【正文】 園網(wǎng)教學(xué)區(qū)用戶的需求，他們類似于商業(yè)用戶群。對網(wǎng)絡(luò)提出高可靠與高穩(wěn)定、便于維護(hù)管理、區(qū)分內(nèi)外網(wǎng)計費(fèi)等要求。③ 教工家屬區(qū) 業(yè)務(wù)流量主要為訪問 INTERNET。教工家屬區(qū)的業(yè)務(wù)模式是典型的商業(yè)網(wǎng)模式，與運(yùn)營商開展的寬帶小區(qū)業(yè)務(wù)沒有任何本質(zhì)區(qū)別。從以上分析我們可以得出：校園網(wǎng)的用戶是多層次的，具有不同的需求和特點。對于不同的用戶，可能的運(yùn)營方式會不同。 校園網(wǎng)運(yùn)營的難點校園網(wǎng)運(yùn)營存在很大的難度，原因有以下幾點：① 從成本的角度出發(fā)校園網(wǎng)選擇以太網(wǎng)技術(shù)，而以太網(wǎng)技術(shù)本身的網(wǎng)絡(luò)的安全性、用戶的可管理性以及無法認(rèn)證、計費(fèi)的特征將導(dǎo)致運(yùn)營難度的增加；② 學(xué)生宿舍區(qū)混合了企業(yè)網(wǎng)與商業(yè)網(wǎng)的特征：一方面學(xué)生需要相互共享資源、訪問教學(xué)區(qū)資源，這是典型的企業(yè)網(wǎng)模式；另一方面，學(xué)生對 INTERNET 的訪問需求非常巨大。我們姑且把它稱之為寬帶 Centrex 模式：要求內(nèi)部互訪免費(fèi)，訪問 INTERNET 收費(fèi)；③ 學(xué)生具有極高的專業(yè)素質(zhì)，校園網(wǎng)的安全性設(shè)計成為了一個巨大的挑戰(zhàn)。任何安全性的漏洞可能導(dǎo)致校園網(wǎng)的癱瘓而無法運(yùn)營；④ 學(xué)生的經(jīng)濟(jì)弱勢，網(wǎng)絡(luò)盜用現(xiàn)象若不能得到控制將導(dǎo)致運(yùn)營收入的大量流失。上述問題基本概括了校園網(wǎng)運(yùn)營的難點，解決上述問題是校園網(wǎng)是否成功運(yùn)營的至關(guān)點。 神州數(shù)碼可運(yùn)營校園網(wǎng)解決方案31 神州數(shù)碼接入管理器 靈活的接入認(rèn)證方式神州數(shù)碼可運(yùn)營校園網(wǎng)解決方案可提供 PPPoE、DHCP＋ Web、專線固定 IP 地址接入等多種接入和認(rèn)證方式。面對校園網(wǎng)中教學(xué)區(qū)群體、學(xué)生宿舍區(qū)群體和教職工家屬區(qū)群體等不同用戶群體的不同使用需求，可以綜合采用上述四種不同的接入方式。例如：在教學(xué)區(qū)建議使用專線固定 IP 地址接入方式，因為這部分應(yīng)用主要是行政、教學(xué)或者科研之用。在學(xué)生宿舍區(qū)和教職工家屬區(qū)建議使用 PPPoE 、DHCP+Web 或者 認(rèn)證接入方式。 輕松的運(yùn)營管理在神州數(shù)碼可運(yùn)營校園網(wǎng)解決方案中采用了神州數(shù)碼 DCBI2022 Radius 認(rèn)證計費(fèi)管理系統(tǒng)。該系統(tǒng)具有良好的用戶界面、高效可靠的性能。采用標(biāo)準(zhǔn)的 Radius 協(xié)議，通過與神州數(shù)碼網(wǎng)絡(luò)有限公司的 DCBA 系列接入管理器、DCS 系列交換機(jī)，以及其它支持 Radius 協(xié)議的設(shè)備相結(jié)合，能夠?qū)崿F(xiàn)靈活的用戶認(rèn)證、管理和計費(fèi)。后臺可支持 Oracle，MS SQL Server 等多種數(shù)據(jù)庫。用戶管理可以實現(xiàn)用戶開戶、停機(jī)、刪戶、預(yù)付時長用戶發(fā)卡、用戶資料查詢和修改、用戶密碼修改、用戶上網(wǎng)記錄、繳費(fèi)帳單查詢。帳目管理可以實現(xiàn)對用戶繳月費(fèi)、對預(yù)付時長預(yù)付流量用戶充值、用戶批量繳費(fèi)、按運(yùn)營商要求格式導(dǎo)出帳單等功能。