基于防火墙和核心交换机校园网双出口解决方案.docVIP

基于防火墙和核心交换机校园网双出口解决方案 　　摘要：采用默认路由，静态路由，网络地址转换等技术实现校园网双出口的设计及配置，是两出口协调工作，合理的分担了进出校园网的流量，提高了校园网双出口的利用率。 　　关键词：双出口 校园网解决方案 静态路由 　　 　　一、问题分析与提出 　　 　　校园网是高校的信息化建设的基础设施，是教学科研管理信息化和现代化的重要平台。大部分高校校园网从初建至今已有几年的历史。我院于2005年申请一条10M的网通线路接入Internet，用于日常办公和教学使用。网络拓扑图如图1： 　　由于学院的发展和招生、评估等需求，我院于2007年又接入一条100M教育网。众所周知，教育网内部访问速度是非常快的，但是由于教育网与其他非教育网络如CHINANET之间存在瓶颈，所以从教育网访问新浪、搜狐等非教育网站点时速度相对较慢。在网络改造时我们同时保留网通10M线路，这样做的好处是可以同时高速访问教育网资源和非教育网资源，满足师生学习和办公的需求。 　　接入教育网后，校园网应满足如下需求： 　　（1）客户端IP地址设置不受影响，即不用重新设置地址就可以正常上网； 　　（2）客户端访问教育科研网的网站时，走教育网线路，访问其他站点时，走网通线路。 　　（3）尽可能的节约校园网调整、改造的投资。 　　校园网改造后结构如图2： 　　 　　二、基本技术介绍 　　 　　目前解决网络双出口的方案通常会使用默认路由、静态路由、NAT转换等技术。 　　1.静态路由 　　静态路由是在路由器中设置的固定的路由表。除非网络管理员干预，否则静态路由不会发生变化。静态路由的优点是简单、高效、可靠。在所有的路由中，静态路由优先级最高。当动态路由与静态路由发生冲突时，以静态路由为准。这种方式对于上网的路由选择与用户无关，用户的上网方式无需进行任何改动，可操作性较好。同时，网络管理人员可以根据两个出口的带宽和流量情况，调整路由指向。 　　建立静态路由的命令为： 　　ip route 目的地址网络 目的网络子网掩码 下一跳地址 　　2.默认路由 　　默认路由是一种特殊的静态路???,指的是当路由表中与包的目的地址之间没有匹配的表项时路由器能够做出的选择。默认路由在某些时候非常有效,当存在末梢网络时,默认路由会大大简化路由器的配置,减轻管理员的工作负担,提高网络性能. 　　3.NAT技术 　　NAT(Network Address Translation)顾名思义就是网络IP地址的转换。NAT的出现是为了解决IP日益短缺的问题，将多个内部地址映射为少数几个甚至一个公网地址。这样，就可以让我们内部网中的计算机通过伪IP访问INTERNET的资源。目前NAT功能通常被集成到路由器、防火墙等设备中。NAT设置可以分为静态地址转换、动态地址转换和端口地址转换。 　　（1）静态地址转换 　　静态地址转换将内部本地地址与内部合法地址进行一对一地转换，且需要指定和哪个合法地址进行转换。如果内部网络有WWW服务器或FTP服务器等可以为外部用户提供服务，则这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。 　　（2）动态地址转换 　　动态地址转换也是将内部本地地址与内部合法地址一对一地转换，但是动态地址转换是从内部合法地址池中动态地选择一个未使用的地址来对内部本地地址进行转换的。 　　（3）端口地址转换 　　端口地址转换首先是一种动态地址转换，但是它可以允许多个内部本地地址共用一个内部合法地址。对只申请到少量IP地址但却经常同时有多个用户上外部网络的情况，这种转换极为有用。 　　 　　三、具体解决方案 　　 　　此技术方案采用策略路由结合网络地址转换和访问控制列表来具体实现，在本校出口采用NAT和策略路由技术，对于访问目标地址不在CERNET范围之内的，或属于公众网的地址，首先通过NAT进行网络地址转换，然后将请求通过网通出口路由出去，将计算机与CERNET及其联网单位的通信通过CERNET出口进行。 　　由于涉及到网络安全机密，校园网的各个接口地址均由其他地址代替。其中：校园网内部地址为/24，/24表示校园网内部服务器的地址，/24表示网通地址。连接网通防火墙的ip地址为54，教育网路由器的ip地址为54。配置方案如下（以下配置均以思科产品为准）： 　　1．核心交换机的配置 　　（1）设置默认路由指向连接网通路由器： 　　 ip route 54 　　（2）对于所有走教育网流量设置静态路由，指向连接教育网的路由器。 　　ip route 9 55 54 　　ip route 13 55 54 　　ip route 54 　　…… 　　ip ro