如图1-3所示，FW作为安全网关部署在校园网出口，为校内用户提供宽带服务，为校外用户提供服务器访问服务。学校还部署了RADIUS服务器，并在服务器上存储了用户/组和密码等信息，上网用户通过BRAS设备访问网络资源前必须先通过RADIUS服务器的认证。管理员可以根据现有的组织结构，在FW上手动创建或者使用文件批量导入相应的用户/组，然后通过策略来控制不同用户/组对网络的访问行为。为了提高校园网出口的可靠性，学校从ISP1和ISP2分别租用了1G带宽的链路，从教育网申请了10G带宽的链路。

图1-3  基于用户的策略控制组网图

由于学校网络的主要用途是学习和工作，所以在保证内网用户和服务器安全的同时，要合理分配带宽资源，并对网络流量进行负载分担，提升内外部用户的访问体验。校园网的主要需求如下：

• 用户与认证
  • 上网用户通过BRAS设备接入Internet，RADIUS服务器用于对员工进行认证。用户通过RADIUS认证后，无需在FW上再次认证。
  • 校内上网用户分为几类：包括教师、图书馆上网用户、公共区域上网用户、20元包月上网用户和50元包月上网用户。管理员希望基于用户来控制网络权限，需要FW上存储用户的信息，供策略引用。
  • 对于RADIUS服务器上的新增用户，即使FW上没有此用户的信息，也要允许其能够正常访问网络。
• 负载分担
  • FW可以基于用户属性控制其上网权限，并根据用户属性的差异选择不同的ISP链路转发相应流量。例如，教师和50元包月用户的流量可以根据报文目的地址从多个ISP链路转发出去；20元包月用户和图书馆上网用户的流量只能从教育网转发；公共区域上网用户的流量优先从教育网转发，当教育网链路过载时，也可以从其他ISP链路转发。
  • 各ISP链路的传输质量实际上是不同的，其中教育网和ISP2的链路质量较高，可以用来转发对时延要求较高的业务流量（例如远程教学系统的流量），ISP1的链路质量较差，可以用来转发占用带宽大、业务价值小的业务流量（例如P2P流量）。考虑到费用因素，访问其他高校服务器的流量、图书馆内用户的上网流量、所有匹配缺省路由的流量需要从教育网链路转发出去。
  • 由于校内用户自动获得的是同一个DNS服务器地址，所以流量将从同一条ISP链路转发出去。学校希望充分利用其他链路资源，所以要分流部分DNS请求报文到其他ISP链路上。如果只是改变了报文的出接口，还是无法解决后续上网流量集中在一条链路上的问题。所以要将报文发送到不同ISP的DNS服务器上，这样解析后的地址就属于不同的ISP，达到了分流的目的。
  • 学校内部署了DNS服务器提供域名解析服务，不同ISP的用户访问学校网站时，可以解析到属于自己ISP的地址，不会解析到其他ISP的地址，提高访问质量。
  • 由于访问图书馆服务器的流量较大，所以需要部署2台服务器对流量进行负载分担。
• 地址转换
  • 校内用户访问Internet时需要使用公网IP地址。
  • 校内服务器使用公网IP地址同时为内、外网用户提供服务，例如图书馆服务器、Portal服务器、DNS服务器等。
• 安全防护
  • 按照网络设备所处的位置划分不同区域，并对各区域间的流量进行安全隔离，控制各区域间的互访权限。例如，允许校内用户访问外网资源，只允许外网用户访问校内服务器的指定端口。
  • 能够防御常见的DDoS攻击（例如SYN flood攻击）和单包攻击（例如Land攻击）。
  • 能够对网络入侵行为进行阻断或告警。
• 带宽管控由于带宽资源有限，所以学校希望限制P2P流量占用的带宽比例，并根据用户属性限制每个用户的P2P流量。其中，教师和50元包月用户可以拥有2M的P2P流量带宽，其他用户可以拥有500K的P2P流量带宽。常见的P2P流量主要来源于下载软件（如迅雷、电驴、BT、Ares、Vuze）、音乐软件（如酷我音乐盒、酷狗、SoulSeek）或视频网站或软件（如百度影音、爱奇艺、搜狐影音）。
• 溯源审计
  • 为了防止个别校内用户的不当网络行为对学校声誉造成伤害，并做到事后能够回溯和还原事件，需要对校内用户的网络行为进行审计，供日后审查和分析。需要审计的行为主要包括URL访问记录、BBS和微博的发帖内容、HTTP上传和下载行为、FTP上传和下载行为。
  • 学校部署有日志服务器，需要在日志服务上查看攻击防范和入侵检测的日志，并且能够查看NAT转换前后的IP地址。