北京郵電大學全無線覆蓋校園網新模式

文 /趙欽 王振華 安杰

北京郵電大學校園網最初于1994年建立，至今經歷了二十多年的持續建設。從三節點環狀園區網到星型園區網，再到2018年初完成的三校區環狀光纖網，校園網已經從最初為科研、圖書館等少數部門服務的小規模網絡，發展成為全校師生教學、科研、辦公、生活服務的多業務承載的多校區大規模寬帶網絡。

北京郵電大學沙河校區位于北京市昌平區沙河高教園區東南部，總用地面積約1348畝，總建筑面積約70萬平方米，整體建成后將能夠容納16000名學生?；A網絡建設是北京郵電大學沙河校區智慧校園建設的一項重要內容。沙河校區一期網絡建設涉及教學實驗綜合樓、學生宿舍雁北園、行政辦公樓、學生食堂、教工食堂和學生活動中心。沙河校區二期網絡建設涉及學生宿舍雁南園、圖書館和信息樓。

現狀與問題

隨著學校信息化程度不斷提高，校園網早已成為校園里不可缺少的基礎設施，在西土城路校區的網絡建設和運維管理工作中，不斷涌現出新的挑戰。

首先，用戶接入需求從有線轉變到無線。桌面互聯網時代，用戶終端主要是臺式電腦，通過有線網絡接入校園網；即使筆記本電腦逐漸成為主流的工具，由于它們同時配備了以太網接口和Wi-Fi模塊，有線網絡仍然能夠滿足用戶需求。移動互聯網時代，智能手機和平板電腦開始大量出現，這些終端只能通過Wi-Fi或3G/4G接入網絡，甚至越來越多的筆記本電腦開始不配備以太網接口，只提供有線接入的校園網已經無法滿足用戶需求。

圖1 北京郵電大學沙河校區規劃

其次，用戶入網設備從終端擴展到網關。桌面互聯網時代，用戶終端經過集線器或二層交換機連接到校園網三層設備，網絡管理系統能夠感知用戶終端的鏈路狀態，便于故障排查和準入策略控制。隨著無線終端增多，用戶開始安裝帶NAT功能的無線路由器，不僅增加了網絡故障點和排查難度，還給準入控制帶來了困難，同時導致了無線頻譜資源的干擾和浪費，也讓用戶產生了額外的經濟成本和時間開銷。另外，一些科研團隊將專用設備及服務器連到用戶接入網絡，超出了原先設計的工作場景，造成了一系列網絡異常事件。

再次，用戶組網需求從簡單演進到復雜。傳統的業務部門只有少量設施可接入校園網，隨著校園信息化建設的快速開展，諸如門禁、水控、一卡通消費、節能減排、安防監控、桌面虛擬化等業務都要依賴網絡支撐。由于數據的敏感性，這些業務通常需要單獨組網，封閉運行，公共服務業務還要求跨校區通信。同時，隨著大數據分析的需要，業務數據要在一定程度上能夠向校園網用戶提供在線訪問。面對這些復雜的組網需求，現有的網絡基礎設施難以靈活支持。

由于學校西土城路校區的校園網建設已經持續二十多年，管理模式一時難以全部改變，以上問題存在了很長時間。然而，隨著近幾年無線網絡建設的開展,逐漸發現無線網絡的使用特點在一定程度上可以解決上述問題，尤其是在新校區應用效果更加明顯：

1.無線網絡可以滿足大量用戶無線終端統一接入的需求；

2.無線網絡可以避免用戶私自安裝三層設備，方便運營和故障排查；

3.無線網絡的接入交換機和控制器可以用隧道的方式組建封閉專網。

設計思路

隨著學校沙河新校區建設機遇的到來，借助全新的網絡設計方案，實現從根本上跨越網絡管理模式的障礙，避免重蹈老校區所面臨的困境。

沙河新校區校園網的設計原則是：無線為主，全面覆蓋，面向全體用戶開放；有線為輔，按需開通，僅接受部門用戶申請。

技術先進性和實用性

系統建設要有一定的前瞻性，保證滿足無線應用業務的同時，又要體現出網絡技術的先進性。把先進的理念與現有的成熟技術和標準結合起來，充分考慮到學校應用的現狀和未來發展趨勢。在網絡建成后的3至5年內，不會由于業務量的增加導致對網絡結構及主要設備的重大調整。

高度的可靠性和穩定性

網絡系統的穩定可靠是應用系統正常運行的關鍵保證，無線系統應采用成熟的瘦AP網絡架構，采用室內放裝的方式進行全覆蓋部署。無線設備要支持802.11a/b/g/n/ac 。無線設備使用的各項技術必須與國際主流技術相一致。系統整體上具有高可用性、易管理性、高安全性、可擴展性以及支持高密度。

