| 您當(dāng)前位置：保定理工學(xué)院 >> 信息技術(shù)中心 >> 網(wǎng)絡(luò)安全 >> 瀏覽文章 |
|
新興網(wǎng)絡(luò)與傳統(tǒng)校園網(wǎng)架構(gòu)融合方案 【網(wǎng)絡(luò)安全】 加入時間：2024年08月20日 信息來源：本站原創(chuàng) 作者：xjzx 訪問量： |
隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展和技術(shù)變革，高校校園網(wǎng)絡(luò)接入方式已經(jīng)由單純的有線網(wǎng)絡(luò)，逐步發(fā)展為有線網(wǎng)絡(luò)、無線網(wǎng)絡(luò)、5G專網(wǎng)、虛擬專網(wǎng)、F5G光網(wǎng)等多種網(wǎng)絡(luò)共存的嶄新階段，師生用戶能夠更為便捷地從不同地點(diǎn)、不同終端泛在地連入校園網(wǎng)，從而實(shí)現(xiàn)教學(xué)實(shí)踐、資源與人的連接，新興的網(wǎng)絡(luò)接入方式不僅是數(shù)字化轉(zhuǎn)型賦能高等教育內(nèi)涵式發(fā)展的重要基礎(chǔ)設(shè)施載體，也為高校校園網(wǎng)絡(luò)建設(shè)和改造帶來了新的管理模式，持續(xù)改善用戶上網(wǎng)體驗。
本文以中南民族大學(xué)開展網(wǎng)絡(luò)建設(shè)和運(yùn)維的場景為例，探索新興網(wǎng)絡(luò)接入方式與傳統(tǒng)校園網(wǎng)絡(luò)架構(gòu)的融合。
5G專網(wǎng)融入校園網(wǎng)
“十二五”至“十三五”期間，學(xué)校陸續(xù)建設(shè)了多批 WIFI無線網(wǎng)絡(luò)，手機(jī)終端是占比最大的用戶群體。受限于當(dāng)時的WIFI技術(shù)及年久老化和故障，效果差評的反饋此起彼伏，小批量購置備件更換價格不劃算，且存在技術(shù)更新快甚至新產(chǎn)品不向下兼容的客觀實(shí)際，整體更換又涉及使用年限與經(jīng)費(fèi)使用效率不匹配的矛盾。除此之外樓宇房間長期存在信號干擾、覆蓋范圍、網(wǎng)速體驗等難以調(diào)和的運(yùn)維代價，持續(xù)建設(shè)無線網(wǎng)絡(luò)對于用戶所期待的體驗?zāi)繕?biāo)并不是最優(yōu)解。
5G專用網(wǎng)絡(luò)（private 5G network）是基于5G技術(shù)創(chuàng)建的具有統(tǒng)一連接性、優(yōu)化服務(wù)和特定區(qū)域內(nèi)安全通信方式的專用網(wǎng)絡(luò)。隨著5G的商用及5G基站覆蓋率的提升，以5G專網(wǎng)部分替代WIFI為解決這一情境提供了新的可能。 三大運(yùn)營商5G專網(wǎng)分別劃分安全區(qū)域接入校園網(wǎng)，UPF設(shè)備部署在各運(yùn)營商核心機(jī)房，UPF與校園網(wǎng)互聯(lián)只需運(yùn)營商提供裸光纖連接，一方面免去學(xué)校對UPF設(shè)備調(diào)試維護(hù)工作量，另一方面運(yùn)營商可將 UPF設(shè)備對多個學(xué)校共享復(fù)用，降低運(yùn)營成本繼而將實(shí)惠給予學(xué)校。
