(xié)助后續(xù)調(diào)查和取證工作的開展。網(wǎng)絡出口的傳統(tǒng)防火墻不能對上網(wǎng)行為進行實時檢測和阻斷，不能對基于應用層的協(xié)議進行細粒度檢測 ，防火墻只能靜態(tài)的被動的檢測，對于大量的應用層協(xié)議的攻擊和 DDOS 攻擊無能為力。沒有詳細的日志記錄，事前不能有效的檢測、事中不能實時動態(tài)的控制和阻斷異常行為、事后也沒有詳細的日志記錄進行跟蹤攻擊源和攻擊意圖，不能提供有效的追查依據(jù)。 ZXSEC US 統(tǒng)一安全網(wǎng)關具有防火墻、 VPN 功能、防病毒、放垃圾郵件、 Web 內(nèi)容過濾、流量控制帶寬管理、應用控制、 HA 高可用性、服務器負載均衡、廣域網(wǎng)加速功能。 ZXSEC US 統(tǒng)一安全網(wǎng)關具有 27 層基于應用層安全防御功能，是下一代網(wǎng)絡安全防御的首選產(chǎn)品，豐富的功能和高性能處 理是 ZXSEC US 統(tǒng)一安全網(wǎng)關的重要特點。 ZXSEC US 統(tǒng)一安全網(wǎng)關功能特點： ZXSEC US 統(tǒng)一安全網(wǎng)關具有如下功能特點： （ 1）防火墻功能：通過網(wǎng)絡訪問控制策略防護各安全域的各類網(wǎng)絡威脅。 （ 2） VPN 功能：（ IPSEC VPN,SSL VPN）同時提供兩種 VPN 接入方式，并且能對 SSL VPN 加密內(nèi)容進行病毒查殺檢測， Web 頁面內(nèi)容和郵件內(nèi)容過濾， IPS 異常行為有效攔截控制。從而為用戶建立一個綠色 VPN 通道，確保 VPN 兩端的相對安全。 （ 3）防病毒功能：網(wǎng)絡防病毒網(wǎng)關，將互聯(lián)網(wǎng)病毒和非信任區(qū)域 病毒隔離在防火墻之外。這樣結(jié)合數(shù)據(jù)交換中心病毒防護，終端桌面網(wǎng)絡防毒系統(tǒng)，形成了立體病毒防御體系，保障內(nèi)網(wǎng)沒有病毒滋生的環(huán)境。 （ 4） IPS 入侵防御功能：時時在線更新 IPS 特征庫，攔截異常訪問流量和惡意行為。 （ 5） Web 內(nèi)容過濾功能：可通過搜索引擎關鍵字和 URL 進行過濾，提供站點分類，可對不同分類的敏感信息進行分