| 導購 | 订阅 | 在线投稿
分享
 
 
 

基于VLAN技術的校園一卡通管理

來源:互聯網  2008-06-01 02:12:45  評論

引言

目前,校園「一卡通」管理系統在許多高校得到了應用。網絡技術的不斷發展,尤其是局域網技術,從傳統LAN到交換LAN,再發展到虛擬LAN即VLAN(VirtuallLocalAreaNetworks),網絡的性能和功能得以不斷地改進和完善,使得VLAN技術在高校網絡中被廣泛應用,校園「一卡通」系統就是其中之一。

校園「一卡通」管理系統整體構架

校園「一卡通」管理系統中,校園卡一般采用非接觸式IC卡,同時與磁條相結合,使校園卡既具有校內結算功能,又具有銀行金融服務功能。目前,很多學校都是由幾個校區合並而成,爲了保證各校區之間數據傳輸的安全,在原來校園網基礎上,又建成了校園「一卡通」物理專網。

校園「一卡通」系統的網絡構架爲二層結構,如圖1所示。第一層由專網主幹TCP/LP網絡構成,其上主要有主服務器以及爲數衆多的控制主機(主幹網絡客戶端);第二層由控制主機與IC卡終端機之間的RS485通汛網絡構成。

其中控制主機具有通訊協議的翻譯功能,它將RS485協議轉換成TCPHP協議,再通過專網主幹通道,上傳數據給主服務器。

VLAN的特點與劃分

所謂虛擬局域網(VLAN--virtuaILAN),是指組網所依據的不是站點的物理位置,而是邏輯位置(MAC地址、IP地址或其它),即網絡所聯結的是所渭「邏輯上相關而物理上分散」的站點。一般來講,VLAN具有以下幾個重要特征:

(1)同一虛擬網的所有成員組成一個「獨立于物理位置而具有相同邏輯的廣播域」,共享一個VLAN標識(VLANID)。

(2)VLAN的所有成員都能收到由同一VLAN的其它成員發送來的廣播包,但收不到不同VLAN的成員發送的廣播包。

(3)同一VLAN的成員之間的通信不需要路由的支持,而不同VLAN的成員之間的通信則需要路由支持(無論采用傳統路由器方式還是采用虛擬路由的方式)。

對于一個校園網絡,如果不進行VLAN劃分,那麽將影響到網絡的正常使用:首先,在終端大量增加後,在同一個廣播域裏,很容易産生廣播風暴,嚴重影響網絡性能;其次,整個網絡的安全性能將大大降低,網絡上的信息將有可能被其它站點截取,並且整個網絡結構雜亂無章,很難進行管理。

劃分VLAN所依據的標准是多樣的,運用最多是按交換機端口來進行VLAN的劃分。

這種方式是把交換機的某些端口的集合,作爲VLAN的成員。這些集合有時只在單個交換機上,有時則跨越多台交換機。虛擬局域網的管理應用程序,根據交換機端口的標識ID,將端口對應到各分組中,分配到某個VLAN的各個端口上的所有站點都在一個廣播域中。它們相互可以通信,不同的VLAN站點之間進行通信需經過路由器來進行。這種VIAN方式的優點在于簡單,容易實現,從一個端口發出的廣播,直接發送到VLAN內的其他端口,也便于直接監控。它的缺點是自動化程度低,靈活性不好。

基于802.1QVLAN技術的校園「一卡通」的實現

一般來說,一個物理端口只屬于一個VLAN,這樣VLAN的數量必須與路由器以太網物理端口數量以及交換機用于級聯的端口數量保持一致,這將浪費大量的端口,並且極大地限制了VLAN的擴展和影響了劃分靈活性。爲了解決這一問題,讓一個物理端口傳輸多個VLAN數據流,可以使用「標簽」(Tag)技術,即在此端13上對每個數據幀貼上標簽(Tag)用于標記該幀所屬VLAN。支持802.1Q的交換機其端13有Tag、Untag之分。所謂Unmg,就是將802.1QVLAN的信息從數據包的包頭去掉。具有去標記能力的(untaggingenabled)端口會將VID、優先級和其它VLAN信息從所有進出該端口的數據包包頭中去掉。如果在此前數據包內沒有被標記過,那麽端口將不對該數據包進行改動即去標記(untagging),使得數據包能夠從一台支持802.1Q的交換機傳送到其它不支持802.1Q的交換機上。系統利用其VLAN標識號即VLANID來確定數據幀的轉發,需要網絡設備支持Tag封裝協議。基于802.1Q的VLAN技術具有很大的靈活性,我們用基于VLANTag技術組建私用專網。