簽約手機(jī)號以VPDN方式連接5G專網(wǎng)，獲取的IP地 址由學(xué)校分配私有地址段并在校園核心網(wǎng)絡(luò)中添加相應(yīng)路由配置，匹配校園網(wǎng)地址的訪問從專網(wǎng)訪問，其它目的地址從運(yùn)營商出口訪問。5G互聯(lián)防火墻直接開放Web類公共應(yīng)用端口和校園網(wǎng)L2TP認(rèn)證，其它用于調(diào)試、開發(fā)的SSH、RDP等私設(shè)目的端口，則通過校園網(wǎng)L2TP認(rèn)證后使用，這使5G專網(wǎng)安全防護(hù)策略更為簡潔，也相對兼顧了安全與開放的平衡。
為緩解校園WIFI覆蓋和設(shè)備更新的不足，學(xué)校為每位教職工配發(fā)一張5G專網(wǎng)流量卡，該卡在全省高校校園基站擁有300GB定基站流量用于校園網(wǎng)與5G專網(wǎng)的消耗，在普通情況下，完全不用擔(dān)心在校園區(qū)域流量不夠用，此外還提供20GB全國通用流量和100GB定向APP流量，既彌補(bǔ)了校內(nèi)WIFI盲區(qū)的覆蓋，也將校園網(wǎng)延伸到了校園區(qū)域之外。該流量卡套餐全年資費(fèi)108元，按全校3000教職工（實(shí)際小于3000人）粗略計算，單年投資僅32.4萬元，按資產(chǎn)報廢年限8年計，若連續(xù)8年為教職工提供流量卡，僅投入259.2萬元就實(shí)現(xiàn)了隨身攜帶的校園網(wǎng)覆蓋，這也為教職工差旅，遠(yuǎn)程辦公、教學(xué)、科研等活動延伸了校園網(wǎng)。
相比WIFI更穩(wěn)定高速，同等投資額度用于無線網(wǎng)絡(luò)建設(shè)，可能僅能滿足1~2幢樓宇的WIFI初期投資，還不包含無線信號調(diào)優(yōu)、網(wǎng)絡(luò)運(yùn)維成本和供電等消耗，無疑更具性價比。借助5G專網(wǎng)的建設(shè)，運(yùn)營商通過室分天線進(jìn)一步完善了校園內(nèi)地下車庫、樓宇深處等信號覆蓋不全的區(qū)域，優(yōu)化了移動的用戶的筆記本、平板等設(shè)備，通過手機(jī)熱點(diǎn)共享的方式也逐漸流行起來。
5G專網(wǎng)融入校園網(wǎng)要點(diǎn)分析
◎ 技術(shù)深度待持續(xù)改進(jìn)
新技術(shù)從落地到深入應(yīng)用是一個持續(xù)改進(jìn)的過程。已投用的5G專網(wǎng)分配了學(xué)校私有IPv4地址和運(yùn)營商IPv6地址，IPv6并未互聯(lián)到5G專網(wǎng)是個缺憾，這與運(yùn)營商設(shè)備支持情況有關(guān)。而用戶在熟悉5G專網(wǎng)的使用后，也提出直接訪問圖書館數(shù)字期刊的想法，技術(shù)上，期刊數(shù)據(jù)庫大多采購云服務(wù)未部署在校園網(wǎng)，5G專網(wǎng)僅實(shí)現(xiàn)了到校內(nèi)IP段的路由連接，與期刊數(shù)據(jù)庫基于源IP認(rèn)證的模式并不匹配，有待通過其他技術(shù)形式進(jìn)行無感知轉(zhuǎn)換。
◎ 入網(wǎng)用戶驗證待完善
