校园网络安全论文

校园网络系统安全

设计与实施

2011年6月

目 录

摘要： .............................................................................................................................................. 3

0 引言 .............................................................................................................................................. 3

1.校园网络安全系统设计要点 ....................................................................................................... 3

1.1校园网络安全需求分析 ........................................................................................................ 4

1.2校园网络安全系统设计目标 ................................................................................................ 5

2.校园网络安全设计 ....................................................................................................................... 5

2.1物理安全层面设计 ................................................................................................................ 5

2.1.1计算机系统的环境条件 ................................................................................................ 5

2.1.2机房场地环境的选择 .................................................................................................... 5

2.1.3机房的安全防护 ............................................................................................................ 6

2.1.4防止电磁辐射外泄 ........................................................................................................ 6

2.2网络安全设计 ........................................................................................................................ 6

2.2.1网络共享资源和数据信息安全设计 ............................................................................ 6

2.2.2计算机病毒、黑客以及电子邮件应用风险防控设计 ................................................ 7

2.2.3数据加密 ........................................................................................................................ 8

2.2.4数据库的备份与恢复 .................................................................................................... 9

2.2.5网络访问控制 ................................................................................................................ 9

2.2.6 网络地址转换技术（NAT） ......................................................................................... 9

2.2.7 操作系统安全内核技术 ............................................................................................... 9

2.2.8 入侵检测 ..................................................................................................................... 10

2.2.9 漏洞扫描 ..................................................................................................................... 10

2.3管理层面对策 ...................................................................................................................... 11

3. 配置实例 ................................................................................................................................... 11

结束语 ............................................................................................................................................ 28

参考文献：..................................................................................................................................... 28

摘要：

本文以XX学院校园网络建设为背景，对校园网络运行中存在的安全问题进行了系统深入的分析。在分析校园网络安全问题的基础上，结合校园网络的特点，给出了校园网络安全系统的总体设计方案，并阐述了该安全系统各个组成部分的内在联系。

0 引言

随着计算机网络技术的不断发展，互联网的开放性、共享性和互联程度也越来越高。网络应用已经普遍社会的每个部门和行业，大部分的高校也都建立了自己的校园网络，成为高校信息化建设的重要组成部分。校园网络内存储的重要和敏感数据越来越多，这些数据是学校教学、科研和管理的基础设施，可以丰富教学资源，促进学术交流，提高教学效果和管理效率。因而网络安全是校园网功能实现的基础。但是校园网同互联网一样，也存在各种各样的网络安全问题。“重技术、轻管理、重应用、轻安全、重网速、轻流控”的现象比较普遍，使校园网面临极大的威胁。随着数字化校园建设的不断推进，网络安全与网络应用的矛盾日益凸显，在一定程度上阻碍了校园信息化建设的进程。因此，构建一套有效的校园网络安全系统势在必行。

关键词：校园网；物理安全；网络安全；管理安全；设计。

1.校园网络安全系统设计要点

1.1校园网络安全需求分析 从网络安全的角度来看，整个XX的网络分为三大部分，第一部分为重点信息安全保护区，即校园网中的重要应用服务器群。该部分还可包括网络内其他重要部门的网络设备与数据，如图书馆电子图书、借还书籍数据库、财务系统数据库、学院的教务系统等；第二部分为校园网普通网络区域，即校园网内重点信息安全保护区外的其他网络设备和用户；第三部分为外部网络区域，即与校园网络连接的Internet网络和教育网。

目前，XX学院校园网的主要应用有：

1)学院官方网站，作为学院的网络窗口，主要用来介绍学院基本情况、机构设置、发布学院公告和新闻，是学院重要的对外宣传途径之一。

2)学院个二级单位网站，学院各机关、教学单位和教辅单位都建立自己的二级网站，更详细的介绍本单位情况外，也是学术交流和资源共享的主要平台。如院团委网站、院青协网站等。

3)ftp服务，提供常用软件、技术文档、课件、教学视频等共享资源供校园网用户下载使用。

4)电子邮件系统，主要用于学院教职员工收发电子邮件，与外界进行技术合作、学术交流等活动。

5)内部DNS服务，解析校园网内部WEB站点及基于B/S模式的应用系统的域名，兼做外部DNS服务的备份。

6)网络流量监控服务，全天候监控关键网络设备端口的流量信息。

7)财务信息查询系统，提供教职工工资、津贴、公积金等个人信息查询以及单位经费、科研经费、学生欠费等费用查询服务。

8)教务信息查询系统，主要用于课程安排、考试成绩上报、成绩查询、学生选课等教学应用。

9)图书馆检索系统，主要提供图书馆馆藏书籍查询、电子图书下载、学术论文阅览等服务。

10)其他应用服务，如设备合同管理系统、设备维修管理系统、精品课程等。

以上提到的校园网应用服务，大部分是基于B/S模式的。利用WEB服务器的安全漏洞，特别是在大量使用服务器脚本的系统上，利用这些可执行的脚本程序，入侵者可以很容易的获得系统的控制权。在这样一种分布式应用的网络环境中，任何一个应用服务没有把好自己的“门户”，就会成为黑客攻击的对象，进而窃取或破坏其他系统资源。

