基于校园网络的安全配置解决方案.doc

基于校园网络的安全配置解决方案

★姓名： 沈斌良
班级： 计算机083
学号： 08011187

姓名： 陈显锚
班级： 计算机083
学号： 08011216

(★为本方案的主要负责同学）

计算机与信息学院
二〇一一年六月

一、方案背景
随着高校信息化建设的发展，高校校园网普及程度越来越高，校园网在教学、科研、校内政务管理方面起到了积极地作用。校园计算机网络的建设已成为学校建设中，上档次、上规模的一个重要标志。目前在各高等院校甚至在很多中学都已建立了自己的校园网，一些学校已开始将网络节点延伸至学生寝室，即将校园网面向学生全面开放，使得学校校园网真正在教学科研及管理等各方面起到重要的作用。近年来中国大步跨入了信息化社会，校园网是Intranet/Internet技术在教育机构的一个应用。它是指在学校范围内，在一定的教育思想和理论指导下，为学校教学，科研和管理等教育提供资源共享，信息交流和协同工作的计算机网络。
网络安全越来越成为园区或校园网络成功运行的关键因素,特别是随着多协议、新业务的发展，网上教学、远程教育、银校一卡通等各种应用使教育网络不再是一个封闭的网络，网络建设中制定网络安全策略，部署相应安全防护方案，保证校园网络的安全顺畅的运行成为迫切需要解决的问题。本解决方案真对校园网络现阶段所面临的主要安全问题，如：校园网络流量的监控分析，网络攻击的防范，网络病毒的防范，网络流量的控制尤其是严重影响校园网络性能的P2P软件流量的控制提出相应的解决方案，希望能对校园网络安全建设提供建设性的建议和帮助。
二、方案设计任务分工
沈斌良：方案撰写
陈显锚：资料搜集
三、需求分析
随着校园网络规模不断扩大，网络应用不断增加，网络已经成为老师和学生获得信息的主要手段之一，校园网络的规模从以前的几百用户迅速扩充到几千用户甚至几万用户，越来越多的校园网络应用开始部署，网络变得从所未有的重要，一旦网络系统出现问题，5分钟内网络中心的电话就会响个不停，网络的安全和稳定运行给网络中心老师带来很大的压力。
我们设计的这个方案有三大挑战需要解决，其一，就是不断增加的校园安全出口的安全威胁；其二，就是业务系统集中后的数据中心安全；其三，就是校园内网安全建设的烦恼，这三种安全威胁对于校园网络来说十分重要，我们一一分开来看：
挑战之一：不断增加的校园出口安全威胁：
1. 应用层威胁来势凶猛
2. 网页被篡改
3. 带宽总也不够
4. 服务器应用访问很慢
5. 病毒和蠕虫泛滥
6. 间谍软件泛滥
挑战之二：业务系统集中后的数据中心安全
1. 如何解决数据共享和海量存储的问题？
2. 访问量越大，性能越低，如何解决？
3. 如何保障数据访问不受设备、时空限制？
4. 招生科研财务关键信息数据安全如何保障？
5.
挑战之三：校园内网安全建设的烦恼
1. 内部病毒泛滥
2. 用户接入随意
3. 整网安全状况无法掌控
四、网络安全设计方案
1. 网络拓扑结构图

图表 1 网络拓扑图
2. 设备选型
选择品牌时考虑比较多的是：生产厂商的可靠性和稳定性、技术领先性和成熟性、设备的完整系列性、设备的可升级性、是否具备完善的售后服务体系来支持用户的应用、是否为主流产品、在国内是否有比较完备的备件库和维护维修能力、其安全性是否适合用户的要求。
主干速率采用1000M，所以我们选用国际上著名的3com或sun网络产品作为网络的中心交换、路由和分支交换设备：主交换机设备选用3com或sun的高端 千兆路由多协议中心交换机； 网络中心下连的其它子系统，配置的边缘100M交换机可选择3COM3000系列、sun系列、联想D-LINK系列交换机。边缘交换机与中心交换机的连接速率为1000M。
各楼层之间网络连接的主干线采用千兆线路，主要考虑网络的速度、将来网络的扩容以及与有关网络连接，其它分支采用100M双绞线。采用AMP结构化布线系统进行网络布线。
中心交换机使用千兆机，连接边缘高速百兆交换机，整个网络以一级千兆为中心，组成一个星型网络；这样就组建了目前先进、流行的千兆以太网和以太网、快速以太网网络的组合,主干是1000M网络。其它分支为快速以太网 100BASE-TX，速度 100M/200Mbps。
中心服务器：由于集中式的管理可能对中心网络造成的压力较大，有可能使服务器的访问速率下降，所以我们将主服务器直接与中心交换机的高速模块相连，使用1000BASE-T的1000M速率；与中央交换机的直接相连，从而解决了的访问瓶颈问题，使各网络工作站可以快速访问服务器。

