淺談校園網(wǎng)網(wǎng)絡(luò)安全體系

摘 要：隨著信息技術(shù)的快速發(fā)展，國(guó)內(nèi)外高校信息化建設(shè)水平日益提高，大多數(shù)高等院校建立了校園網(wǎng)絡(luò)體系，在信息技術(shù)為高校帶來便利的同時(shí)，信息安全問題變得日益突出。為解決校園網(wǎng)的安全問題，結(jié)合安徽中醫(yī)藥高等?？茖W(xué)校的實(shí)際情況及設(shè)計(jì)方案，提出了校園網(wǎng)網(wǎng)絡(luò)安全體系部署。本文的研究成果為其他高校校園網(wǎng)絡(luò)的建設(shè)具有一定的參考和借鑒價(jià)值。

關(guān)鍵詞：校園網(wǎng)；網(wǎng)絡(luò)安全；安全體系；安全部署；安全實(shí)現(xiàn)

中圖分類號(hào)：TP393.08

校園網(wǎng)在學(xué)校日常的教學(xué)、科研、管理工作方面發(fā)揮除了巨大作用。利用網(wǎng)絡(luò)可以實(shí)現(xiàn)對(duì)信息更快的傳遞、更加充分的對(duì)網(wǎng)絡(luò)資源進(jìn)行共享、提高工作效率、更加合理的利用和配置優(yōu)質(zhì)教學(xué)資源。隨著網(wǎng)絡(luò)規(guī)模、用戶數(shù)量以及網(wǎng)絡(luò)開放程度的日益增大，校園網(wǎng)的安全問題也就快速顯現(xiàn)出來。大多數(shù)高校校園網(wǎng)都面臨著嚴(yán)峻的網(wǎng)絡(luò)威脅，這些威脅主要來自人為疏忽和技術(shù)漏洞，致使網(wǎng)絡(luò)易受惡意軟件、黑客或病毒的攻擊，這些都嚴(yán)重影響了校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)的使用和正常工作的開展?？梢哉f，在各所高校網(wǎng)絡(luò)建設(shè)過程中，網(wǎng)絡(luò)安全問題已經(jīng)成為一個(gè)我們無法回避、不得不面對(duì)的首要問題。如何保證校園網(wǎng)的安全，已成為當(dāng)前高校數(shù)字化校園發(fā)展的重要問題[1-2]。面對(duì)網(wǎng)絡(luò)安全威脅逐漸增加，采取怎樣的措施來解決這些網(wǎng)絡(luò)安全問題變的至關(guān)重要，筆者結(jié)合安徽中醫(yī)藥高等?？茖W(xué)校的實(shí)際情況及設(shè)計(jì)方案，提出了校園網(wǎng)網(wǎng)絡(luò)安全體系部署。

1 網(wǎng)絡(luò)設(shè)備及網(wǎng)絡(luò)安全設(shè)備選型

綜合后期升級(jí)維護(hù)且可以有效利用資源，我們提出如下選型：

1.1 核心層交換機(jī)。核心層交換機(jī)一般都是三層交換機(jī)或者三層以上的交換機(jī)，該層設(shè)備對(duì)于冗余能力、可靠性和傳輸速度方面要求較高。根據(jù)校園網(wǎng)整體需要，核心交換機(jī)應(yīng)該具有極高的轉(zhuǎn)發(fā)速率、第3層支持、千兆以太網(wǎng)/萬(wàn)兆以太網(wǎng)、鏈路聚合、冗余組件、服務(wù)質(zhì)量（QoS）等功能。綜合考慮，安徽中醫(yī)藥高等?？茖W(xué)校核心交換機(jī)選用是銳捷RG-S8600高密度多業(yè)務(wù)IPV6核心路由交換機(jī)。該交換機(jī)面向十萬(wàn)兆平臺(tái)設(shè)計(jì)的下一代高密多業(yè)務(wù)IPV6核心路由交換機(jī)，支持下一代的以太網(wǎng)100G速度接口，滿足未來以太網(wǎng)絡(luò)的應(yīng)用需求，提供14橫插槽設(shè)計(jì)，10豎插槽設(shè)計(jì)和6橫插槽設(shè)計(jì)三種主機(jī)。

1.2 匯聚層交換機(jī)。這一層交換機(jī)的主要功能是實(shí)現(xiàn)路由，重新分配路由協(xié)議、訪問表，包過濾和排序，網(wǎng)絡(luò)安全如防火墻等；在Vlan之間進(jìn)行路由，以及其他工作組所支持的功能；定義組播域和廣播域等策略。安徽中醫(yī)藥高等專科學(xué)校核心交換機(jī)選用是銳捷RG-S5750系列安全智能的萬(wàn)兆多層交換機(jī)，該設(shè)備可以提供12個(gè)SFP千兆光口，又可以提供24或48個(gè)10/100/1000M自適應(yīng)的千兆電口，還可以提供PoE遠(yuǎn)程供電的接口，所以說它的接口形式和組合非常靈活。

