彩虹學(xué)校校園網(wǎng)網(wǎng)絡(luò)安全體系

彩虹學(xué)校校園網(wǎng)網(wǎng)絡(luò)平安體系

研究與實(shí)施教育碩士：魏蕩指導(dǎo)教師：曹菡陜西師范大學(xué)計(jì)算機(jī)科學(xué)學(xué)院2023/9/21主要內(nèi)容一、課題研究的背景和現(xiàn)狀二、課題研究的目的和意義三、課題研究的主要內(nèi)容四、課題研究的總結(jié)2023/9/22一、課題研究的背景和現(xiàn)狀1.1Internet在國(guó)內(nèi)外的開(kāi)展及日益嚴(yán)重的網(wǎng)絡(luò)平安問(wèn)題

1.2彩虹學(xué)校校園網(wǎng)的建設(shè)歷程及現(xiàn)狀1.3國(guó)內(nèi)外進(jìn)行網(wǎng)絡(luò)平安研究的現(xiàn)狀2023/9/23Internet在國(guó)內(nèi)外的開(kāi)展及現(xiàn)狀1969年阿帕網(wǎng)誕生，1993年Internet向公眾開(kāi)放，用戶數(shù)量呈指數(shù)增長(zhǎng)，平均半年翻一番。1994年Internet進(jìn)入我國(guó)，截止2004年底，我國(guó)的國(guó)際出口75G、上網(wǎng)用戶數(shù)9400萬(wàn)、上網(wǎng)計(jì)算機(jī)4160萬(wàn)。1.1Internet在國(guó)內(nèi)外的開(kāi)展及日益嚴(yán)重的網(wǎng)絡(luò)平安問(wèn)題2023/9/24年份事件報(bào)道數(shù)目19886198913219902521991406199277319931334199423401995241219962573199721341998373419999859200021756200152658近年來(lái)網(wǎng)絡(luò)被攻擊的統(tǒng)計(jì)表日益嚴(yán)重的網(wǎng)絡(luò)平安問(wèn)題2023/9/25美國(guó)國(guó)家平安協(xié)會(huì)統(tǒng)計(jì)報(bào)道：98%的企業(yè)都曾遇過(guò)病毒感染問(wèn)題，63%的企業(yè)都曾因感染病毒失去資料，80%的Web效勞器受到過(guò)黑客攻擊。

日益嚴(yán)重的網(wǎng)絡(luò)平安問(wèn)題2023/9/261.2彩虹學(xué)校校園網(wǎng)的建設(shè)歷程及現(xiàn)狀東南校園網(wǎng)絡(luò)主干布線圖中學(xué)小學(xué)2023/9/271.2彩虹學(xué)校校園網(wǎng)的建設(shè)歷程及現(xiàn)狀K12服務(wù)器課件服務(wù)器VOD服務(wù)器480T兩臺(tái)510T堆疊一臺(tái)460T一臺(tái)1024一臺(tái)1024一臺(tái)1016一臺(tái)460T一臺(tái)1024一臺(tái)460T一臺(tái)3008注：“”為千兆雙絞線，“”為千兆光纜，“”為百兆雙絞線網(wǎng)絡(luò)拓?fù)鋱D2023/9/28彩虹學(xué)校近幾年添購(gòu)了大量的計(jì)算機(jī)設(shè)備，使校園網(wǎng)內(nèi)計(jì)算機(jī)數(shù)量增至400余臺(tái)，并且實(shí)現(xiàn)了Internet接入。平安現(xiàn)狀播送風(fēng)暴嚴(yán)重影響了網(wǎng)絡(luò)的性能，消耗了大量網(wǎng)絡(luò)帶寬。沒(méi)有和Internet有效隔離，校園網(wǎng)上的各種資料，都受到來(lái)自Internet直接威脅。IP盜用和IP沖突不斷病毒的傳播和泛濫效勞器的平安性差黃色、暴力、邪教等不良信息在校園網(wǎng)內(nèi)時(shí)有發(fā)現(xiàn)1.2彩虹學(xué)校校園網(wǎng)的建設(shè)歷程及現(xiàn)狀2023/9/29虛擬局域網(wǎng)技術(shù)防火墻技術(shù)計(jì)算機(jī)病毒的預(yù)防查殺技術(shù)數(shù)據(jù)備份技術(shù)不良信息過(guò)濾技術(shù)入侵檢測(cè)技術(shù)IP地址綁定技術(shù)1.3國(guó)內(nèi)外進(jìn)行網(wǎng)絡(luò)平安研究的現(xiàn)狀2023/9/210二、課題研究的目的和意義目的：本課題針對(duì)彩虹學(xué)校校園網(wǎng)存在的網(wǎng)絡(luò)平安問(wèn)題進(jìn)行研究，分析其中的不平安因素，結(jié)合國(guó)內(nèi)外對(duì)于網(wǎng)絡(luò)平安研究的現(xiàn)狀，提出彩虹學(xué)校校園網(wǎng)的網(wǎng)絡(luò)平安體系建設(shè)方案，充分利用現(xiàn)有設(shè)備，采取各種網(wǎng)絡(luò)平安技術(shù)，最大限度的合理實(shí)現(xiàn)彩虹學(xué)校校園網(wǎng)的網(wǎng)絡(luò)平安。意義：本課題的研究有助于解決彩虹學(xué)校校園網(wǎng)的網(wǎng)絡(luò)平安問(wèn)題，使其真正成為彩虹學(xué)校進(jìn)行教育、教學(xué)、管理、科研以及與兄弟院校溝通交流的重要平臺(tái)。同時(shí)，本課題的研究也會(huì)對(duì)同樣受到網(wǎng)絡(luò)平安問(wèn)題困擾的兄弟學(xué)校有一定的借鑒意義。2023/9/211三、課題研究的主要內(nèi)容

