基于mpls-vpn的分布式校园网设计

目录TOC\o"1-3"\h\u摘要 基于mpls-vpn的分布式校园网设计1绪论1.1课题研究背景2000年以来，网络一直处于飞速发展的时期，网络被越来越多的人认识和被越来越多的企业和高校所应用。MPLSVPN技术的横空出世，使得全世界大多数网络运营商以及国家政府高度重视，并纷纷围绕MPLSVPN技术构建能提供多种业务的网络。2001年，伴随着MPLSVPN技术逐渐成熟，各大服务提供商们开始你追我赶的利用MPLS组建网络和利用MPLS升级他们的服务网络，直至2003年，MPLS技术得到了更加广泛的应用。虽然中国互联网发展较晚，但是发展速度一直相当迅速，MPLSVPN技术一经提出便得到了国内通信界的广泛关注而最近几年，MPLSVPN更是发展迅猛，愈来愈多的用户开始意识到应用MPLSVPN技术来构建网络的优势。随着MPLSVPN技术的成熟，校园内的校园网对此项技术的也需求也日益增大，在校园网中的应用也越发的广泛。而对于最开始使用MPLS技术的服务供应商来说，MPLS已经是一项核心的技术了，既然是核心的技术，那肯定会被应用到各种大型的骨干网络建设中去，有些大型企业的企业网络会把MPLS技术应用到他们的VPN网络中。由于市场对MPLSVPN技术的需求增加，因此对MPLSVPN技术的研究也更加深入。同时随着网络技术的不断更新迭代，校园网的安全也不断出现新的问题。因此新时代的校园网络需要一个安全性强、能把外地校友和校园练系起来的高灵活性、经济性等集于一体的网络。这样将非常方便校外用户通过相关技术与校内互访，已科学的方式实现校园网的现代化管理，使得校园网的管理和资源共享更智能化和人性化。1.2校园网络设计与实现的意义21世纪是一个信息科技飞速发达的世纪，互联网利用网络的便利实现办公自动化和资源共享，使人们对互联网的依赖越来越强，各个行业的日常办公离不开网络，学校也不例外。每年的三四月份，是查阅资料写论文的时候，每到这个时候，就会有大批的外出实习工作的学生利用网络进入学校的资源库，以获得学习的资源和资料。随着大批学生的涌入，对学校资源库的安全造成了很大的威胁。如果把防火墙开起来，禁止外出的校友进行访问，那么外出的同学将无法查阅资料，无法完成论文的编写。如何让外出的校友能正常的访问校内的图书资源，是本课题的重点部分，以及对校园网络的规划和划分，还有无线网络的设置和在校学生进入资源库的配置。把校园网络提升得更有灵活性、扩展性和安全性。2校园网络设计原则本文校园网络的实际需求，从网络的安全性、可靠性、经济性、实用性和灵活性出发，对校园网络进行合理的规划。2.1安全性一个网络中，最重要的就是安全。从网络安全方面考虑，安全策略就是对抗外来信息干扰和病毒入侵的一道重要安全防线。第一道对校园网络资源进行有效地访问和保护，可采用虚拟子网划分，将不同区域的网络进行隔离，隔离子网内大量广播，保证各个区域内网络正常运行。再防火墙制定安全策略，隔离内外网络，阻止外网的病毒进入内网和拒绝黑客攻击，保护内网主机和网络资源。2.2可靠性采用VRRP容错技术，对网络设备的连接方式主要采用主备方式，当正在工作的主设备发生故障时，另一个被选定为备份的设备会被自动选举出来代替它，这种方式在很大程度上提高了校园网络环境的冗余性和抗风险抗灾能力。2.3经济性和实用性原则在进行网络设计时，资金经费是我们需要谨慎考虑的，校园网络设备的购买经费需要经过重重审批，购买设备更是需要考虑实用性、性价比等。采购设备产品的思路要先满足基本需求的前提下再去拓展其他功能性的产品，不能盲目使用高配置的路由交换产品。其次尽量选择一些较成熟的网络品牌，成熟的品牌有着多年的技术沉淀，具有更高的稳定性和安全性。所以应根据需求选合适的技术和设备。2.4灵活性和可扩充性原则在网络结构发生变化时，依旧能够为终端用户正常提供服务是体现网络灵活性的关键。