用户管理与网络计费

网络计费采取预交费模式，提供包月、计时、计流量等多种计费策略，国际流量可以单独计费。对于欠费的用户可以自动关闭对收费资源的访问。用户管理模块提供开户、修改密码、维护用户信息等功能，用户可以通过自助Web界面实现修改密码、费用状况查询、访问记录查询，以及反馈上网过程中遇到的问题。

地址管理

通过控制路由器或三层交换机网关设备上的ARP表，实现IP地址和硬件MAC地址的绑定，地址管理模块提供IP地址、MAC地址和用户主机信息的录入和维护，可以提供禁用或开通用户主机的网络的访问。目前可以支持Cisco和华为的设备。图8是地址管理界面。

访问控制

源访问控制可以控制内部主机对外部网络的访问，控制策略包括认证访问、收费认证访问、不受控、拒绝、国际、国内访问。目标访问控制可以允许或拒绝对目标的访问。可以自动利用CERNET的国内路由表来区分国内/国际流量。对于受控网络资源的访问可以自动重定向到认证界面，通过身份认证后才允许访问。这种重定向是通过劫持TCP的三次握手过程实现的。

服务质量控制

随着网络应用的丰富，对带宽的需求是没有止境的。特别是P2P应用基本上是有多少带宽就占用多少，因此无论出口带宽有多大，都会被耗尽。山大校园网只有到CERNET的一个千兆出口，24小时都是100%的利用率，实际上早已成为瓶颈。通过系统的流量采集和流量分析功能可以很容易地确定流量的构成，从而发现90%以上的流量都是未知流量，通过进一步分析发现大多数都是P2P流量。

山东大学有1个B类IP地址，有近3万台计算机接入校园网，仅学生宿舍就有近1.8万台，这些计算机由于使用互联网全局IP地址，是直接暴露在互联网上的对等连接。根据P2P应用文件交换的“人人为我，我为人人”原则，在文件下载的同时，也为别人提供下载服务，这种情况对于直接使用互联网全局IP地址的教育网尤为严重。从系统在出口上的流量检测可以看出，出的流量比入的流量还要大，这对于不具备大量信息资源的区域网络是不正常的。这些占用宝贵出口带宽资源的文件交换流量主要是什么内容呢？从调查分析来看，主要是电影、音乐和少部分软件等。这些流量已经严重影响了传统的Internet访问，有必要采取措施保证正常应用的服务质量。

而保证QoS，实现区分服务的关键，是对流量的识别和分类。在新的网络应用层出不穷、P2P应用可以随意设置服务端口的情况下，对于流量的识别是非常困难的，因此我们采取比较简单也非常有效的原则，就是“保证已知，限制未知”原则。对未知流量进行带宽限制，而不是封掉，并且是在充分利用带宽的前提下使用该原则，因此不会造成某些应用的中断。图9和图10分别给出了采取措施前后的24小时流量变化情况，这是南校区学生宿舍网出口的流量，访问控制是在早上8：30到晚上10：00生效，可以从图上很明显地看到效果。图9给出的流量变化非常典型，学生只有在凌晨的时候才让网络休息。

带宽控制是通过流量监管实现的，流量监管是基于流量的速率限制，系统可以监督某一流量的速率，如果流量超出指定的规格，就采用相应的措施，如丢弃那些超出规格的报文或重新设置它们的优先级。流量监管的一个实例是承诺访问速率CAR。CAR广泛地用于监管进入网络设备的网络流量，它依据对流量不同的评估结果，实施预先设定好的监管动作。

从几年的网络管理维护经验来看，只有适合自己需要的系统才是最好的系统，只有结合需求自己动手，才能得心应手。虽然这套系统开发周期比较长，但也是一个不断适应需求变化和网络状况变化的过程，目前的应用效果比较理想。
                                                       《中国教育网络》06年6月刊