基礎教育專網(wǎng)方案.ppt

1、1,中國電信陜西公司,基礎教育專網(wǎng)方案 技術實現(xiàn)方法說明,用戶至上 用心服務customer first service foremost,用戶至上 用心服務customer first service foremost,一、基礎教育專網(wǎng)MPLS VPN的整體結構說明； 二、基礎教育專網(wǎng)的電信側局數(shù)據(jù)配置要求； 三、省、市教育平臺的接入方案； 四、學校幾種接入方案的實施說明； 五、l2tp VPN 撥號認證軟件的設置方法：,中國電信陜西公司,用戶至上 用心服務customer first service foremost,一、基礎教育專網(wǎng)MPLS VPN的整體構架如下：,用戶至上 用心服務cu

2、stomer first service foremost,二、基礎教育專網(wǎng)MPLS VPN的電信側局數(shù)據(jù)配置要求如下： 1、VRF以及相關參數(shù)：,用戶至上 用心服務customer first service foremost,2、各地市城域網(wǎng)ASBR與CN2的對接電路配置：（省平臺直掛CN2 ）,用戶至上 用心服務customer first service foremost,3、教育專網(wǎng)用戶流量評估和帶寬設計：,1）第2條所列表格中的電路為城域網(wǎng)與CN2的對接電路，規(guī)劃為陜西電信大客戶跨域vpn組網(wǎng)的共有電路（通過VLAN區(qū)分不同的大客戶），不是教育專網(wǎng)的專用通道。（教育專網(wǎng)VLAN10

3、1） 2）用戶流量模型設計：陜西教育專網(wǎng)組網(wǎng)中省教育廳平臺直接接入 CN2 PE設備（CN2張家堡12416G2/1/0）；其余各地市用戶（各級教育機構和中小學校）采用城域網(wǎng)接入，用戶流量跨域通過CN2 傳遞到省平臺，用戶對帶寬的需求主要是實時視頻流業(yè)務（視頻會議時）對帶寬的需求。 3）用戶流量的評估：為滿足每個本地網(wǎng)至少100所中小學（學校陸續(xù)接入）每個小學278k/bps流量（峰值流量，只有教育廳召開教育系統(tǒng)視頻會議的時候）即2M帶寬的需求，目前需要每個本地網(wǎng)規(guī)劃200M的帶寬預留。由于每個地市兩條鏈路的承載，每條鏈路保障100M帶寬的QOS；,教育專網(wǎng)組網(wǎng)帶寬設計： 1）8個地市的城域網(wǎng)

4、到CN2的鏈路，由于采用了雙條鏈路，所以每一條鏈路為教育廳專網(wǎng)保障100M帶寬的QOS保障；（共計16條鏈路） 2）教育廳信息平臺直掛CN2 PE設備，已經(jīng)占用了一個GE的端口，為減輕CN2的負擔，可以不必保障1G的QOS；由于教育廳召開全省學校視頻會議的時間比較少，所以QOS保障在500M就可以了。,用戶至上 用心服務customer first service foremost,4、教育網(wǎng)IP地址分配： 1）各級教育信息平臺IP分配方案： 教育廳中心平臺系統(tǒng)采用教育廳業(yè)務管理平臺10.10.0.0 -10.10.255.255 (10.10/16 prefix)，其中10.10.0.0-1

5、0.10.31.0預留給省教育廳中心平臺和各地市教育局平臺內(nèi)部使用，共32個C。192.168.32.0/25用于中心平臺與CN2對接。 專用DNS服務器地址分配：為便于記憶，將兩臺DNS服務器專網(wǎng)IP地址分別設為：10.10.1.4和10.10.1.9； 每個市（區(qū)）分配2個C地址，省教育廳中心平臺占2個C地址，全省10個市區(qū)加省廳平臺，共用22個C 地址，剩余地址留為備用。各市（區(qū)）業(yè)務管理平臺服務器專網(wǎng)IP地址分配如下： 省平臺 10.10.0.0/255.255.254.0 西安 10.10.2.0/255.255.254.0 咸陽 10.10.4.0/255.255.254.0 寶雞

6、 10.10.6.0/255.255.254.0 渭南 10.10.8.0/255.255.254.0 安康 10.10.10.0/255.255.254.0 商洛 10.10.12.0/255.255.254.0 漢中 10.10.14.0/255.255.254.0 榆林 10.10.16.0/255.255.254.0 延安 10.10.18.0/255.255.254.0 銅川 10.10.20.0/255.255.254.0,用戶至上 用心服務customer first service foremost,2）用戶業(yè)務使用地址，即各級教育機構、學校終端使用的IP地址。 業(yè)務使用地址建

