高校校园网络架构设计与实践

2010-06-27张丹东戴俊文

电信科学 2010年6期

张丹东，戴俊文

（1.中国政法大学现代教育技术中心北京 100088；2.迈普通信技术股份有限公司成都 610041）

1 前言

校园网络是实现高校教育信息化的重要设施。一个良好的校园网络不仅成为学校内部管理、培养高素质人才的基础平台，也成为高校提高自身科研效率和创新能力的必备条件。经过多年的建设，国内大多数高校都建成了自己的校园网络。由于高校的环境特别适合以太交换网技术的应用，所以几乎所有高校在网络建设时都采用了高带宽的以太交换机、基于二层或三层组网技术来组建自己的园区网络，具有低延时、高带宽的校园网络应用起来本该一帆风顺，然而实际情况并非如此。一谈到高校校园网应用的现状，网络安全是大家不约而同关注的焦点，特别是病毒泛滥和ARP攻击。随着计算机病毒传播及黑客攻击手段越来越智能，影响范围也越来越广，破坏力也越来越大，特别是局域网常见的ARP攻击成为高校网络的头号杀手，它随时都可能导致部分或整个网络中断或瘫痪，严重影响高校网络的有效使用。近年来，尽管许多网络设备提供商和安全设备提供商针对这一问题提供了一些新的技术解决方案，如DHCP Snooping、终端认证+IP+MAC+Port绑定、IP Source Guard、Dynamic ARP Inspection、ARP 防火墙等，但由于这些技术要么需要更换数量巨大的现有接入设备，要么管理工作量太大不易部署，要么自身的处理能力限制成为新的攻击瓶颈等，一直没有得到大规模应用。与此相反，从ARP攻击原理入手，研究如何从网络架构上来隔离和根除ARP攻击成为一种解决校园网络安全问题的更加经济有效的手段。

通过对校园网络和电信网络的对比分析后发现，借鉴电信网络架构，重新审视高校网络架构设计，可以有效解决校园网络安全问题，特别是ARP攻击带来的网络不稳定等问题，提供校园网络的安全性和稳定性。

2 过去的网络状况

中国政法大学校园网于1998年筹建，1999年招标，2000年实施，至今整10年。初期校园网建设采用流行的吉比特以太网，两个校区各一台三层交换机作为核心交换机，其他均为二层交换机。网络采用两层结构，核心交换机之间采用三层架构组网，核心交换机以下采用二层架构组网，接入网络规划设计的网段较大，大多以一个C类地址划分，一栋楼为一个网段。由于计算机数量较少，网络仅仅开通办公区和部分学生宿舍，使用中没有任何问题，沿用较长时间。

2003年，从著名的非典事件开始，网络应用以及计算机数量急剧增加，为了适应新的需要，调整和修改了原来的网络构架，每栋楼（或几栋楼）采用一台三层设备作为汇聚设备，汇聚设备以上采用了三层网络构架，汇聚设备以下作为接入网络，采用二层设备，并将接入网络细分为每层楼一个网段，依旧是以一个C类地址划分。此架构在之后发生的数次大规模网络病毒爆发时间中表现良好，未发生过全校网络瘫痪的情况。未发生过全校网络瘫痪的原因是，攻击一般会导致楼宇核心瘫痪，而楼宇核心的瘫痪，就阻断了向校园网核心的攻击。而同期采用纯二层网络架构的其他兄弟院校基本都发生过全网瘫痪的情况。

2007年前后，ARP攻击方式出现，频繁发生的ARP攻击和病毒泛滥，给校园网络造成了严重的影响，导致用户满意度非常差，校园网络管理工作效率也非常低下。在校园网内曾经发生过这样的极端现象，新计算机接入网络后，不到10 min就感染病毒然后造成系统崩溃，重新装机后很快又再次崩溃的现象，最后到网络中心安装并打好补丁后才能使用。很多高校开始研究应对措施，当时采用了一些有效的应急措施，由于与网络设计无关，不做赘述。同时，各个网络设备提供商提供了基于交换机的防ARP攻击方案，甚至有的网络安全设备提供商推出专用的防ARP攻击防火墙设备，但这类设计和方案由于各种原因没有流行。

3 新的网络设计

2008年，由于无法忍受ARP攻击的影响，又由于学校资金限制，无法把大量的现有接入交换机更换成支持抗ARP攻击的接入交换机，迫不得已，开始思考如何从网络架构设计来解决ARP攻击问题，特别是研究如何主动避免ARP攻击而不是被动应对ARP攻击问题。