在不影响用户的使用的前提下进行网络结构的升级与改造，这种情况在校园网环境中是非常重要的。而校园网的灵活性是否合格，主要是体现在随着教育程度的发展，校园人数增加，网络地址与资源不充足。于是在原有的网络资源和架构基础上，在不影响用户正常使用校园网的前提下对网络进行改造升级。3校园网络需求分析3.1背景分析校园网网络主要划分为五个区域，分别是是宿舍区域、教学区域、服务器区域、食堂区域和外网部分组成。主要的网络设备是交换机、路由器和服务器。校园中有各个年级的学生，比如大四的学生需要外出实习完成学分，人不在校园中，但是通常需要通过外网来访问学校的教学资源，以获得相应的知识和学分，而校园中学生也需要进行选课和教学评价，为了提高教学质量，需要一个更好的网络来支撑，因此我们需要规划一个具有更好效率、更灵活性的网络。3.2校园网业务需求分析对校园网络设计要求有如下几点：（1）根据校园的情况，合理规划和安排IP地址。（2）校园内机房电脑不使用手动配置IP地址，使用动态地址配置来获取IP地址。（3）在校园内指定区域如宿舍楼和教学楼能够获取无线网络。（4）校园内学生或者老师都可以利用电脑或者手机获取学习的教学资源和图书资源。（5）学生和教师可以对图书资源库文件进行上传和下载（6）配置ACL对财务部服务器进行限制访问。（7）划分VLAN，将不同区域加入不同的VLAN，实现端口隔离（8）通过NAT地址转换实现校内学生正常访问外网。（9）通过MPLS技术使路由器建立对等邻居关系。（10）通过MPLSVPN技术使得外出的校友可以获取校内资源库资源。（11）外出校友可以访问资源库，但是不能访问宿舍区域和教学区域。3.3网络安全需求分析在校园网络环境中，要充分利用路由器和交换机的隔离功能对校园的重要信息资产材料进行保护，对于承载这大量学生数据的服务器更是要严格要求安全性，保证教学资源的完整性，所以本次探讨实验是在核心层的路由器中开启了域间防火墙，外出的校友可以在外界网络中访问校园网资源，出于安全考虑，对访问时间也进行了限制，允许访问时间为早上的六点到晚上十一点之间，如过超过这个时间段将无法访问。除此之外，在接入层部署了访问控制，例如其余的局域网环境不得访问财务室，在一定程度上保障校园财务的安全。3.4网络扩展性分析由于网络技术的不断发展，校园人数的不断增长，需要确保在不影响现有网络正常运行的前提下，扩大校园网的覆盖范围和使用人数，确保每位新同学都能正常使用校园网和连接无线网络，能正常的使用学校资源。4关键技术4.1BGP技术BGP(BorderGatewayprotocol)边界网关协议，是一种为了解决且实现自治系统间路由选择功能问题而设计实现的。属于TCP协议的其中一种。该协议通过控制过滤路由条目选择最佳的路由，节省资源同时提高效率。当设备间的BGP关系成功连接建立以后，路由设备之间交换双方路由表，得益于BGP的可靠性，在此过程中不需要更新路由表，只在初始化时更新所有路由，后期则增量更新，这种设计极大程度上减少了网络并发量。BGP依靠对端存放的路由信息来确定当发送一条路由前是否真正应该发送。采用BGP的机房，服务器的上行和下行路由都能选择最佳的路由，实现单IP高速访问。近几年中，大多数IDC机房都采用了BGP技术，完美解决电信、网通等ISP线路接入。其次更是解决了南北互通问题。BGP通信场景接入图如图4-1所示。图4-1BGP通信场景接入图4.2VLAN技术VLAN(VirtualLocalAreaNetwork)虚拟化局域网，该技术在交换机路由器上极为常见。该实现从逻辑层面上对局域网进行编号性划分，从很大程度上满足了人们对局域网内的安全需求。局域网中划分不同VLAN，在用一VLAN内的计算机终端设备可以相互访问，而不同则反之。这里的逻辑是指，在物理连接的局域网中通过VLAN技术，将原本可以通信的局域网内的设备进行逻辑划分，实现信息隔离，通过设置后同一个VLAN内的计算机可以接收到相互之间的信息，不同的VLAN计算机信息不可以通信。