計費(fèi)管理不僅可以直接使用系統(tǒng)提供的包月、計時長、計流量、實時扣費(fèi)、卡業(yè)務(wù)等計費(fèi)原型，網(wǎng)絡(luò)管理員同時可以自定義計費(fèi)策略。比如設(shè)置優(yōu)惠時段，哪些服務(wù)收費(fèi)，哪些服務(wù)免費(fèi)，對不同的用戶可采用不同的計費(fèi)策略和資費(fèi)標(biāo)準(zhǔn)。還可以定制用戶服務(wù)，如上下行帶寬等。用戶上網(wǎng)統(tǒng)計和分析功能，比如按上網(wǎng)時間段、上網(wǎng)次數(shù)、每次上網(wǎng)時長或者累計時長、流量來統(tǒng)計和分析用戶上網(wǎng)行為，一定程度上協(xié)助網(wǎng)絡(luò)管理員更好地定制計費(fèi)和優(yōu)惠策略。同時系統(tǒng)還提供了用戶自助 WEB 服務(wù)，用戶可以 WEB 訪問的形式修改用戶密碼、查詢上網(wǎng)記錄、查詢帳單。在很大程度上方便了用戶。無論是 PPPOE 的接入方式還是 WEB 的接入認(rèn)證方式，用戶認(rèn)證通過后，訪問的第一個 WEB 頁面可被重定向到運(yùn)營商指定的 Portal 頁面；同時 WEB 的接入認(rèn)證方式支持 VLAN PORTAL 功能，可按用戶所處不同的 VLAN 范圍導(dǎo)向不同的認(rèn)證頁面；學(xué)?；蛟合悼梢岳贸跏冀缑媾c用戶交流帳務(wù)通知、校內(nèi)業(yè)務(wù)活動、品牌宣傳等信息?？梢栽鰪?qiáng)服務(wù)的迅捷性。 靈活開放的計費(fèi)策略由于校園網(wǎng)用戶是多層次的，因此校園網(wǎng)的計費(fèi)有其特殊性： ① 不同用戶，如學(xué)生、教師，可能的計費(fèi)策略不同。②數(shù)據(jù)業(yè)務(wù)具有多樣性的特點，因此所有通信包括校內(nèi)互通以及訪問 INTERNET 均進(jìn)行統(tǒng)一收費(fèi)的策略將大大降低校園網(wǎng)的內(nèi)在價值；同時，作為教育部門 ISP 的中國教育科研網(wǎng)進(jìn)行的是國內(nèi)國外的分開計費(fèi)，學(xué)校也必須對用戶進(jìn)行相應(yīng)的計費(fèi)方法。神州數(shù)碼可運(yùn)營校園網(wǎng)解決方案提供了靈活開放的計費(fèi)策略：包月、時長或有限時長包月（比如 60 小時包月超出部分 2 元/小時） 、流量或有限流量包月（比如 1000M 包月超出部分 元/M ） 、預(yù)付時長、預(yù)付流量。網(wǎng)絡(luò)員可以自定義計費(fèi)策略。比如設(shè)置優(yōu)惠時段，哪些服務(wù)收費(fèi)，哪些服務(wù)免費(fèi)，對不同的用戶可采用不同的計費(fèi)策略和資費(fèi)標(biāo)準(zhǔn)。同時與神州數(shù)碼接入管理器或支持 交換機(jī)配合，能夠做到內(nèi)外網(wǎng)的分開計費(fèi)、國內(nèi)外網(wǎng)站分開計費(fèi)。完全能夠滿足校園網(wǎng)的計費(fèi)需求。以下為校園網(wǎng)計費(fèi)模型的分析：學(xué)生宿舍：學(xué)生宿舍典型特征是一個終端即計算機(jī)可能被好幾個人擁有，多個學(xué)生通過同一個終端在不同時段訪問 INTERNET。按照傳統(tǒng)基于用戶位置（二層以太網(wǎng)交換機(jī)端口）或者目前寬帶比較流行的包月制的方式都沒有辦法區(qū)分使用同一個終端的不同用戶訪問 INTERNET 的費(fèi)用；另外包月制的方式只能對宿舍包月，無法對每個學(xué)生包月。校園上網(wǎng)卡可以較好地解決這個問題，卡號方式等于是一個預(yù)付費(fèi)的方式。