论文导读：虚拟专用网（VPN）。它通过“隧道”技术、加密技术、认证技术和访问控制等手段提供一种通过公用网络（通常是因特网）安全地对单位内部专用网络进行远程访问的连接方式。校园网用户对校园网的要求也越来越高。校园网的建设可采用多ISP连接的网络访问模式：在原有的教育网出口的基础上增加一个当地ISP（移动、联通或电信宽带ISP）出口。多出口是目前许多高校组建校园网时所采取的方式。
关键词：VPN，多出口，校园网，远程访问，ISP
1.校园网问题分析及其解决方案的提出
虚拟专用网（VPN），是对企业内部网的扩展。它通过“隧道”技术、加密技术、认证技术和访问控制等手段提供一种通过公用网络（通常是因特网）安全地对单位内部专用网络进行远程访问的连接方式。
近年来，随着高校信息化建设工作的深入开展，校园网用户对校园网的要求也越来越高，传统的单一公网接入模式已经很难满足日趋复杂的应用需求。大多数的教师习惯于利用家里的计算机上网查资料、写论文。如果要去学校图书馆网站，或者是教育网内查资料，一般情况下是无法查找并下载的，因为学校图书馆的电子资源都做了访问限制，普通Internet用户也是不能访问教育网的。在每年期末考试后，老师在线提交成绩时，都要登录学校内部“教务处”的网站在线提交，这时也只能到学校提交。
为此，校园网的建设可采用多ISP连接的网络访问模式：在原有的教育网出口的基础上增加一个当地ISP（移动、联通或电信宽带ISP）出口，形成多ISP连接的校园网络结构，并且需学校的网络中心在学校组建VPN服务器，供教职工在校外使用校内资源。在组建VPN服务器时，使用当地ISP出口，为校外的教职工提供VPN接入服务，因为校外教职工大多使用当地ISP提供的ADSL宽带业务。当校外职工使用VPN接入学校的VPN服务器后，就可以访问校园网与教育网上的资源，这将为教职工提供很大的便利。
2.VPN关键技术研究
⑴隧道技术：隧道是指在公用网建立一条数据通道，让数据包通过这条隧道传输。隧道技术可分别以第2层或第3层隧道协议为基础。第2层隧道协议对应于OSI模型的数据链路层，使用帧作为数据交换单位。PPTP（点对点隧道协议）、L2TP（第二层隧道协议）和L2F（第2层转发协议）都属于第2层隧道协议，是将用户数据封装在点对点协议（PPP）帧中通过互联网发送。第3层隧道协议对应于OSI模型的网络层，使用包作为数据交换单位。MPLS、SSL以及IPSec隧道模式属于第3层隧道协议，是将IP包封装在附加的IP包头中，通过IP网络传送。无论哪种隧道协议都是由传输的载体、不同的封装格式以及用户数据包组成的。它们的本质区别在于，用户的数据包是被封装在哪种数据包中在隧道中传输。
⑵安全技术：VPN安全技术主要包括加解密技术、密钥管理技术、使用者与设备身份认证技术。加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术；密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取；使用者与设备身份认证技术最常用的是使用者名称与密码认证等方式。
3.基于VPN技术的多出口校园网的设计
3.1 网络结构规划
 为了满足可扩展性和适应性目标，网络结构采用典型的层次化拓扑，即核心层、分布层、访问层。核心层路由器用于优化网络可用性和性能，主要承担校园网的高速数据交换任务，同时要为各分布层节点提供最佳数据传输路径；分布层交换机用于执行策略，分别连接图书馆、办公楼、实验楼以及各院系；接入层通过低端交换机和无线访问节点连接用户。毕业论文。网络拓扑图如图1所示。
图1 网络拓扑图
3.2 网络工作原理
在该组网方案中，学校通过核心层路由器分别接入教育网与Internet，然后通过一硬件防火墙与分布层交换机连接，分布层交换机负责连接图书馆、办公楼、实验楼以及各院系的接入层设备，校园网内的终端计算机直接与接入层设备相连。终端计算机可直接使用教育网分配的IP地址。校园网内有一台安装了ISAServer2006的VPN服务器，给其分配一个教育网IP地址（假设Ip：202.102.134.100，网关地址202.102.134.68），在防火墙中将一个公网地址（假设为222.206.176.12）映射到该地址。VPN服务器可通过“防火墙”与“核心层路由器”访问Internet与教育网，Internet上的用户，可以通过“Internet上的VPN客户端—>Internet网络—>核心层路由器—>防火墙—>分布层交换机—>ISA Server2006VPN服务器”的路线连接到VPN服务器，之后，ISAServer2006 VPN服务器通过防火墙和核心层路由器访问教育网，并且ISA Server2006 VPN服务器通过分布层交换机提供了到学校内网的访问。
3.3 技术要点
⑴防火墙内网地址问题。如果防火墙是透明模式接入，各个网口是不需要地址的。若防火墙是假透明，就需要给防火墙的每个网口配置同一个网段的IP。如果是路由模式，需要给防火墙的每个网口配置不同网段的IP，就象路由器一样。现在有一些防火墙已经有所谓的混合模式，也就是透明和路由同时工作，这属于路由模式的扩展。毕业论文。
⑵VPN服务器的注意事项。ISA Server2006VPN服务器要求至少有“两块网卡”才能做VPN服务器，若服务器上只有一块网卡，需为其安装一块“虚拟网卡”。另外，VPN服务器不一定要直接连接在分布层交换机上，也可以是图书馆、办公楼、实验楼以及各院系的一台服务器，只要映射一个公网地址即可。
⑶设定ISA Server2006接受VPN呼叫。VPN 可通过默认设置的动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）或者通过使用路由选择和远程访问控制台分配的一组地址来分配地址。如果选择了DHCP，VPN客户端永远不会同DHCP服务器进行直接通信，运行ISA Server2006的VPN服务器将分配从DHCP服务器所获得的地址；它将基于运行ISA Server2006的VPN 服务器的内部接口配置来分配名称服务器地址。如果拥有多个内部接口，运行ISA Server的VPN 服务器将选择其中之一。
⑷VPN客户端地址的分配。在给VPN客户端分配IP地址时，在为VPN客户端分配IP地址的时候，要保证所分配的地址不能与VPN服务器本身以及VPN服务器所属内网、公网的地址冲突，否则VPN客户端在访问内网时，会造成寻址问题而不能访问。毕业论文。为了避免出现问题，直接分配私网的IP地址即可，比如192.168.14.0/24网段。另外，校园网外的教职工，在拨叫VPN服务器时，应是防火墙映射的地址，本文中即222.206.176.12。
4.结束语
多出口是目前许多高校组建校园网时所采取的方式，多出口解决了教育网与Internet之间的出口速度很慢的问题，将VPN技术应用到具有多出口的高校校园网，可以让校外Internet用户更容易、更方便的获得对教育网、校园网数字资源的使用权。
参考文献
[1]曹利峰,杜学绘,陈性元.一种新的IPsecVPN的实现方式研究[J].计算机应用与软件,2008,07
[2]贾毅峰.双出口校园网中策略路由的应用[J].铜仁学院学报,2009,11
[3]吴建国,王铁,许兴华.校园网双(多)出口的基本解决策略和方法[J].云南师范大学学报,2010.01
[4]何胜辉.多出口校园网体系结构分析设计.网络通讯及安全,2008.02
|
