校園網是為學校師生提供教學、科研和綜合信息服務的寬帶多媒體網絡服務平臺。隨著信息技術的快速發展，當今的校園網功能已經不再局限于只向師生提供網絡接入服務，許多弱電工程項目也融入到校園網建設當中。南京信息職業技術學院校園信息化建設主要包括：

　　1、校園樓宇房間內部提供電話和計算機網絡接入業務，會議室與賓館區域增加電視業務。

　　2、公共場所覆蓋校園無線網。

　　3、視頻監控校園全覆蓋。

　　基于EPON技術的校園網建設與改造方案，通過PPPOE協議對上網用戶進行認證與計費，該方案不僅解決了校園信息資源共享中的安全問題，而且通過與中國電信合作共建的方式，實現電話、計算機網絡與電視業務的融合。

　　方案設計

　　1、樓宇內部采用綜合化布線方案。

　　在綜合布線系統中，信息插座和管理子系統(即中間配線架)之間的連接實現是水平子系統的功能，水平干線的設計包括水平子系統的傳輸介質與部件集成。選擇水平子系統的線纜，要根據建筑物內具體信息點的類型、容量、帶寬和傳輸速率來確定。從系統的兼容性和信息點的靈活互換性角度出發，水平子系統考慮采用同一種布線材料。超五類雙絞線用于語音傳輸和最高傳輸速率為1000Mbps的數據傳輸，因為電話和網絡接口都執行RJ標準(RegisteredJack：注冊插孔，是美國電子工業協會和電信工業協會確立的一種以太網連接器的接口標準)，設計語音(電話)信息點與數據信息點均采用非屏蔽超五類雙絞線，從而方便樓宇內部語音與數據端口功能的靈活切換。

　　2、與中國電信合作共同建設，校園網寬帶接入采用EPON鏈路與PPPOE認證相結合。

　　傳統交換式局域網采用三層模型架構。在校園網改造過程中，利用原有校園網構建校園業務網，主要提供認證計費服務數據庫、服務器與存儲、聯網打印機資源和校園IP視頻監控資源等。

　　EPON(以太網無源光網絡)是一種新型的光纖接入網技術，其典型的拓撲結構為樹型，它采用點到多點結構、無源光纖傳輸，在以太網之上提供多種業務。在物理層采用了PON(無源光網絡)技術，在數據鏈路層使用以太網協議，利用PON的拓撲結構實現了以太網的接入。因此，它綜合了PON技術和以太網技術的優點：低成本、高帶寬、擴展性強、靈活快速的服務重組、與現有以太網的兼容性和方便的管理等特性，是目前以太網最佳的組網方式。

　　圖1 EPON鏈路與PPPOE認證拓撲結構

　　圖1是設計的校園網新的拓撲結構圖，其中，EPON鏈路主要由OLT(光線路終端)、POS(無源分光器)和ONU(光網絡單元)和組成。

　　OLT放在中心機房，是EPON整個鏈路的控制中心，OLT一方面承載各種業務的信號在局端進行匯聚，按照一定的信號格式送入接入網，以便向終端用戶傳輸，另一方面將來自終端用戶的信號按業務類型分別送入各種業務網中。POS(無源光纖分支器)，是一個連接OLT和ONU的無源設備，它的功能是分發下行數據和集中上行數據。

　　POS的部署相當靈活，由于是無源操作，幾乎可以適應于所有環境，一般一個POS的分線率為8和16，并可以進行多級連接。

　　ONU(光網絡單元)位于遠端接入側，EPON中的ONU采用以太網協議，在通信過程中不需要進行協議轉換，實現ONU對用戶數據的透明傳送，保障從OLT到ONU之間高速的數據轉發[3]。校園網采用EPON網絡結構的優點：

　?、旁谠薪粨Q式三層結構網絡基礎上易于升級改造。在南京信息職業技術學院學生宿舍原先沒有布置局域網的情況下，設計直接建設EPON網絡；在辦公、教學等原先已經按照三層結構布置局域網的情況下，原有接入層交換機可以繼續使用。

　　⑵相對成本低，維護簡單，容易擴展，易于升級。從OLT端到ONU端之間僅有光纖、POS等光無源器件，無需租用機房、無需配備電源、無需有源設備維護人員，可有效節省建設和運營維護成本。采用單纖波分復用技術(下行1490nm，上行1310nm)，僅需一根主干光纖和一個OLT。

　　⑶能夠提供比較高的帶寬。EPON目前可以提供上下行對稱的1.25Gb/s帶寬，并且隨著以太網技術的發展可以升級到10Gb/s。

　　⑷服務范圍大。EPON作為一種點到多點網絡，以一種扇形的結構節省有限的光纜資源，能夠服務大量用戶。

　　PPPOE(基于以太網的點到點連接協議)，可以使以太網主機通過一個簡單的橋接設備連接到一個遠端的接入集中器上。

　　通過PPPOE協議，遠端接入設備能夠實現對每個接入用戶的控制和計費。PPPOE由BRAS(寬帶接入服務器)配合Radius(遠程用戶撥號認證系統)服務器實現對用戶的認證、計費。

