清查出口设备上内网IP 数量异常

■ 湖南工业大学现代教育技术中心 郭兆宏

编者按：学校网络因各种设备及人数的庞大而容易出现各类问题，本文讲解了笔者遇到出口设备上内网IP 数量出现异常并进行了清查。

2019 年底笔者发现学校办公出口上的IP 数量一直非常多，每天的峰值在7500 个左右，总有用户打电话反映网速慢。笔者每天一上班检查出口设备时都有4000～6000 个IP 在线，有几次晚上24 点后查看还有2500～4000 个IP 在线。

这非常不正常，且办公出口天天满载。办公出口网络是电信600 Mbps+联通300 Mbps+教育网10 Mbps，限速是每IP 为6 Mbps+6 Mbps。学校只有2 500 位用户，且很多用户只有上班时才来单位，且有些学院使用的是运营商网络。虽然很多学院都有机房，但只能大致估计有4 000～8 000 台机房电脑。还有些学生带电脑在教室、实验室、图书馆使用网络。学校教学办公区整体电脑可能有1 万台左右，但同时在线IP 估计在5 000 个左右。

因学生帐号可以在教学办公区用，因此按IP 段查到的数据并不准确。学校认证是统一的，每天同时认证人数峰值稳定在22 000 个左右，按老师分组认证的只有2 000 个IP，老师一个帐号可以在线三台设备，到底7 500个IP 都是哪里的？

因在办公出口EG3000 只会统计在线总数sh online statistics globa，不会在办公出口进行分组统计。笔者只好通过用户转移的方式进行查看。

办公区认证用户的转移

因学校网络是通过认证分组，再选择不同出口出去的，老师们的分组通过默认的办公出口，学生可以选电信、联通或移动运营商，然后根据所选不同分组的不同规则从三家运营商出口出去。因学生帐号可以在学校所有区域使用，老师帐号只能在教学办公区使用，所以只按IP地址段查询数量在教学办公区有些IP 是学生用的，并不准确。

通过使用认证统计，老师有20 多个分组是历史原因造成，一直只增加而未合并减少过分组。且有部分学生使用老师的帐号，也不好统计。正好办公出口网络满载，笔者想通过认证用户转移的方式进行大致统计，将老师认证分组移置到一家运营商出口看看。笔者开始只将几个老师分组的出口转移到某一个运营商上面，并使用原有的一个带宽策略。当时做完之后发现只转移了部分用户，还有部分用户还是在办公出口上，用户需要重新认证后才可以转移新出口B上。因是临时统计用的转移出口，不好发通知，等到一两天后才发现认证用户基本都转移到新出口上了。但新的问题来了，即网管认证的帐号无法管理办公出口设备，只能再建一个老师分组走办公出口给网管使用，网管使用多个不同出口的帐号。

同时统计发现，在B 出口上转移过来的老师用户较多，但还是有学生帐号不便于统计数量。于是笔者再建一个B 出口上的Y 带宽策略，将老师帐号都从该Y 策略出去，并把所有老师及机房分组全走Y 策略。运行几天后统 计sh user-group，Y 带宽策略的用户一般在2 000个帐号左右，通过sh usergroup Y 来查看详情，都是教学办公区的帐号，包括有线网的IP 和无线网的IP，且有线网IP 都是教学办公区的IP 段的地址。

这样，笔者基本搞清了教学办公区认证的帐号基本稳定在2 000 个左右，范围在1 500～2 500 之间，当然不同时间段用户数量有所差别，基本符合情况。平常老师一般在500～1 000 人左右在线，一些老师同时使用有线和无线在线，认证机房帐号有1 000 个左右，这与认证信息里是一致的。

再看办公出口设备上，还有4 000～5 500 个IP 在线，为什么还有么多IP 在线？同时笔者发现大量IP 都是无线网的。

无线用户强制转移

因为无线网绝大部分都是认证的，虽然有的无线网SSID 是使用密码的，但这部分用户数量极少，不超过200个IP。而在办公出口认证帐号转移到B 出口后，还有大量无线IP 在线，至少还有几千个无线网的IP 地址在线，原因不明。

笔者找到几个办公出口的无线网IP 地址，在认证中查询此IP 的帐号，都不是在线用户。笔者只好在认证的历史记录中查询，经查基本是学生帐号使用的，且都是C运营商的，在办公出口设备上能查到这些IP 的流表，从而确定了从办公出口经过了大量的学生帐号的无线网数据，这非常不正常。