上網(wǎng)卡的主要特點可歸納為：√ 實現(xiàn)對同一物理位置和接口，不同用戶的計費(fèi)管理，最適合學(xué)生宿舍等公共場所；√ 實現(xiàn)用戶全網(wǎng)的漫游的可能性，學(xué)生擁有上網(wǎng)卡可以在校內(nèi)任一臺計算機(jī)終端使用；√ 根據(jù)用戶使用網(wǎng)絡(luò)的實際情況進(jìn)行計費(fèi)；√ 儲值卡方式上網(wǎng)，不存在欠費(fèi)等問題，費(fèi)用管理簡單，運(yùn)營風(fēng)險小。上網(wǎng)卡上的用戶名、密碼已經(jīng)存放在校園網(wǎng)計費(fèi)中心的 Radius Server 的認(rèn)證數(shù)據(jù)庫中，通過 DCBI2022 認(rèn)證計費(fèi)管理系統(tǒng)的 web 服務(wù)功能，學(xué)生可以自行修改自己的上網(wǎng)密碼。每次上網(wǎng)結(jié)束后， DCBI2022 認(rèn)證計費(fèi)管理系統(tǒng)立即扣除相應(yīng)費(fèi)用；同時每次用戶上線時，DCBI2022 認(rèn)證計費(fèi)管理系統(tǒng)根據(jù)費(fèi)率計算用戶上網(wǎng)的剩余上網(wǎng)時長，當(dāng)用戶剩余時長達(dá)到后，將對用戶進(jìn)行自動拆線。費(fèi)率可以根據(jù)學(xué)校的實際情況進(jìn)行調(diào)整。教工家屬區(qū)可采用以下計費(fèi)策略：包月計費(fèi)、時長或有限時長包月計費(fèi)（比如 60 小時包月超出部分 2 元/小時） 、流量或有限流量包月計費(fèi)（比如 1000M 包月超出部分 元/M） 。具體的計費(fèi)策略可以按照實際情況制定。由于教工家屬區(qū)與學(xué)生宿舍有著不同的特征，在教工家屬區(qū)，各用戶的計算機(jī)終端完全被自己擁有，為了防止帳號被盜用，可以采用用戶帳號與 MAC 地址、VLAN 號以及 IP 地址綁定的方式保障用戶帳號的安全性。 同時校內(nèi)互訪可以設(shè)為免費(fèi)，訪問 INTERNET 收費(fèi)。各個學(xué)校可以根據(jù)需求靈活地設(shè)定合適的計費(fèi)模型。 超強(qiáng)的用戶接入控制與 IP 地址管理在校園網(wǎng)中一般采用 LAN 的接入方式，因此校園網(wǎng)的運(yùn)營不可避免會存在 IP 地址管理的問題。由于學(xué)生所住房間經(jīng)常調(diào)整，通常每學(xué)年就要移動一次；許多合法的 IP 地址在用戶結(jié)束使用后仍沒有收回，造成 IP 地址的浪費(fèi)。另外在校園網(wǎng)經(jīng)常出現(xiàn) IP 地址盜用或沖突的問題。用戶惡意更改 IP 地址，在實際的運(yùn)營中輕者導(dǎo)致其他用戶上不了網(wǎng)，重者則導(dǎo)致整個網(wǎng)絡(luò)陷入癱瘓（比如用戶的 IP 地址設(shè)成網(wǎng)關(guān)地址） ，嚴(yán)重的影響運(yùn)營的質(zhì)量；有的運(yùn)營商采用 IP 地址和 MAC 地址綁定的功能，但由于一方面不能有效地解決IP 地址沖突問題，同時增大了交換機(jī)的成本投入，而且工程的實施又極其繁瑣，所以也很不理想。神州數(shù)碼校園網(wǎng)解決方案中可以實現(xiàn)對用戶賬號與 IP、MAC、接入交換機(jī) IP、接入端口、VLAN ID、DHCP SERVER 等多元素的任意綁定，能夠很好的解決 IP 地址的管理問題，同時提供強(qiáng)大而靈活的用戶接入控制功能。方式一：用戶帳號/密碼的驗證，只有通過驗證的用戶才能訪問網(wǎng)絡(luò)，保證正常開戶的用戶才能接入。方式二：用戶帳號、密碼、IP 地址的綁定，可解決 IP 地址靜態(tài)分配環(huán)境下的 IP 地址沖突問題。方式三：用戶帳號、密碼、MAC 地址的綁定，可保證用戶帳號不被盜用。方式四：在 認(rèn)證中，交換機(jī)端口與 MAC 地址的綁定，可對認(rèn)證者進(jìn)行過濾。 方式五：用戶帳號、密碼、VLAN 號、MAC 地址的綁定，能夠為用戶做更精準(zhǔn)的身份認(rèn)證。