東北財經(jīng)大學與多運營商聯(lián)合運營實踐

鄒鵬 李鍇淞 任永奎 劉世忠

[摘 ? ?要] 隨著移動互聯(lián)網(wǎng)應用的普及，越來越多的學生不再使用傳統(tǒng)的有線網(wǎng)絡方式，為了方便學生用戶使用，簡化運營商和校園網(wǎng)賬號之間頻繁切換，提供更好的用戶網(wǎng)絡體驗，學校與運營商合作，采用BRAC方案，實現(xiàn)了校園網(wǎng)與運營認證的無縫對接。

[關(guān)鍵詞] BRAC;校園網(wǎng);運營

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2019. 23. 062

[中圖分類號] G645;TP311 ? ?[文獻標識碼] ?A ? ? ?[文章編號] ?1673 - 0194（2019）23- 0145- 02

1 ? ? ?現(xiàn)狀及問題

隨著移動互聯(lián)網(wǎng)應用的普及，越來越多的學生不再使用傳統(tǒng)的有線網(wǎng)絡方式，經(jīng)過多期的無線校園網(wǎng)建設(shè)，校內(nèi)移動終端已超過有線終端數(shù)量，校內(nèi)業(yè)務流量模型由以前的文字轉(zhuǎn)變?yōu)橐曨l等大流量應用，校園網(wǎng)整體出口帶寬需求增長迅猛，校外訪問出口帶寬費用巨大。因為出口帶寬無法完全滿足日益增長的用戶終端，校內(nèi)用戶的網(wǎng)絡體驗一直無法得到大幅度的提升，本地運營商積極與學校開張相關(guān)合作，正好可以彌補出口帶寬的不足，提升師生的上網(wǎng)體驗。通過市場調(diào)研和與運營商溝通，目前主要有以下幾種合作模式。

1.1 ? 將宿舍網(wǎng)的運營維護交由第三方進行運維

校方網(wǎng)絡中心主要負責辦公網(wǎng)絡的運維，在同樣帶寬的情況下，可以保證辦公用戶的使用體驗和正常教學。在此種模式下學生上網(wǎng)不受管控，如第三方不能承擔相應的安全管理，將會產(chǎn)生大量的負面效應，因此此方案不作為首選。

1.2 ? 學校與運營商進行聯(lián)合運營，學校與運營商通過明確的出口邊界隔離

以校園網(wǎng)出口為邊界，校園網(wǎng)以內(nèi)部分，由學校負責管理，進行實名制認證。出校園網(wǎng)后，由運營商負責管理，校園網(wǎng)賬號與運營商賬號對接，進行實名制認證。最終要求做到如下效果：①聯(lián)合運營后，不改變學生的任何使用習慣，認證頁面，方式，繳費方式（學生一卡通圈存繳費），報修方式均保持和聯(lián)合運營前一致。②對現(xiàn)有校園網(wǎng)拓撲改動最小，只需要對運營商提供的線路進行提速擴容和優(yōu)化選路。③按運營商的級別優(yōu)化校園基礎(chǔ)設(shè)施的建設(shè)和運維。④為了保證用戶的體驗，不能讓學生多次認證。校園網(wǎng)學生現(xiàn)有上網(wǎng)賬號需要與運營商BOSS系統(tǒng)實現(xiàn)聯(lián)動，實現(xiàn)學生用戶使用校園網(wǎng)賬號撥號成功后，按已注冊的運營商套餐計費管理。例如：如果該學生辦理了運營商的相關(guān)優(yōu)惠套餐業(yè)務，撥號成功后，通過該運營商訪問網(wǎng)絡資源時，執(zhí)行運營商的優(yōu)惠套餐資費策略。校園網(wǎng)不再收取任何費用，只是認證記錄。

2 ? ? ?技術(shù)方案

學校現(xiàn)有的網(wǎng)絡拓撲是標準的以太網(wǎng)結(jié)構(gòu)，通過出口路由器的三個接口，同時連接聯(lián)通、電信和科研教育網(wǎng)三條出口線路。現(xiàn)在的路由策略是科研教育網(wǎng)出口主要是提供學術(shù)資源的查詢與訪問，因此所有訪問高校資源、圖書資源、招生就業(yè)等都通過策略路由將訪問指向科研教育網(wǎng)出口，全校師生的其他網(wǎng)絡訪問需求通過其他兩條運營商的出口。