高性能

為了及時、迅速地處理網絡上傳送的數據，網絡設備必須具備高速處理能力，提供高速數據鏈路，保證網絡高吞吐能力，滿足各種應用對網絡帶寬的需求。

易于安裝、操作和管理

良好的組織和管理對網絡的正常運轉和高效使用有很大幫助，網絡應該能夠提供方便、靈活、有力的工具，使得無論是安裝、操作還是使用都較為便捷。

可擴充性

隨著用戶應用規模的不斷擴大，要求網絡可以方便地擴充容量，支持更多的用戶及應用；隨著網絡技術的不斷發展，網絡必須能夠平滑地過渡到新的技術和設備，確保學校投入產生最大效能。

高度的安全性

無線產品必須具備高安全性。通過對無線用戶做靈活的認證、加密來確保網絡和用戶的安全性，可對不同的用戶做不同的安全策略，并且可以對用戶無線應用及訪問的資源做可視化管理。

圖2 無線網架構

IPv6

無線設備必須支持IPv4/IPv6雙棧技術，并且能夠在純IPv6網絡環境中正常工作。

無線網架構

1.無線系統采用“AC+AP”瘦AP組網模式，沙河校區的無線控制器與西土城路校區的無線控制器采用集群模式組網，通過一臺MASTER控制器進行全網的統一管理和配置，按照校區采用無線控制器N+1備份，如圖2所示。

2.沙河校區一期無線網采用2臺無線控制器（每臺可管理2048個AP），管理在線運行的1740顆無線AP，二期無線網也采用2臺無線控制器，管理在線運行的1144顆無線?？侫P數量已經達到2884個。

3.通過一套網管系統實現對全網所有設備和終端的管理。無線網管提供了實時監視、AP遠程配置、主動報警和歷史數據報告。它具有專用面板視圖，能快速診斷 RF 覆蓋、可視化監控設備的運行狀況和網絡服務健康狀況。

4.使用ClearPass統一實現多個校區的無線用戶策略管理，以及無感知認證。能夠根據不同的操作系統和終端類型采用不同的認證和安全控制。

認證和計費策略

1.沙河校區廣播了5個SSID，并且在不同區域有所區分，情況如下，如圖3所示。

（1）辦公和教學區：BUPT-mobile，BUPT-portal ， BUPT-guest，BUPT-iot，eduroam

（2）宿舍區：BUPT-mobile，BUPT-portal

2.五個SSID采用了不同的認證方式和計費策略，其中BUPT-mobile和BUPT-portal通過ClearPass做策略控制和終端數量綁定限制，情況如下：

圖3 沙河校區無線SSID示意

（1） BUPT-mobile：免費訪問互聯網， 802.1x認證，僅給智能終端使用（iOS,Android），筆記本和臺式機不能接入使用(Windows，macOS)。

（2）BUPT-portal：收費訪問互聯網，通過ClearPass做準入認證，通過Web Portal做準出認證，所有無線終端都可以接入使用。

（3）BUPT-guest：限時免費訪問互聯網，Web Portal認證，通過訪客的手機號注冊，所有無線終端都可以接入使用，目前的策略是每個訪客賬號每月可免費使用8小時。

（4）BUPT-iot：不能訪問互聯網，僅用于物聯網設備（如無線打印機、無線攝像頭、無線自助服務機等）與三校區內校園網用戶之間的通信，通過MAC地址做認證，只有網絡管理員允許的物聯網設備才能接入使用。

（5） Eduroam：免費訪問互聯網，僅用于Eduroam聯盟成員用戶在三校區的辦公和教學區接入使用，通過Eduroam服務進行無線漫游認證，本校師生不能接入使用。

隧道專網架構

由于校醫院、一卡通、安防等業務需要跨校區開展，并且希望與日?；ヂ摼W流量隔離，因此需要建設各類專用網絡。沙河校區采用隧道技術實現一張網絡承載多種業務，充分利用現有網絡基礎設施，快速部署各類專網。采用隧道技術，主要考慮到3個方面因素：

1.完整建設多套覆蓋全校的物理專網成本較高；

2.建設物理專網對于多個校區的維護和擴展，難度較高；

3.建設基于MPLS 或VLAN的專網，維護復雜，故障排查難。

隧道專網通過集中控制器與基于隧道技術的無線接入交換機進行組網，如圖4所示。隧道交換機支持按照不同端口分配不同的專網（VLAN），能夠在同一個物理交換機上靈活擴展出多個不同的專網。而且可以根據實際需要，隨時搬遷和重新接入，不需要對隧道交換機做任何配置調整，不需要修改任何現網設備的配置，即插即用。同時，通過集中控制器還可以監控所有設備工作狀態。