1.3 接入層交換機(jī)。接入交換機(jī)一般用于直接連接電腦，校園網(wǎng)接入層主要特點(diǎn)為突發(fā)流量大，上網(wǎng)時(shí)間集中，網(wǎng)絡(luò)布點(diǎn)分撒，難于統(tǒng)一管理，所以在接入層的認(rèn)證方式采用802.1X。 綜合考慮，安徽中醫(yī)藥高等?？茖W(xué)校接入交換機(jī)選用是銳捷RG-S2300系列千兆安全智能交換機(jī)，通過實(shí)施多種多樣的安全策略，有效防止和控制網(wǎng)絡(luò)病毒擴(kuò)散，更可提供基于硬件的IPV6 ACL，方便未來網(wǎng)絡(luò)的升級(jí)擴(kuò)展。高級(jí)QOS機(jī)制適應(yīng)網(wǎng)絡(luò)中多業(yè)務(wù)的順利開展，為服務(wù)質(zhì)量提供保證。

1.4 防火墻。防火墻一般是作用在外網(wǎng)與內(nèi)網(wǎng)、公共網(wǎng)與專用網(wǎng)之間的一道安全屏障，它主要由硬件和軟件共同組成，它在Intranet與Internet之間建立起一個(gè)安全網(wǎng)關(guān)（Security Gateway），以達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)不受外部網(wǎng)絡(luò)的攻擊，防火墻一般由包過濾、應(yīng)用網(wǎng)關(guān)、服務(wù)訪問規(guī)則、驗(yàn)證工具四個(gè)部分組成。綜合考慮，安徽中醫(yī)藥高等專科學(xué)校接入交換機(jī)選用是CISCO ASA5540-K8。

1.5 NPE40系列網(wǎng)絡(luò)出口引擎。RG-NPE（Network outPut Engine，網(wǎng)絡(luò)出口引擎）基于多核處理器技術(shù)進(jìn)行構(gòu)架，具備轉(zhuǎn)發(fā)高性能，內(nèi)嵌狀態(tài)防火墻，此外，NPE針對(duì)國(guó)內(nèi)普遍存在的NAT進(jìn)行優(yōu)化，該產(chǎn)品融入了智能DNS和多鏈路負(fù)載均衡技術(shù)，使得用戶對(duì)內(nèi)外訪問都能智能選擇最優(yōu)最快速路徑；集成了DPI引擎，讓網(wǎng)絡(luò)管理者輕松應(yīng)對(duì)P2P等應(yīng)用的流量控制；重構(gòu)了Web界面，讓NPE網(wǎng)絡(luò)出口引擎的專業(yè)在設(shè)備管理維護(hù)層面變得簡(jiǎn)化。

1.6 RG-SNC智能網(wǎng)絡(luò)指揮官網(wǎng)管系統(tǒng)。網(wǎng)管系統(tǒng)主要可以進(jìn)行網(wǎng)絡(luò)設(shè)備的遠(yuǎn)程控制、設(shè)置、維護(hù)、管理，從而大大的降低了網(wǎng)絡(luò)維護(hù)工作的繁雜、耗時(shí)性。該系統(tǒng)還具有主動(dòng)式網(wǎng)管的功能，可積極主動(dòng)的收集網(wǎng)絡(luò)信息，對(duì)網(wǎng)絡(luò)信息和網(wǎng)絡(luò)變更情況及時(shí)備份，及時(shí)恢復(fù)故障點(diǎn)。

2 網(wǎng)絡(luò)系統(tǒng)安全技術(shù)實(shí)現(xiàn)

2.1 VLAN劃分。考慮到校園網(wǎng)的多用戶，多樓宇等復(fù)雜性，本方案準(zhǔn)備對(duì)虛擬局域網(wǎng)進(jìn)行劃分的依據(jù)是網(wǎng)絡(luò)層，不同的網(wǎng)絡(luò)層劃分成不同的網(wǎng)段，這種劃分的方法不牽涉到網(wǎng)絡(luò)層路由，只是根據(jù)網(wǎng)絡(luò)中每個(gè)主機(jī)的網(wǎng)絡(luò)層地址或協(xié)議類型來劃分。實(shí)際操作中本方案將學(xué)校網(wǎng)絡(luò)劃分為多個(gè)VLAN，教學(xué)區(qū)和學(xué)生宿舍分開，每個(gè)樓宇使用不同的編號(hào)表示，比如，辦公樓為111，教學(xué)樓211，以此類推。

