校园网络体系中核心网的安全系统设计与实施.pdf

《 自动化与仪器仪表》2 0 1 2 年第6 期 ( 总第1 6 4 期) 校 园网络体 系中核心 网的安 全 系统设计与实施 李海军 ( 河西学院信息技术中心 甘肃张掖， 7 3 4 0 0 0 ) 摘 要 ： 校园局域网已经成为当今信息时代高等学校谋求发展的一项重要基础设施，建设一个技术先进、运行可靠 而又经济实用的校园局域网，是在新形势下高等学校提高教育管理水平的一个重要保证。因此，研究校园网络安全系统 的构建具有很强的现实意义。本文通过研究校园网络体系结构的特点，从网络的可靠性分析出发，探讨了核心网的安全 体设计与实施方案。 关键词： 校园网； 安全体系 ； 可靠性 Abs t r a c t ： T o s e e k b e ~e r d e v e l o p me n t e v e r y u n i v e r s i t y a n d c o l l e g e n e e d s t o h a v e i t s o wn c a mp u s n e t wo r k a s an i mp o r t a n t b a s i c f a c i l i t i e s o n t h e a g e o f i n f o r ma t i o n t o d a y ． Bu i l d i n g a n e c o n o mi c a l a n d p r a c t i c a l c am p u s n e tw o r k wi t h a d v a n c e d t e c h n o l o g y a n d r e l i a b l e r un n i n g i s g u a r an t e e d t o i mp r o v e the e d u c a t i o n ma n a g e me n t l e v e l o f c o l l e g e s u n d e r t h e n e wc i r c u ms t a n c e ． T h i s a r t i c l e s t u d i e s t h e c a mp u s n e tw o r k s y s t e m s t r u c t u r e c h a r a c t e r i s t i c s ． F r o m t h e d i ff e r e n t l e v e l s o f n e tw o r k o f c a mp u s n e tw o r k s e c u r i ty i n the f a c e o f a d e t a i l e d a n a l y s i s ， i t l i s t s a l l l e v e l s o f c o mmo n t h r e a t s a n d a t t a c k s f o r m ． Ba s e d o n the an a l y s i s o f the c h ara c t e ris t i c s o f c a mp u s n e t wo r k r e a l n e tw o r k s e c u r i ty, t h e c a mp u s n e tw o r k s e c u r i ty p l an i s d e s i g n e d ． Ke y Wo r d s ： Ca mp u s n e tw o r k ； S e c u r i ty a r c h i t e c t u r e ； r e l i a b i l i ty 中图分类号 ： T P 2 0 2 + I 文献标识码： B 文章编号 ：0 0 1 - 9 2 2 7 ( 2 0 1 2 ) - 0 6 - 0 1 9 7 - 0 2 1 校园网的网络体系结构 校园网是局域网的一种形式。目前的校园网体系结构一般 具有以下几个特征 ： ( 1 ) 随着I n t e r n e t ／ I n t r a n e t 的迅猛发展和 B ／ S ( 浏览器 ／ 服务器) 计算模式的广泛应用，以及第三层交换技术、V L A N 技术的出现。校园网设计中普遍采用基于V L A N 、中心交换、边 界路由的架构。 ( 2 ) 普遍使用千兆位以太网设计方案，采用智能多层模块 化交换机作为全网的核心，以光纤为主干，在此基础上建立起 主干1 0 0 0 M ，1 0 0 M至桌面的、覆盖全校的宽带网。 ( 3 ) 校园网内部有各种基于网络的教学管理及办公平台， 如办公自动化、教务管理、学工管理 、人事管理，财务管理 、 一 卡通、图书管理、教学媒体资源库、网络课程等系统，涉及 各业务管理部门，面向校内外不同用户提供服务。 ( 4 ) 校园网除了特定研究场所，一般采用星型拓朴网络结 构，基本遵循核心、汇聚、接入的三层交换网络模型。 2 校园网安全设计原则与需求分析 根据学校网络安全系统所遵循的网络安全策略，设计网络 安全体系时应遵循以下原则： ( 1 ) 安全性： 设计网络安全体系的最终目的是为保护信息与 网络系统的安全，所以安全性成为首要目标。要保证体系的安 全性，必须保证体系的完备性和可扩展性。 收稿 日期 ： 作者简介： 李海军： 1 9 7 5 ． 1 1 ， 男，甘肃张掖人，河西学院 信 息技术 中心讲师，主要从事计算机 网络技术教学以及研究 工作 。 ( 2 ) 可承担性： 在设计网络安全体系时，必须考虑校园本身 特点和实际承受能力，没有必要按电信级、银行级标准设计。 ( 3 ) 高效性 ： 网络安全体系包含一些软件和硬件，它们也会 占用网络系统的一些资源。因此，在设计网络安全体系时必须 考虑系统资源的开销，要求安全防护系统本身不能妨碍网络系 统的正常运转。 