東北財經(jīng)大學是最早一批使用802.1X認證的單位，在2003年就已使用基于802.1X認證的接入交換機在用戶接入端實現(xiàn)全網(wǎng)的802.1X認證。筆者在2005年發(fā)表的論文《東北財經(jīng)大學宿舍區(qū)802.1x認證計費方案》中已對采用IEEE 802.1X認證的優(yōu)點進行了描述，主要是：“當用戶未通過認證時，受控端口處于開路，端口狀態(tài)為未認證狀態(tài)，此時交換機的交換功能是關(guān)閉的，也就是說交換機無法像傳統(tǒng)的通過查找目標MAC地址來進行交換，如果用戶有業(yè)務報文是無法通過的。當用戶通過認證后，受控端口閉合，端口狀態(tài)為通過認證狀態(tài)，此時交換機的交換功能打開，就和傳統(tǒng)的交換方式一致了，用戶的業(yè)務報文就可從順利通過。因此，在采用802.1X認證計費系統(tǒng)后，對接入用戶進行賬號與MAC、端口等多元素綁定，在宿舍區(qū)對學生用戶進行多元素復合綁定，以唯一確定用戶身份。網(wǎng)絡中的非法用戶由于無法通過認證，支持802.1X的交換機此端口在物理上將此用戶隔離在網(wǎng)絡之外。有效地對用戶進行接入控制， 保證只有申請開通的合法用戶可以使用網(wǎng)絡。每一個接入交換機的端口即相當于一個認證者，實現(xiàn)了最大程度的分布認證，既沒有單點故障，同時又克服了傳統(tǒng)的網(wǎng)關(guān)設(shè)備進行認證計費造成的嚴重的性能瓶頸。”

近些年，經(jīng)過無線校園網(wǎng)的建設(shè)，校園內(nèi)部建筑已經(jīng)實現(xiàn)無線網(wǎng)絡全覆蓋，無線采用的是WEB portal認證方式。基于設(shè)備的MAC地址，還可以啟用無線的無感認證。

通過十幾年的認證系統(tǒng)建設(shè)，學校已經(jīng)建成一套完整的有線無線一體的認證計費體系。實踐證明，校園網(wǎng)現(xiàn)用的802.1X認證+WEB portal認證方式+無線無感認證是非常可靠穩(wěn)定的。與學校的認證體系不同，運營商的認證采用是PPPoE的方式，通過寬帶遠程接入服務器（BRAS）進行認證與計費。因此，認證系統(tǒng)的轉(zhuǎn)換和對接問題就成了聯(lián)合運營的主要技術(shù)問題。

在運營模式和管理方式上，各方都溝通得非常順利。在認證和計費的方式上，因運營商在大連市沒有認證和計費系統(tǒng)的管理權(quán)限，必須要到遼寧省的總公司進行系統(tǒng)對接。經(jīng)調(diào)研，各大運營商的遼寧省總公司尚未對認證計費系統(tǒng)進行開放，沒有直接與外部系統(tǒng)（高校）對接的先例，單為學校進行系統(tǒng)對接可能性非常小，直接對接的方案基本不可行。

從學校角度看，如果改變校園網(wǎng)的認證方式，就必須改變校園網(wǎng)的拓撲結(jié)構(gòu)和用戶的使用習慣。經(jīng)專家論證，改變校園網(wǎng)的認證方式除了要投入一筆不小的設(shè)備投資，還要對拓撲和安全設(shè)備進行很大的改動，最主要還是要改變校園用戶的使用習慣，對整個管理模式的沖擊太大，短時間內(nèi)如操作不當可能會大大降低用戶的使用體驗，因此保留校園網(wǎng)原有的認證計費方式，采用一套轉(zhuǎn)換模式，在不改變學校和運營商各自的認證計費系統(tǒng)的前提下，實現(xiàn)雙方認證協(xié)議的互通，解決認證計費的問題就是本次項目的技術(shù)重點。

確定好技術(shù)方向后，技術(shù)組與原認證計費設(shè)備提供商進行了技術(shù)溝通，經(jīng)技術(shù)調(diào)研，確定了采取市場上成熟可行的代撥方案實現(xiàn)校園網(wǎng)和運營商網(wǎng)絡的一次同時認證。

雖然之前市場上有一些類似方案，但是均無法滿足學校上述要求，需要根據(jù)運營商BOSS，AAA系統(tǒng)和學校現(xiàn)有運營系統(tǒng)做一些聯(lián)合開發(fā)，才能實現(xiàn)全部功能。通過詳細的技術(shù)論證與實地調(diào)研，最終選擇了銳捷網(wǎng)絡的BRAC方案加部分定制開發(fā)，解決了認證系統(tǒng)的無縫對接問題。

在網(wǎng)絡拓撲方面，不用修改原有的拓撲結(jié)構(gòu)。只需將出口設(shè)備更換為支持PPPOE代理撥號的路由設(shè)備，用于實現(xiàn)代理校園網(wǎng)用戶撥號到運營商的BRAS設(shè)備。其工作原理，簡單說就類似于在校園網(wǎng)出口放置一臺大型的設(shè)備，模擬家庭寬帶路由器的工作過程，實現(xiàn)用戶撥號與運營商BoSS，AAA網(wǎng)絡的互通。

