“三網合一”改造

■山東 黃東

單位財務科配置了多臺電腦，功能各異，有負責打印轉帳支票的，有負責向財政局報預算申請的，有負責與稅務報帳的，還有負責日常辦公的等等。算了一下，財務科3個人，卻配置了7臺臺式電腦。在當前“八項規定”嚴格實施的形勢下，科級以下干部每人只有6平方米的辦公面積，人、電腦、桌子、材料、檔案櫥等等滿滿當當地擺在一塊，下腳的地方都不好找。因此負責財務的會計想能不能減少一下電腦的數量，把單一的功能合在一起。

改造過程

筆者經過一翻查看，發現與財政局連接的預算申請系統，以及與稅務局連接的報稅系統都是專線聯結，采用PPPoE撥號方式連接對端的服務器，然后打開瀏覽器輸入相應的IP就可以聯結了，標準的B/S結構設計，客戶端留下的東西較少，安全性較好（惟一留下的就是cookie，這個問題很好解決，后面再說）。又查看了一下獲得的IP，都是172段的私有IP。而單位的辦公電腦全部采用固定私有IP方式，由于單位局域網是教育城域網的一個子網，網內用戶較多，也采用172段的IP。表面上看，正好IP段沖突，實際上不沖突，因為它們有各自完全獨立的網關和路由。所以根據筆者的經驗，馬上在腦子出現了一個“三網合一”的想法，網絡結構如圖1所示，針對圖1做以下三點說明：

1、由于財務科是3個人，還有1臺辦公電腦沒在圖中畫出來，它也是聯結到傻瓜交換機上。傻瓜交換機采用普通的家庭上網用的8端口路由器或交換機都可以，畢竟上網的流量不大，都是辦公用，只要設備穩定就行。轉帳支票打印系統是跟隨預算申報系統的，在圖中未畫出。

2、辦公電腦訪問“三網”的方式：缺省情況下，辦公電腦配置辦公局域網固定IP，正常辦公使用。如果需要訪問財政局的預算申請系統，那么就PPPoE撥財政局的賬號，連接完成后就可以了，此時不能訪問辦公局域網絡。斷開此PPPoE撥號連接后，又可以正常訪問辦公局域網。訪問稅務系統也是如此。圖2是撥號成功后通過Ipconfig命令查看本機獲得的IP情況。

從圖2可以看出，本機獲得了兩段不同的IP、子網掩碼、網關等信息。雖然都屬于172段的IP，但是IP不同，所以不會沖突。在這里細想一下，即使是相同的IP也不影響對不同網絡的正常訪問。因為配置固定IP信息時，IP與網關信息不一致，而PPPoE撥號時，IP與網關一致，這樣就可以保障缺省路由不一致。如果再進一步追問，IP不一致，網關一致的情況會如何呢？這種情況出現的可能性極小，但是也會有。即便如此，也不會有問題，仔細觀察上圖中的網卡的物理地址信息，它們是不一致的。PPPoE撥號會虛擬出一個通道專用網卡的MAC值，它與本機的網卡MAC不一致，它只負責與對端的撥號服務器通信，也就是說，在二層通信上不會有問題。再者，在三層上，雖然網關一致，但是，接口IP不一致，躍點數也不一致，這就能保障數據包發起的源IP不一致以及路由的方向，也就是說，能選擇出正確的路由。下面再通過route print命令看下本機的路由信息，如圖3所示。缺省路由有兩條，一條是本機的，一條是撥號產生的，撥號產生的路由躍點數小，為“1”，本地固定IP網關關生的是“21”，較大，根據靜態路由訪問原則，優先選擇躍點數較小的路由。所以撥號成功后，就只能訪問財政局的預算申報系統或者報稅系統，不能訪問本地網絡。

3、由于財務系統都有較高的安全需求，為了使用訪問這些專用系統不在本機留下東西，筆者給這3臺辦公電腦安裝的360安全衛士開啟了定時清理cookie的功能。

總結

實際上此解決方法，與同一網絡內對專用網絡的PPTP、L2TP等VPN的訪問原理一致。如此設置以后，財務科一下子減少了3臺電腦，分別是報稅系統、財政局的預算申報系統、以及轉賬支票打印系統，它們都合并到辦公電腦上。網絡運行兩個多月以來，一直比較穩定。