從圖1線路連接可見，已開通的5G專網(wǎng)的用戶采取的是信任運(yùn)營商的管理模式，只要運(yùn)營商將簽約用戶劃入學(xué)校的5G分組，就能獲取學(xué)校的IP和路由，存在一定安全漏洞，下一步擬在UPF與互聯(lián)防火墻之間新增5G認(rèn)證代理網(wǎng)關(guān)，從運(yùn)營商SMF獲取簽約手機(jī)號信息，用戶經(jīng)認(rèn)證后鑒別為學(xué)校用戶再正常使用5G專網(wǎng)線路，從而加強(qiáng)網(wǎng)絡(luò)安全規(guī)范，并且通過代理網(wǎng)關(guān)，還能基于用戶身份識別實(shí)現(xiàn)差別化的訪問控制，進(jìn)一步精細(xì)化接入管理。
◎ 5G專網(wǎng)是否完全替代WIFI
基于技術(shù)發(fā)展趨勢及中短期發(fā)展規(guī)劃網(wǎng)絡(luò)建設(shè)的實(shí)際需求，5G專網(wǎng)尚不具備完全替代WIFI的可能，可預(yù)見持續(xù)的網(wǎng)絡(luò)改造將結(jié)合資金績效、人員密度、覆蓋空間、應(yīng)用場景等多重條件進(jìn)行評估實(shí)施，如教室、宿舍等人員持續(xù)密集區(qū)域以WIFI覆蓋為主，而辦公區(qū)域與體育館、食堂等場館區(qū)域以5G 覆蓋為主，室分與WIFI為補(bǔ)充，從而在運(yùn)維管理、使用體驗、建設(shè)投入之間更趨平衡。
F5G光網(wǎng)迭代基礎(chǔ)網(wǎng)絡(luò)改造
學(xué)校有線網(wǎng)絡(luò)多年來保持接入、匯聚、核心三層網(wǎng)絡(luò)結(jié)構(gòu)穩(wěn)定運(yùn)行，但在教學(xué)辦公區(qū)域存在一定不足：首先是設(shè)備分布廣、數(shù)量多，不可避免帶來較高運(yùn)維成本；其次是接入層設(shè)備大多位于樓層走道，設(shè)備風(fēng)扇噪音不時發(fā)生用戶投訴，且設(shè)備運(yùn)行環(huán)境欠佳導(dǎo)致老化時間短于報廢時間，在資產(chǎn)生命周期末尾因不穩(wěn)定和故障率問題進(jìn)一步導(dǎo)致用戶投訴。F5G全光網(wǎng)絡(luò)是點(diǎn)到多點(diǎn)架構(gòu)的無源光網(wǎng)絡(luò)，也是近年來網(wǎng)絡(luò)改造的熱門技術(shù)。針對教學(xué)樓基礎(chǔ)網(wǎng)絡(luò)運(yùn)維存在的弊端，選取與運(yùn)營商共建租用F5G 光網(wǎng)的改造模式，運(yùn)營商提供的光路終端OLT設(shè)備部署在學(xué)校網(wǎng)絡(luò)機(jī)房上聯(lián)至網(wǎng)絡(luò)核心交換機(jī)，樓宇內(nèi)的線路敷設(shè)與光分設(shè)備，以及用戶ONU的安裝都由運(yùn)營商投資建設(shè)和維護(hù)，從而整體替代原有的有線網(wǎng)絡(luò)和接入設(shè)備。 改造優(yōu)先選擇在用設(shè)備超過報廢年限的樓宇，在保持原有線網(wǎng)絡(luò)不中斷的條件下，逐批逐層開始光網(wǎng)改造，一般樓層按1：16分光入戶房間，從樓宇總光分到房間ONU采用二層QinQ配置。
房間按面積大小和覆蓋人數(shù)由歸屬單位決定ONU 數(shù)量，每個ONU為一個開戶按240元一年從房間歸屬單位向運(yùn)營商支付租金并承擔(dān)ONU設(shè)備保管責(zé)任，房間用戶可根據(jù)實(shí)際情況對ONU按小型電器自行采取供電安全管理。用戶連接ONU的有線或無線都通過vBRAS進(jìn)行portal認(rèn)證，獲得同一個地址池IP，同時vBRAS具備弱綁定功能保持同一個終端IP在一個學(xué)期內(nèi)不改變滿足了部分用戶固定IP的需求，相比原有線網(wǎng)絡(luò)L2TP認(rèn)證便捷度和用戶體驗提升明顯。
