专网和现网促进校园一卡通建设

文章出处：http://www.nexussmartsolutions.com 作者：叶新恩 刘璀   人气： 发表时间：2011年11月07日

    随着校园信息化建设的不断进行，校园一卡通作为促进校园信息建设的一个重要环节，在方便师生员工工作、生活、学习，加强学校财务管理等方面发挥着越来越重要的作用。一卡通应用在各大高校中逐渐普及，甚至有些中学和技校也开始进行相应的校园一卡通系统建设。

    总体思路

    校园网的建设和卡片技术的日渐成熟，为校园一卡通系统的发展提供了技术保障。校园一卡通的应用覆盖学校综合消费系统(收、缴费及各类款项支取，校内各类消费)和信息查询系统(身份认证、门禁、考勤、图书借阅等)，已成为校园管理信息化发展的必然趋势。

    一卡通系统是比较复杂、庞大的系统，因此其建设首先要考虑到学校未来发展规划，所采用的技术、硬件设备、安全解决方案等不仅要满足现有的需求，更应该保证在未来若干年能够进行产品的升级或更新换代。其次还应考虑到为了有效利用学校的网络资源，要在校园网基础设施的支持下，建设一个体现先进管理手段和服务质量的、具有高应用水平的校园一卡通卡应用系统。

    卡片的选择和扇区功能设计

    根据学校的实际情况，校园卡一般应选用具有一定容量的非接触式射频卡（如飞利浦Mifare S70智能卡，卡片容量4K byte）。射频卡在读写时处于非接触操作状态，避免了由于接触不良所造成的读写错误等误操作，同时避免了灰尘、油污等外部不良环境对读写卡的影响。它具有以下优良性能：（1）操作简单、快捷。采取无线通迅方式，使用时无方向要求，所以使用起来十分方便。（2）防冲突。卡中存有快速防冲突机制，能防止卡片之间出现数据干扰，因此终端可以同时处理多张卡片。（3）卡中有多个分区，每个分区都有自己的密码，所以可以将不同的分区用于不同的应用，实现一卡多用。 

    学校根据需求对卡片规划进行了初步的安排。

    卡片0扇区：0扇区存储卡片序列号、相关参数；

    基础扇区：一卡通系统正常使用2个扇区，包括身份信息公共区（1个扇区）和金额区（1个扇区）；

    备份扇区：交易流水、余额备份，使用3个扇区；

    门禁扇区：存储门禁系统权限数据，主要指宿舍门锁的控制信息；

    图书扇区：存储现有图书管理系统条码号，读卡时可直接模拟条码信息；

    水控扇区：用于结算式浴室水控和开水房控制系统；

    预留扇区：其他拓展应用。

    网络系统的设计

    目前校园一卡通网络的建设，一般有两种方式：一是采用单独构建专网的方式；二是利用现有的校园网络。

    一卡通采用专网具有以下优势：

    安全性高：与校园网隔离，易防范各种不安全因素；

    稳定性高：一卡通独立使用带宽，网络环境良好。 

    存在的问题有：

    投资高：所有一卡通相关地点都需要布设信息点，随着一卡通需求的增加，专网建设费用增加；

    项目周期长：一卡通专网需要大量的前期网络布线工作；

    扩充应用较困难：一卡通的应用范围较广，分布在校园内多个地方，而很多应用系统的扩充只需要一个或几个信息点。

    基于校园网的一卡通系统有以下优势：

    投资低：无须购置更多的交换设备，充分利用校园网资源；

    项目周期短：免去了专网设计、布线等大量工作；

    扩充应用更加容易：多数应用系统已被校园网覆盖。

    存在的问题有：

    安全性较差：校园网容易受到内外部多种途径的攻击，病毒、木马等不安全因素较多；

    稳定性较差：校园网因为使用用户诸多，容易发生网络堵塞或故障； 

    中央财经大学的一卡通网络建设中，结合了以上两种方式。校园一卡通核心交换机采用一台独立设备，与关键应用部分（如食堂、澡堂等存在大量数据交换的地方）采用专网，保证大量数据的及时传输。在其他一卡通应用的地方（往往只有1~2个信息点，如分布在学校各个角落的自助机和供学生查询消费流水用的服务器等），通过现有的校园网络传输。在校园网上进行ＶＬＡＮ划分，划出一卡通专用虚拟网，在逻辑上与校园网分开，校园网核心交换机和一卡通核心交换机之间使用防火墙隔离，通过设置防火墙规则来保证一卡通系统的安全性。