圖4 隧道專網架構圖

圖5 宿舍AP點位安裝圖

AP部署方案

1.教學區

教學區采用高密度AP，AP安裝到教室內，根據座位數量，按照每50個座位對應一個AP進行規劃。根據座位的布局和安裝條件，采用吸頂或壁掛安裝方式，AP盡可能靠近覆蓋區域，減少對周圍區域的頻段干擾。

2.辦公區

辦公區采用普通室內AP，AP安裝到房間內，基本原則按照每個房間對應1個AP，根據房間面積可能安裝1個或多個AP，采用吸頂或壁掛安裝方式。

3.宿舍區

宿舍區采用普通室內AP，AP安裝到房間內，按照每間宿舍對應1個AP，采用吸頂或壁掛安裝方式，AP配有防護盒，避免學生破壞或粉刷損壞AP，如圖5所示。

4.食堂、體育館、圖書館和會議中心

食堂、體育館、圖書館和會議中心屬于高密度區，這些區域采用高密度AP，根據座位數量和可容納人數，按照每50個座位（人）對應一個AP進行規劃。采用吸頂、壁掛或座位下隱藏安裝，AP盡可能靠近覆蓋區域，減少對周圍區域的頻段干擾。

5.室外

室外活動區域可以采用室外型AP，AP固定在墻壁或燈桿上，采用POE供電，如圖6所示。重點覆蓋室外固定的公共活動區域，例如圖書館周邊的長椅區。兩個室外AP之間的距離不超過200米。根據活動區域內的人數，按照每個AP覆蓋80～100人進行設計。

圖6 室外AP點位安裝圖

使用情況

一期無線網服務于二年級學生和教職工，約3200多人，最大同時接入終端總數超過4400個，其中移動終端數超過3000個。二期無線網服務于一年級新生，約3000多人，最大同時接入終端總數超過4100個，其中移動終端數超過2800個。除了移動終端，其余終端為筆記本電腦、插USB無線網卡的臺式電腦或物聯網設備。

截至2018年1月，北郵沙河校區一期無線網絡從2015年9月開始已經穩定運行兩年半，一期無線網單獨運行期間，入流量峰值超過2Gbps，非假期時段的入流量平均值大約1Gbps。截至2018年3月，二期無線網絡從2017年9月開始已經穩定運行半年。一期和二期無線網絡共同運行期間，無線網入流量峰值達到7.6Gbps，非假期時段的入流量平均值大約2Gbps。

圖7 沙河校區網絡出口流量年圖（2017.2～2018.1）

圖8 沙河校區網絡出口流量月圖（2018.03.01～2018.03.28）

二期無線網從2017年9月開始啟用，圖7可以看到一期無線網獨立運行期間的流量情況，以及與兩期無線網共同運行時的對比。圖8可以看到2018年3月兩期無線網共同運行期間的每天流量情況。

全無線網絡的接入方式滿足了個人用戶在各種場景下的用網需求。在教學區，師生可以在任意一間教室內將自己攜帶的無線終端快速接入校園網，不必再尋找墻壁網口，也不必再咨詢教室管理員，并且支持大量終端同時接入。在宿舍區，學生在無線網絡中訪問校內外網絡資源，除了個別游戲和個別終端在高峰期略有延時以外，各種IPv4和IPv6應用都可以正常工作，同時運維人員排除網絡故障的速度大大提高。在辦公區，免費為臺式電腦配備了USB無線網卡，教職工可以正常訪問校內辦公系統和校外網絡資源。

全無線網絡的接入方式也為部門用戶提供了便利。無線打印機和無線攝像頭等自帶無線接入能力的設備，經管理員配置后可以快速接入網絡，避免了耗費人力物力的弱電改造工程，保持了新校區的嶄新面貌。針對沒有無線接入能力但是基于x86架構研制的設備，可以通過添加USB無線網卡的方式改造為無線接入終端；針對部門用戶的網絡打印機、網絡攝像頭、一卡通數據網關等不存在無線能力或USB接口的純有線設備，采取按需申請開通有線網接口的方式接入；針對教學科研服務器、公共教學機房主機等部門用戶自建局域網絡接入校園網的場景，采取按需申請開通光纖接口的方式接入?；緷M足了部門用戶在各種場景下的用網需求。

展望未來

黨的十九大報告明確提出“推動新型工業化、信息化、城鎮化、農業現代化同步發展”。信息化水平成為一個城市或地區現代化水平和綜合實力的重要標志。北京郵電大學的信息化建設任重而道遠，我們將依托學校的資源優勢，積極學習外界新技術新模式，勇于創新，為高校的信息化建設做出更多貢獻。