一、校园网存在的问题及网络优化
　　自从1994年中国教育科研计算机网(CERNET) 正式启动以来，CERNET已与国内几百所学校相连，为广大师生及科研人员提供了一个全新的网络环境。1998年10月，中国教育科研网二期工程正式启动。

　　校园网建设经过10多年的历程，很多学校的网络都存在设备老化、品牌混杂、私拉乱接等现象，加上前几年院校合并，几张校园网拼成一张，导致很多院校的校园网运行十分不稳定，网管中心忙于应付网络突发故障，苦不堪言。

　　校园网网络优化有以下3大目标：

　● 从互联型网络向可管理网络过渡；
　● 从可管理网络向可信任网络过渡；
　● 从匿名制网络向实名制网络过渡。

二、中兴通讯校园网优化方案
　　中兴通讯校园网网络优化方案包括“强其筋骨、壮其体魄、充其精神”3个阶段：

　　（1）强其筋骨----平台优化。对网络承载平台进行硬件设施的优化，从设备选型、重整架构着手，建造一个高性能、高带宽、稳定可靠的校园网承载平台。
　　（2）壮其体魄----管理控制。通过强化网络管理与接入认证，达到净化网络应用环境、优化网络空间的目的。
　　（3）充其精神----资源整合。整合目前零星的网络应用，在网络平台的基础上，实现“三网合一”、“远程教育”、“网络课堂”等典型应用。

1． 平台优化----强其筋骨
（1）核心层优化设计
　　建议在每个校区设置一台核心交换机。原来的核心设备，由于处理能力逐渐不能满足核心设备的需求，建议下移到汇聚层，做汇聚设备。

　　每个校区的核心交换机通过校区间的单模光纤组成ZESR以太环网或全互联网状连接，选择一个校区的核心交换机作为主核心交换机，和出口路由器连接。

　　对于大型校园网来说，核心层逐步采用路由型骨干网的模式来建设。

（2）汇聚层优化
　　建议在信息点较少的楼宇，采用堆叠方式组网，结构简单清晰。在信息点数量较大的学生宿舍，采用楼宇汇聚的方式，每栋楼宇各设一个汇聚节点，汇聚节点上连核心交换机，各接入交换机通过ZESR以太环连接到汇聚交换机，同时通过百兆接口连接各信息点。

　　采用汇聚交换机的优点：当网络流量继续增大时，一旦万兆接口价格下降到适当水平，可以把汇聚－核心之间的链路升级到万兆，从而大大增加网络的扩容能力。

　　校园网应用极为丰富，为了保证正常教学、科研、办公的正常进行，有必要对学校网络进行适当的功能划分，分成不同的功能子网，在子网间访问设置相应的控制策略，从而保证各个功能子网的正常运行。

　　根据校园网规模的不同，可以采用不同的技术来划分功能子网：小型校园网拓扑简单，可以采用VLAN的方式来划分；中型校园网存在数量不等的分校区，形成了一定规模的校园网骨干层，可以通过MPLS VPN技术来划分不同的子网；大型校园网网络规模庞大，分校区众多，可以通过划分物理子网和MPLS VPN相结合的方式来划分功能子网。

（3）接入层优化
　　接入层设备优化，应考虑如下几个方面：

　　● 802.1x认证支持能力。由于校园网采用802.1x认证计费方式，因此接入层设备对802.1x的支持能力就显得尤为重要。
　　● VCT线路测试。采用VCT线缆测试功能，可以有效减少网络维护的工作量，是重要的考虑因素。
　　● 端口隔离。每个用户只能纵向传递信息，而不能横向访问，这是网络安全的保证。
　　● 设备噪音。
　　● 防雷性能。

（4）网络出口优化
　　大学校园网有CERNET和运营商出口，未来可能还有IPv6出口或者其他一个或多个ISP接入，为了分担流量和提高访问的响应速度，可对校园网内部访问外部资源的流量进行负载分流和相互备份。策略路由和负载均衡的工作，建议由专用出口路由设备担任。

　　安全部分采用“防火墙＋IPS”的策略，将防火墙设置成透明模式对出口进行防火墙功能，同时启用IPS侦测网络非法操作。可在防火墙或路由器上启用NAT以实现教育网IP地址访问公众网资源时的地址转换。

　　考虑到有校外访问校内服务器的需求，可以在出口部分设置独立的DMZ区域。DMZ区域的出口和入口均通过防火墙进行隔离，从而有效阻止校外非法访问对校园内服务器的破坏。

　　推荐采用支持IPv4/IPv6双栈路由协议的路由器作为出口路由器，该路由器可以实现策略路由、负载均衡、NAT、IPv6骨干网接入等功能。

2． 管理控制----壮其体魄
　　有了高性能的网络平台，还需要强有力的网络管理与控制系统来控制网络中的非法操作与垃圾信息泛滥。

（1）实名认证策略
　　中兴通讯实名认证策略是以ZXISAM用户认证管理系统为基础，配合承载网中的网络认证设备实现的，包括用户接入认证、用户定位、用户信息复合绑定、防代理私接、DHCP 策略服务、用户终端管理等功能模块。