7、議采用B類私網(wǎng)地址，再進行子網(wǎng)劃分，這樣以來既有充足的IP地址可用，保證所有終端有IP地址可用，為以后擴容留下足夠的空間，也易于實現(xiàn)路由聚合，發(fā)布較少的路由信息去其他網(wǎng)絡。 由于各級教育機構及中小學采用互聯(lián)網(wǎng)的介入方式，所以業(yè)務使用地址不做規(guī)劃； 地市起始 結束地址段 西安172.0.0.0172.127.255.255128 渭南172.128.0.0172.143.255.25516 咸陽172.144.0.0172.159.255.25516 延安172.160.0.0172.175.255.25516 安康172.176.0.0172.183.255.2558 銅川172.184.0.

8、0172.187.255.2554 商洛172.188.0.0172.195.255.2558 寶雞172.196.0.0172.219.255.25524 漢中172.220.0.0172.231.255.25512 榆林172.232.0.0172.255.255.25524,城域網(wǎng)與用戶對接的地址，隨著用戶大中小學校和教育局對教育專網(wǎng)的接入，各本地網(wǎng)維護部門可根據(jù)省公司的規(guī)劃，在大段地址里面規(guī)劃互聯(lián)地址，本著便于聚斂城域網(wǎng)內(nèi)路由條目的原則即可。,用戶至上 用心服務customer first service foremost,三、省、市教育平臺的接入方案： 1、省平臺接入方案：省教育廳信

9、息網(wǎng)絡平臺是所有設備均托管在我公司二長數(shù)據(jù)機房。華為高端防火墻E1000E作為信息平臺局域網(wǎng)的出口CE設備，調(diào)通到CN2 PE的光纖，接入MPLS VPN 教育專網(wǎng)。同時防火墻E1000E調(diào)通到城域網(wǎng)SR的光纖，作為NAT轉化代理所有教育廳信息平臺安全上互聯(lián)網(wǎng)。具體拓樸如下：,用戶至上 用心服務customer first service foremost,2、市教育局平臺接入方案：全省10個地市教育局信息網(wǎng)絡平臺，作為陜西基礎教育專網(wǎng)的豐富資源，就近接入各地市電信城域網(wǎng)。各市的信息平臺可以托管在各地的電信機房，也可以放置在各地市教育局。省教育廳和省電信公司按照協(xié)議，在每個地市的教育信息平臺出

10、口配置華為高端防火墻E1000E，該設備最好托管在電信機房。該設備上行出兩條千兆線路（網(wǎng)線/光纖均可），一條線路作為CE設備接入城域網(wǎng)PE設備，成為MPLS VPN專網(wǎng)的接入端，綁定專網(wǎng)IP地址；另外一條線路作為各地市L2TP VPN 的LNS服務器接入城域網(wǎng)SR，綁定互聯(lián)網(wǎng)IP地址。,用戶至上 用心服務customer first service foremost,3、市教育局平臺托管及防火墻LNS管理： 1）如果市級教育局的信息平臺托管在電信機房，華為防火墻E1000E下行通過千兆線路連接信息平臺綁定專網(wǎng)IP地址。如果市級教育局的信息平臺放置在教育局，則需要調(diào)通一條從防火墻到教育局的專網(wǎng)線

11、路綁定專網(wǎng)IP地址（帶寬由各地市教育局申請）。原教育局的互聯(lián)網(wǎng)線路不變。 2）防火墻EDOM1000E設備，即是市級教育信息平臺的安全網(wǎng)關，又承擔L2TP VPN 的LNS服務器功能。該設備打開WEB控制功能，由各地市級的教育局通過WEB頁面遠程管理和控制本區(qū)域內(nèi)撥號用戶的帳戶； 3）10個地市的防火墻與城域網(wǎng)相連，使用的互聯(lián)IP地址為172網(wǎng)段，使用的L2TP撥號地址池為172網(wǎng)段，數(shù)據(jù)由各地的數(shù)據(jù)機房規(guī)劃，由集成公司負責配置。使用的撥號帳戶命名規(guī)則有專門的文件規(guī)定。在工程驗收后，要配置針對本地互聯(lián)網(wǎng)IP地址范圍的撥號限制。,用戶至上 用心服務customer first service f