以第一個實(shí)施光網(wǎng)的體訓(xùn)中心大樓為例，包含辦公室、體育訓(xùn)練室等不同面積的公共空間共開通120 戶， 一年租金2.88萬元，若不計新開戶和銷戶，連續(xù)8年租金23.04萬元，這對于基礎(chǔ)網(wǎng)絡(luò)投入是極具價格優(yōu)勢的。120臺ONU每臺提供4個有線接入點(diǎn)，若等量自建基礎(chǔ)網(wǎng)絡(luò)則對應(yīng)480個點(diǎn)位，僅24 口交換機(jī)就需要20臺，網(wǎng)絡(luò)布線按500元一個點(diǎn)位則需24萬元，無線網(wǎng)絡(luò)覆蓋還未計入就已經(jīng)遠(yuǎn)超租用的建設(shè)模式，同時還釋放了基礎(chǔ)網(wǎng)絡(luò)運(yùn)維的人力成本。
F5G光網(wǎng)迭代基礎(chǔ)網(wǎng)絡(luò)改造要點(diǎn)分析
◎ vlan-id規(guī)劃要前置
校內(nèi)不同類型的樓宇和校區(qū)都存在從1開始計數(shù)的樓棟編號，同一幢樓還存在按字母分為不同區(qū)域，房間號因各種原因存在前綴相同尾號不同等情況，vlan-id想設(shè)計為一看就能知道準(zhǔn)確位置的規(guī)則性存在一定難度，解決方式是vlan-id嵌套規(guī)則只觀察出大致區(qū)域的特征性，無法直觀看出規(guī)律的細(xì)化規(guī)則通過字典對照的方式來解決。
◎ 推廣到學(xué)生宿舍
學(xué)生宿舍的改造較之教學(xué)樓，需要考慮的問題更為繁瑣。首先要允許三大運(yùn)營商都能參與并為學(xué)生提供服務(wù)，合作模式與各運(yùn)營商意愿需要溝通協(xié)調(diào)；其次ONU是否集中供電，有待與學(xué)生管理相結(jié)合，評估利弊再選取方案；再次，宿舍到OLT涉及大量光纖芯數(shù)，下沉到宿舍區(qū)域或集中到網(wǎng)絡(luò)機(jī)房，都需要光纜線路改造和環(huán)網(wǎng)冗余方式設(shè)計作為前置工作。
◎ 無線漫游有缺憾
ONU的無線功能可視為“胖AP”，ONU之間不具備漫游特性，每個ONU的SSID設(shè)置為相同或不同，都存在終端移動到另一個區(qū)域，與已連接SSID弱信號未中斷的情況，導(dǎo)致用戶無線體驗陡然下降，需要用戶手動進(jìn)行SSID切換，切換后基于portal無感認(rèn)證才會重新恢復(fù)流暢。
◎ 遞進(jìn)式改造
光網(wǎng)改造無論是校方投資還是運(yùn)營商投資都涉及較大人、財、物投入，第一幢改造樓宇具有典型的示范作用，根據(jù)改造效果、經(jīng)驗以及資產(chǎn)年限逐步開展改造，每次改造以整幢樓宇為單位，既避免扎堆建設(shè)產(chǎn)生工程難度，也待用戶看到改造效果后產(chǎn)生自發(fā)配合的意愿。改造過程與原網(wǎng)絡(luò)持續(xù)并行一段周期后，再逐步停用、下線拆除舊的設(shè)備和線路，此舉也為樓層橋架減負(fù)。
5G專網(wǎng)切片保障專有應(yīng)用
