侠诺科技校园网络接入解决方案

      据中国教育和科研计算机网调查数据显示，目前校园网络已通达内地的160个城市，联网的教育机构和科研单位达900多个，联网主机120万台，网络用户800多万，成为国内仅次于中国电信的第二大互联网络。然而，随着校园网络建设的不断深化，专家和教育工作者也提出了一些问题和建议。一方面是“光生不养”，校园网在国家投资建成后缺乏运行经费，普遍出现了“建设有钱，运行没钱”的情况；另一方面是校园网管理必须加强，避免学生沉迷于网络，也避免网络资源被大量闲置。

       要做好网络控管，我们必须先从校园内网络架构谈起。一般而言，校园内都有教育网系统，但因为有限的带宽以及校园安全性等等问题，多半各系所或是校园宿舍都会在学术网络之外，再自行建置一条或多条ADSL网络，以用来应付学员更大带宽使用的需求。因此在一般校园网络架构系统中，普遍我们可看到包含教育网以及公众网络两种系统并行。

      照理说校园网络比起一般网络应用环境，多出了教育网络系统可以分担上网的流量，因此应该不会有上网速度慢的问题。但根据学生使用经验指出，在校园或宿舍使用网络，不但常常会遭遇到上网慢问题，甚至掉线、病毒攻击等问题也层出不穷。难道带宽还是不够吗？带宽管理没有用吗？究竟学术网络与一般网络应用该如何整合？侠诺科技深圳技术中心主任文浩坚针对校园实际面临到的问题提出校园网络解决方案。其配置与方案特色如下：

图一：侠诺科技校园宽带应用拓朴图

策略路由分流教育网与公众网

       校园内由于各个系所与宿舍，所分配到的学术网络一般有限，因此多半会自行接入公众的宽带网络，例如ADSL增加带宽。因此校园网络组织架构由于包含教育网以及公众网络，但如果分别建置各自的路由器，还必须分别进行配发IP与种种管理设定，对于要管理各个系所或是学校宿舍的网管人员来说，可以说是非常繁琐的工作。因此如果能采用多WAN口的路由器，即可将学术网络以及一般网络共同建置在一台路由器上，通过策略路由的设定，让教育网与一般网络各种设定分流，达成化繁为简的目的。

支持多条ADSL接入  取代带宽升级

       校园各系所与学生宿舍在学术网络之外再接入的公众网络，都希望以最低的成本增加最大的带宽，光纤固然是大家脑海中浮现的第一选择，但碍于各系所与学生宿舍预算限制，往往不得其行，此时多WAN的路由器，可接入多条ADSL，借助汇聚带宽的作用，让各系所与学生宿舍能够以较低的成本，享受大大的带宽服务。

线路备援机制  稳定网络质量

       此外，根据许多学生反应，校园网络仍常常存在网络不稳、或是掉线等问题，而多WAN路由器由于可同时接入多条线路，加上自动备援线路设定，正好可解决此类的问题。配合线路侦测机制，可自由设定ISP断线之后，原本走此线路的流量封包，必需在多久时间内自动切换其它线路，进一步实现网络不断线，保障了稳定的网络质量。

智能带宽管理  有效抑制大量占带者

      在接触校园的案件中，我们最常听见学生的抱怨，便是上网速度很慢的问题，对于有实时性需求（例如选课、注册、交作业时）的确是一个很大的困扰。而当Qno侠诺技术工程师深入了解之后，发现经常因为某些学生正在下载BT、P2P或者其它视频影音……，而导致大量占用了整体带宽所导致卡网的问题，对于这样的情况，增加再多的带宽还是不够用的!