12、oremost,四、市、縣教育局、中小學校局域網(wǎng)接入基礎教育專網(wǎng)實現(xiàn)方式：,1、第一類接入方式：針對區(qū)縣教育局有統(tǒng)一互聯(lián)網(wǎng)出口管理需求，并且已具備支持代理服務的設備條件。 轄區(qū)內(nèi)學校首先通過電信線路接入教育專網(wǎng)，在此基礎上，接入專網(wǎng)的學?？赏ㄟ^縣教育局的代理設備訪問互聯(lián)網(wǎng)。 該方式下，用戶局域網(wǎng)直接通過電信線路接入MPLS VPN教育專網(wǎng)，用戶局域網(wǎng)內(nèi)的終端電腦使用由當?shù)仉娦欧止竞徒逃种鞴懿块T共同管理分配的專網(wǎng)專用的IP地址。用戶局域網(wǎng)內(nèi)的終端電腦直接成為基礎教育專網(wǎng)的網(wǎng)內(nèi)主機。用戶訪問互聯(lián)網(wǎng)的需求通過縣教育局防火墻集中NAT轉換代理上互聯(lián)網(wǎng)。模型圖如下：,用戶至上 用心服務custome

13、r first service foremost,第一類接入方式的說明： 1）用戶具備區(qū)縣教育城域網(wǎng)的現(xiàn)狀，由市級教育局整理教育城域網(wǎng)的互聯(lián)網(wǎng)接口和基礎教育專網(wǎng)接口； 2）學校局域網(wǎng)內(nèi)的終端可以使用172網(wǎng)段的規(guī)劃地址,也可以保持原有局域網(wǎng)地址不變,采用雙NAT雙路由代理的方式,如果采用使用代理方式,也是將172網(wǎng)段的專網(wǎng)地址轉換成原有局域網(wǎng)地址; 以延安教育局需求為例說明: 1）延安教育城域網(wǎng)原統(tǒng)一互聯(lián)網(wǎng)出口將改變?yōu)橐钥h區(qū)為單位的互聯(lián)網(wǎng)出口，延安市教育信息網(wǎng)絡中心、十三個縣區(qū)教育信息平臺、四個市直學校，共18個互聯(lián)網(wǎng)出口。延安教育城域網(wǎng)內(nèi)各單位原來的私有IP不變，只需在各單位防火墻上將原來統(tǒng)

14、一的私有IP接口地址改為電信公司提供的公網(wǎng)IP接口地址即可。 2）延安市以縣區(qū)為單位接入省基礎教育專網(wǎng)，延安市教育信息網(wǎng)絡中心、十三個縣區(qū)教育信息平臺、四個市直學校，共18個省基礎教育專網(wǎng)接口。各單位接入省基礎教育專網(wǎng)，以省基礎教育專網(wǎng)統(tǒng)一規(guī)劃分配的IP地址為專網(wǎng)接口。 3）縣區(qū)教育行政事業(yè)單位和下屬學校到縣區(qū)教育信息平臺的連接方式不做任何改變，具體線路租用事宜由縣區(qū)教育局與當?shù)剡\營商協(xié)商決定。延安教育城域網(wǎng)內(nèi)各終端用戶訪問互聯(lián)網(wǎng)或省基礎教育專網(wǎng)通過對應教育信息平臺的防火墻上策略路由（雙路由）來實現(xiàn)。,用戶至上 用心服務customer first service foremost,第二類接入

15、方式：對不具備第一類需求條件的區(qū)縣，轄區(qū)內(nèi)學校首先通過電信線路接入互聯(lián)網(wǎng)，在此基礎上再接入基礎教育專網(wǎng)。具體有兩種方式,分別為1、MPLS+L2TP撥號方式和2、一根光纖承載雙業(yè)務方式。如下說明：,1）MPLS+L2TP撥號方式：針對采用電信AD線路或者光纖接入互聯(lián)網(wǎng)的學校： 采用VPDN撥號認證方式接入基礎教育專網(wǎng)原理。該方式下，用戶現(xiàn)網(wǎng)通過靜態(tài)IP地址方式接入電信互聯(lián)網(wǎng)，在此基礎網(wǎng)上，用戶局域網(wǎng)內(nèi)需要上專網(wǎng)的終端電腦發(fā)起軟件撥號認證，建立到基礎教育專網(wǎng)LNS設備的L2TP VPN隧道，由專網(wǎng)LNS設備動態(tài)分配專網(wǎng)內(nèi)的IP地址，從而接入MPLS VPN基礎教育專網(wǎng)。用戶的終端電腦可實現(xiàn)根據(jù)需