3. 安全架构分析
解决方案总体架构
校园网安全防护解决方案
网络出口防护
数据中心保护
骨干网络安全
IPS保护
应用加速
内网控制
FW保护
流量清洗
攻击防护
虚拟化服务
安全加固
远程安全接入
校园网出口安全防护解决方案

图表 2 校园网出口安全防护解决方案拓扑图
校园网出口区域是校园网的“门户”，作为校园网“门户”“护卫”的出口设备则是安全的第一关。近几年来，网络带宽迅速增长，网络威胁也随之大幅增加，包括攻击、扫描、入侵、DDOS攻击、蠕虫病毒攻击、恶意软件、垃圾邮件。出口设备需要防范校外网络威胁的攻击或入侵。
当校园网用户访问外网时，由校园网的核心路由设备负责选路，根据制定的策略路由或者静态路由，把数据包转发到相应的Cernet或Internet出口防火墙。同时，在出口防火墙上要启用NAT功能，使有限的公用IP可以满足大量用户并发访问的需求，也能相应的提高校园网的安全。随着用户的快速增加和新应用的不断扩展，校园网用户的需求与有限的带宽之间的矛盾还将长期存在，如果处理不当，将会威胁到网络的可用性。可以采取“开源节流”的策略，一方面积想法拓展外部带宽，另外一方面在资源矛盾突出的Internet出口可以部署专门的流量管理设备，做到带宽资源的精细化管理，优先保证关键用户，关键应用的带宽需求，实现差异化的服务管理。
内网的安全防护是出口设计要考虑的重点问题，本方案将该问题主要交给了两台防火墙。安全防护的对象是校园网中的所有节点．防护的内容主要是阻塞网络的异常流量以及恶意软件(如木马)的攻击等，是一种广谱型的防范，因此防火墙要做内客检测，对设备吞吐量的要求很高，不但要考虑防火墙性能，还要考虑它自身的安全性以及所具备的安全防护手段。
该方案实施后应具备以下几个功能：
1. 支持OAA架构，可根据用户需求定制开发；
2. 2、2-7层全面安全防护，有效的抵御非法访问、DDoS、病毒、蠕虫、页面篡改等攻击；
3. 可对异构环境下的全网设备进行统一管理
4. 支持S95/S75E核心交换机中的万兆防火墙/IPS模块
5. 支持虚拟防火墙/IPS功能，便于管理，简化网络结构，降低建设成本。
6. 支持对应用进行识别控制，防止校园网络带宽滥用。
7. 支持虚拟防火墙/IPS功能，支持策略路由，针对校园网多路出口进行灵活的策略部署。
8. 支持OAA技术，支持业务功能扩展，通过插卡实现网络安全一体化解决方案。