　　实名认证策略保证合法用户的安全接入，防止非法用户进入网络。

　　通过用户终端管理功能，可以有效保证资产清晰、补丁完整、行为可控、文件安全。

（2）灵活计费策略
　　● 支持包月、时长或有限时长包月、流量或有限流量包月、预付时长、预付流量、封顶、增值服务等计费方式，网络管理员同时可以自定义计费策略；
　　● 支持包月、包日方式时，对于当月、当日没有认证使用情况不计费，依次顺延；
　　● 支持包月情况下，根据不同开户日期，采用不同的当月资费标准；
　　● 支持Keepalive报文、中间记帐报文、开机记帐报文等，避免用户呆死、交换机死机情况的计费信息丢失；
　　● 支持网管、计费平台的二次开发功能。

（3）网络管理策略
　　中兴通讯的全系列网络产品能够实现统一的网络管理。中兴通讯NetNumen N31综合数据网管平台功能包括拓扑与视图管理、故障管理、性能管理、配置管理、安全管理、策略管理、资源管理、日志管理、系统管理等，可对网络实行集中监测、分权管理，并统一进行资源分配，提供流量统计分析和故障自动报警，为网管决策提供依据。

（4）网络安全策略
　　● 支持“PORT＋VLAN ＋IP＋MAC”的绑定，保证用户的安全；
　　● 支持基于端口、VLAN的用户地址数目限制；
　　● 完善的ACL，提供基于VLAN、以太网类型、用户MAC、IP地址、应用以及端口的安全控制功能，支持基于时间的ACL功能；
　　● 支持VLAN隔离功能，控制对用户资源的访问；
　　● 支持PVLAN、Uplink Port的端口隔离方式，隔离用户之间的直接访问；
　　● 支持DHCP Snooping/Relay、Dynamic ARP Inspection功能，防止用户私接DHCP Server，防止IP地址冲突、IP地址盗用；
　　● 支持DHCP Option 82、VBAS功能，支持用户和端口、接入交换机等元素绑定功能，提供对用户的端口反查、对上网信息的反溯和追查功能；
　　● 设备具备抗病毒、防攻击能力；
　　● 支持安全联动功能，支持动态策略下发、支持IDS联动功能、支持IDS日志，保护全网的安全；
　　● 配置硬件防火墙与IDS，保障内网的安全；
　　● 具备完善的日志功能，支持向日志服务器导出，具备日志冗余功能；
　　● 利用数据容灾技术，保护关键数据；
　　● 支持容错技术，如双机备份、故障恢复、双电源备份等。

（5）部署QoS的策略　
　　中兴通讯校园网解决方案具备完善的QoS保证能力，网络设备具备强大业务感知能力，支持L2～L7的复杂流分类，支持基于端口、VLAN、802.1P、DSCP、 MPLS EXP优先级，支持CAR功能，支持三色带宽保证，支持流量监管、流量整形，支持PQ、CQ、WFQ、WRED等多种拥塞管理和拥塞避免算法，支持流镜像、流量统计、SFLOW，从而能够保障教学和管理正常稳定运行。

（6）IPv6过渡策略
　　在部署IPv6时，要避免对已有设备的浪费，避免影响已有的用户和网络，保护用户的投资。

　　在部署IPv6设备时，要保证已有的IP业务，使其平滑过渡到IPv6网络中。在开发IPv6设备的同时，应该开展IPv6业务的研究。

　　IPv6和IPv4间良好的过渡机制也会方便IPv6的部署。在开发和研究IPv6的设备时，应该提供完善的过渡机制，尽可能地方便IPv4和IPv6之间的访问。

　　综上所述，对IPv6的部署应该从边缘开始逐步过渡到核心，要提供平滑的网络过渡策略，保护用户的投资。

3．  资源整合----充其精神

（1）整合零散信息系统
　　信息应用系统分为内部信息建设和外部信息建设：内部信息是指封闭在校园内部的各类信息资源，包括校园办公系统、校园内部主页、内部电子邮件、多媒体教室、电子图书馆系统、校园管理系统、内部信息服务系统等；外部信息是指与校园外部相互交流的信息，包括外部主页、电子邮件、远程教学等。

（2）网络教学----IPTV
　　对于网络教学等多媒体业务，可以采用组播的方式传送，节省网络带宽。中兴通讯校园网解决方案支持全网组播的开展，支持IGMP、DVMRP、PIM-SM/DM等多种组播协议，支持中兴通讯IPTV可控组播管理方案，支持视频点播，保障教育视频、音频等组播内容的高质量传输。

（3）远程教育

（4）数字图书馆
　　建设相对独立、安全可靠、性能卓越的数字化图书馆是目前数字化校园建设的重要任务。

三、结束语
　　中兴通讯校园网优化方案通过“平台优化、管理控制、整合资源”3个优化手段提供了一个可管理、可信任的校园网络蓝图。中兴通讯校园网方案支持Triple Play多业务融合，实现数据、语音、视频的承载。可以对E-mail、FTP、网页浏览、视频会议、视频广播、视频点播、VoIP等各种应用类型的数据流分配各自所需的网络带宽，保证各种实时多媒体应用的服务质量(QoS)。