16、要同時訪問專網(wǎng)和互聯(lián)網(wǎng)資源。模型圖如下：,用戶至上 用心服務customer first service foremost,2）一根光纖雙業(yè)務方式：主要針對采用電信光纖接入互聯(lián)網(wǎng)的學校： 采用一根光纖承載兩個業(yè)務方式接入基礎教育專網(wǎng)原理。該方式下，用戶現(xiàn)網(wǎng)通過靜態(tài)IP地址、光纖線路方式接入電信互聯(lián)網(wǎng)，電信城域網(wǎng)設備為用戶分配一個Vlan號，并幫定一個三層互聯(lián)網(wǎng)接口。如果用戶申請采用一根光纖方式接入基礎教育專網(wǎng)，則根據(jù)用戶的局域網(wǎng)設備特點，為用戶實施兩種方式的配置模式：在原有城域網(wǎng)設備接口上為用戶分配第二個Vlan ，并幫定VRF和專網(wǎng)地址；或者在原有VLAN上幫定第二個三層接口，綁定并幫定VR

17、F和專網(wǎng)地址；模型圖如下：,用戶至上 用心服務customer first service foremost,第二類接入方式的說明： 1）如果學校采用MPLS+L2TP撥號方式，可以通過兩種方式實現(xiàn)，一種是每個需要上專網(wǎng)的終端電腦均使用VPN撥號軟件；一種是通過學校局域網(wǎng)的網(wǎng)關實現(xiàn)代理VPN撥號功能； 2）如果學校采用一根光纖雙業(yè)務方式，可以通過兩種方式實現(xiàn)，一種是為學校局域網(wǎng)終端分配172網(wǎng)段的專網(wǎng)地址，一種是通過學校局域網(wǎng)的網(wǎng)關實現(xiàn)雙NAT代理功能，（能劃分第二虛擬路由器功能）； 3）為方便學校接入，也不過分增加學校改造設備投資，通過西安85中的模型結構作以下說明，學校內(nèi)部終端不需要改變地

18、址，但是可以使用軟件來完成網(wǎng)關的切換：,用戶至上 用心服務customer first service foremost,4）一根光纖雙業(yè)務方式：推薦實現(xiàn)方法： 兩種模式：一根光纖雙vlan模式主要適合從二層（vlan）上區(qū)別兩種網(wǎng)絡接入的情況且學校局域網(wǎng)出口設備能支撐區(qū)別vlan ；一根光纖雙三層接口模式主要適合從三層（IP地址）區(qū)別兩種網(wǎng)絡接入的情況，且學校局域網(wǎng)出口設備能配置兩個網(wǎng)關。根據(jù)其他地市的經(jīng)驗，學校局域網(wǎng)一般情況也不想改變原來的局域網(wǎng)地址規(guī)劃。所以，那么推薦第二種模式，即電信側在原學校接入端口上綁定VPN VRF和第二段IP地址（專網(wǎng)地址），學校側配置第二個NAT轉換和第二個網(wǎng)

19、關。學校局域網(wǎng)內(nèi)的用戶可以根據(jù)自己的需求，選擇不同的網(wǎng)關路由，訪問不同的出口網(wǎng)絡。,5）一根光纖雙業(yè)務方式：推薦技術實現(xiàn)步驟： 1、如果用戶選擇在原電信光纖線路的基礎上實現(xiàn)同時接入基礎教育專網(wǎng)，應該由電信的售前支撐人員和學校的網(wǎng)管人員先進行評估，如果局域網(wǎng)出口為功能強的防火墻和路由器則不需要對出口改造；如果局域網(wǎng)出口為代理服務器則需要進行改造； 2、采用雙業(yè)務方式，電信側和學校側的設備端口數(shù)據(jù)均要修改，所以學校的業(yè)務要受到影響。建議由學校和當?shù)仉娦攀紫冗M行測試后（確認學校設備功能），共同確定業(yè)務割接方案。實施接入需要在學校確定接入專網(wǎng)時間后，通知當?shù)仉娦啪郑谕粋€時間點上，電信局修改局端設備

20、的端口數(shù)據(jù)，學校根據(jù)電信分配的專網(wǎng)IP，修改出口設備的端口數(shù)據(jù)和NAT代理數(shù)據(jù)。 3、為方便學校局域網(wǎng)的管理，局域網(wǎng)內(nèi)的終端可以安裝IP切換器自動進行網(wǎng)關的切換。另外在學校局域網(wǎng)出口改造時可以利用華碩的3014系列、飛魚星系列等。,用戶至上 用心服務customer first service foremost,3、第三類接入方式：對于學校網(wǎng)絡業(yè)務需求復雜多樣的情況，學校可直接與當?shù)仉娦殴韭?lián)系通過網(wǎng)絡擴容接入基礎教育專網(wǎng)； 學校申請專門的線路接入基礎教育專網(wǎng)，和現(xiàn)有的網(wǎng)絡接入物理分開。這種模式適合局域網(wǎng)規(guī)模大或者已經(jīng)存在特定網(wǎng)絡應用的單位。學?？筛鶕?jù)自己的需要規(guī)劃局域網(wǎng)的結構，合理安排局域網(wǎng)