研究发现，ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断地发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击；ARP攻击主要存在于像校园网这样基于二层共享网络架构的网络中，二层共享网络中若有一台计算机感染ARP病毒，则感染该ARP病毒的系统将会试图通过“ARP欺骗”手段截获所在网络内其他计算机的通信信息，并因此造成网内其他计算机的通信故障；另外，二层共享网络环境传播的病毒和攻击行为，在所有网络病毒传播和攻击行为中所占比例也非常高。

有效控制ARP攻击的方法，是彻底取消二层网络中存在的局域网，即配置每端口一个VLAN，从根本上隔离用户，才能从根本上解决ARP攻击问题。这和广泛应用的电信以太接入网络的网络架构是吻合的，电信接入网络在接入交换机后通过VLAN实现用户隔离，用户之间在汇聚层以下不允许通过二层网络进行直接通信，所以电信接入网络中的ARP攻击和病毒攻击很少，提高了网络的稳定性和安全性。

为了实现校园网接入网络用户的相互隔离，笔者最终选择了只依靠汇聚交换机来划分大量 VLAN，从汇聚层到接入层网络，用户之间相互隔离的技术方案，取得了良好的效果。新的网络规划如图1所示。

新的网络架构中包括三个层次，分别具有如下特点。

·核心层：采用三层架构，IPv4/v6双栈，主要负责高速数据转发，两台核心交换机连接各个楼宇汇聚交换机，每栋楼配置一条或两条路由，这样减少路由数量，设备负担很轻，也方便网络的路由维护管理。

·汇聚层：向上和核心交换机相连，采用三层网络互连；向下连接接入层交换机和必要的前置汇聚交换机，采用二层网络架构，并采用VLAN实现用户隔离，保证每接入端口一个VLAN。汇聚交换机启用IPv4/v6双栈，并开启地址分配服务。

·接入层：包括接入交换机以及必要的前置汇聚交换机，均为简单二层交换设备，采用二层技术组网，前置汇聚交换机放行所有VLAN。接入层按照规划，每端口配置不同VLAN。

经过将近一年的实施和运行验证，整体效果非常好，表现如下。

·病毒感染明显减少。

·病毒攻击明显减少。

·ARP攻击彻底消失，不需要做任何处理。如果个别没有实现完全隔离的区域出现问题，由于限制在一个房间之内，可以指导用户自己处理，非常简单，绝大多数师生都可以自行完成。

·可以根据IP地址实现故障定位，网络管理可以准确到每一间房间、每一个端口。

·由于同时采用了IPv4/v6地址的自动分配，用户上网简单，免去了很多手续。

·全网标准化配置，工作人员经过简单培训即可处理楼宇内所有网络的基本故障，提高了工作效率，降低了对工作人员的培训要求。

采用这样的网络设计和部署，以下关键问题的处理也非常重要。

·师生无法使用局域网软件。在校园网中采用这种网络构架会影响校园网中广泛使用的文件共享等依赖二层网络实现的网络应用。研究后，建议用户采用虚拟局域网软件，反映效果很好，不但可以在全校范围使用，而且还可以在全球范围使用。

·网络对汇聚层设备的要求较高。随着计算机数量和用户流量的增加，需要选择高性能的汇聚层设备，主要表现在以下几个方面：数据平面网络流量处理能力要求很高，否则可能会出现网络拥堵；数据平面对VLAN的支持数量要大，否则无法做到每个接入用户一个VLAN；由于在汇聚层设备开启地址分配服务，需要较高的控制平面处理能力，否则会出现接入计算机无法获取地址等故障；由于处于汇聚层的位置，对自身安全保护和抗攻击能力的要求也比较高。这些问题都与设备的性能相关，是选择汇聚交换机时需要仔细考虑的。中国政法大学校园网络选择了电信级城域以太网的汇聚交换机，其良好的流量转发性能、管理控制能力和安全稳定性，很好地满足了实际使用的需要。

中国政法大学校园网从网络架构设计上根本解决了当前校园网存在的难点，新部署的网络安全性好、稳定性高，极大地提高了用户的满意度。本设计思想在与北京兄弟高校的交流中得到肯定，也有一些兄弟院校开始了测试或实际推广工作。