浅议教育城域网建设中的技术方案设计

随着信息技术、通讯技术和网络技术的快速发展，教育信息化建设已经由校园的网络建设扩展到区域和城域的网络建设，教育城域网建设及网络教育资源的开发已经成为各地教育部门关注的热点。据不完全统计，目前在全国范围内已经建立了200多个区域性的教育城域网，还有许多地区正在规划或筹备教育城域网建设。在过去的三年中笔者通过实地考察了山东的济宁、烟台、淄博、寿光、菏泽，还有江苏的南京、常州等地的教育城域网建设方案，并重点研究了沈阳地区的教育城域网建设方案。为推动本地区的教育信息化的发展，2003年8月份我们也开始了教育城域网的软、硬件建设工作，并与年底基本建设完成，顺利投入使用。实践证明，教育城域网的建设和应用水平，反映了一个地区教育信息化的进程。教育城域网是城域网的一个类别，是教育行业的城域专网，它为教育组织拥有和使用，提供学校、教育单位等局域网的互连途径，是以网络技术为基础的区域教育整体信息化集成应用系统。它以网络互联运行为技术支持，以教育软件和教育资源为核心，以建构现代教育和管理模式为目的，为区域教育信息化提供全方位的服务。教育城域网一般在一个地级市的范围内建设，主要包括市教育信息中心，区（县）教委信息中心，学校等。严格来说，一个完整的教育城域网建设主要包括两部分内容：技术方案设计；应用信息系统资源建设，其中技术方案设计主要包括：网络结构化设计，设备选择和网络技术选型设计等等。下面我们就从这三个方面分别讨论。一、网络结构化设计

教育部虽然积极鼓励教育信息化的发展，然而除少数地区拨教育信息化专款以外，教育信息化的资金主要来自于当地财政收入，而当地财政收入则主要依托于当地经济的发展。因此能投入多少资金用与教育信息化建设很大程度上取决于当地经济发展水平。而一个地级市的各级各类教育行政部门和各类学校分布在全市的各个角略，所以一般情况下都没有足够的资金来架设各校间通信的光缆。为了达到各校互通，通常采用合作经营的方式，如浙江海宁租用海宁市广电IP宽带城域网，建立“海宁市教育城域网”的虚拟专网，北京市通过向电信买断光纤进行建设，厦门市与电力部门合作，建设教育城域网，这些网络管理的权限在教育行业内部。还有的采用租用通信部门线路的方式，如江苏南京、江西新余、山东寿光、山东枣庄等等。当然也有经济条件较好的地方自己来架设全市的教育通信线路，如沈阳，山东的临淄等等。通过合作、租用或自己架设线路的方式把市教育信息中心，县（区）教育信息中心和学校联成一个树型结构（如上图所示），由市教育信息中心一个出口上互联网。

在这个树型结构上，“树根”就是我们的市级教育信息中心，这里有服务器、路由器、防火墙、路由交换机或4-7层的高档交换机等，防火墙或路由器联结通信部门提供的100M/1000M出口。“树干”就是由交换机或路由器通过100M/1000M光纤连接区（县）教育信息中心的部分。区县的教育信息中心再以光纤、DDN专线、ADSL或拨号等方式联结所辖区内的学校，此部分可看作树的“枝叶”。

“树根”主要涉及设备选择和网络技术选型，所以到后面再讨论，这里主要来看一下“树干”，也就是由市教育信息中心到区（县）教育信息中心的连接线路。这段线路的连接方式主要有以下四种。

（1）通过自己架设的线路连接市、区两地的教育信息中心。这种方式的教育城域网为教育行业专有，享有完全的独立管理权限，但费用很高，不管是建设过程，还是后期的管理维护都需要大量的资金做后盾。当然还需要一定数量的专业人员来管理维护线路。

（2）根据大多数地区的实际情况，笔者认为最好的方式是能够租用通信部门的裸光纤，因为一般市教育信息中心到区（县）教育信息中心的距离都在100公里以内，路由交换机都有支持此距离内的传输模块。这种方式因为中间全为通信部门的裸光纤或传输中继，线路稳定性较好，能够保证信息传送的可靠性，而且教育部门对教育城域网有相对独立的管理权限。由于传输线路为裸光纤，所以带宽可自由扩展，只要更换两端交换机的传输模块即可。还有，此种方式费用相对不是太高，中间线路的管理维护完全交给通信部门来做，减少了教育部门专业人员不足的压力