该技术简单易懂，网络管理员可以根据实际校园网场景需求，对一些例如财务室，教师等场景利用VLAN技术划分，以保证公共场景与私人场景间的隔离。也可以用于流量数据管控。VLAN可以为网络提供一下的作用：控制广播风暴：对于极多用户访问或高并发的场景，可以利用VLAN技术对单个网络进行逻辑划分，以减少发生广播风暴的可能。提高网络整体安全性：利用VLAN技术对公共场景和私人办公场景的网络进行逻辑上划分，有效提高信息数据安全性。网络管理简单直观：该技术配置简单，对于不是网络管理员的人来说容易操作。目前网络设备市场上大多数的网络设备产品都具有VLAN技术。在非专业人群中，可以使用VLAN技术对网络进行按需规划，从一定程度上减少网络维护成本。4.3DHCP技术DHCP(DynamicHostConfigurationProtocol)动态主机配置协议。在多用户场景中，该技术解决终端手工配置IP地址的问题。目前市场上大多数路由器设备都具备该技术。该技术能够根据实际场景按需求分配指定的地址段、网关、DNS、租期等。实现了终端地址的唯一性。其次租期功能可以对分配出去的地址的期限进行控制，有效防止终端长时间占用地址的情况。DHCP位于OSI模型的应用层，采用UDP协议中的67端口和68端口。当终端向DHCP服务器申请可用地址时，会与服务器进行建立会话。DHCP协议会话过程如图4-2所示图4-2DHCP协议会话过程4.4链路聚合链路聚合(Eth-trunk)，该技术应用于交换设备间，其作用是提高流量吞吐量和链路冗余性。在实际网络场景中，网络管理员将交换机设备的两个及两个以上的物理端口划入一个汇聚组中，从而形成一个拥有多个物理端口的逻辑端口。在该逻辑端口中，组内的物理端口各分担流量。从一定程度上提高了带宽。其次当组内的其中一个或多个端口意外关闭时也能正常工作。提高了链路的冗余性。目前大多数校园或企业场景中，链路聚合技术是常见的一种提高冗余和带宽的技术手段。使用链路聚合有以下优势。增加带宽：汇聚组的逻辑接口的最大带宽是组内物理端口的带宽之和，当物理链路的数量提高，则逻辑接口的带宽也随之提高。提高冗余：当汇聚组内的物理链路端口意外关闭(至少存活一个以上)，则不允许数据流量的正常传输。由此提高链路的冗余性，降低了隐患风险。负载分担：在汇聚组中，可以在多条链路上进行流量的分担，链路数量越多，则单条链路的流量则越小。4.5VRRP协议虚拟路由器冗余协议(VirtualRouterRedundancyProtocol，简称VRRP)是一种选择协议，它可以把一个虚拟路由器的责任动态分配到局域网上的VRRP路由器中的一台。负责转发数据包的VRRP路由器为主路由器，反之则为备路由器。当主路由器发生意外故障导致关闭时，会触发协议的故障转移机制，将主路由器转发数据包的任务转移至备路由器，而且该过程是平滑切换，最大程度减小对用户的影响。配置VRRP协议的交换机之间需要一条链路来通信，也叫心跳线。用于实时相互告知对端设备的健壮性。除此之外，终端需要把网关指定为配置VRRP协议的交换机上的虚拟网关地址。从而实现以下作用。与链路聚合类似，在一定程度上也提升了网络冗余和可靠性。结合链路聚合技术，在实现负载分担的同时且不受环路影响。VRRP在IPv4或IPv6上，运行在Ethernet、MPLS、令牌环网络。4.6MSTP协议在2002年发布的802.1s标准定义了多生成树协议(MultipleSpanningTreeProtocol)，主要作用是防止网桥网络中的冗余链路形成环路工作，MSTP能够兼容STP和RSTP。MSTP是基于实例(Instance)运行的。网络管理员将一个或多个VLAN映射到一个实例，MSTP基于该实例计算生成树，基于该实例的生成树被称为多生成树实例(MSTI)。MSTP同时还引入了域的概念，将大型网络划分多个生成树域。