其次，校园网络主要采用TCP/IP作为网络通信协议。TCP/IP以开放性著称，系统之间易于互联和共享信息的设计思路贯穿于系统的方方面面，对访问控制、用户授权、身份验证、实时和事后审计等安全内容考虑较少，只实现了基本安全控制功能，实现时还会存在一些安全漏洞。

再次，校园网的应用服务器一般安装windows服务器操作系统，自身存在很多安全漏洞。如果设置不当，系统的安全性会大打折扣。同时，应用服务系统本身也可能存在安全隐患。

1.2校园网络安全系统设计目标 根据前面对校园网安全威胁的分析，结合校园网的网络结构和运行情况，校园网络安全系统应实现以下目标：

1）建立一套完整可行的网络安全与网络管理机制。

2）将内部网络、服务器网络和外部网络进行有效隔离，避免与外部网络的直接通信，外部用户必须经过身份验证方可访问校园内部资源。

3）对内部各个系部、单位的网络访问进行控制，各单位之间在未经授权的情况下，不能互相访问。

4）建立基于B/S模式应用软件服务器的安全保护措施，保证系统安全、稳定运行。

5）重点监控对外公开服务器的运行状态，及时发现系统漏洞，阻断黑客攻击行为。

6）加强对网络、公开服务器访问行为的日志审核工作，及时发现可以访问行为。

7）强化数据容灾和备份，实现系统崩溃后数据快速回复。

8）加强网络安全管理，提高网络管理人员的安全意识和防范技术。

2.校园网络安全设计

2.1物理安全层面设计

要保证计算机网络系统的安全、可靠，必须保证系统实体有个安全的物理环境条件。这个安全的环境是指机房及其设施，主要包括以下内容：

2.1.1计算机系统的环境条件

计算机系统的安全环境条件，包括温度、湿度、空气洁净度、腐蚀度、虫害、振动和冲击、电气干扰等方面，都要有具体的要求和严格的标准。

2.1.2机房场地环境的选择

计算机系统选择一个合适的安装场所十分重要。它直接影响到系统的安全性和可靠性。

选择计算机房场地，要注意其外部环境安全性、地质可靠性、场地抗电磁干扰性，避开强振动源和强噪声源，并避免设在建筑物高层和用水设备的下层或隔壁。还要注意出入口的管理。

2.1.3机房的安全防护 机房的安全防护是针对环境的物理灾害和防止未授权的个人或团体破坏、篡改或盗窃网络设施、重要数据而采取的安全措施和对策。为做到区域安全，首先，应考虑物理访问控制来识别访问用户的身份，并对其合法性进行验证；其次，对来访者必须限定其活动范围；第三，要在计算机系统中心设备外设多层安全防护圈，以防止非法暴力入侵；第四设备所在的建筑物应具有抵御各种自然灾害的设施。

2.1.4防止电磁辐射外泄 除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散，通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。正常的防范措施主要在三个方面：对主机房及重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运行主要设备，以防止磁鼓、磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风、波导，门的关起等。对本地网 、局域网传输线路传导辐射的抑制，由于电缆传输辐射信息的不可避免性，现均采用光缆传输的方式，大多数均在Modem出来的设备用光电转换接口，用光缆接出屏蔽室外进行传输。

2.2网络安全设计

2.2.1网络共享资源和数据信息安全设计

针对这个问题，我们可以使用VLAN技术和计算机网络物理隔离来实现。VLAN（Virtual LocalArea Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。

IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术允

许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。 但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其它VLAN中，即使是两台计算机有着同样的网段，但是它们却没有相同的VLAN号，它们各自的广播流也不会相互转发，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN是为解决以太网的广播问题和安全性而提出的，它在以太网帧的基础上增加了VLAN头，用VLANID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。从目前来看，根据端口来划分VLAN的方式是最常用的一种方式。许多VLAN厂商都利用交换机的端口来划分VLAN成员，被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。

但是，这种划分模式将虚拟网络限制在了一台交换机上。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。以交换机端口来划分网络成员，其配置过程简单明了。

2.2.2计算机病毒、黑客以及电子邮件应用风险防控设计

我们采用防病毒技术，防火墙技术和入侵检测技术来解决相关的问题，提高网络反病毒技术能力。防火墙和入侵检测还对信息的安全性、访问控制方面起到很大的作用。

第一，防病毒技术。病毒伴随着计算机系统一起发展了十几年，目前其形态和入侵途径已经发生了巨大的变化，几乎每天都有新的病毒出现在INTERNET上，并且借助INTERNET上的信息往来，尤其是EMAIL进行传播，传播速度极其快。计算机黑客常用病毒夹带恶意的程序进行攻击。