比如教師家屬區(qū)和學(xué)生宿舍區(qū)的用戶通常使用不同資費(fèi)標(biāo)準(zhǔn)和策略，那么如何禁止這兩個區(qū)域用戶賬號的混用呢？如果教師和學(xué)生在不同的 VLAN 內(nèi)，只要在用戶認(rèn)證時，同時認(rèn)證用戶的 VLAN ID 就可以做到教師的帳戶只能在教師宿舍區(qū)使用，學(xué)生的帳號只能在學(xué)生宿舍區(qū)使用。神州數(shù)碼校園網(wǎng)解決方案在 IP 地址管理上可以做到：（1）針對靜態(tài) IP 地址分配的情況，做到：認(rèn)證前用戶將靜態(tài)分配方式改為動態(tài)、認(rèn)證過程中修改 IP 地址，用戶認(rèn)證不予通過；認(rèn)證后修改 IP 地址，用戶立即下線；（2）針對動態(tài) IP 地址分配的情況，可以做到：認(rèn)證前設(shè)定成靜態(tài)，認(rèn)證不予通過；認(rèn)證通過后，由動態(tài)改為靜態(tài)，用戶立即下線；從其他或非法 DHCP server 獲得地址，認(rèn)證不予通過； 全面的網(wǎng)絡(luò)資源盜用控制在校學(xué)生是一個經(jīng)濟(jì)弱勢群體，而 IP 網(wǎng)絡(luò)基于包交換，學(xué)生可以通過代理服務(wù)器方式盜用網(wǎng)絡(luò)資源。要保證網(wǎng)絡(luò)的正常運(yùn)營，必須要解決用戶盜用網(wǎng)絡(luò)資源的問題。神州數(shù)碼校園網(wǎng)解決方案能夠全面有效的解決網(wǎng)絡(luò)資源盜用的問題，有效地避免了運(yùn)營網(wǎng)絡(luò)出現(xiàn)收費(fèi)盲點以及架設(shè)代理服務(wù)器造成的網(wǎng)絡(luò)安全威脅。? 帶寬控制功能可以防止部分網(wǎng)絡(luò)盜用的現(xiàn)象。? 采用流量計費(fèi)、包月+限制流量的計費(fèi)策略。雖然有用戶做代理，但對總的流量計費(fèi)。保證運(yùn)營商的利益不受損害。? 若實行簡單的包月制，通過 Proxy Server，串聯(lián) HUB 等方式就會相當(dāng)普遍，但采用時長預(yù)付費(fèi)方式，在Proxy 方式下，除非主從機(jī)器同時上網(wǎng)，否則從機(jī)單獨上網(wǎng)時會將費(fèi)用記錄在主機(jī)上，由于這種情況存在，盜用的概率大大降低；? 通過限制 TCP/IP 的 Session，防止用戶做代理。單個用戶訪問 INTERNET 的會話連接應(yīng)該在一個固定的范圍內(nèi)，若某用戶的會話連接數(shù)目超過一定閾值，可以認(rèn)為該用戶使用代理服務(wù)器的方式在盜用網(wǎng)絡(luò)資源，接入管理器將向網(wǎng)管系統(tǒng)進(jìn)行告警或拆線，從而最大限度地預(yù)防網(wǎng)絡(luò)盜用；? 通過 客戶端禁止用戶做代理：如果在接入用戶計算機(jī)上安裝了兩個以上的有效網(wǎng)絡(luò)接口，并啟動了 Proxy 軟件、NAT 服務(wù)、 ICS 服務(wù)和終端服務(wù)，則不允許用戶進(jìn)行撥號并彈出相關(guān)出錯或警告信息，從而達(dá)到限制共享上網(wǎng)的目的。如果沒有安裝了兩個以上的有效網(wǎng)絡(luò)接口，或雖然安裝了兩個以上的有效網(wǎng)絡(luò)接口但并未啟動 Proxy 軟件、NAT 服務(wù)、ICS 服務(wù)和終端服務(wù)，則用戶仍可以正常撥號。? 在 認(rèn)證中可以對同一個端口的 MAC 地址認(rèn)證人數(shù)進(jìn)行限制。 超高的網(wǎng)絡(luò)安全管理由于校園網(wǎng)絡(luò)連接園區(qū)內(nèi)部所有用戶，安全管理十分重要。神州數(shù)碼“安全、智能、可運(yùn)營”的校園網(wǎng)解決方案，通過以下網(wǎng)絡(luò)安全管理，為校園網(wǎng)提供了高度的網(wǎng)絡(luò)安全保障。? 