具體實現(xiàn)過程如下：

第一步，由校園網(wǎng)內(nèi)的用戶發(fā)起認證，認證的方式不限制，可以是802.1X、WEB等方式，認證數(shù)據(jù)將通過相應的NAS設(shè)備將認證報文送給認證服務器;校園網(wǎng)內(nèi)的認證RADIUS服務器接收到校園網(wǎng)內(nèi)用戶發(fā)起的上網(wǎng)認證后，會判斷該用戶是不是合法的用戶，如其是合法的用戶，將相關(guān)的認證信息發(fā)送給出口的路由器，由出口路由器模擬上網(wǎng)撥號方式，進行校園網(wǎng)內(nèi)用戶的PPPoE撥號。

第二步，集成了PPPOE功能的出口路由器，將校園網(wǎng)的認證轉(zhuǎn)換成運營商的撥號方式，將數(shù)據(jù)傳送至運營商的BRAS設(shè)備，進行PPPoE協(xié)議通訊，建立用戶的PPPoE隧道，運營商BRAS設(shè)備將會把通過認證的結(jié)果反饋給帶PPPOE功能的出口路由器，再由出口路由器轉(zhuǎn)換成校園網(wǎng)的認證信息，將認證結(jié)果通知給校園網(wǎng)內(nèi)的認證RADIUS服務器，如該用戶是該運營商的合法用戶且無欠費的正常用戶狀態(tài)，該用戶會正常通過認證，正常使用運營商的資費套餐上網(wǎng);如該用戶狀態(tài)異常，其將無法使用相關(guān)的網(wǎng)絡服務。

第三步，出口路由器上需要具有用戶信息管理模塊，用于實時存儲管理PPPOE在線用戶的信息，按學校現(xiàn)有的用戶量，至少出口路由需要維護不少于1.5萬的用戶PPPoE隧道，出口路由器需要具備較高的性能處理器能力。

3 ? ? ?使用效果

使用BRAC方案，學校方面的運維工作和聯(lián)合運營之前，沒有發(fā)生任何變化，沒有增加網(wǎng)絡信息中心的工作量。系統(tǒng)對接不需要考慮運營商的網(wǎng)絡拓撲和計費模式，直接實現(xiàn)代撥功能，節(jié)省了大量計費系統(tǒng)對接的時間。

對于學生用戶來說，具有非常好的易用性。用戶不需要改變原有的上網(wǎng)模式，只需要用學號、密碼撥號一次即可完成校園網(wǎng)和運營商網(wǎng)絡的雙認證。

對于運營商來說，無須考慮用戶的接入方式，用戶認證通過后，根據(jù)用戶辦理的套餐計費即可，管理簡單靈活。

采用BRAC方案完全實現(xiàn)了原有的設(shè)計思想，現(xiàn)在已有12 161個用戶和運營商的賬號進行了綁定，5月份使用過運營商賬號的用戶為7 700人，6月份使用過運營商賬號的用戶為9 100多人，7月份使用過運營商的用戶為9 300多人。學生用戶中，運營商用戶的綁定和使用率都超過了90%，系統(tǒng)在三個月的試運行期間，性能監(jiān)控正常，沒有發(fā)現(xiàn)服務器CPU異常過載和內(nèi)存異常溢出的情況，軟件與出口的77系列路由器配合默契，沒有發(fā)現(xiàn)通訊異常中斷或指令下發(fā)有誤的情況。整體看，系統(tǒng)運行穩(wěn)定、情況良好。

系統(tǒng)對接后，校內(nèi)的認證管理方式?jīng)]有發(fā)生變化，使用運營商線路的用戶，按辦理的資費套餐進行收費，并未增加雙方的工作量。

4 ? ? ?結(jié) ? ?語

按設(shè)計，后期會使用微哨系統(tǒng)建立虛擬服務座席，將運營商的業(yè)務辦理人員、技術(shù)支持人員、管理人員和學校的業(yè)務辦理人員、技術(shù)支持人員、管理人員按職能分配虛擬角色，按相應的職責和流程完成各自的工作任務，通過自助服務的方式，讓用戶使用手機就可以辦理完全的閉環(huán)業(yè)務流程，提升用戶的服務體驗，提高用戶的滿意度。

主要參考文獻

[1]羅金光，虞金華，先曉兵.高校校園網(wǎng)絡授權(quán)運營模式探索與實踐[J].中國教育信息化，2015（5）.

[2]李杰. 新建設(shè)模式下的高校校園網(wǎng)管理研究[J].軟件導刊，2015（3）.

[3]張英俊.高校校園網(wǎng)建設(shè)商業(yè)化探討[J].電腦開發(fā)與應用，2011（7）.

[4]史彥奎.高校無線網(wǎng)絡建設(shè)與運營商合作模式研究.[J]黑龍江科技信息，2013（34）.

[5]米魯沈，孫劍穎，鄒鵬.東北財經(jīng)大學宿舍區(qū)802.1x認證計費方案[J]. 教育信息化，2005（2）.