物聯網實驗基地網絡虛擬化部署的應用研究

楊春霞，宋姍姍

（濟南大學 泉城學院，山東 蓬萊 265600）

1 研究背景

本研究的開展是基于新工科條件下物聯網工程實踐基地建設研究的產學研協同育人項目。結合國家對校企合作新工科建設的倡導，我校積極響應號召，與企業方展開實踐基地建設的綜合探討，深度討論實驗方案。隨著我校物聯網專業的發展，實踐基地的建設越發迫切。校企雙方以應用型人才的培養為目標，結合當前的云計算技術，合理部署軟硬件設備，方便開展多途徑物聯網實驗。當前，云計算技術發展快速，在組建物聯網實驗室環境的過程中，其中的相關技術納入了實驗環境部署的考慮范圍。云計算相關的技術有大數據技術、群集技術、虛擬化技術以及Docker技術等[1]。在此，重點討論網絡虛擬化實驗環境的部署。

2 硬件設備搭建

實驗基地建設場所的面積為130 m2。為了提高設備的利用率，需要兼容新技術的要求。硬件設備按照云計算的相關技術要求進行相應的配置。3臺高性能服務器、1臺浪潮服務器、2臺戴爾服務器以及30臺高性能戴爾臺式機，主機操作系統配置為Win10。網絡互聯設備是神州數碼、思科以及華為3個品牌的路由器、二層交換機以及三層交換機。此外，還需要配置30臺物聯網實驗箱、2塊配線架、1個配電機架以及5個機柜。其中，2個機柜放置各種網絡互聯設備，3個機柜放置各實驗箱。

3 網絡拓撲設計

網絡平臺作為物聯網基地的重要基礎平臺，其物理基礎實施結合實際需求分析。根據現有具體物理設施，進行網絡拓撲規劃與設計。網絡需求分析是為了了解局域網用戶現在想要實現什么功能，未來需要什么功能，并依據計算機網絡建設的方向、原則以及作用，制定并建設計算機網絡拓撲規劃。本基地要實現的網絡功能是將30臺主機和實驗箱進行有線和無線等不同的通信。具體實施是通過連接二層交換機、三層交換機以及路由器等網絡互聯設備，構建多層網絡拓撲結構。30臺物聯網實驗箱通過WiFi和藍牙等技術與本基地路由器、二層交換機以及三層交換機組建不同的局域網，用于滿足本地物聯網通信的目的[2]。通過相關的廣域網技術搭建廣域網，用于實現物聯網遠程通信的目的。

4 網絡虛擬化

網絡虛擬化是在一個物理網絡上模擬出多個邏輯網絡來。基于網絡的虛擬化方法可以在網絡設備之間實現數據存儲和數據轉發等虛擬化功能。其主要包括VLAN虛擬局域網和VPN虛擬專用網兩種[3]。

4.1 VLAN虛擬局域網

虛擬局域網（VLAN）是一組邏輯上的設備和用戶。這些設備和用戶并不受物理位置的限制，可以根據功能、部門及應用等因素將它們組織起來，相互之間的通信就好像在同一個網段中一樣。具有網絡設備的移動靈活、添加和修改的管理開銷減少、控制廣播活動以及提高網絡安全性等優點。通過VLAN技術可以實現本實驗基地物聯網虛擬局域網之間通信的實驗目的。本實驗基地基于VLAN技術，將現有二層交換機虛擬出多個VLAN，分別設置為VLAN 10、VLAN 20、VLAN 30、VLAN 40、VLAN 50、VLAN 60、VLAN 70以及VLAN 80。這8個VLAN通過4臺接入型交互機進行劃分，每臺交換機劃分為2個不同的VLAN。每個VLAN都有4臺主機接入，4臺主機所連接交換機的接口為Ethernet接口，網速為10 Mb/s。通過設置接口配置模式下的switchport mode access命令，將對應的接口配置為access類型。這樣配置的好處是每個接口只允許轉發本VLAN內的數據流。通過設置接口配置模式下的switchport access vlan n命令，將對應的接口配置到對應的VLAN中。這樣，8個不同的VLAN也就是8個不同的虛擬局域網。要想實現不同VLAN主機之間的數據通信，需要通過配置網絡層的路由協議。主機劃分如表1所示。

