校园网网速慢解决方案 校园网鸿沟出口问题剖析及解决方案

蒋海岩

在当今信息高速开展的年代，对带宽的容量、稳定性、安全性的需求都在添加。在很多的需求面前关于网络管理者来说提出了新的要求。除了挑选好的运营商，扩大带宽之外，网络管理者还需求拟定一套切实可行的鸿沟出口处理计划，今日我就以学校网为例讨论拟定一套鸿沟出口处理计划。[1]

一、学校网鸿沟出口首要存在的问题

首要，从大多数学校网的实践环境来看，其网络带宽巨大，并且用户常会运用很多的P2P类运用（视频、下载），这些运用会发生很多的衔接，然后导致并发衔接数儿十倍乃至上百倍于实践上网用户数。并且，学校网出口往往会需求网络地址转化（（NAT ， NetworkAddress Translation），但无论是防火墙仍是路由器，其间心功用都不是为NAT专门打造的，地址转化进程会极大的耗费硬件功用，这就让网络出口无法发挥最大的效能。[2]

二、学校网鸿沟出口首要需求剖析

1.鸿沟出口的功用需求

在学校网总出口增设运用辨认功用的鸿沟设备是干流的设计计划，能够完成功用的互补（如内部运用操控设备无法操控的动态运用 ，可由总出口来处理。反之亦然）。在学校网将带宽扩升时，在大流量的冲击下，运用层的防火墙是否能够支撑起咱们的网络，能否在大流量的状况下，确保表里网间通讯能够完成线速转发。所以挑选产品参数时咱们会尽量的挑选万兆级其他鸿沟出口设备。

2.多链路负载均衡功用的需求

现在大多数学校网出口是“多出口”环境，关于多出口链路优化的计划，传统的处理计划一般是经过“战略路由”来做静态的指定，即：A网段走链路1，B网段走链路2。此刻，因为A、B网段运用环境的不同，外网链路常常会呈现一个忙一个闲的状况，这是比较常见的问题。别的第二个常见的问题是，在多运营商做接入时（如一起存在联通、电信）流量分配的不合理：多运营商链路接入时，传统的多出口处理计划是运用ISP路由，完成拜访“意图地址”是联通地址的数据包走联通线路，意图地址是电信资源的数据包走电信线路，然后防止跨运营商的訪问，进步网络拜访速度。

3.安全防护的需求

网络中存在多种防不胜防的进犯，如侵入学校网络上的效劳器、盗取效劳器的敏感数据、损坏效劳器对外供给的效劳，或许直接损坏学校网内部网络设备导致网络效劳反常乃至中止。作为网络安全设备的安全网关，有必要具有进犯防护功用来检测各种类型的网络进犯，然后采纳相应的办法维护内部网络免受歹意进犯，以确保内部网络及体系正常运转。

三、鸿沟网络总出口的安全防护处理计划

1.运用“运用层”鸿沟网关处理功用瓶颈

传统的鸿沟网关产品在敞开运用层操控功用后，功用巨幅下降。首要的原因是P2P运用辨认、 AV及IPS等功用涉及到运用层解析和处理，更多的是检测安全网关的7层的处理才能。而现在传统的安全网关大多还以ASIC/NP为首要架构，对运用层处理并没有优化才能。

运用多核Plus架构的多核CPU加快运用层管控，运用ASIC来完成网络级安全，再运用高速交流总线加快各个模块之间的通讯。该架构立足于当时网络的需求，并结合网络开展趋势，统筹未来网络开展改变的需求，进一步增强了功用可扩展，完成了存储和接口的扩展。别的该设备的软件选用检测引擎进一步提高了网络可视化，优化功用和增强可靠性。

2.布置具有负载均衡和流量整形功用设备

在管理上参加动态的IPS路由表更新功用（大多数的鸿沟网络设备都支撑），当内部数据拜访外网时，鸿沟网关将会根据拜访意图地址的归类，分别将数据包传递给同一运营商的下一跳，然后防止跨运营商的拜访。值得阐明的是ISP路由是根据动态更新的，处理了传统路由静态设置，而运营商网段常常动态改变而导致的路由指向不精确。

经过流量整形设备完成P2P引流完成多链路环境下的流量整形。具有根据运用协议的战略路由功用。能够不根据传统的“意图地址（静态路由）”或“源地址（战略路由）”来决议下一跳，而是以“运用”为判别根据，由运用来决议下一跳，然后完成P2P的引流功用。然后完成WEB拜访速度的优化，有用提高用户的网络运用感觉；对P2P的运用，主张有挑选的引流到闲暇链路或延时较大的链路上，这即能够有用的运用起搁置带宽。

3.在鸿沟网关设备上重用进犯防护功用保证网络安全

学校网的支付宝和网站体系因为存在对外的效劳，所以面临着来源于互联网的进犯危险。其间DOS进犯、端口扫描进犯、UDP flood、TCP flood等吞没型进犯，往往令安全网关设备疲于应对。安全网关供给根据域的进犯防护功。能够防护包含：DNS Query Flood、SYN Flood、UDP Flood、ICMP Flood、Ping of Death、Smurf、WinNuke等多种进犯类型，最大极限的保证网络安全。

4.URL是非名单功用完成公安网监和数据中心的需求

流量由内至外时，URL黑名单的价值：公安的网监部分有时会下发一些URL黑名单列表，要求互联网接入单位对其进行屏蔽，此刻将会运用到URL黑名单，对应的流量是由内至外的拜访。

流量由外至内时，URL白名单的价值：学校网络的效劳器数量均匀都在几十台左右，构成一个小型的“数据中心”。现在许多数据中心的安全防护，都会采纳URL白名单的操控方式，即只要数据中心供给的URL地址，外界才能够拜访，其他全部无关流量制止进入内网。此刻对应的流量通常是由外至内的拜访。

5.异地拜访教育网资源的技能完成

教职员工在学校网外部时，出于作业的需求，仍然需求拜访教育网的相关资源。但因为家庭用户的宽带接入用户均是互联网IP地址。因而存在教育网资源无法拜访的状况。鸿沟安全网关经过SSLVPN和地址跳转技能相结合。能够让教师在家中，经过互联网地址拔号到学校网关上，并终究以学校网关授权的教育网地址，拜访相应的教育网资源。然后完成教职员工的异地作业和教育资源讨取。

上述根据高校网络环境下出口处理计划，期望此文能起到抛砖引玉的作用，让更多同行去积极探索在不同网络环境下的网络运用与研讨，供给安全、高效的网络渠道.更好地为本单位作业效劳。

参考文献

[1]姜姝. “对症下药”打通学校网运用“出口”. 我国信息化周报2013.12.23第030版

[2]黄爱民. 根据学校多链路出口网络环境下的若干处理计划.《我国教育信息化》2013.07