4.7OSPF技术OSPF(OpenShortestPathFirst，开放式最短路径优先)协议是一种链路状态(Link-state)路由协议。校园网中常应用于核心层与汇聚层的数据交接，具有较短的收敛时间。为减轻路由器的负担，OSPF把大型网络分隔为较小且方便管理的单元(Area)。OSPF将网络划分成骨干区域(Area0)和非骨干区域，OSPF要求域中所有非骨干区域必须与骨干区域相连，一个域中如果有多个区域，那么必须只能有一个骨干区域，骨干区域负责发布区域之间的路由信息，为了避免形成环路，非骨干区域不允许直接相互发布区域间的路由。4.8NAT技术NAT网络地址转换协议，所谓网络地址转换就是把私网IP地址转换为全球IP地址，这样可以方便多台计算机共享Internet，同时外部网络并不知道内部网络情况。目前互联网环境中，可用的IPV4公网地址资源紧缺，已经不足够分配给单位企业运营商，所有NAT技术很多程度上解决了地址紧缺的问题。一个单位或企业，只需要一个公网地址则可以利用NAT技术实现单位或企业内用户实现上网，并且在一定程度上隐蔽了单位或企业内部真实情况，提高了安全性和隐蔽性。NAT技术从类型上来说可以分为静态网络地址转换、动态网络地址转换、网络地址端口转换、基于接口的地址转换和端口地址重定向。本此实验中使用基于接口的地址转换和端口地址重定向。当内网流量到达出口时，将地址转换为出口地址以实现访问外网。由于外网地址稀少，所以使用了端口复用。当外网访问内网时，也会根据之前的映射再次进行转换，把对应的地址转发给主机，当不需要连接时。NAT技术概念如图4-3所示图4-3NAT技术概念图4.9MPLS技术MPLS属于第三代网络架构，是一种可提供高性价比和多业务能力的交换技术，整合了IP选径和二层标记交换为单一的系统，可以解决Internet路由和传统IP分组交换局限性的问题，使数据包传送的延迟时间缩短，增加网络传输的速度，更适合多媒体信息的传送，是IP技术和ATM技术的完美结合。MPLS是由标签来指定规定分组，提供分组配置来改变网络流量路径。实现了路由选择和数据转发的分割。MPLS为流量转发重新定义了新的协议，这些协议为路由器转发包开创了与众不同的范例。和基于包得目的IP地址来转发包不同的是，MPLS定义了路由器怎样基于MPLS标签来转发包的方法。通过从目的IP地址中分辨转发决定，MPLS可以基于其他因素来实现转发决定，比如流量工程、QoS需求等等。在MPLSVPN结构中的PE路由器就是这类设备中的一种。其他的MPLS设备(外部LSR)能够接收打上标签的包、进行标签转发信息库的查询以及从内部标签报文中移除标签并且向下一跳IP路由器转发IP报文。MPLS网络的组成结构如图4-4所示图4-4MPLS网络组成结构4.10MPLSVPN技术在MPLSVPN的架构中，存在着四种典型的场景，如图4-5所示(1)客户端边界设备(CE)：直接与运营商相连，位于客户网络边缘，以用户网络接入到运行商网络，CE设备本身不感知MPLSVPN存在。路由器、交换机甚至一台主机都可以充当客户端边界设备。(2)运营商边界设备(PE)：处于运营商网络边缘，多数是路由器。该设备仅维护与之直连的VPN路由表信息，不是整个网络信息。从而增强VPN的扩展性。PE设备会为每个VPN维护一个VRF(虚拟路由转发表)，PE通过VRF来控制VPN边界设备之间的连接关系。(3)骨干网核心路由器(ProviderRouter)：是提供商网络的核心部分，在不维护VPN路由信息的前提下，完成MPLS标签之间的交换。骨干网核心路由器不知道VPN的存在，起到透明传输的效果。从而实现VPN路由信息以及业务流量的转发。(4)多协议扩展BGP(MultiprotocolextentionsforBGP-4，即MP-BGP)：用于在运营商边界路由器之间传递路由信息和VPN信息的一种路由协议。其次，MP-BGP是基于BGP的一种扩展，仅增加了传递VPN路由信息所需的属性，其他部分则与BGP相同。