通过试用几个帐号在无线网登录，有一个成功了，经查出口为C 运营商的，而在办公出口查不到此IP 地址。这可能与网络结构有关，从核心交换机到分6 条线路接入三家运营商路由器，C 路由器接入办公出口EG3000。办公出口是默认的最后出口，也可能是策略做得还有些问题，C 运营商部分用户的默认不认证无线网IP 从办公出口出去了，占用了本来就紧张的办公出口带宽。

于是笔者就在C 出口上强制转移无线网段172.M.X.X 和172.N.X.X 的地址经过C 出口。然后笔者回到办公出口查看，基本没有无线网IP 地址在线了，办公出口IP数量只有2 000～2 500 个左右，转移走了2 000～3 000个IP 地址。再查办公出口在线的一些IP 地址，在认证中都查不到认证记录，历史记录也没有。

这些都是不认证的IP，没想到有这么多！有服务器段的不需认证，有一些用户及机房是不认证的。另外是老校区，因网络中心无人在老校区上班，网络基本是维持了10 年前的情况，绝大部分一直无认证。还有老校区一些楼栋房间出租出去了，老校区到底有多少网络用户一直不清楚。

因运营商的设备不归学校管，虽然有设备密码，平时基本不再登录查看。笔者想改进策略，刚准备修改C 出口设备的策略，不巧C 运营商二次认证不通了。因无法直接联系相关人员，等传递出C 运营商二次认证不通的信息三天后才恢复正常。后来办公出口扩容以及大环境有变，办公带宽一时够用，未再改动学生出口策略。

老校区IP 地址的转盘转移

笔者想了解老校区用户有究竟多少，通过“sh usergroup Y | in 172.H.X.X”命令查询只有几十个IP。笔者按IP 地址转移，将172.P.X.X 和172.O.X.X 转移到C 出口上，再回到办公出口上查看，只减少几百IP 地址。因到学期期末，有些机房已经关闭，还有一些电脑开得少了。笔者感觉转移后减少的数量太小，可能要等开学后再统计才准确些。

之后因疫情原因很多机房、实验室未开门，笔者未能再做IP 出口转移试验。

部分有线用户的强制转移

但笔者没想到，教学办公区不认证的IP 数量比认证的还多。为了更好地查看办公出口IP 的数量及用户段，笔者将T 机房约250 个IP地址转移到C 出口上，再到办公出口查看，基本维持在2 000 个IP 左右，早晨上班时查看在1 500 左右，峰值在2 200 个。

但笔者也发现一个问题，有些机房平时并未开放，工作时间统计的IP 数量不并准确。期末的某天有人反映网络特别慢，笔者到办公室发现因之前停电，造成一台老的上网行为管理设备不能正常工作，造成这个学院的机房网络慢。当设置跳过该设备后，学院机房网络恢复正常。这时发现办公出口上在周日10 点左右还有2 300个IP 在线，比平时上班时间的在线IP 还多些。

结语

去年底，因办公区出口在线IP 数量有7 500 个左右，笔者感觉不正常。于是笔者通过出口转移的方式，先将办公教学区认证用户的出口转移到C 出口，发现转移了约2 000～2 500 个IP。再次将办公出口上的无线IP地址转移到C 出口上，发现转移了约2 000～3 000 个IP。同时笔者发现这些IP里基本是学生的帐号使用用的IP，但不是在线用户。这些IP 地址不应走办公出口，可能是网络结构及出口策略有问题，等以后有机会还得想办法解决。办公出口上不认证的有线网在线IP 地址约2 500 个，但有些机房平时不开放，数据还有些变化，办公区不认证的IP 比认证的IP 数量还多些，这也是多种原因及历史造成的，以后还要强化认证。这样基本了解7 500 个在办公出口的在线IP 的分类情况：2 000 个认证IP+3 000 个学生无线IP+2 500 个不认证IP。

之前寒假时办公出口电信扩容到1 Gbps，教育网由虚拟变成实体线路V6 线路1 Gbps。因上网人数较少，网络恢复原状不再转移用户。之后因疫情原因，教室、机房和实验室都未开放，平常认证人数为100～1 500 人，办公出口IP 为400～2 300 个，每个IP 限速为20 Mbps+20 Mbps+15 Mbps 后，办公出口带宽只用到20 Mbps～450 Mbps，估计要等学校能正常运行后才能更好地统计办公出口IP 分类情况。