2.2 用戶認(rèn)證。用戶認(rèn)證是網(wǎng)絡(luò)安全一個(gè)重要組成部分，本方案將施行統(tǒng)一實(shí)名身份認(rèn)證體系。如圖1所示，通過ESS建立校園網(wǎng)公共認(rèn)證平臺(tái)，可實(shí)現(xiàn)有線用戶、無線用戶、遠(yuǎn)程訪問的VPN用戶的統(tǒng)一認(rèn)證，同時(shí)，可以實(shí)現(xiàn)有線無線的統(tǒng)一拓?fù)涔芾?、批量配置及?shí)時(shí)告警等功能。

2.3 數(shù)據(jù)備份與恢復(fù)。網(wǎng)絡(luò)數(shù)據(jù)是系統(tǒng)賴以生存的基礎(chǔ)，一些重要的數(shù)據(jù)一旦丟失或損壞都將造成不可估量的損失。如何確保數(shù)據(jù)的完整性，備份數(shù)據(jù)是唯一的解決方案，在數(shù)據(jù)備份上安徽中醫(yī)藥高等?？茖W(xué)校使用全盤備份與差分備份相結(jié)合。

2.4 流量控制。網(wǎng)絡(luò)出口處部署NPE40系列網(wǎng)絡(luò)出口引擎和ACE應(yīng)用控制引擎。NPE系列網(wǎng)絡(luò)出口引擎在x-flow框架下建起了一個(gè)高性能，高穩(wěn)定的轉(zhuǎn)發(fā)平臺(tái)，可以更加完善的狀態(tài)檢測(cè)防火墻，對(duì)P2P等應(yīng)用的流量控制等功能。RG-ACE流量控制引擎以DPI（Deep Packet Inspect，深度包檢測(cè)）技術(shù)為中心，支持軟硬件Bypass，提供了基于七層應(yīng)用的帶寬管理和應(yīng)用優(yōu)化功能。

通過上述安全設(shè)備及安全技術(shù)，經(jīng)實(shí)際運(yùn)行檢測(cè)，較大程度的保護(hù)校園網(wǎng)絡(luò)安全。任何一個(gè)網(wǎng)絡(luò)安全體系的構(gòu)建都不會(huì)是無懈可擊、一勞永逸的，隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，各種新型的網(wǎng)絡(luò)攻擊手段會(huì)層出不窮。因此，這需要不斷的發(fā)展和研究新的網(wǎng)絡(luò)安全技術(shù)，以應(yīng)對(duì)可能出現(xiàn)的新問題。

本文網(wǎng)絡(luò)安全構(gòu)建也只是部分安全措施的實(shí)施，對(duì)一些重要的安全措施還沒有涉及，比如入侵檢測(cè)系統(tǒng)（IDS），數(shù)據(jù)加密技術(shù)等。在對(duì)該方案實(shí)施的過程中，會(huì)根據(jù)具體問題對(duì)方案進(jìn)行進(jìn)一步的修改、優(yōu)化和完善，希望通過本文可以為其他高校的校園網(wǎng)安全構(gòu)建提供參考，從而使校園網(wǎng)可以更加安全、穩(wěn)定、可靠的服務(wù)廣大師生。

參考文獻(xiàn)：

[1]胡道元.網(wǎng)絡(luò)安全[M].北京：清華大學(xué)出版社，2004.295—296.

[2]鄧小莉，黃正榮.論校園網(wǎng)網(wǎng)絡(luò)安全的現(xiàn)狀及對(duì)策[J].科技信息，2009（4）：503.

[3]李小志.高校校園網(wǎng)絡(luò)安全分析及解決方案[J].現(xiàn)代教育技術(shù)國(guó)防科技大學(xué)，2008（3）：92.

[4]杜洪志.校園網(wǎng)信息安全與防范體系探析[J].管理學(xué)家，2011（23）：166-167.

[5]肖陽(yáng)，李陽(yáng).校園網(wǎng)絡(luò)的多層安全體系研究[J].中南林業(yè)科技大學(xué)學(xué)報(bào)，2010（4）：170-172.

[6]薛碩.校園網(wǎng)絡(luò)安全體系構(gòu)建研究[J].中國(guó)電子商務(wù)，2010（12）：263-264.

作者簡(jiǎn)介：王緯（1981-），男，安徽蕪湖人，碩士，主要研究方向：計(jì)算機(jī)網(wǎng)絡(luò)安全。

作者單位：安徽中醫(yī)藥高等?？茖W(xué)校，安徽蕪湖 241000