校园网数据中心保护安全解决方案

图表 3 校园网数据中心保护安全解决方案拓扑图
以数据中心服务器资源为核心向外延伸有三重保护功能。依拖具有丰富安全特性的交换机构成数据中心网络的第一重保护；以ASIC、FPGA和NP技术组成的具有高性能精确检测引擎的IPS提供对网络报文深度检测，构成对数据中心网络的第二重保护；第三重保护是凭借高性能硬件防火墙构成的数据中心网络边界。
三重保护的同时为数据中心网络提供了从链路层到应用层的多层防御体系，交换机提供的安全特性构成安全数据中心的网络基础，提供数据链路层的攻击防御。数据中心网络边界安全定位在传输层与网络层的安全上，通过状态防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDOS和多种畸形报文攻击的防御。IPS可以针对应用流量做深度分析与检测能力，同时配合以精心研究的攻击特征知识库和用户规则，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。
该方案实施后应具备以下几个功能：
1. AFC在不影响正常业务的同时，彻底清除DDoS
2. 防火墙有效防范越权访问 、身份假冒
3. IPS有效防范蠕虫、病毒、木马等应用层攻击
4. ASE 5~10倍提升服务器响应速度和处理能力
5. 最可靠插卡、旁挂，彻底消除单点故障的风险
6. 安全事件统一管理，及时识别安全隐患
7. SecCenter安全管理设备完成数据中心安全日志的实时监控并与IMC协同完成策略下发，让数据中心实现管理智能化。
8. .ASE应用加速成倍提高服务器处理能力，不用系统扩容也能让应用系统轻松应对校园网的高并发访问。

校园网骨干网络防护解决方案

图表 4 校园网骨干网络防护解决方案拓扑图
骨干网作为全网的心脏，向学校的教学办公、学生宿舍以及各种应用系统（在线点播、电子邮件、WEB服务等）源源不断的提供安全稳定的信息血液，保证整个学校相关业务的可靠运行。因此，作为整个网络平台的神经中枢，网络核心层是全网数据传输的中心，不仅要保证稳定运行，各种应用服务器的数据能够被稳定可靠的传输，同时，还要协调全网的数据流量和访问策略，在提供信息服务的同时，保证网络中心自身的安全。
整网采用万兆多核心、万兆/千兆骨干、千兆/百兆到桌面的设计理念。高吞吐量，线速转发的核心路由器和三层交换机，所有关键器件的冗余，包括主控板、交换网板、电源等，支持板件的热插拔技术，保证了网络的高效运转。骨干设备双核心双链路，或者核心成环之后，相互之间互为容错备份，并在核心交换机中采用关键模块冗余设计（双电源冗余等）。核心和汇聚之间采用双链路连接，一旦数据传输的活动链路失效以后可以自动切换到另一条链路，保障数据的正常转发。这样，从全网架构上，核心层双链路交换系统不存在单点故障，是一种高级别交换完全冗余的容错方案，这样即使其中一条链路断线或一个主干交换机发生故障，都能在用户觉察不到的极短的时间内启用备份恢复数据传递，从而保证网络系统的高可靠性、稳定性的运行。

该方案实施后应具备以下几个功能：
1. 远程访问：SSL方案完成校园网远程安全访问
2. 事中控制：防火墙、IPS发现攻击并联动
3. 事后审计：SecCenter记录并输出报告
4. SecBladeFW，IPS，ACG直接集成在交换机上，检查所有流量，覆盖最全面，针对骨干网络完成网络安全一体化部署
5. SecCenter统一管理不同厂商、不同设备的安全事件，自动输出审计报告客户端简单易用，自动运行、自动检查
6. 支持虚拟防火墙/IPS功能，便于管理，简化网络结构，降低建设成本。

五、总结
Internet是一个资源的网络，其中拥有的信息资源几乎覆盖所有的领域。Internet面向人类的社会，世界上数以亿计的人们利用它进行通信和信息共享，通过发送和接收电子邮件，或和其他人的计算机建立连接、参加各种讨论组并免费使用各种信息资源实现信息共享。大学建设自己的校园网络有助于大学生接触最新信息，拓展认知。该设计方案是针对大学校园的实际情况进行现状以及需求分析，制定出的适合本校的校园网络设计方案。方案设计网络的三层结构的设计，网络拓扑，网络安全域管理，综合布线等。学校校园网络安全、稳定、快速发展，网内的数据资料实现安全管理、合理、有效的存储和备份，从而会有利于提高学校校园网内教学资源的传送速度，节省时间，提高教学质量，为我国教育事业的发展插上有力的翅膀。校园网络技术的发展解决了中国教育信息化进程中的应用，将有利于为我国培养出更多的栋梁之才。
此外，通过本次的网络设计，使我学到了不少东西，学习了常见的网络设备。交换机和路由器，防火墙等，还学习了相关的配置设置。弥补了以前因为上课听讲不够专心露掉的许多知识的不足