教你巧搭基于應用的教學網

文/陳勇

教你巧搭基于應用的教學網

文/陳勇

如何解決傳統網絡的難題？

中國石油大學的網絡建設和探索可以追溯到上世紀九十年代初期，但真正通過接入中國教育和科研計算機網CERNET，擁有自己的域名是1996年11月。當年通過14.4KDDR撥號接入了CERNET華東北節點——東南大學，為師生提供電子郵件和簡單的互聯網接入服務；2004年借青島新校區建設的機會，構建了三層架構、千兆骨干、百兆接入的第二代石大校園網絡，同時開始提供一卡通服務；2014年，開始了v4/v6雙棧、支持SDN、40G骨干、千兆接入、大二層、接入零配置的第三代石油大學校園網建設。

中國石油大學校園網絡的現狀

如今，中國石油大學校園網，全校采用一體化認證模式，教工使用工號、學生使用學號做帳號，一套帳號密碼可實現登錄校園有線網絡、無線網絡、VPN、數字石大等應用系統，提供統一的用戶認證身份。

目前，學生宿舍的無線網絡由中國移動投資建設與學校合作運營，教學區域、部分辦公區、熱點公共區域實現無線覆蓋，2016年年底完成除學生宿舍外的所有區域的無線信號高密度完整覆蓋，2017年完成學生宿舍樓的校園純無線網絡建設。

校園無線網絡提供web、802.1x等認證模式，支持eduroam無線漫游，并為來訪嘉賓提供便利的網絡身份申請，任何教職工均能通過數字石大提交帳號申請，自主創建網絡帳號并通過短信直接發送到嘉賓的手機上，且帳號在校內實現完整漫游。

現在校園網絡總出口達到10G。包括學校獨立運營的校園網以及在學生宿舍與聯通、移動、電信等三家運營商合作的出口服務，基本保證了校內師生的使用需求。

辦公區和學生宿舍網絡完全實現了網絡的扁平化，通過bras設備對用戶的統一接入認證管理，實現對用戶準入認證及網絡權限策略的管理，交換機和線路只提供網絡接入通道，兩臺bras設備實現熱備與冗余。

教學區實現光纖進教室，構建新的教學網絡環境。將光纖接入教室，每個教室均配置一臺24口PoE交換機，教室內所有終端均接入到該交換機，包括需要通過PoE供電的設備，并實現SDN的相關應用，通過基于SDN組網，極大地提升網絡的智能性。

教學環境的構建

傳統網絡存在的問題

1.網搭建復雜

隨著教學設備的增加，教室內基于網絡的應用越來越多，在同一張網上承載了一卡通、中控、網絡電話、無線、視頻監控、屏顯、錄播等專網，傳統通過VLAN隔離的方式劃分專網，不同匯聚通過VLAN透傳的方式來實現，這就對教學管理老師的技術能力提出了更高的要求，也增加了日常運維工作的復雜性。

2.故障設備更換費時費力

隨著光纖進教室的深入，整個教學網絡有300余臺接入交換機，日常的工作中經驗會遇到接入交換機故障需要整機更換的問題，這就需要一名老師扛著設備到現場，接上電源，并按原來的順序插上網線，再導入原來交換機的配置，如果接入交換機配置丟失，則需要重新配置。

3.終端設備無法靈活移動

傳統教學網絡終端設備往往與物理位置緊耦合。教學管理老師根據地理位置、樓棟，劃分若干個網段，終端基本不能大范圍移動；如果要移動，所有配置均要重新配置。

基于應用的教學網方案說明

為了解決上述問題，中國石油大學(華東)教學網采用了基于應用的架構，具體如下：

學校的教學網絡由核心、匯聚（多匯聚）、接入三層（接入設備可以多層）設備組成，外部搭配SDN控制器。如圖1所示。

匯聚和核心設備之間構建overlay網絡，構建一個無狀態網絡，同時采用分布式L3網關并通過可靠的機制有效地抑制廣播風暴，接入層設備采用不同的VLAN進行接入位置的標識，通過TRUNK的方式上行到匯聚層，匯聚層完成VLAN到VXLAN的映射。

圖1 網絡拓撲

策略管理上采用了面向用戶的分組模式，將屬性或者訪問權限相近的用戶分到一個用戶組中，同時也將服務器側的資源劃分到相應的用戶組進行統一管理。策略定義時，基于矩陣表格的方式簡單直觀。具體策略的定義可簡單可復雜，以實現各種高級復雜的策略控制功能。

支持用戶終端在整個生命周期中用戶和IP一對一的需求（如基于安全性需要可與端口進行綁定），終端不管移動到哪里，可以做到終端始終獲取唯一固定的IP，簡化后期的運維。

整網的核心是SDN控制器組件。所有對網絡的自動化上線、接入管理、用戶組/策略管理、業務配置管理、網絡運維管理全部在SDN控制器上通過直觀的圖形化界面完成。SDN控制器將管理員的操作在后臺轉化為網絡設備的具體命令下發給設備執行。