图4-5MPLSVPN基本架构5校园网络的逻辑网络设计5.1网络拓扑图校园网的逻辑网络设计拓扑图如图5-1所示：图5-1校园网络拓扑设备命名规则及型号说明如表5-1设备类型所示：表5-1设备类型14HIMBASET接口22HI，1个console口1个管理接口31AR404Vpn3AR40本校园网络是按照校园网标准分层规划而成(1)接入层包含交换机、终端设备、以及模拟访问校园资源库的用户设备。服务器区域包含了校园网服务，如：FTP服务、DNS解析服务、HTTP服务。同时，无线控制器AC也是放置在了服务区，为接入层中的无线AP进行统一管理和IP地址分配发放以及流量的管控。(2)汇聚层采用两台高速转发交换机对接入层的数据进行快速处理，两台交换机负责对接入层汇总的数据包进行负载均衡、高可靠、以及链路冗余功能。同时还配置了汇聚接入层间的防环功能。(3)核心层采用了一台路由器将汇聚层的流量进行引入，路由器与汇聚层间采用了开放式最短路径协议进行数据交互。同时路由器还负责内外网地址的转换以及内外网的流量访问控制，同时开启防火墙功能。5.2IP地址规划方案在网络初始搭建过程中，IP地址规划需要合理。需要保证唯一、连续、可管理的性质。要根据实际场景需要来规划合理的IP地址数量。除此之外还要保证后期的拓展性。地址不能过多，也不能过于紧凑。根据本次实验，将校园的IP地址划分为N个网段，其中校园网的教学区采用网段，宿舍区采用网段，服务区则采用网段，具体IP地址规划如表5-2IP地址规划所示。表5-2IP地址规划IP网段/掩码网关VLANIDVLAN名称备注/2054100VLAN100教学区/2054200VLAN200宿舍区/2410VLAN10服务区/3050VLAN50汇聚-1/3060VLAN60汇聚-2/24300VLAN300无线控制器AC_student/24400VLAN400无线控制器AC_teacher/24500VLAN500无线控制器AC_管理vlan/2401VLAN1无线控制器AC_console口5.3无线网络的规划与设计表5-3无线网络规划VLANIDVLAN名称备注300VLAN300无线控制器AC_student/24400VLAN400无线控制器AC_teacher500VLAN500无线控制器AC_管理vlan/2401VLAN1无线控制器AC_console口5.4VLAN的划分 校园网设计划分了三个VLAN子网，VLAN100为教学区，为教学楼和图书馆以及办公楼的老师学生提供充足的地址。VLAN200为宿舍区，为学校的宿舍楼的学生提供地址。VLAN规划表如表5-4表5-4VLAN规划表5.5MPLSVPN设计将整个校园网拓扑划分为三个AS区域，AS100为校园网出口连接外网的部分，AS200为vpnv4部署的主要部分，AS300则为外来人员接入部分。在AS200中，给私网交换标签启动MPLSLDP，在边界的路由器接口上创建实例，并绑定到AS200的边界路由器出接口上。使得外来人员接入AS200时，能通过VPNv4隧道将数据传输到校园网中。示意图如图5-2所示图5-2区域的划分6实现与结果验证本文的实验验证结果均根据网络需求分析来验证。6.1VLAN划分以接入层交换机、宿舍区VLAN划分为例，宿舍区的VLAN被划分为200，验证结果如图6-1所示。VLAN划分成功之后，不同区域的的VLAN可以进行互相通信，以教学区的教学楼和宿舍区的男生二栋宿舍楼为例，验证结果如图6-2图6-3所示图6-1宿舍区域分配的网段图6-2宿舍区能正常通信教学区图6-3教学区能正常与宿舍区通信6.2DHCP协议的验证接入层配置DHCP协议。VLAN100和VLAN200区域的主机IP地址由接入层交换机进行分配。以宿舍区为例，验证结果如图6-4所示。由图6-4可以看到男生2楼主机通过配置DHCP协议，正确获取到IP地址及网关。