基于无线身份认证的大型图书馆网络结构设计

张新吉

(西安培华学院 图书馆， 陕西 西安 710125)

0 引言

随着现代科技的进步，传统的大型纸质藏书图书馆向数字化图书馆进化的趋势已成必然。数字化图书馆能够实现读者的网络阅读、多媒体浏览、线上借书等多种需求，同时还可以通过网络进行多馆互通，实现在线资源最大化，以及提高图书馆自身管理能力，极大地提高图书馆的服务效率[1]。

1 需求分析

未来建成的数字化图书馆必须能够实现以下功能：突破传统图书馆的地域限制，扩大读者的活动空间使其借还书操作更加便捷；通过假设无线网络使读者能够在线阅读电子版图书，观看或收听多媒体影像资料等；在图书馆内的有线和无线网络满足日常应用的同时，必须保证其稳定性和安全性[2]。

打破地域限制，形成一个整体的开放式空间，不再将读者限制在某个区域内，通过设置多个网络终端，让其随时随地能够进行图书的检索、借阅和归还，借助VLAN将各个终端连接成网络，以终端设备的功能来定义馆内不同的区域。同时，考虑到随着技术的发展随时可能进行的终端换代或网络扩展，馆内网络需采用扁平化结构，通过核心交换机实现对三层网关的控制。

无线网络是数字化应用的重要特征，在图书馆内覆盖无线网络，能够使通过注册认证的读者以在线浏览的方式阅读电子版图书或观看多媒体影像资料。无线网络更加深层次地简化了借阅流程，为读者节约了大量的时间，能够极大地提高其阅读体验[3]。

在通过架设通信网络和覆盖无线网络的同时，必须采取相应的技术手段来保证网络的安全运行，防止恶意的入侵和资源盗用等行为。

2 数字化图书馆网络结构设计

2.1 总体设计

通过VLAN结构下的扁平式局域网络能够实现各种功能数字终端的网络互联，而对于大规模局域网，为保证其运行可靠性，必须采用双冗余式核心交换机结构以及带有备份链路的路由器和功能交换机结构，网络总图结构形式,如图1所示。

2.2 配置及策略

2.2.1 交换机配置

(1) VLAN设计

在扁平式VLAN网络结构下，图书馆内不同楼层、不同位置的终端设备应当不受网络汇聚层分层限制，实现随意互访(如图1)。每个楼层读者能够自由活动的空间都设置有纸质书借还终端、电子读物阅览终端、电子检索终端以及人工咨询服务台。每个楼层均设置A、B、C三个不同功能的区域，各区内放置能够满足需求数量的终端设备。

各楼层VLAN依据以下规则进行划分：以楼层号+区域号的形式进行区域VLAN命名，如[1A]、[2A]、[3A]。若因实际需求未进行功能区分，则可将VLAN合并，且命名为[1AB]、[1BC]等；依据服务方式和终端设备功能的不同，将所有提供人工服务的终端设备划分到同一个VLAN，该VLAN名为[TK],将所有智能服务终端设备划分到同一个VLAN，VLAN名为[JS]，此外，图书馆内部各工作区域的VLAN命名为[SK]。由于每个区域都设置有电子浏览终端且数量不多，因此可以不必按区域划分VLAN层，可以将多个楼层的浏览终端划分到同一个VLAN下，如[R12]、[R34]等。图书馆无线网络与连接到WIFI的客户端建立一个独立的VLAN，命名为[WIFI]。

图1 数字化图书馆网络拓扑结构

(2) 核心交换机配置

为了保证整个网络的运行可靠性，核心交换机应通过虚拟技术进行同步数据备份，因此需进行如下配置。

步骤一：根据业务功能创立各VLAN，并为每个VLAN分配IP。

步骤二：上述各VLAN连接到一起，并与核心交换机、下属交换机以及路由器实现互相连接。为下属第一级各交换机设置数据端口组，端口数据集合指令框图,如图2所示。

图2 端口数据集合指令框图

步骤三：为每个链路创建备份并与核心交换机相连，保证网络运行稳定性。

步骤四：通过DHCP为无线网络提供服务，同时为无线网络分配IP地址段，指令框图,如图3所示。

图3 为无线网络分配IP地址段框图

步骤五：创建OSPF区域服务。

步骤六：为分散到下属第一级的数据分配路由器的静态地址。

(3) 接入交换机配置

在所有的配置工作中，接入交换机的配置工作最为繁琐，配置前必须将配置方案绘制成描述对应关系的图纸，并在其中详尽地体现接线点编号与接入交换机端口的一一对应，同时按照图纸对每台交换机的端口进行VLAN配置，配置方式,如图4所示。