为保护服务器和网络中的工作站免受到计算机病毒的侵害，同时为了建立一个集中有效地病毒控制机制，我们需要应用基于网络的防病毒技术。这些技术包括：基于网关的防病毒系统、基于服务器的防病毒系统和基于桌面的防病毒系统。例如，我们准备在主机上统一安装网络防病毒产品套间，并在计算机信息网络中设置防病毒中央控制台，从控制台给所有的网络用户进行防病毒软件的分发，从而达到统一升级和统一管理的目的。安装了基于网络的防病毒软件后，不但可以做到主机防范病毒，同时通过主机传递的文件也可以避免被病毒侵害，这样就可以建立集中有效地防病毒控制系统，从而保证计算机网络信息安全。形成的整体拓扑图。

第二，防火墙技术。企业防火墙一般是软硬件一体的网络安全专用设备，专门用于

TCP/IP体系的网络层提供鉴别，访问控制，安全审计，网络地址转换（NAT），IDS，VPN，应用代理等功能，保护内部局域网安全接入INTERNET或者公共网络，解决内部计算机信息网络出入口的安全问题。

校园网的一些信息不能公布于众，因此必须对这些信息进行严格的保护和保密，所以要加强外部人员对校园网网络的访问管理，杜绝敏感信息的泄漏。通过防火墙，严格控制外来用户对校园网网络的访问，对非法访问进行严格拒绝。防火墙可以对校园网信息网络提供各种保护，包括：过滤掉不安全的服务和非法访问，控制对特殊站点的访问，提供监视INTERNET安全和预警，系统认证，利用日志功能进行访问情况分析等。通过防火墙，基本可以保证到达内部的访问都是安全的可以有效防止非法访问，保护重要主机上的数据，提高网络完全性。校园网网络结构分为各部门局域网（内部安全子网）和同时连接内部网络并向外提供各种网络服务的安全子网。防火墙的拓扑结构图。

内部安全子网连接整个内部使用的计算机，包括各个VLAN及内部服务器，该网段对外部分开，禁止外部非法入侵和攻击，并控制合法的对外访问，实现内部子网的安全。共享安全子网连接对外提供的WEB，EMAIL，FTP等服务的计算机和服务器，通过映射达到端口级安全。外部用户只能访问安全规则允许的对外开放的服务器，隐藏服务器的其它服务，减少系统漏洞。

2.2.3数据加密

网络信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。 与防火墙相比，数据加密与用户授权访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。数据加密主要用于对动态信息的保护。对动态数据的攻击分为主动攻击和被动攻击。对于主动攻击，虽无法避免，但却可以有效地检测；而对于被动攻击，虽无法检测，但却可以避免，实现这一切的基础就是数据加密。

数据加密实质上是对以符号为基础的数据进行移位和置换的变换算法，这种变换是受“密钥”控制的。在传统的加密算法中，加密密钥与解密密钥是相同的，或者可以由其中一个推知另一个，称为“对称密钥算法”。这样的密钥必须秘密保管，只能为授权用户所知，授权用户既可以用该密钥加密信急，也可以用该密钥解密信息，DES是对称加密算法中最具代表性的算法。如果加密/解密过程各有不相干的密钥，构成加密/解密的密钥对，则称这种加密算法为“非对称加密算法”或称为“公钥加密算法”，相应的加密/解密密钥分别称为“公钥”和“私钥”。在公钥加密算法中，公钥是公开的，任何人可以用公钥加密信息，再将密文发送给私钥拥有者。私钥是保密的，用于解密其接收的公钥加密过的信息。典型的公钥加密算法如RSA是目前使用比较广泛的加密算法。

2.2.4数据库的备份与恢复 数据库的备份与恢复是数据库管理员维护数据安全性和完整性的重要操作。数据备份是数据高可用性的最基础防线，是系统数据崩溃时恢复数据库最容易和最能防止意外的保证方法，其目的是为了能够快速地恢复数据。恢复是在意外发生后利用备份来恢复数据的操作。虽然数据备份不能算是全部的容灾方案，但这种容灾能力是非常有效果的。常见的数据备份主要是采用数据内置或外置的设备进行冷备份，备份介质同时也在机房中进行统一管理。有三种主要备份策略：只备份数据库、备份数据库和事务日志、增量备份。 备份软件技术在整个数据存储备份过程中具有详单的重要性，因为它不仅关系到是否支持存储介质的各种先进功能，而且在很大程度上决定着备份的效率。有人认为，最好的备份软件就是操作系统所提供的备份功能，诸如UNIX的tar/cpio、Windows的NTBackup、Netware的 Sbackup 等。其实不然，因为这些操作系统仅能提供一些基本的备份功能，缺乏专业备份软件的高速度与高性能，目前比较流行的专业备份软件有CA 的ARCserver2000、VERITAS的BackupExce以及Legato的Networker 等。