图6-4主机正确获取IP地址6.3NAT验证利用NAT地址转换协议，让学生可以使用内网正常与外网进行通信。验证结果如图6-5所示。抓包分析，如图6-6所示。从图中的信息可以看出，内网的IP地址为，抓包获取到的源地址确实。这是因为数据包在经过核心层网络的时候，NAT协议对数据报进行了IP报文头部解析，自动把报文中的源地址即内网的地址转换成了公网网段()的地址。图6-5内网学生与外网通信图6-6数据包分析6.4ACL验证在接入层交换机上部署ACL，限制其他部门和其他一些不怀好意目的的人对财务部的访问。部署ACL的目的是把对学校财务部门怀有特殊想法的人和黑客的非法攻击挡在门外，保护财务的资金安全，以免被非法篡改。验证结果如图6-7和图6-8所示。没有权限的人或者部门是无法访问对财务部门进行访问的。图6-7禁止外出校友访问财务部图6-8禁止学生访问财务部6.5ARRP验证VRRP验证，实现链路冗余，提高网络的可靠性，验证结果如图6-9所示。由图6-9可看出数据一开始走的是这个Master端口，但是在把这个端口断掉的情况狂下，数据会从这个备份端口发送，提高数据转发可靠性。图6-9VRRP验证6.6无线验证为了能更快捷更方便的使用校园网，网络规划部署了无线网络，分别放置在了宿舍区域、教学区域和食堂三个区域。设备配置如图6-10所示，由图17可以看到AP状态为normal，表示有三台AP上线，并成功获取IP地址。本文验证以宿舍区的无线网络为例。验证结果如图6-11所示，可以看到笔记本和手机等设备可以连上无线网络，并且能正常获取IP地址。图6-10AP设备上线情况图6-11笔记本能正常获取地址6.7校内FTP文件传输验证FTP文件传输协议，利用这个协议，校园内的老师和同学均可访问学校资源库，以教师机为例，验证结果如图6-12所示，可以正常的上传下载文件。图6-12文件的下载6.8BGP验证两台不同自治区域的路由器需要建立对等体关系，才能进行相互通信，图6-13和图6-14说明不同区域间的路由器已经建立了对等关系，路由器之间相互学习到了对方的路由表信息，Established表示已经完成对等体关系的建立。查看BGP路由器关系表如图6-15所示，从图中可看出，BGP路由会检查每条路由的可用性，如果在全局路由表中查询到了下一跳的路由，就表示这路由可用(Valid)，否则不可用(Invalid)。可用的BGP路由会在行首加上“*”号，没有表示不可用。图6-13对等体关系的建立图6-14不同区域的对等体关系的建立图6-15BGP路由表6.9MPLS验证MPLS是基于标签进行转发的，与普通的路由相比，MPLS的路由多了一个TUNNLE-ID，图6-16可以看出。如果tunnel-id为0,就是基于IP地址进行转发，如果不为0，就基于标签进行转发。利用distunnel-infotunnel-id+TunnelID命令可以查看具体的内容，如图6-17所示，可以看到MPLS的封装标签是1024，和下一跳的地址。图6-16查看路由fib表图6-17路由表的具体内容图6-18校友访问校园网的抓包过程由图6-18校友访问校园网的抓包过程可以看出，MPLS是位于数据链路层和网络层之间的协议。从抓到的数据包来看，MPLS有两层标签，公网标签LDP和私网MP-BGP标签。6.10外出校友访问验证外出的校友可以借助MPLSVPN隧道与校内进行通信，可对学校资源库进行文件上传和下载，结果如所示图6-19和图6-20。图6-19校友与图书资源库正常通信图6-20文件上传和下载7总结与展望7.1总结本课题的实验主要采用了三层网络架构来进行了和MPLSVPN等技术来实现网络的通信，在接入层采用VLAN技术，通过划分不同的VLAN进行广播隔离。校内的PC端获取IP地址，在接入层部署了DHCP协议，避免了手动分配地址出现的人工费力，也避免了地址重复产生的冲突，DH