21、內(nèi)的終端電腦上不同的網(wǎng)絡，實現(xiàn)不同的網(wǎng)絡應用。學校不但可保障已有特定網(wǎng)絡業(yè)務不受影響，還可以自主發(fā)展網(wǎng)絡應用，而不是通過集中統(tǒng)一的出口管理。模型圖如下：,用戶至上 用心服務customer first service foremost,1）采用第二條線路接入基礎教育專網(wǎng)的優(yōu)勢與特點： 學校根據(jù)網(wǎng)絡規(guī)模專門申請一條線路接入基礎教育專網(wǎng)。學校原有的網(wǎng)絡接入不受影響，原有互聯(lián)網(wǎng)應用不變，特別是網(wǎng)站應用等不受影響，學?？梢宰灾靼l(fā)展在網(wǎng)絡上的教學活動； 學?，F(xiàn)有互聯(lián)網(wǎng)網(wǎng)與基礎教育專網(wǎng)的接入明顯區(qū)分，保障了基礎教育專網(wǎng)的專網(wǎng)特性。安全性、可靠性高，對基礎教育專網(wǎng)的使用不受互聯(lián)網(wǎng)的影響； 學校局域網(wǎng)內(nèi)的規(guī)劃

22、也比較靈活，基礎教育專網(wǎng)的接入線路可直接接入局域網(wǎng)的主交換(繞開代理設備)，根據(jù)自己的需要規(guī)劃上專網(wǎng)的主機范圍。不需要和電信協(xié)商原線路的割接方案。 電信公司對第二條線路的接入施行比較大的優(yōu)惠政策。,2）采用第二條線路接入基礎教育專網(wǎng)的技術流程步驟： 學校根據(jù)網(wǎng)絡規(guī)模專門申請第二條線路接入基礎教育專網(wǎng)。 電信側響應客戶需求，根據(jù)專網(wǎng)的地址規(guī)劃為第二條線路分配專網(wǎng)的IP地址，并配置VPN端口數(shù)據(jù)； 學校在第二條線路接入學校后，根據(jù)本身局域網(wǎng)的特點和管理需求靈活部安排礎教育專網(wǎng)的接入和局域網(wǎng)的管理。,用戶至上 用心服務customer first service foremost,4、關于基礎教育專

23、網(wǎng)質量保障對用戶接入方式帶寬選擇的要求意見： 為保障基礎教育專網(wǎng)對網(wǎng)絡質量的要求，特別是保障教育廳召開全省范圍內(nèi)的動態(tài)視頻會議的專網(wǎng)質量。對用戶接入方式的選擇做如下規(guī)范建議: 1、單條ADSL線路接入，為保障動態(tài)視頻流質量，最低申請帶寬4兆，最多承載5臺電腦規(guī)模的校園局域網(wǎng)。對于大于5臺規(guī)模的校園局域網(wǎng)，采用擴容的方法接入基礎教育專網(wǎng)； 2、對于5臺以上，30臺以內(nèi)的校園局域網(wǎng)，可采用10兆帶寬以內(nèi)的光纖方式接入基礎教育專網(wǎng)； 3、對于30臺以上，100臺以內(nèi)的校園局域網(wǎng)，可采用100兆帶寬以內(nèi)的光纖方式接入基礎教育專網(wǎng)； 4、針對100臺以上的校園局域網(wǎng)，由于需要同時保障互聯(lián)網(wǎng)和基礎教育專網(wǎng)的質量，建議采用擴容的方法接入基礎教育專網(wǎng)。 建議學校根據(jù)自己接入基礎教育專網(wǎng)的網(wǎng)絡規(guī)模對應選擇以上四條所規(guī)范的接入方式和帶寬。對于接入基礎教育專網(wǎng)的網(wǎng)絡網(wǎng)絡規(guī)模超過規(guī)范所建議帶寬選擇的單位，電信不承諾其在基礎教育專網(wǎng)之內(nèi)的質量保障。 (方案網(wǎng)絡側的設備配置腳本參見下發(fā)的實施方案.),用戶至上 用心服務customer first service foremost,五、l2tp撥號認證軟件的設置方法： 創(chuàng)建L2TP連接到遠程網(wǎng)絡 注意 由于Windows2000/xp系統(tǒng)缺省情況下啟動了IPSec功能，因此在發(fā)起VPN請求時應禁止IPSec功能，在命令行