校園網(wǎng) vlan 設(shè)計vlan 設(shè)計在校園網(wǎng)中起到舉足輕重的作用，傳統(tǒng)校園網(wǎng)的設(shè)計思路是按照地理位置來劃分 vlan，這并非一個好的設(shè)計方法：因為地理位置相近的用戶不一定有資源共享的需求。vlan 設(shè)計的總體指導(dǎo)原則為提高校園網(wǎng)的效率以及網(wǎng)絡(luò)安全性：若相互間通信最多的用戶群處于同一個 vlan 下，一方面可以保證通信最多的用戶之間使用二層交換協(xié)議，而性質(zhì)不同的用戶之間，通信量較少，采用三層交換協(xié)議，無疑提高了網(wǎng)絡(luò)的效率；通信最多的用戶群體一般屬于相同性質(zhì)用戶如同一個班級的學(xué)生或者同一個部門的教師等，相互之間有信任關(guān)系，網(wǎng)絡(luò)的安全性能同樣會提高。學(xué)生宿舍區(qū) vlan 設(shè)計 按照上述原則，學(xué)生宿舍最好以班級或者專業(yè)劃分 vlan；教工家屬區(qū) vlan 設(shè)計 教工家屬區(qū)屬于完全的商業(yè)應(yīng)用，不同家庭的用戶之間幾乎不需要通信，建議每個家庭處于單獨的 vlan。? NAT 地址轉(zhuǎn)換通過內(nèi)置的網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）功能，用戶被分配私有 IP 地址，而私有 IP 地址對 INTERNET 是隱蔽的，INTERNET 上的用戶幾乎無法攻擊校園網(wǎng)內(nèi)部用戶。同時也解決了公用 IP 地址資源匱乏的問題。? 校園網(wǎng)上網(wǎng)控制通過 ACL 功能可以對不健康網(wǎng)站或者政治反動網(wǎng)站以及校內(nèi)關(guān)鍵資源如財務(wù)系統(tǒng)信息的過濾等?？梢愿鶕?jù)學(xué)校的管理要求，對學(xué)生上網(wǎng)時間、時段進(jìn)行嚴(yán)格管理。比如對 DCBA2022P 設(shè)置?？上拗茖W(xué)生在 2：00 ～5 ：00 上網(wǎng)。? 嚴(yán)格的 tel/enable/snmp 的訪問權(quán)限可以保證校園網(wǎng)絡(luò)設(shè)備的高度安全? 提供有效的防范措施針對 PPPoE 協(xié)議、DHCP SERVER、WEB SERVER 的 DoS 攻擊；? 校園網(wǎng)用戶上網(wǎng)記錄或日志管理網(wǎng)絡(luò)管理員通過 DCBI2022 認(rèn)證計費(fèi)系統(tǒng)可查看用戶上網(wǎng)詳細(xì)記錄。包括用戶 IP 地址、MAC 地址、VLAN ID、上網(wǎng)時間、流量信息、接入服務(wù)器 IP、端口等。通過對上網(wǎng)記錄的分析，能夠及時發(fā)現(xiàn)異常用戶。 可運(yùn)營解決方案神州數(shù)碼針對不同的校園網(wǎng)狀況，為用戶提供量身定制的可運(yùn)營校園網(wǎng)組網(wǎng)方案，充分保護(hù)用戶的投資，保障最高的性價比。1. 新建校區(qū)方案：“ 協(xié)議+神州數(shù)碼接入管理器”認(rèn)證計費(fèi)方案32 神州數(shù)碼認(rèn)證計費(fèi)解決方案神州數(shù)碼在充分了解高校的用戶需求，科學(xué)地分析對比每種接入認(rèn)證技術(shù)的基礎(chǔ)上，制定出高校的“ 協(xié)議+神州數(shù)碼接入管理器”認(rèn)證計費(fèi)方案。這種方案在接入層采用神州數(shù)碼的支持 認(rèn)證計費(fèi)的交換機(jī)，提供校園內(nèi)部網(wǎng)絡(luò)的認(rèn)證計費(fèi)功能，在校園網(wǎng)外網(wǎng)的出口配置神州數(shù)碼 DCBA2022W 接入管理器，用戶訪問外網(wǎng)使用 DHCP+WEB 認(rèn)證和計費(fèi)功能。認(rèn)證計費(fèi)過程描