巧用策略路由，打造穩(wěn)定網(wǎng)絡(luò)
重慶 劉正華
由于這學(xué)期三校合并，隨著校園網(wǎng)用戶量增加和基于校園網(wǎng)絡(luò)的各種網(wǎng)絡(luò)應(yīng)用的展開，網(wǎng)絡(luò)高峰時(shí)，掉包現(xiàn)象非常嚴(yán)重，致使用戶怨聲載道。改變學(xué)校目前的網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)勢在必行，目前的網(wǎng)絡(luò)拓?fù)淙鐖D1所示。
 |
為了保護(hù)校園網(wǎng)的機(jī)密和安全，我們學(xué)校采用IPCOP軟件代理方式上網(wǎng)，代理服務(wù)器的一端接入教委校校通,另一端接入Cisco4006中心交換機(jī)。在Cisco4006下劃分若干VLAN，連接各網(wǎng)絡(luò)教室和各樓層交換機(jī)，實(shí)現(xiàn)千兆主干、百兆到桌面的網(wǎng)絡(luò)結(jié)構(gòu)。不過，隨著校園網(wǎng)網(wǎng)絡(luò)用戶的激增，網(wǎng)絡(luò)應(yīng)用已經(jīng)超越了代理軟件的負(fù)載能力，改變現(xiàn)有網(wǎng)絡(luò)體系勢在必行。
改造思路
目前許多學(xué)校采用了教育網(wǎng)和電信（或聯(lián)通、鐵通等）的雙出口上網(wǎng)方式，來提高校園網(wǎng)出口的冗余和增加校園網(wǎng)的穩(wěn)定性。教委劃分給我校的內(nèi)部私有地址是192.168.100.0/24，因此，可用的網(wǎng)絡(luò)地址很多。
我們的方案是，再增加一個(gè)IPCOP軟件代理服務(wù)器接教委校校通，形成雙出口，兩條鏈路分擔(dān)流量，保證網(wǎng)絡(luò)的可靠性、穩(wěn)定性。學(xué)校閑置有一個(gè)Cisco3640路由器，可用該路由器設(shè)置策略路由上網(wǎng)。
對(duì)改造方案，我們有以下幾方面的考慮：
（1）客戶端IP地址設(shè)置不受影響（10.0.0.0/16網(wǎng)絡(luò)），即不用重新設(shè)置地址就可以正常上網(wǎng)。
（2）VLAN 11-15（包括兩個(gè)微機(jī)室）走IPCOP2代理主機(jī)，其余VLAN（包括兩個(gè)微機(jī)室）走IPCOP1代理主機(jī)。
（3）盡可能地節(jié)約校園網(wǎng)調(diào)整、改造需增加的新投資。
改造過程
經(jīng)過調(diào)試，新的網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)和IP地址設(shè)置如圖2所示。
 |
1.IPCOP代理軟件的配置
在IPCOP的代理軟件中，Green網(wǎng)卡接內(nèi)網(wǎng)，Red網(wǎng)卡接校校通外網(wǎng)，默認(rèn)網(wǎng)關(guān)都配置成192.168.100.1。在IPCOP1和IPCOP2的rc.local文件上分別增加一條返回內(nèi)網(wǎng)路由：vi /etc/rc.d/rc.local，“route add net 10.0.0.0 netmask 255.255.0.0 gw 172.16.1.1”；“route add–net 10.0.0.0 netmask 255.255.0.0 gw 172.16.2.1”。
2.Cisco3640主要配置
其內(nèi)容如下：
 |
 |
 |
 |
對(duì)Cisco3640配置的說明：
（1）Cisco3640 有 3 個(gè) 100M ports，fa1/0 為 傳 入 接口，fa0/0，fa0/1為傳出接口。分別接Cisco4006交換機(jī)和IPCOP1，IPCOP2。
（2）在Cisco3640 fa1/0上“ip policy route-map ipcop2”應(yīng)用ipcop2策略，匹配條件的走172.16.2.2，不匹配的走默認(rèn)路由172.16.1.2，達(dá)到負(fù)載分流的目的（做策略路由時(shí)要注意，策略只能應(yīng)用在路由器的傳入接口上）。
（3）額外增加了一條路由：ip route 0.0.0.0 0.0.0.0 172.16.2.2 5，目的為：
①當(dāng)IPCOP1發(fā)生故障時(shí)：在路由器上“no ip route 0.0.0.0 0.0.0.0 172.16.1.2”全校路由都走172.16.2.2這一鏈路上網(wǎng)。
②當(dāng)IPCOP2發(fā)生故障時(shí)：在fa1/0接口上“no ip policy route-map ipcop2” 全校路由都走172.16.1.2這一鏈路上網(wǎng)。
好處是為網(wǎng)管員爭取時(shí)間，解決故障，保證校園網(wǎng)的穩(wěn)定運(yùn)行。曾經(jīng)嘗試在Cisco3640上直接通過NAT上網(wǎng)，但Cisco3640路由器根本不能負(fù)擔(dān)目前的網(wǎng)絡(luò)應(yīng)用。大家也可以試試用帶3張網(wǎng)卡的Linux系統(tǒng)作為策略路由，看看網(wǎng)絡(luò)運(yùn)行情況如何。
網(wǎng)絡(luò)系統(tǒng)改造后，經(jīng)過一個(gè)多月的運(yùn)行，網(wǎng)絡(luò)零故障。校園網(wǎng)安全、穩(wěn)定，并且網(wǎng)絡(luò)改造只是利用了一臺(tái)閑置的路由器，一臺(tái)帶雙網(wǎng)卡的電腦，投資并不大。
方案中涉及的幾種技術(shù)：
1.代理服務(wù)器技術(shù)
通過代理服務(wù)軟件實(shí)現(xiàn)客戶端上網(wǎng)。這種方式配置簡單，設(shè)備費(fèi)用低廉。相對(duì)來說，由于是通過代理軟件實(shí)現(xiàn)共享上網(wǎng)，訪問速度容易受到影響。這里用到的IPCOP是一款面向Linux環(huán)境的路由器軟件，內(nèi)置防火墻，對(duì)機(jī)器性能要求低，因此得到廣泛的應(yīng)用。
2.路由選擇
靜態(tài)路由是在路由器中設(shè)置的固定路由表。除非網(wǎng)管員干預(yù)，否則靜態(tài)路由不會(huì)發(fā)生變化。由于靜態(tài)路由不能對(duì)網(wǎng)絡(luò)的改變作出反應(yīng)，一般用于網(wǎng)絡(luò)規(guī)模不大、拓?fù)浣Y(jié)構(gòu)固定的網(wǎng)絡(luò)中。靜態(tài)路由的優(yōu)點(diǎn)是簡單、高效、可靠。
3.策略路由技術(shù)
這里選擇的是“基于源IP地址的策略路由”。策略路由可以說是一種高級(jí)的靜態(tài)路由，但是又與靜態(tài)路由不同。
在同一臺(tái)路由器上如果配置了策略、靜態(tài)路由，路由器接口優(yōu)先對(duì)入站的數(shù)據(jù)包源地址進(jìn)行判斷，看有沒有匹配在此接口上所配置策略路由的數(shù)據(jù)流：如果有，則按照策略路由的配置轉(zhuǎn)發(fā)數(shù)據(jù)包；如果沒有，則按普通數(shù)據(jù)包情況路由，即執(zhí)行靜態(tài)路由。
聯(lián)系客服