人員密集場所對網(wǎng)絡(luò)連接的需求不僅是用戶聯(lián)網(wǎng)，往往還涉及專有業(yè)務(wù)的保障。如會堂、禮堂、體育場館等活動開展視頻直播，臨時布線不易選取接入點(diǎn)，也存在踩踏踢線等風(fēng)險，無線WIFI難以在眾多并發(fā)下保障信號穩(wěn)定；再如校園卡POS機(jī)由有線網(wǎng)絡(luò)接入校園網(wǎng)或?qū)＞W(wǎng)，依靠傳統(tǒng)網(wǎng)絡(luò)技術(shù)對其進(jìn)行多路由保障難免措施繁瑣，逐級相關(guān)設(shè)備供電、物理線路等也會增加保障的開銷。
5G相比前代移動通信，具備了網(wǎng)絡(luò)切片技術(shù)保障能力，在人員密集區(qū)域，指定的物聯(lián)專用卡為專有應(yīng)用保障提供可靠的帶寬與信號。在此基礎(chǔ)上，針對網(wǎng)絡(luò)保障和無縫切換的需求，使用雙上聯(lián)CPE作為保障設(shè)備，自動識別網(wǎng)絡(luò)的連通性并進(jìn)行切換，極大簡化業(yè)務(wù)保障所需付出的人工運(yùn)維和技術(shù)改造復(fù)雜性。 以校園卡在食堂消費(fèi)的網(wǎng)絡(luò)保障為例，POS終端與接入交換已具備UPS供電保障，一般經(jīng)有線網(wǎng)絡(luò)訪問校園卡服務(wù)器。引入5G物聯(lián)專用CPE對食堂上聯(lián)網(wǎng)絡(luò)做改造，CPE判斷原有線網(wǎng)絡(luò)發(fā)生中斷，自動切換到5G物聯(lián)專網(wǎng)，該物聯(lián)專網(wǎng)具有專用頻段，即使食堂用餐高峰也不擔(dān)心手機(jī)用戶擠占爭用，繼而經(jīng)校園5G專網(wǎng)進(jìn)入校園網(wǎng)。
根據(jù)5G物聯(lián)專網(wǎng)約束條件，對5G物聯(lián)專網(wǎng)與5G專網(wǎng)使用不同IP地址池，多張5G物聯(lián)卡共用一個流量池，同時通過5G物聯(lián)訪問校園網(wǎng)目的IP有數(shù)量限制。為兼顧安全，區(qū)分物聯(lián)專網(wǎng)面向不同業(yè)務(wù)保障，從5G物聯(lián)專網(wǎng)進(jìn)入校園網(wǎng)后，從CPE發(fā)起 L2TP連接到軟路由，安全防護(hù)設(shè)備以軟路由源地址放行到校園網(wǎng)服務(wù)器的訪問，從而縮小網(wǎng)絡(luò)安全風(fēng)險面，當(dāng)專用CPE檢測到有線網(wǎng)絡(luò)上聯(lián)恢復(fù)后，從 5G物聯(lián)專網(wǎng)切換回有線網(wǎng)絡(luò)，恢復(fù)為常態(tài)運(yùn)行，也能節(jié)約物聯(lián)專網(wǎng)的流量消耗。
結(jié)語
泛在網(wǎng)絡(luò)接入已是教育數(shù)字化轉(zhuǎn)型變革中必不可少的技術(shù)底座，多網(wǎng)融合的應(yīng)用場景也將在這場變革中不斷持續(xù)深化。對技術(shù)人員而言，既不能故步自封，將新技術(shù)與傳統(tǒng)技術(shù)割裂開來，也不能過度超前，將傳統(tǒng)技術(shù)棄之如草芥，而是要結(jié)合校本實(shí)際，在人員隊伍、資金投入、用戶接納度之間找到與教、學(xué)、研、管的契合點(diǎn)，同時在“勤儉節(jié)約辦一切事業(yè)”的要求下積極應(yīng)變，塑造數(shù)字教育發(fā)展新優(yōu)勢，推動教育高質(zhì)量發(fā)展。
來源：《中國教育網(wǎng)絡(luò)》2024年6月刊 作者：高杰欣、張淼、余鵬（中南民族大學(xué)信息化建設(shè)管理處） 責(zé)編：陳榮 |