系统总结,立体呈现,华中科技大学信息化建设与管理经验谈高校信息化建设与管理(技术篇)

校园网出口网络管理是一项很复杂的工作，特别是接入了多条 ISP 链路的情况下，如何管理好各 ISP 链路，做到既不能严重拥塞，又不能浪费资源，是一个不断调整的动态过程。当然如果与 ISP 合作的好，获得了足够的带宽资源，则另当别论。 网络出口管理的终目标是在带宽资源不变的前提下，尽量提高用户的网络使用体验。所谓用户网络使用体验包括校内用户接入互联网进行“网上冲浪”的体验，也包括校外网络用户访问校内应用资源的体验。为了达到这个目标，总结起来需要满足以下三个条件：稳定、简单和灵活。 以华中科技大学为例，校园网出口的重要原则为“统一出口”，即无论校园网内部如何复杂，校园网对外只有一个出口，一条路由指向单台 ADC或者说防火墙设备，这样可以极大的简化出口网络的复杂程度，达到高效、灵活的目的。为了解决“稳定”的问题，则将 ADC 设备进行冗余备份，配置成 HA（主备）模式，实现关键设备的主备自动切换，达到稳定可靠的目的。如图 1.1.4 所示。 核心交换机通过虚拟化的形式虚拟成一台设备，通过端口绑定或 VRRP等形式接入 2 台 ADC 设备，ADC 设备采取热备 HA 模式，一台带负载，一台空载，2 台设备配置同步，可随时进行切换；ISP 接入端也通过 2 台交换机进行虚拟化后接入，理想状态下是每个 ISP 接入 2 条线路。这样可以保证在核心设备、ADC、接入交换机中单台设备同时失效时，仍可以正常提供服务，从而大大提高整个出口网络的可靠性。 “简单”方面主要体现在，这种模式下整个校园网出口逻辑上只有一条默认路由指向外网，无论是动态路由还是静态路由，都可以很简单的进行配置，也可以轻易的区分内网和外网，在故障查错方面具备优势。将所有流量都汇集到网络出口设备进行统一路由选路，可以完全排除策略路由的控制（后者通常会使网络管理员感觉头疼）。 “灵活”方面体现在，使用 ADC 或 NGFW 设备作为网络出口的唯一出口，可以实现“All in One”的效果，如 DPI 流量控制、单 IP 限速、DNS代理和智能 DNS 等，加上设备**的链路选路和流量负载均衡，几乎可以处理所有内网用户的网络出口需求。当然达到以上功能的前提是 ADC 或NGFW 设备具备足够的处理能力，如果处理能力不足，将会出现严重问题。资金允许的话，应购买并部署足够强大的设备，才能保证不出问题。