由于各個校區相距比較遠,各工作部門分布于不同的校區,每個職能部門在各個校區都有自己的派出機構,因此,組建「一卡通」專網非常迫切。我們在各個校區配置一台三層交換機,帶兩個千兆模塊用以校區間的互聯,用單模光纖在各個校區間組成一個環(見圖2)。

設:每個交換機的l,2口劃爲—個VLAN,定義爲Backbone,在VLAN爲Backbone的Interface上定義IP,各個校區的互聯網關應該在同一個子網上,這樣就實現了IP互聯。有了環網就可以在上面開展各種應用,譬如:每個校區的三層交換機第3口用于食堂一卡通,就只需把l,2,3口劃爲一個VLAN,定義爲VLAN1,其中l,2口標以Tag。該三層交換機是不開動態路由的,各個私用專網要互相分開,如果要有新用戶加入,只要把l,213打上Tag加入到自己的VLAN裏就行,既方便,又容易查故障,是一種比較經濟的辦法。這種做法是把私網從公網中分開,如果要上公網就必須要有另外的物理通道,這樣有時又比較麻煩。另一種方法是用一台二層交換機作爲用戶的接入,把1-8口用于公網的用戶,把9一l6口用于私網的用戶,l7口爲上連,把1-8,17口劃爲VLAN1,其中l7口爲Untag,9-16,17臼劃爲VLAN2,其中17口爲Tag,三層交換機對應的下連13也要被劃爲兩個VLAN,VLANID,Tag,Untag都要跟二層交換機的VLAN相對應。再在三層交換機用Acl控制,就能比較好的保護私網,做到公網、私網用戶共用同一物理線路。但其安全性也不是很好,如果中間有好幾層交換機,那要一路打Tag,維護就比較困難的。

用二層交換機來劃分VLAN主要是劃分沖突域,而三層交換機主要是劃分廣播域。

結束語

基于VLAN技術的校園一卡通系統目前已在各個校園內實際運行,各方面性能良好。當然,基于VLAN技術的各種應用還有許多,如各類專用私網的構建,動態VLAN的應用等等,它是現今爲止可以借助于現有組網交換設備而不需額外投入的較爲節約的一種有效的專網構建手段。