（3）通过通信部门提供的专用传输设备连接两端的教育信息中心。这种连接方式的好处是不需要在交换机上专门配置长距离传输模块，可减少费用，因为交换机上支持长距离传输的模块价格比较昂贵。实践证明，这种方式的稳定性一般不是太好，因为这种方式的传输线路要跟专用传输设备、线路、中继等等三方面的稳定性有关，只要有一个环节出现问题，将会对整个网络产生较大的影响，不知道这种不稳定性是来源于厂家的传输设备不好使，还是通信部门的线路维护不到位。

（4）还有一种最为廉价的方式，就是采用VPN技术，由通信部门把下边的区（县）教育信息中心都汇聚到市教育信息中心。这种方式的汇聚从表面上看就相当于一根网线直接把两端连接起来，中间经过多台通信部门的交换传输设备，从它的汇聚层交换传输设备到它的接入层交换传输设备等等。通过在这些交换传输设备上划分VLAN封装802.1Q协议，打通二层通道。此时市教育信息中心和区（县）教育信息中心两端的交换机上划分的VLAN号要跟中间这些通信部门的交换传输设备上划分的VLAN号一致。这样连接起来的两端就跟用一根网线直接连接起来一样。可以看出来，这种方式，中间完全架构在通信部门的城域网上，经过它们的多个交换传输设备才能到达学校，这样一旦其中的一台交换传输设备出问题，可能影响多个学校的上网，稳定性不是太好。同时其它非教育部门的网络也挂接在这些为教育部门汇聚的中间交换传输设备上，如果他们的网络出问题而影响了这些中间交换机，那么教育部门的网络就会受到影响。

以上说了四种从市教育信息心到区（县）教育信息中心的连接方式，当然以上四种方式也适合信息中心直接连接学校，从区（县）教育信息中心到学校的连接方式完全可用以上的介绍的四种方式之一，但考虑到区（县）信息中心距离学校一般比较近，中间不会经过太多的通信部门的交换机，宜采用第四种连接方式。如果经费实在有困难，对于比较偏远的或规模比较小的学校可采用ADSL、无线，或者电话拨号的方式就近接入教育信息中心。

二、设备选择

教育城域网的信息中心所应用的一些硬件设备主要包括：路由交换机或更高档的4-7层交换机、服务器、路由器、防火墙等。下面来看一下在选择它们时应当注意的一些问题。

１、交换机

作为市教育信息中心的交换机，承担着全市跨区（县）学校的数据交换，还有上外网的大量数据流量，应当选用具有电信级可靠性的交换机，同时为了保证中心服务的不断，最好配备两台中心交换机互为备份。具体来说，像华为的Quidway®S8000系列路由交换机，思科的CiscoCatalyst6500系列交换机等，这类交换机都具有很高的背板带宽，具有电信级可靠性和稳定性。Quidway®S8000系列路由交换机可提供基于硬件的二到七层和MPLS线速转发技术，可提供完备的二到七层交换特性，强大的QOS保障，完善的安全管理机制；Cisco交换机的可靠性和稳定性自不必说，但是从价格方面来说，肯定是很昂贵的，如果有能力购买还是尽量购买这类交换机。如果预算实在达不到可以选用性价比较高的其它国内产品，但一定要选择具有电信级可靠性的具有强大的QOS保障，完善的安全管理机制的交换设备。就区（县）教育信息中心来说，应当根据本地区的一段时间内能够接入的学校数量来选择交换机，可选择性价比较高国内产品。

以上从稳定性、可靠性、安全性等方面来说明了交换机采购时应当考虑的问题，还有两个最重要的扩展性和方便升级。就是说根据技术规范数要求，每个教育信息中心的网络交换机有向1000M和ATM平滑过渡的升级扩展能力，每个区（县）教育信息中心的交换机可进行堆叠的扩展功能，满足所有预料到的或不可预料的需求，为今后的扩充、升级留有足够的余地。

２、服务器

凭个人观点来说：服务器应当多购置。假设你打算买10台服务器来做WEB、MAIL、数据库、DNS等，使用过程中渐渐会发现10台有点不够用：WEB服务器最好做两台、MAIL服务器最好用两台、数据库服务器最好使用三台等等，因为这些应用服务器都需要做备份，都需要保证它的稳定性和实时性，如果一台出现问题，可以马上切换到另一台，保证应用服务不中断。