2.2.5网络访问控制

访问控制是网络安全防范和保护的主要策略。它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。

2.2.6 网络地址转换技术（NAT）

网络地址转换器也称为地址共享器（Address Sharer）或地址映射器，设计它的初衷是为了解决IP地址不足，现多用于网络安全。内部主机向外部主机连接时，使用同一个IP地址；相反地，外部主机要向内部主机连接时，必须通过网关映射到内部主机上。它使外部网络看不到内部网络，从而隐藏内部网络，达到保密作用，使系统的安全性提高，并且节约从ISP得到的外部IP地址。

2.2.7 操作系统安全内核技术

除了在传统网络安全技术上着手，人们开始在操作系统的层次上考虑网络安全性，尝试

把系统内核中可能引起安全性问题的部分从内核中剔除出去，从而使系统更安全。操作系统平台的安全措施包括：采用安全性较高的操作系统；对操作系统的安全配置；利用安全扫描系统检查操作系统的漏洞等。

美国国防部（DOD）技术标准把操作系统的安全等级分成了D1、C1、C2、B1、B2、B3、A级，其安全等级由低到高。目前主要的操作系统的安全等级都是C2级（例如，Unix、Windows NT），其特征包括：①用户必须通过用户注册名和口令让系统识别；②系统可以根据用户注册名决定用户访问资源的权限；③系统可以对系统中发生的每一件事进行审核和记录；④可以创建其他具有系统管理权限的用户。 2.2.8 入侵检测

入侵检测（Intrusion Detection）是对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。因此被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测。入侵检测通过执行以下任务来实现：监视、分析用户及系统活动；系统构造和弱点的审计；识别反映已知进攻的活动模式并向相关人士报警；异常行为模式的统计分析；评估重要系统和数据文件的完整性；操作系统的审计跟踪管理，并识别用户违反安全策略的行为。 入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。

入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。

2.2.9 漏洞扫描

随着软件规模的不断增大，系统中的安全漏洞或“后门”也不可避免的存在。因此，应采用先进的漏洞扫描系统定期对服务器等安全检查，详细的安全性分析报告，及时地将发现的安全漏洞打上“补丁”。

2.3管理层面对策 计算机网络的安全管理，不仅要看所采用的安全技术和防范措施，而且要看它所采取的管理措施和执行计算机安全保护法律、法规的力度。只有将两者紧密结合，才能使计算机网络安全确实有效。

计算机网络的安全管理，包括对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机及网络的立法和执法力度等方面。加强计算机安全管理、加强用户的法律、法规和道德观念，提高计算机用户的安全意识，对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰，是十分重要的措施。 这就要对计算机用户不断进行法制教育，包括计算机安全法、计算机犯罪法、保密法、数据保护法等，明确计算机用户和系统管理人员应履行的权利和义务，自觉遵守合法信息系统原则、合法用户原则、信息公开原则、信息利用原则和资源限制原则，自觉地和一切违法犯罪的行为作斗争，维护计算机及网络系统的安全，维护信息系统的安全。除此之外，还应教育计算机用户和全体工作人员，应自觉遵守为维护系统安全而建立的一切规章制度，包括人员管理制度、运行维护和管理制度、计算机处理的控制和管理制度、各种资料管理制度、机房保卫管理制度、专机专用和严格分工等管理制度。

3.配置实例

略

结束语

计算机网络安全是一项复杂的系统工程，涉及技术、设备、管理和制度等多方面的因素，安全解决方案的制定需要从整体上进行把握。网络安全解决方案是综合各种计算机网络信息系统安全技术，将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术、数据加密和身份认证于一体的功能等综合起来，形成一套完整的、协调一致的网络安全防护体系。我们必须做到管理和技术并重，安全技术必须结合安全措施，并加强计算机立法和执法的力度，建立备份和恢复机制，制定相应的安全标准。此外，由于计算机病毒、计算机犯罪等技术是不分国界的，因此必须进行充分的国际合作，来共同对付日益猖獗的计算机犯罪和计算机病毒等问题。

参考文献： [1]Andrew S. Tanenbaum. 计算机网络（第4版）[M].北京：清华大学出版社，2008.8.

[2]袁津生，吴砚农。 计算机网络安全基础[M]. 北京：人民邮电出版社，2006.7.

[3] 常建平,靳慧云,娄梅枝.网络安全与计算机犯罪[M].北京:中国人民公安大学出版社,2002