从安全角度来看，必须结合以下几个方面来考虑满足合并 后的校园网的网络安全需求 ： ( 1 ) 禁止外部非法用户未经许可访问内部的数据实现内部 网络和重要服务器数据的安全防护； ( 2 ) 对于两个校区和建筑设计院的网络连接要在确保安全 性的前提下结合经济性考虑 ； ( 3 ) 对各个部门的网络访问进行控制，在未经授权的情况 下，不能相互访问，实现网络隔离 ； ( 4 ) 加强网络监控，实现对涉及重要服务器数据的攻击行 为的记录与分析； ( 5 ) 网络中的病毒防范； ( 6 ) 加强安全管理，规范化对内部网络的访问。 3 核心网方案设计与实现 3 ． 1 方案设计概述 由于网络中心节点作为校园网络系统的心脏，必须提供 全线速的数据交换，当网络流量较大时，对关键业务的服务质 量提供保障。另外作为整个网络的交换中心，在保证高性能、 无阻塞交换的同时，还必须保证稳定可靠的运行。因此在核心 设备的选型和结构设计上必须考虑整体网络的高性能和高可靠 性。具体来说核心节点的交换机有两个基本要求，在高密度端 1 9 7 学兔兔 w w w .x u e t u t u .c o m 校园网络体系中核心网的安全系统设计与实施李海军 口 情况下，还能保持各端口的线速转发关键模块必须冗余，如 管理引擎、电源、风扇。 由于校园网建设已经进入万兆时代，因此需要考虑到核心 设备对万兆的支持能力。经过合理规划，针对学院网络系统的 具体需求以及未来发展的需要，本次校园网升级改造项目核心 层使用两台万兆核心交换互连，千兆到楼，百兆到桌面，并提 供路由及流控功能，构成安全、可控、高效的信息高速公路的 校园网硬件平台，完全可以满足现在及未来数年内的发展需要 采用以下核心网络改进方案，改进后的网络结构如图1 所示： 翻蝈嚣撼 鬣 懿 i c 蒙毅 图1核心 I网络改进方案 ( 1 ) 在核心层使用两台万兆核心交换机进行互连，所有汇 聚层设备采用双链路上联至核心交换机并启用V R R P ，这样可 以在校园内部网络之间实现冗余与负载均衡的双重功能，当其 中任何一台出现问题，不影响网络的正常运行，保证了服务的 正常提供。 ( 2 ) 在 出口处增加一台路由器，对所有进出的访问进行路 由选择，保证网络的健状性。 3 ． 2 方案 实施 3 ． 2 ． 1 V L A N ~ j 分及配置 在网络方案的设计中，合理的V L A N 的划分对整个网络的安 全、性能以及管理都有非常重要的影响，突出表现在以下几点 1 2 O1： ( 1 ) 通过交换机上V L A N 的创建，隔离了广播，缩小了广播 范围，可以控制广播风暴的产生，控制广播域的范围； ( 2 ) 不同V L A N 之间必须需通过三层交换或者路由才能相互 通信，这样信息流就得到很好的控制，增加了网络的安全性 ； ( 3 ) 简化网络管理员的管理工作。 根据各学校部门的业务性质不同以及管理的需要，可以把 巢湖学院校园网划分为多个V L A N ，采用基于端口创建V L A N 的方 法，分别在两台核心交换机上创建相同个数的Y L A N 和设置相同 1 9 8 的配置。 3 ． 2 ． 2 V R R P 技 术 V R R P 是一种局域网接入设备容错协议，V R R P 将局域网的 一 组路由器 ( 包括一个主路由器和若干个备份路由器) 组成一个 虚拟路由器，称之为一个备份组，通过多台路由器实现冗余备 份，任何时候只有一台路由器为主路由器，其他的为备份路由 器。由于路由器间的切换非常迅速而且不用改变I P 地址和N l a c 地址，因而对用户是完全透明的。用户不必关心具体过程，只 要把缺省路由器设为虚拟路由器的I P 地址即可。 3 ． 2 ． 3 核心交换机 冗余备份 的实现 要实现核心交换机冗余备份，必须在两台核心交换机 上启用V R R P 协议，V R R． P 协议将 网络中两台核心交换机 ( s l ， s 2 ) 组成V R R P 备份组，针对网络中每一个V L A N 接口，备份组 都拥有一个虚拟缺省网关地址 。以V L A N 1 为例，V R R P 备份组 设置V L A N 1 的虚拟I P 地址，备份组中交换机S 1 ，s 2 同时分别 拥有 自己的V L A N 1 的接 口I P ，V L A N 1 内主机的默认 网关则设 为V R R P 备份组V L A N 1 的虚拟I P 地址 。V L A N 1 内的主机通过这 个虚拟I P 访问V L A N 1 之外的网络资源，但实际的数据处理 由 备份组 内主交换机执行 。如果主交换机发生了故障，备份 交换机 自动升级为主交换机。由于 网络内的主机配置的是 V R R P 虚拟网关地址，发生故障时，虚拟交换机没有改变， 主机仍然保持连接，网络将不会受到单点故障的影响，这 样就很好地解决了网络中核心交换机切换的问题。 3 ． 2 ． 4 负载均衡的实现 通过将不同V L A N 的V R R P M a s t e r 分别归属于核心交换机 S 1 和s 2 ，可以有效的实现负载均衡。例如将所有V L A N 号为奇 数的V R R P M a s t e r 归属于核心交换机s 1 ， 将V L A N 号为偶数的V R R P M a s t e ： 归属于核心交换机s 2 。在核心交换机正常时，两台交换机 各 自分担一部分数据流量： 当其中一台交换机出现故障时，另一 台交换机就会 自动分担起所有数据流量，数据的传输不会受到 任何的影响。这样既达到负载均衡，又实现相互备份的目的。 4 小 结 随着网络技术的不断发展，校园网也将会出现新的安全 问题，比如现在一些高校实施的无线网络以及I P v 6 网络的建设 等。因此，校园网整体安全防范体系是一个动态的、不断发展 变化的综合运行机制，如何在技术上适应网络动态变化，建立 自适应的安全保障体系，仍是一个值得研究的课题。 参考文献 [ 1 ]赵 毅． 高校校 园计算机网络设计与实现 [ D ] ． 重庆大 学，2 0 0 6 [ 2 ]刘远生，辛一． 计算机网络安全 [ M ] ． 清华大学出版 社，2 0 0 9 ． [ 3 ]钟 平． 校园网安全防范技术研究[ D ] ． 广州工业大学，2 0 0 7 ． 学兔兔 w w w .x u e t u t u .c o m