表1 主機劃分

至此，每臺主機都劃歸到某一具體網段。通過不同VLAN，可以實現物聯網實驗中的局域網內部通信和局域網間通信。此外，本實驗基地還可以通過虛擬專用網VPN實現物聯網的遠程通信。

4.2 VPN虛擬專用網

VPN屬于遠程訪問技術。以共享的公用網絡為基礎，架設私有的專用網絡。例如，某公司員工出差到外地，他想訪問企業內網的服務器資源時，這種訪問就屬于遠程訪問。

本實驗基地通過構建遠程網絡，以實現物聯網遠程通信的目的。為保證數據安全，在此采用了VPN遠程訪問技術，構建物聯網的遠程通信平臺。將上述8個VLAN分屬于4個遠程地點。其中VLAN 10和VLAN 20屬于A地，VLAN 30和VLAN 40屬于B地，VLAN 50和VLAN 60屬于C地，VLAN 70和VLAN 80屬于D地。A、B、C、D分別連接出口路由器，出口路由器之間連接中間路由器E。網段設置時，A和E之間的網段為1.1.1.0。該網段中，路由器A的接口IP地址配置為1.1.1.1，路由器E的接口IP地址配置為1.1.1.2。B和E之間的網段為2.2.2.0。該網段中，路由器B的接口IP地址配置為2.2.2.1，路由器E的接口IP地址配置為2.2.2.2。C和E之間的網段為3.3.3.0。該網段中，路由器C的接口IP地址配置為3.3.3.1，路由器E的接口IP地址配置為3.3.3.2。D和E之間的網段為4.4.4.0。該網段中，路由器D的接口IP地址配置為4.4.4.1，路由器E的接口IP地址配置為4.4.4.2。

在通信協議分層中，網絡層是實現端到端安全通信的最底層，它為所有應用層數據提供透明的安全保護。本實驗基地采用IPSec VPN實現遠程物聯網安全通信。IPSec VPN 主要通過加密技術、隧道協議以及認證協議3 種技術為數據的安全轉發保駕護航。下面以VLAN 10和VLAN 80兩個遠程虛擬局域網內部主機PC0和主機PC7間的數據轉發過程為例，分析IPSec VPN的5個通信步驟。

第1步：確定需要IPSec安全保護的數據流。PC0向PC7發送數據屬于局域網內部通信，因此數據轉發相對安全。

第2步：IKE階段1—通過命令crypto isakmp enable使能IKE，并進行第一次回話。在這個階段中，IKE鑒別IPSec對等體路由器A和D之間協商IKE安全關聯，并且為IKE階段2中的IPSec安全關聯協商下列參數。

第3步：IKE階段2—IKE協商IPSec安全關聯參數，并在對等體路由器A和D之間建立相匹配的IPSec安全關聯。添加外網IP報頭更好地保護內容IP地址，通過以下命令配置本IPSec路由設備的對端路由器。

RouterA（config）#crypto isakmp key cisco1234 address 4.4.4.2

第4步：數據傳送—基于保存在安全關聯數據庫中的IPSec參數和密鑰，在IPSec對等體路由器A和D之間搭建的隧道內傳送數據，保證數據進行安全轉發。

第5步：IPSec隧道終止—IPSec安全關聯因被刪除或超時而終止。

5 結 論

網絡虛擬化是物聯網通信的基礎架構。本實驗基地采用VPN+VLAN的虛擬化技術，實現了網絡基礎平臺的搭建，且后期各種物聯網通信實驗都是基于該網絡平臺展開實施。此外，本實驗基地的建設符合學校實驗環境，同時也符合學科建設的需要，對物聯網專業的教學具有促進作用。