摘 要 介紹了PPPoE與VLAN相結合的校園網寬帶接入方式，詳細分析了BRAS與RADIUS的配置情況。
關鍵詞 PPPoE；VLAN；BRAS；RADIUS
1.1 引言
當前，隨著高校校園網絡規(guī)模不斷擴大，除建立一個穩(wěn)定可靠的網絡外，選擇一個好的寬帶接入方式也尤為重要。傳統以太網接入方式主要有3種，固定IP、DHCP和PPPoE。分別在網絡不同發(fā)展階段發(fā)揮相應的作用。但隨著網絡規(guī)模擴大和復雜度增加，PPPoE接入方式越來越體現出較強的優(yōu)越性。我校將VLAN技術與PPPoE相結合，采用BRAS和RADIUS接入認證，完成了PPPoE在校園網中的部署。
2 三種寬帶接入方式的比較
2.1 用戶管理和開銷方面：
隨著網絡規(guī)模的擴大，傳統上固定IP地址管理方式變得比較困難，用戶惡意更改或者嘗試自行設置自己的IP地址，都會造成管理上的麻煩，增加管理的額外開銷。
而DHCP管理方式，一方面存在較多的廣播開銷，對于用戶較多的局域網會造成網絡運行效率下降和配置困難；另一方面，仍然無法解決用戶自行配置IP地址的問題。
PPPoE由于采用動態(tài)分配IP地址方式，用戶撥號后無需自行配置IP地址、網關、域名等，它們均是自動生成，不存在用戶自行更改IP地址的問題，對用戶管理方便，而且PPPoE協議是在包頭和用戶數據之間插入PPPoE和PPP封裝，這兩個封裝加起來也只有8個字節(jié)，廣播開銷很小。
2.2 計費策略方面
固定IP和DHCP方式計費策略不靈活，一般采用包月制，如要實現流量計費功能則必須要有相應的流量監(jiān)視或采集系統，或是在高端路由器上啟動記帳功能，然后應用SNMP進行計費，這有可能造成路由器運行效率下降。
PPPoE則可以實現對用戶的靈活計費，可以按時長、流量計費，也可采用包月制。
2.3 用戶服務策略定制方面
固定IP和DHCP方式只能配合IP地址轉換和地址訪問列表控制來制定簡單的服務，若要對特定用戶進行流量控制，必須購買流量控制設備。
PPPoE支持業(yè)務QoS保證，可方便地對用戶進行實時流量控制。
2.4 信息安全方面
固定IP、DHCP和PPPoE都可以采用細化VLAN的方式來解決用戶信息的安全問題，將局域網交換機的每個端口配置成獨立的VLAN，利用VLAN可以隔離ARP、DHCP等攜帶用戶信息的廣播消息，從而使用戶數據安全性得到提高。固定IP地址方式為了識別用戶合法性需將IP地址和端口VID進行綁定，每個用戶處于邏輯上獨立的網內，所以對每個用戶要配置一個子網的4個IP地址：子網地址、網關地址、子網廣播地址和用戶主機地址，這樣會造成地址利用率降低，而PPPoE采用認證、授權的方式不存在這個問題。
2.5 第三層廣播風暴
固定IP和DHCP方式都不能解決第三層廣播風暴問題，第三層廣播風暴影響同一IP子網所有用戶的使用質量。PPPoE方式由于采用二層隧道認證，所有鏈路設備都工作在第二層，不存在第三層廣播風暴問題。
2.6 PPPoE認證優(yōu)勢
PPPoE認證客戶機首先要有PPPoE協議驅動軟件，在前端由BRAS服務器配合RADIUS服務器實現對用戶的認證、計費。
認證過程：用戶撥號發(fā)出請求，經過網絡傳送到BRAS服務器，BRAS服務器接到請求后向RADIUS服務器發(fā)出
access REQUEST請求包，其中含有用戶的帳號、密碼、端口類型等，經RADIUS服務器核實后，向BRAS回送ACCESS REPONSE響應包，其中包含用戶的合法性和一些設置，如用戶IP地址、掩碼、網關、域名、用戶可使用的帶寬等。用戶接收到這些信息后就可以接入網絡，聯網期間BRAS不斷向RADIUS發(fā)送計費信息，這些信息包括用戶的上網時間、用戶流量、用戶下網時間等，以便RADIUS準確計費。
以上比較可以看出，PPPoE同其它兩種接入方式相比具有較大的優(yōu)勢。而從PPPoE認證過程可以看出，BRAS服務器在整個鏈路中起到關鍵的作用，要實現大而全的功能，包括認證、連接、終接、安全管理、計費業(yè)務匯聚、收斂等功能。
3 我校PPPoE接入情況
中國礦業(yè)大學校園網以Cisco6513為網絡核心，以Cisco6503作為邊界路由器連接出口。在PPPoE接入中，以Juniper ERX-310作為BRAS，與核心交換機Cisco6513的Gi12/26口做三層對接，以迪威達康認證計費管理系統作為Radius服務器。銳捷6806與銳捷21系列交換機跟Cisco6513之間起TRUNK協議，各接入層交換機下連端口指定二層VLAN158，提供認證服務。
詳細網絡結構如圖1所示。
圖1 網絡拓撲
3.1 Cisco6513配置
做端口對接，并設置允許用于認證的二層隧道，VLAN158。
interface GigabitEthernet12/26
description link_erx_gi1/1
switchport
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 158
switchport mode trunk
no ip address
rmon collection stats 6083 owner monitor
!
指定對接VLAN
interface Vlan401
description link-juniper310_default
ip address 172.30.1.1 255.255.255.252
ip route-cache flow
!
做針對地址池的路由
ip route 219.219.42.128 255.255.255.128 172.30.1.2
ip route 219.219.43.128 255.255.255.128 172.30.1.2
3.2 Juniper ERX-310對接配置
interface gigabitEthernet 1/0.10
vlan id 401
ip address 172.30.1.2 255.255.255.252
!
ip route 0.0.0.0 0.0.0.0 172.30.1.1
3.3 Juniper ERX-310主要配置
采用default 虛擬路由器（VR）配置
virtual-router default
!
aaa domain-map none
router-name default
ipv6-router-name default
!
PROFILE定義配置，PROFILE用來指定一個IP 端口的相關的屬性或特性，只要在全局定義一次，就可以在多個VR中被多個接口應用。
profile pppoetest
ip unnumbered loopback 0
ppp authentication pap chap
ppp keepalive 300
pppoe url "cn.juniper.net"
!
aaa詳細參數配置
virtual-router default
aaa authentication atm1483 default radius
aaa accounting atm1483 default radius
aaa authentication ip default radius
aaa accounting ip default radius
aaa authentication ipsec default radius
aaa accounting ipsec default radius
aaa dns primary 202.119.200.10
aaa dns secondary 202.119.199.67
aaa authentication ppp default radius
aaa accounting ppp default radius
路由器地址大全-各品牌路由設置地址
各品牌的ADSL與路由器出廠默認IP、帳號、密
Nslookup命令詳解-域名DNS診斷
站長裝備：十大網站管理員服務器工具軟件