　　使用PPPOE協議，BRAS設備必須位于用戶子網中或同一個VLAN(虛擬局域網)中，以確保二層廣播能夠正確使用，在圖2中BRAS作為RadiusClient位于OLT與核心路由設備之間，到用戶之間是純二層鏈路。Radius服務器位于校園業務網中，設計校園每個用戶有一個上網用戶名，用戶名后面可以跟不同域名，同一個用戶名加上不同域名構成賬號(用戶名@域名)進行認證，認證通過后根據域名采用虛擬路由技術進行不同的網絡路由。

　　采用PPPOE認證，由于網絡接入設備只有在認證通過以后才能上網，AP(無線接入點)未經認證與無線控制器之間數據不能交互，設計在認證計費系統中設置，將所有AP設備設置為“直通”即免登錄的聯網方式。采用PPPOE方式認證的優點：

　　⑴有效控制網絡廣播風暴：PPPOE上網方式由于采用二層認證，所有鏈路設備都工作在二層，故不存在網絡第三層廣播風暴的問題。

　?、朴行Х乐笰RP攻擊行為。ARP攻擊一直是高校傳統局域網的安全威脅，通過采用PPPOE認證上網模式，在用戶認證過程中上網主機獲取BRAS服務器(網關)MAC地址不再使用ARP協議，而是通過在認證發現階段的PADI報文和PADO報文的交換獲得MAC地址(物理地址)，從而杜絕ARP攻擊行為的發生。

　?、欠乐笽P地址沖突。PPPOE接入方采用動態分配IP地址，不存在用戶自行更改IP地址而產生地址沖突的問題。

　?、戎С諵OS(服務質量)，方便管理。采用PPPOE接入方式支持QOS業務，對不同的上網用戶進行不同的流量控制和計費策略，能夠實現基于時間或流量的上網計費以及基于帳號的用戶管理。

　?、捎行У刈柚共《韭雍途W絡盜號的安全威脅。PPPOE協議是把PPP(點對點)協議移植到以太網上應用的一種協議，用戶之間在邏輯上互不相通，這種點對點通信可有效防范網上病毒、木馬和蠕蟲感染其它用戶的機器。此外，網絡監聽軟件通常是利用以太網的廣播特性或ARP協議來實現監聽，而采用PPPOE認證接入方式，網絡用戶間通信是點對點通信，不適合監聽軟件的工作環境。

　　IPTV(交互式網絡電視)是一種集合寬帶有線電視網、互聯網、多媒體、通訊等多種技術于一體，面向家庭用戶提供的包括數字電視在內的多種交互式服務，用戶在家中應用IP機頂盒加普通電視機就可以享受到IPTV所提供的電視業務。與傳統的數字機頂盒相比，IP機頂盒實現了視頻、語音、數據三者的融合，即三網融合業務。

　　在會議室、賓館等區域，一個房間內部至少有三個RJ-45端口，一個端口接電話，連接PSTN(公共交換電話網)；一個端口用于用戶電腦連接，通過上網賬號用戶可以訪問Internet或者校園業務網；還有一個端口連接機頂盒，機頂盒與電視機相連，用戶使用中國電信分配的賬號(用戶名@ITV)直接收看電視節目，IPTV的認證計費服務由中國電信管理。

　　IP監控系統設計

　　IP監控是以IP網絡攝像機及其編碼器為硬件核心設備，視頻信號從前端便被編碼壓縮，并以網絡為傳輸載體，基于TCP/IP協議，采用流媒體技術實現視頻數據在網絡上傳輸，并通過網絡及軟件來實現對整個監控系統的調用、存儲和控制等功能。IP監控系統具有前端一體化、傳輸網絡化、處理數字化、管理智能化及系統集成化的特點，能夠滿足大容量、大跨度的應用需求。

　　原有的校園網經過改造后，運用原有二層和三層交換設備組建的交換式局域網供IP監控系統使用。設計將IP攝像機連接接入層交換機，視頻存儲設備直接連接核心交換，保障IP攝像機數據能夠快速、實時地傳輸到存儲設備上。校園網安防管理人員通過EPON鏈路使用user@njcit類型的上網賬號登陸，訪問校園業務網的視頻監控資源：可以直接根據IP視頻攝像機的IP地址訪問指定攝像機的實時監控視頻；也可以遠程連接視頻存儲服務器查看之前的視頻內容。

　　基于EPON與PPPOE技術的校園網改造項目方案設計與實施，保留了原有校園網主干設備與信息資源，解決了傳統交換式局域網存在的網絡安全威脅，在保障校園網安全的同時，實現了信息資源共享，通過與中國電信共同建設的模式，不僅減少了網絡建設與改造的開支，而且實現了電話、計算機網絡與電視業務的融合。