教育部门、学校的门户网站应尽量统一放到市教育信息中心或区（县）教育信息中心的服务器上。这样可保证比较高的带宽，便于学校托管，便与学校间交流，因为在这个网络世界里门户网站就相当于学校的“脸面”，应当首先大力发展，让各个单位先做“秀”。如果条件允许，可逐渐让班级，教师或学生的个人的主页也发布出去。这个时侯也要求信息中心，在WEB服务器上做更多的投入，确保服务不中断。

从配置上来说，根据应用需求，购买当前配置比较好的国产服务器就可以了，目前国产的服务器，像曙光、浪潮、联想等，在各项技术指标上都跟国际上知名厂商的服务器不相上下，同时性价比更高一些。具体来说，WEB服务器应当配置，CPU、内存大一些，采用可扩展多块的CPU。象Xeon、XeonMP和Itanium等，这类CPU具有二级或三级高速缓存，采用流水线技术工作，具有很好的可扩展性，稳定性和高速运算能力。作为服务器的内存应当具有很高的稳定性和纠错能力，在服务器内存中一般采用了ECC、ChipKill、热插拔技术等技术来保证它的稳定性和纠错能力。最好选用高速可靠的SCSI硬盘，采用RAID１、RAID５或RAID10技术来保证数据存储的稳定性和可靠性。数据库或资源库服务器由于数据量较大，应当配置容量较大的可插拔硬盘，或采用磁盘阵列；还要通过RAID技术来保证数据存储的稳定性。在笔者实地考察过程中，看到有的地方采用两台小型机做资源库服务器，以此来保证资源库服务器的大容量、高速度、高稳定性的需求。由于服务器硬件发展非常快，绝对可称的上是日新月异，具体详细的服务器CPU、内存、硬盘等的选型、特征、技术参数就不再叙述了，大家可根据自己的应用需求、厂家服务和相关部件保修等方面来选择。

３、路由器、防火墙

这两类设备一般放置在整个网络的出口位置，保护网内计算机的安全。作为出口设备的防火墙首先自己应当具有很高的安全性、可靠性。一旦防火墙安全性方面出现问题，整个网内的主机可能都要受到影响，出现上网很慢或无法上网的现象，这甚至比路由器故障（路由器的拓扑结构一般都是冗余设计）更让人无法承受。再一个，防火墙应当具有强大的抗拒绝服务攻击能力。在网络攻击中，拒绝服务攻击是使用频率最高的手段。拒绝服务攻击可以分为两类：一类是由于操作系统或应用软件在设计或编程上存在缺陷而造成的，这种类型只能通过打补丁的办法来解决，如常见的各种Windows系统安全补丁。另一类是由于协议本身存在缺陷而造成的，这种类型的攻击虽然较少，但是造成的危害却非常大。对于第一类问题，防火墙显得有些力不从心，因为系统缺陷与病毒感染不同，没有病毒码作为依据，防火墙常常会做出错误的判断。防火墙有能力对付第二类攻击。

上述两点是选择防火墙时应当注意的最基本的两条，其它的像：易于升级、支持大量协议、易于管理、功能可扩展等，也是应当考虑的重要因素。此外作为教育城域网的出口防火墙或路由器应当支持100/1000M的出口带宽。从目前的路由器的功能上来看，新出的一些高档产品具有防火墙的一些功能，像华为的NE40系列，这款交换路由器除具备防火墙的一些功能外，还具备可靠性高，支持IPv6，支持将来有可能扩展的万兆模块，对NAT有很好支持，具有较好的性价比，完全可作为教育城域网的出口设备。

总之，我们在选择教育信息中心的设备时根据自己的实际需要，选择性价比较高、可靠性高、技术成熟、产品服务好、在国内同行业中使用率较高的产品。在Ipv6时代还没有完全到来的时侯，对出口防火墙或路由器的NAT功能要有很好的支持，同时要求信息中心交换机、路由器、防火墙等重要设备全面支持IPv4和IPv6双协议栈，支持丰富的IPv4向IPv6的过渡技术等。

