概述：

隨著學校對現(xiàn)代信息化建設(shè)的投入越來越大，越來越多的業(yè)務已經(jīng)承載在校園網(wǎng)中為學生老師提供大量的應用。這些業(yè)務系統(tǒng)對于學校來說雖然是一個相對開放的網(wǎng)絡(luò)，但是學校并不是一個天然的網(wǎng)吧，需要對任何接入的終端用戶實施有效的管理，目前校園一般具有兩種管理策略：基于身份認證的準入管理和基于身份認證的準出管理，兩者功能不一，前者通過身份驗證授權(quán)用戶訪問校園網(wǎng)，實現(xiàn)了入網(wǎng)即認證，而后者則授權(quán)用戶訪問internet，并配合流控及計費完成學校對于用戶的精細化管理。很顯然基于身份認證的準出管理無法保障校園內(nèi)網(wǎng)的安全性，所以要做到有效的校內(nèi)安全管理，準入認證必不可少，H3C通過對高校準入認證的問題提出了自己的扁平化方案。

挑戰(zhàn)：

校園安全一直是各高校信息部門最為關(guān)注的問題，這些安全問題大量來自與ARP攻擊、ND攻擊等，同時也面臨著校園用戶在外或在內(nèi)BBS論壇上發(fā)標非法言論或其他網(wǎng)絡(luò)違規(guī)行為，解決這一問題最好的解決方案就是做用戶之間的隔離，同時做實名制的接入認證。但是由于802.1q vlan僅僅只支持4K個用戶VLAN所以使得在每個用戶隔離上遇到了瓶頸，同時由于對于學校的入口-----接入交換機，大量的設(shè)備意味著需要大量的配置及管理，這將消耗太多的人力和時間成本。

解決方案及價值實現(xiàn)

H3C充分了解用戶的需求，并提出了自己的扁平化認證解決方案，很好的滿足了用戶安全管理、簡單運維等需求。方案如圖：[y1]

安全的基準PUPV：

方案中利用了QINQ的雙層VLAN特性，將接入層設(shè)備的用戶VLAN嵌套在外層VLAN中，實現(xiàn)了4K*4K個用戶VLAN的擴展，使得能很好的滿足學校用戶與用戶之間隔離的需求，從根本上斷絕了ARP/ND攻擊保障了校園網(wǎng)絡(luò)的安全性。

全面的接入認證技術(shù)

H3C扁平化方案中采用的BRAS設(shè)備支持目前最全面的認證技術(shù)，無論學校原有的認證技術(shù)是Portal、PPPoE、IPoE、或者MAC認證，其都能給予良好的支持，使得用戶在改造中能夠?qū)崿F(xiàn)平滑的切換。

簡化配置：

在傳統(tǒng)方案中，如果學校需要添加接入認證，那么必須在校園網(wǎng)的入口，即接入交換機上進行認證的配置，而學校的接入交換機成百上千，給予管理員太大的工作量，極大增加了管理成本，而扁平化方案中，所有的配置全部集中到核心的BRAS設(shè)備上，大大簡化了網(wǎng)絡(luò)配置，真正打造極簡網(wǎng)絡(luò)架構(gòu)。

IPv6簡單升級

對于老校區(qū)的改造，升級IPv6一直是一件痛苦的事情，傳統(tǒng)方式學校需要對于接入或者匯聚進行升級以獲得設(shè)備對于雙棧協(xié)議的支持，而大量的接入與匯聚改造不僅增加了設(shè)備的采購成本，同時重新配置如此龐大的設(shè)備也讓學校運維人員望而卻步，而在集中式認證的組網(wǎng)方式下，所有的匯聚、接入均處于一個大二層的環(huán)境，實現(xiàn)了IPv6的自然透傳。這樣不僅節(jié)約了用戶的成本，還使得用戶配置大大簡化，極好的契合了目前高校的需求。

準入準出統(tǒng)一認證

當校園添加了準入認證以后與原有的認證系統(tǒng)（準出認證）將形成兩套不同的認證模式（校園網(wǎng)內(nèi)不計費，訪問外網(wǎng)計費）；傳統(tǒng)的模式將部署兩臺不同的認證設(shè)備，而H3C扁平化技術(shù)提供的ITA特性讓網(wǎng)絡(luò)的簡化發(fā)揮到了極致，ITA功能能夠?qū)τ谟脩舻牧髁窟M行區(qū)分，針對于不同目的IP地址訪問的流量設(shè)置不同的計費、限速策略，真正實現(xiàn)準入準出一體化。