  引言   目前,校園「一卡通」管理系統在許多高校得到了應用。網絡技術的不斷發展,尤其是局域網技術,從傳統LAN到交換LAN,再發展到虛擬LAN即VLAN(VirtuallLocalAreaNetworks),網絡的性能和功能得以不斷地改進和完善,使得VLAN技術在高校網絡中被廣泛應用,校園「一卡通」系統就是其中之一。   校園「一卡通」管理系統整體構架   校園「一卡通」管理系統中,校園卡一般采用非接觸式IC卡,同時與磁條相結合,使校園卡既具有校內結算功能,又具有銀行金融服務功能。目前,很多學校都是由幾個校區合並而成,爲了保證各校區之間數據傳輸的安全,在原來校園網基礎上,又建成了校園「一卡通」物理專網。   校園「一卡通」系統的網絡構架爲二層結構,如圖1所示。第一層由專網主幹TCP/LP網絡構成,其上主要有主服務器以及爲數衆多的控制主機(主幹網絡客戶端);第二層由控制主機與IC卡終端機之間的RS485通汛網絡構成。   其中控制主機具有通訊協議的翻譯功能,它將RS485協議轉換成TCPHP協議,再通過專網主幹通道,上傳數據給主服務器。   VLAN的特點與劃分   所謂虛擬局域網(VLAN--virtuaILAN),是指組網所依據的不是站點的物理位置,而是邏輯位置(MAC地址、IP地址或其它),即網絡所聯結的是所渭「邏輯上相關而物理上分散」的站點。一般來講,VLAN具有以下幾個重要特征:   (1)同一虛擬網的所有成員組成一個「獨立于物理位置而具有相同邏輯的廣播域」,共享一個VLAN標識(VLANID)。   (2)VLAN的所有成員都能收到由同一VLAN的其它成員發送來的廣播包,但收不到不同VLAN的成員發送的廣播包。   (3)同一VLAN的成員之間的通信不需要路由的支持,而不同VLAN的成員之間的通信則需要路由支持(無論采用傳統路由器方式還是采用虛擬路由的方式)。   對于一個校園網絡,如果不進行VLAN劃分,那麽將影響到網絡的正常使用:首先,在終端大量增加後,在同一個廣播域裏,很容易産生廣播風暴,嚴重影響網絡性能;其次,整個網絡的安全性能將大大降低,網絡上的信息將有可能被其它站點截取,並且整個網絡結構雜亂無章,很難進行管理。   劃分VLAN所依據的標准是多樣的,運用最多是按交換機端口來進行VLAN的劃分。   這種方式是把交換機的某些端口的集合,作爲VLAN的成員。這些集合有時只在單個交換機上,有時則跨越多台交換機。虛擬局域網的管理應用程序,根據交換機端口的標識ID,將端口對應到各分組中,分配到某個VLAN的各個端口上的所有站點都在一個廣播域中。它們相互可以通信,不同的VLAN站點之間進行通信需經過路由器來進行。這種VIAN方式的優點在于簡單,容易實現,從一個端口發出的廣播,直接發送到VLAN內的其他端口,也便于直接監控。它的缺點是自動化程度低,靈活性不好。   基于802.1QVLAN技術的校園「一卡通」的實現   一般來說,一個物理端口只屬于一個VLAN,這樣VLAN的數量必須與路由器以太網物理端口數量以及交換機用于級聯的端口數量保持一致,這將浪費大量的端口,並且極大地限制了VLAN的擴展和影響了劃分靈活性。爲了解決這一問題,讓一個物理端口傳輸多個VLAN數據流,可以使用「標簽」(Tag)技術,即在此端13上對每個數據幀貼上標簽(Tag)用于標記該幀所屬VLAN。支持802.1Q的交換機其端13有Tag、Untag之分。所謂Unmg,就是將802.1QVLAN的信息從數據包的包頭去掉。具有去標記能力的(untaggingenabled)端口會將VID、優先級和其它VLAN信息從所有進出該端口的數據包包頭中去掉。如果在此前數據包內沒有被標記過,那麽端口將不對該數據包進行改動即去標記(untagging),使得數據包能夠從一台支持802.1Q的交換機傳送到其它不支持802.1Q的交換機上。系統利用其VLAN標識號即VLANID來確定數據幀的轉發,需要網絡設備支持Tag封裝協議。基于802.1Q的VLAN技術具有很大的靈活性,我們用基于VLANTag技術組建私用專網。   由于各個校區相距比較遠,各工作部門分布于不同的校區,每個職能部門在各個校區都有自己的派出機構,因此,組建「一卡通」專網非常迫切。我們在各個校區配置一台三層交換機,帶兩個千兆模塊用以校區間的互聯,用單模光纖在各個校區間組成一個環(見圖2)。   設:每個交換機的l,2口劃爲—個VLAN,定義爲Backbone,在VLAN爲Backbone的Interface上定義IP,各個校區的互聯網關應該在同一個子網上,這樣就實現了IP互聯。有了環網就可以在上面開展各種應用,譬如:每個校區的三層交換機第3口用于食堂一卡通,就只需把l,2,3口劃爲一個VLAN,定義爲VLAN1,其中l,2口標以Tag。該三層交換機是不開動態路由的,各個私用專網要互相分開,如果要有新用戶加入,只要把l,213打上Tag加入到自己的VLAN裏就行,既方便,又容易查故障,是一種比較經濟的辦法。這種做法是把私網從公網中分開,如果要上公網就必須要有另外的物理通道,這樣有時又比較麻煩。另一種方法是用一台二層交換機作爲用戶的接入,把1-8口用于公網的用戶,把9一l6口用于私網的用戶,l7口爲上連,把1-8,17口劃爲VLAN1,其中l7口爲Untag,9-16,17臼劃爲VLAN2,其中17口爲Tag,三層交換機對應的下連13也要被劃爲兩個VLAN,VLANID,Tag,Untag都要跟二層交換機的VLAN相對應。再在三層交換機用Acl控制,就能比較好的保護私網,做到公網、私網用戶共用同一物理線路。但其安全性也不是很好,如果中間有好幾層交換機,那要一路打Tag,維護就比較困難的。   用二層交換機來劃分VLAN主要是劃分沖突域,而三層交換機主要是劃分廣播域。   結束語   基于VLAN技術的校園一卡通系統目前已在各個校園內實際運行,各方面性能良好。當然,基于VLAN技術的各種應用還有許多,如各類專用私網的構建,動態VLAN的應用等等,它是現今爲止可以借助于現有組網交換設備而不需額外投入的較爲節約的一種有效的專網構建手段。
󰈣󰈤
王朝萬家燈火計劃
期待原創作者加盟
 
 
 
>>返回首頁<<
 
 
 
 
 熱帖排行
 
 
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有