三、网络技术选型设计

教育城域网系基本上可分为市教育信息中心、各区（县）教育信息中心子网和各接入学校子网等。

1、市教育信息中心主要包括主干网设计，市教育信息中心与INTERNET、教育网互联，远程访问等。下面分别来看一下。

（1）主干网设计

主干网络宜采用具有电信级可靠性的两台路由交换机，互为备份。交换机要支持100/1000M自适应的电口或光口模块，预留万兆模块插槽。服务器与核心交换机之间要以1000M相连接，保证应用服务的效果；服务器要放置在DMZ中，确保它的安全。交换机与各区（县）教育信中心子网的连接根据应用需求，数据流量等选择100M或1000M连结。

由于整个网络拓朴图结构是一个分层的树型结构，适合在网内启用OSPF路由协议，在市教育信息中主建立顶级域，每个区（县）教育信息中心建立子域。大家都知道OSPF路由协议有很多好处：它是真正的LOOP-FREE（无路由自环）路由协议；收敛速度快；良好的安全性，OSPF支持基于接口的明文及md5验证等。如果教育城域网内有教育网申请有的IP，通信部门分配的IP，还有私的IP（172.16.0.0/12）这时也最好启用此OSPF路由协议，如果全用静态路由管理非常麻烦，要手工写较多的路由表项。

（2）市教育信息中心与INTERNET、教育网互联

市教育信息中心与INTERNET、教育网互联宜采用对NAT功能支持较好的硬件防火墙或路由器。教育城域网内一般采用统一的IP分配，不论是教育网还是电信部门不可能提供足够的IP分配到每一台主机上，所以教育城域网内通常出现私有IP，教育网IP和电信部门提供的IP共存的现象。对于私有IP用户来说访问外网要做地址转换（NAT）或者有代理服务器；教育网IP用户要访问公网，为了提高访问速度也要在公网出口处做地址转换。由于教育城域网只有一个出口，机器有几千，甚至几万台，这么多的私有IP或教育网IP要做地址转换，这就对出口设备的NAT功能提出了较高的要求。所以在出口处应当配备对NAT功能支持较好的硬件防火墙或路由器，像华为的NE40路由器，具有硬件NAT插板，能较好的满足多用户，大流量的需求。

特殊情况，如果网内只分配了教育网IP，出口只有教育网，那就简单多了，如里IP不够用，NAT工作可以由各学校的代理服务器来做，对出口设备的NAT能力不做要求。

（3）远程访问

远程访问就是要在网内建立伺服器，一般这个伺服务器都集成在出口路由器上，通过在路由器上挂接一定数量的拨号MODEM来实现。远程用户只需拥有1个调制解调器和1根电话线，通过拨接路由器上MODEM所连接的电话号码，就可以登录访问内部网络。

2、各区（县）教育信息中心子网

各区（县）教育信息中心与市教育信息中心基本相同，不同之处是这里由于只有一个与上级教育信息中心连接出口，所以不需要做NAT，只要进行数据转发就可以了。所以这里只要配备三层交换机，应用服务器和一些安全设备就可以了。当然有些地区通过无线的方式来连接各学校，所以他们还在中心配备了一些无线设备。

三层交换机可以选择与市教育信息中心同等水平的设备，也可以选择档次稍差一点三层交换设备，具体的如何选择应当根据区（县）一定时期内能够接入的学校数和承载的数据流量来选择。可以利用三层交换机的VLAN技术和访问控制能够做到一定程度网络安全。VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机，在一个VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给用户使用，减少广播的产生。还通过访问控制比较有效的控制病毒的传播和用户的上网行为。

有的地区由于其市教育信息中心出口流量很大，出口NAT设备无法承受，所以在下边的区（县）教育信息中心也设置了公网出口，以减少中心的压力。

3、各接入学校子网

各接入学校子网就是各学校的校园网。校园网络是教育城域网的基本结点，此时的校园网建设应当降低技术复杂度、简化网络管理、节约网络投入，方便开展信息化环境教学，以实用为主。若采用教育城域网统一分配的私有IP，学校只配备一定数量的二层或三层交换机，把办公子网、教学子网和实验楼子网等等连接起来构成一个有机的整体。然后通过一些实用的网络安全手段和管理制度维护校园网的正常运行就可以了。

总结

教育城域网的列车已驶入快车道，且处于不断“提速”的状态。所应用的技术方案也在飞速发展，以上所述的技术方案设计，只是目前在多个地区应用较多，比较典型的技术方案。更加高效，先进成熟的技术方案设计，还有待我们大家共同努力，去尝试，去研究。相信在未来几年的教育信息化建设高潮中，教育城域网一定能够快速、健康地发展，成为教育信息化