典型數據傳輸平臺在一卡通中的應用
文章出處：http://www.nyfzw.net 作者：謝銳 人氣： 發表時間：2011年11月07日
傳統的一卡通網絡在建設中通常會有三種典型的數據傳輸平臺，即物理光纖、VLAN以及IPsec VPN方式，分別介紹如下：
物理專網方式
在光纖資源足夠的情況下，對于校園一卡通網絡傳輸平臺的建設，可以考慮采用獨立光纖連接專用網絡設備的方式構造物理上與現有園區網完全獨立的網絡。物理隔離方式具備極高安全性，但需要增加不低的投資成本。在校園一卡通的推廣初期，更多的單位從系統安全角度出發，往往都會采用這種物理專網的方式。采用這種方案組網費用較大、擴展性較差，對于該物理專網還需要投入專門的人力資源和專門的網管系統，維護的成本也非常高，其在推廣過程中受到了一定的阻礙。
VLAN技術
隨著校園網的進一步完善，虛擬網技術的應用，防火墻技術的加強，利用校園網VLAN功能進行校園一卡通的建設已成為各集成公司的首選。在實施中，首先要在校園網VLAN中劃出一個一卡通專用虛擬網，并與其它校園網用戶的虛擬網之間取消路由功能，在邏輯上與校園網隔開，該虛擬網在整個校園網內透傳，將分布在不同結點的相關主機和工作站接入到一卡通管理系統中，從而保證了一卡通專網的安全性。專網通過防火墻或雙網卡網關與校園網連接，可以為全校師生提供基于校園網的Web查詢；另一方面經過路由器與銀行連網，以實現校園一卡通系統的實時銀聯服務。按上述要求劃出虛擬網后，就可以像單獨組網方式一樣進行網絡結構設計。VLAN 隔離方式無須增加任何投資.VLAN隔離方式具備管理靈活，易于控制，節省投資的特點。
但是這種VLAN透傳的方式可擴展性比較差。隨著一卡通終端的部署，必須及時將vlan配置到需要部署的交換機上去，另一方面隨著終端的增加，網絡配置工作量隨之增加，二層網絡范圍將越來越大，廣播風暴可能性增加。同時由于校園網中網絡設備的多樣性，無法在二層上使用快速鏈路恢復機制。即使目前存在著一些二層保護協議，但是要么如STP一般收斂速度過慢，要么如一些EAPS的私有協議，只被部分廠商支持。
IPsec VPN
還有一種常見的技術是在一卡通站點(site)之間采用IPsec VPN技術。
IPsec是IETF為在IP層提供安全服務而定義的一組相關協議的集合。通過定義三種傳輸協議：頭部認證協議(AH)、封裝安全載荷協議(ESP)和Internet密鑰交換協議(IKE)，IPsec VPN提供完整的保護機制，包括訪問控制、無連接的完整性認證、數據來源認證、抗重傳、數據保密和有限的通信流量保密等，從而有效地保護了數據包的安全。IPsec VPN將要傳輸的數據封裝在IP里來穿越互聯網，VPN網絡層網關接受傳來的封裝過的數據包，然后拆包、轉換，發送到接受方。在VPN網關之間傳遞信息就像在局域網內的數據傳遞一樣。這樣即便信息被截取，也無法偷窺或篡改內容，從而保證通過互聯網連接的局域網間通信的安全性、機密性、可認證性和完整性。這種方法簡化了在地理上分散的站點之間正常通訊和用戶間資源共享的實現。
兩個一卡通站點之間可以通過IPsec VPN的方式連接起來，通過建立隧道，安全認證，加密傳輸等機制對一卡通管理區域進行訪問，構建相互信任方之間的安全加密信息傳輸通道，達到專用網絡的效果。在設備的性能足夠的情況下，除VPN 功能外，還可以實現應用層的訪問控制過濾。
Site-to-site的IPsec VPN連接方式適合于小型的一卡通網絡；中等規模的一卡通網絡可以使用Full Mesh的隧道連接方式；對于大型的一卡通網絡，可以采用Hub-and-Spoke的隧道連接方式，這需要集中的服務器，即IPsec VPN中心網關(不過這在各個節點之間增加了大量投資和一個單點故障)。