    数据中心和业务子系统的建设

    一卡通系统分为数据中心和业务子系统两大部分。数据中心包括后台服务器和前置机。业务子系统包括校园涉及到一卡通服务接入的所有地方，包括消费子系统，门禁子系统和图书借阅接口等。

    1．数据中心

    数据中心基于SAN光纤交换机来组建存储网络，包括中心服务器、磁盘阵列等。学校中心服务器（使用IBM P550小型机，操作系统为AIX 5L）由2台服务器组成双机热备，采用共享的磁盘阵列（IBM DS4700）提供数据存储服务。通过磁带机与服务器相连，一方面可以定期数据备份，另一方面可以采用异地备份方式以备灾难恢复。

    2．前置机

    前置机包括综合前置机、转账前置机和查询前置机等,使用传统的PC服务器即可。 

    综合前置机负责提供全局配置参数的设定和更改、黑白名单等信息的实时同步管理、全系统各个接入子系统的安全性控制、密钥的产生与更新管理、自动开工结账、对接入校园卡平台的各种子系统设备的状态监控等功能。

    转账前置机作为学校端的唯一出口，负责与银行前置机实时通讯，依靠专线连接，同时管理、监控遍布各校区的自助转账终端。

    查询前置机是连接校园卡中心与全校查询终端之间的关键枢纽，采用J2EE架构，提供网上查询服务。

    3. 校园一卡通中各个应用子系统建设符合自己系统使用、管理的网络，应用服务器或工作站通过VLAN同一卡通中心进行连接，而应用服务器或工作站到终端设备采用专业网络实现连接，如消费和水控系统的RS485网络、门禁RS485网络等，以此形成校园一卡通的整体网络结构。

    保证系统安全性

    一卡通系统安全性应从网络环境的安全性、主机系统的安全性、应用系统的安全性、卡片的安全性、密钥管理体系以及数据的安全性几个方面来讨论。 

    1.网络环境的安全性，校园网一卡通系统的部分网络环境采用在校园网的基础上划分虚拟专网（VLAN）的方式，因此其安全性必须考虑以下方面：

    （1）重要数据加密传输，保证数据的完整性和私密性。

    系统对数据传输与存储环节中所使用的密钥和关键的加密算法采用严格的安全措施。学校转帐前置机与银行前置机之间数据采用金融业标准的MAC校验运算。MAC运算的DES密钥采用动态密钥。校园内部自助终端与学校转帐前置机之间采用DES加密，MD5数字签名，动态密钥。持卡人的银行卡密码由PSAM卡进行金融标准的PIN加密处理，有效防止密码外泻，保护持卡人和银行利益。

    （2）通过应用网关，隔离校园卡专网和校园网。

    为了进一步提高系统的安全性，在网络设计上，应采用应用网关，隔离原有的校园网和校园卡网络，采用路由器加防加火墙的硬件保障机制。通过防火墙可以过滤掉不安全的数据包，控制用户对系统的访问，实现集中的安全管理。

    2.主机系统的安全，包括采用安全的操作系统以及数据库系统。数据库提供多种数据备份方式，尤其是在线数据备份可保证系统7×24小时的运行，同时可靠支持机制可能实现数据库系统的快速灾难恢复，确保数据的绝对可靠。 

    3.应用系统的安全，应用系统原则上只保留自已私有的数据，重要数据均存放于数据中心，从而实现应用与数据处理分离，使得应用系统安全可靠。

    4.卡片的安全性，应用中采用一卡一密、一区一密的加密机制，防止被盗滥用。加入专用标识，采用专用算法，有效地防止伪卡。

    5. 密钥的安全性，系统每天都产生一个新的动态密钥，密钥生成后不会写入到硬盘中，而是一直驻留在中心服务器的内存中，在密钥的整个生命周期中（一般为一个工作日），即使系统管理员也无法读取密钥内容，这种机制可以很大程度上保证系统的安全性。 
 
    6.数据的安全，数据中心采用磁带脱机保存一卡通系统的重要数据，确保了数据的安全性。

    校园一卡通工程是数字化校园建设的基础工程，可以通过校园一卡通的建设，逐步形成全校范围的数字空间和共享环境。校园一卡通系统各项功能的实现，不但在生活和学习上会为学校师生员工提供极大方便，同时也会极大地提升学校的管理水平和科学决策水平，成为学校实现现代化管理的标志。