基于應用的教學網方案價值

基于應用的教學網最大的兩個特征是柔性網絡和軟件定義。

1.柔性網絡

柔性一方面指網絡架構本身非常靈活，業務部署（應用/終端）可以做到與位置無關；另一方面指徹底改變傳統網絡通道就緒，終端和人根據位置匹配通道的模式，將人和應用作為中心，所有網絡的資源跟隨人和應用移動。

（1） 無狀態網絡

無狀態網絡的核心是位址分離；傳統的網絡，IP地址即是終端的標識，同時也是終端位置的標識，因為IP確定意味著它必須位于某個三層網關所在的位置。網絡中采用“位址分離”的方案，位指位置，址指IP地址，位址分離就是IP地址與位置解耦，讓IP地址可以在任意位置接入，無需改變網絡的配置。

（2） 用戶策略隨行

名址綁定，名址綁定就是用戶和IP地址一一對應；傳統網絡用戶名和IP地址是難以做到綁定的，DHCP的方式并不能保證單用戶每次獲取相同的IP，靜態地址分配的方式又不能保障用戶在移動過程中保持相同IP能夠在不同的位置進行正常的網絡連接；無狀態網絡本身提供了IP任意位置訪問的能力，再配合名址綁定實現用戶位置發生了變化， IP地址段也沒有變，甚至IP地址沒有變，針對IP的策略也沒有變，而這種針對IP的策略其實就是針對用戶的策略，最終實現了用戶的策略隨行。

除了用戶和IP綁定，在某些場合可能不需要做非常強的捆綁，這時可以提供業務和IP網段的綁定，或者用戶組和IP網段的綁定，比如：視頻監控終端盡管分布在全網任意位置，但可以將其IP全部分配在某一個網段之內；也可以將其分配在同一個網段內；最終實現通過IP段標識用戶組或業務組。

（3） 網隨人動

將人和應用作為核心，所有網絡的資源跟隨人和應用移動，用戶在哪里接入、資源就下發到哪里，真正體現柔性網絡的網隨人動的特點。

（4） 網絡虛擬通道隔離

整網采用overlay的技術，天然具備跨廣域網的通道隔離能力，相比MPLS的隔離方式，VXLAN的隔離只需要在端點（VTEP）做隔離，不需要全網隔離，端點之間只需要IP互通即可。

（5） 彈性擴展，擴容無憂

使用標準的EVPN協議（RFC 7348 +draft-sd-l2vnp-evpn-overlay，RFC7209，RFC7432）作為VXLAN的控制平面構建了分布式網關的組網模型，解決了VXLAN 依賴于數據平面的flood-and-learn學習遠端地址信息所帶來的BUM 報文廣播問題；避免了采用集中式網關組網模型下，全網的規模受限于核心層網關單臺設備的標箱規格的局限；使得教學網內的流量可以按照最優的路徑進行轉發，避免了繞行及對核心設備的沖擊；同時借助EVPN協議完成，校園網絡的初始化配置，避免了過多的人為手工配置，是自動化部署的技術基礎。正因如上的諸多好處，使得EVPN成為校園網的控制平面首選。采用了EVPN 的校園網絡的規?？梢赃M一步擴展， 滿足網絡規模的不斷發展。

2.軟件定義

軟件定義：主要是通過SDN的思想，將網絡控制平臺集中，實現網絡運維極簡，真正將網管人員從低價值勞動中解放出來，具體有以下幾個亮點：

（1） 設備自動部署

設備開箱，上電后自動加載版本，加載配置，網管人員零干預啟動。自動部署的核心是因為基于應用的網絡將整網的接入設備配置完全整合變成一份完全相同的配置文件，同時匯聚層設備也進行整合，變成一份相同的配置。這大大簡化預配置文件編寫的復雜度， 使得各層次設備配置模板化，自動部署的成本和難度大大降低，同時也避免了人為誤操作的風險，使得自動部署從理論變成現實。

（2） 網絡一鍵啟動

通過控制器上的圖形化的界面來完成用戶、用戶組相關的網絡資源的定義；以及網絡用戶組之間的網絡權限的定義。其中對于用戶的定義不僅僅包括傳統意義上的用戶，還包括物聯網終端的定義。

（3） 可視化運維

管理員可以通過可視化的界面對網絡進行配置，而不需要太多的網絡知識。

圍繞基于下一代互聯網的研究，中國石油大學首先是組建聯合實驗室。借新一代校園網絡改造的機會，學校和相關的公司合作成立SDN聯合實驗室，啟動下一代互聯網技術的研究；同時在校內，網絡中心又與計算機與通訊工程學院合作，共同組建實驗室，利用計通學院教師和學生的優勢，并形成了計通學院專業教師、網絡中心工程人員以及研究生、本科生的優秀團隊。聯合實驗室結合實際提出研究課題。在2015、2016年連續兩屆全國SDN大賽中取得良好成績。

（作者單位為中國石油大學）