图4 接入交换机端口配置方法示意图

网络投入使用后日常的维护和管理工作较为繁重，为了减少其工作量，配置接入交换机端口时可以为每个堆叠组设置一个管理端口并赋予其固定IP地址，一旦网络运行过程中需要调整早期配置则可以通过任意一个管理端口来接入指定的交换机[4]。

2.2.2 路由配置

根据图1，路由器为每条单独的链路分配IP地址，另一端则与核心交换机相连，线路备份由连接防火墙的链路来实现。在OSPF网络模式下对路由器进行配置，实际上就是简单的互联IP地址分配，加入各OSPF域中去。配置流程,如图5所示。

图5 路由配置流程框图

2.2.3 防火墙配置

防火墙在网络中的主要作用是保护连接外网的线路并转换提供数据的IP地址。首先，为VLAN互联分配IP以及OSPF域的分配；其次，限定ACL访问控制方式，接受ICMP数据交互、允许特定VLAN连接互联网；最后，为ISP互联分配地址、创建IP地址集、将局域网IP地址转换为net访问格式。

2.2.4 跨楼互联配置

将两栋不同建筑物之间的网络互联在技术上,实际上是将两个局域网的核心交换机进行互联，即通过光纤实现链路聚合并做出对应的配置,如图6所示。

图6 跨楼网络连接方式示意图

3 无线接入与身份认证

在图书馆内覆盖无线网络，能够使通过注册认证的读者以在线浏览的方式阅读电子版图书或观看多媒体影像资料，极大地提高了读者的阅读体验。

3.1 控制器与AP配置

在无线网络中，通过多个AP终端提供WIFI信号并进行SSID的广播[5]。由于核心交换机已经为无线VLAN提供了DHCP服务，因此所有AP与无线控制器应同处于一个VLAN域中。控制器配置主要包括两方面的内容，一是进行SSID的创建和广播；二是完成每天的AP自启。

3.2 身份认证策略

在图书馆内覆盖一个免费的无线WIFI网络，实际上就是通过控制器向接入者发送WIFI密码，为了保证这种方式下网络的安全运行，就必须对读者的身份进行二次认证，按照公共场所无线网络运行通则，二次认证以WEB/Portal的方式进行，在应用策略上，采用IMC平台持续搜索Portal服务器。

3.3 身份认证流程与设备配置

在上述认证模式下，具体的认证工作主要是通过核心交换机来完成的，无线控制器并不参与认证。核心交换机中的认证配置主要内容是与IMC服务器互联和启用Portal进行身份验证，同时在无线VLAN中应用Portal功能。为IMC服务器提供了IP地址，Portal Web页面的地址则按照ur1后的指令进行自定义。指令的具体工作流程,如图7所示。

图7 身份认证流程

4 功能验证

网络架设与配置工作完成后，应对网络所具备的功能逐项进行测试，以保证网络终端、VLAN各层级以及整体网络运行的可靠性和稳定性。功能验证的具体工作内容包括以下几个方面。

(1) 内部网络的稳定性。通过可移动设备测试各信息点的网络信号，通过Ping操作在各终端设备的接口访问所属VLAN网关，若信号延迟未出现波动，则判定信息点接口到交换机的网络连接无异常，从而确保其能够持续稳定地接收网络数据。

(2) 互联网访问的可用性与安全性。通过终端接口重复访问多个互联网站点，以验证核心交换机与路由器、防火墙互联的OSPF配置是否正确，同时测试NAT防火墙的工作可靠性。

(3) 跨楼互访网络的可用性。通过图书馆任意建筑物中的网络终端设备对其它建筑物中的服务器进行访问，检查是否能够从目标服务器中读取数据，以确认是否能够正常访问其他建筑物中的VLAN网络。

(4) 无线网络身份认证功能可用性。在图书馆无线网络所覆盖的范围内搜索SSID并与其连接，建立连接后打开浏览器，检查系统是否启动Portal认证程序，测试读者账号验证身份认证功能，同时检查认证通过后能够进行所需的网络浏览。

在上述单项功能可实现性验证全部通过后，选取某市级图书馆依据本文所设计的网络结构进行网络改造，工程结束后进行为期一个月的网络试运行，得到网络投入运行前后图书馆业务数据,如表1所示。

表1 网络试运行前后图书馆业务数据对比表

由表1可见，网络结构的改进极大地提高了图书馆网络的运行能力，从而促进了业务处理效率的大幅提升。同时，无线网络的覆盖增强了图书馆的信息输出能力，也为图书馆吸引了更多的持卡读者。

5 总结

本文制定了完整的传统图书馆数字化改造方案，提出了数字化图书馆的网络架构方式，重点研究了数字化网络中各级交换机、路由器、网络防火墙的配置策略，以及无线网络的覆盖方法和安全认证方式，为传统图书馆数字化改造工作提供了详尽可行的技术方案。