       要解决这个问题，就要进行带宽管理。但由于网络普及以及日趋繁杂应用，一般的带宽管理QoS功能突显了两大弊病。第一是无法有效抑制大量占带者：网管人员必须进行手动的一一查找，才可找出大量占带者的IP，同时网络都已经瘫痪好一阵子了。接下来花费好一番功夫给予警告或封锁IP，而恶意占带者仍可再换个IP继续下载，网管人员又得一一重来，可以说是防不胜防。第二大弊病在于带宽利用率很低的问题：一般QoS带宽管理，必须一次配置好每个IP容许的最大带宽使用量，但是网络使用有高峰与低峰的时间，如果都采用同一个配置带宽使用限制，会造成整体环境只有1人上网与有100人上网时，每个人可使用的带宽都一样，导致整体带宽利用率很低的现象。当然，网管人员也可时时自行调整带宽使用限制，但是对于网管人员来说，会是一个很大的沉重负担。

       因此，建议校园要进行有效的带宽管理，可采用配备智能QoS带宽管理的路由器，可同时解决恶意大量占带者以及带宽使用率不佳的两大问题。由于智能QoS可自动将大量占带者的IP自动列入黑名单列表进行观察，针对持续占带者再加以二次惩罚，将该IP可使用的带宽减半等等，即可轻松有效的抑制恶意占带者，保障正常使用者的带宽，快速恢复正常网络速度。另外在带宽利用率上，智能QoS提供可自由设定哪一天哪一个时段，整体带宽流量门坎达多少以上(例如现有带宽使用达60%)才会开始执行带宽控管，轻松实现高峰与低峰时间，享受不同大小的带宽服务，达成弹性的带宽管理，也成就了带宽使用率最佳化的表现。

确保内外网安全

       校园网络由于学生人数众多，因此更要防止各种黑客、蠕虫等恶意病毒的攻击，以确保内网以及外网的安全。目前来说，最多的攻击形式仍以ARP攻击居多，因此建议校园选择的路由器设备中，最好能够拥有内建的防制ARP功能，借助自动检视封包的机制，侦测过滤可疑的封包，做为防制ARP攻击的第一道防线。当然如果网管人员可搭配IP /MAC双向绑定，在路由器端以及各个系所或是宿舍内的PC端进行IP/MAC绑定，即可达到防堵ARP无漏洞的效果。另外一方面，由于网络信息包罗万象，有许多不当应用或网站例如BT下载、色情网站等等，对于校园学子风气有不良的影响，应透过防火墙Access Rule存取规则或网页内容管制设定，针对特定的网域或关键词搜寻予以封锁服务。

基础VLAN隔离  有效缩小病毒扩散范围

       虽然强效防火墙，可防止一般的攻击，但目前许多病毒与攻击层出不穷，校园网络又如此庞大，因此万一不幸中毒，也希望可以尽量缩小感染的范围，不致扩散到整体网络。因此，各个系所以及学生宿舍都必须建置基础的VLAN隔离，才不会导致某一层宿舍里某个学员中毒，造成整个学生宿舍网络全面感染中毒的状况。

      VLAN的概念是让网管依据不同网段，划分出不同的局域网，比如宿舍区可区分为一楼、二楼、三楼等不同VLAN，再使用VLAN功能将一楼、二楼、三楼不同局域网区分为VLAN1、VLAN2、VLAN3…作为隔离。如此一来不同VLAN的局域网便不能互相访问，便可限制病毒与无用信息流通。也就是说，当一个VLAN中(例如：一楼)有人不幸中毒，只会影响同一个VLAN(一楼)内的VLAN，不会扩散到整个学生宿舍，可有效避免广播及病毒封包迅速扩散全网，大大降低感染区域。

       目前，校园网络建设已从高校逐渐扩展到中、小学校，预计不久后各中小学在图书馆中将全面接入校园网络，因此有更多的学校将面临校园网络与公众网络如何分流控管的问题。侠诺科技深圳技术中心主任文浩坚建议这些校园在建置网络同时，若能将多WAN、智能带宽管理、防火墙、基础VLAN等四个功能结合在同一台路由器上，同步进行各项控管，才能真正实现化繁为简的强大功能，进一步帮助校园轻松建立全面、安全、快速、稳定的网络系统！