彩虹學(xué)校校園網(wǎng)的平安設(shè)計(jì)VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用彩虹學(xué)校校園網(wǎng)防毒反黑體系的建立提高網(wǎng)絡(luò)平安性的其它措施2023/9/212全局〔Internet和Intranet〕

教育行業(yè)〔校園網(wǎng)絡(luò)〕

彩虹學(xué)校校園網(wǎng)

3.1彩虹學(xué)校校園網(wǎng)絡(luò)的平安設(shè)計(jì)3.1.1彩虹學(xué)校校園網(wǎng)不平安因素的分析2023/9/2133.1彩虹學(xué)校校園網(wǎng)絡(luò)的平安設(shè)計(jì)彩虹學(xué)校校園網(wǎng)的平安設(shè)計(jì)方案(1)為主控室、二級(jí)交換機(jī)機(jī)柜安裝防盜報(bào)警設(shè)備、不間斷電源、防雷擊及通風(fēng)降溫設(shè)備。(2)對(duì)校園網(wǎng)絡(luò)原有布線進(jìn)行測(cè)試，在二級(jí)交換機(jī)處形成教室〔或辦公室〕、網(wǎng)線和交換機(jī)端口的一一對(duì)應(yīng)關(guān)系，并輸入電腦進(jìn)行動(dòng)態(tài)管理。(3)劃分VLAN，減小播送域，降低播送風(fēng)暴的影響，減小網(wǎng)絡(luò)監(jiān)聽(tīng)的可能，為不同平安要求的VLAN提供訪問(wèn)控制，將不同業(yè)務(wù)性質(zhì)的子網(wǎng)隔離開(kāi)。(4)采用靜態(tài)IP，進(jìn)行IP地址、MAC地址、交換機(jī)端口的多層次綁定，防止IP盜用、IP沖突。(5)購(gòu)置一套網(wǎng)絡(luò)殺毒軟件。(6)購(gòu)置一臺(tái)防火墻，有效隔離內(nèi)外網(wǎng)，并為上網(wǎng)計(jì)算機(jī)提供地址轉(zhuǎn)換效勞。2023/9/2143.1彩虹學(xué)校校園網(wǎng)絡(luò)的平安設(shè)計(jì)平安性設(shè)計(jì)方案(7)購(gòu)置一套信息過(guò)濾軟件，在技術(shù)上防止師生有意無(wú)意地瀏覽含有黃色、暴力、邪教內(nèi)容的信息。(8)對(duì)校園網(wǎng)中的重點(diǎn)主機(jī)進(jìn)行平安設(shè)置，去掉不必要的訪問(wèn)，并在所需要的網(wǎng)絡(luò)訪問(wèn)周圍建立訪問(wèn)控制，防止非法入侵。(9)及時(shí)修補(bǔ)系統(tǒng)軟件和應(yīng)用軟件的漏洞，阻斷病毒傳播和黑客攻擊的途徑，及時(shí)升級(jí)殺毒軟件。(10)制定嚴(yán)格的口令制度，規(guī)定長(zhǎng)度、復(fù)雜度及生存期。(11)制定完善的校園網(wǎng)絡(luò)使用管理制度，明確校園網(wǎng)中各種使用者及管理者的權(quán)利和責(zé)任，以及違規(guī)后的懲罰措施。2023/9/215彩虹學(xué)校校園網(wǎng)用戶分布情況3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用K12服務(wù)器課件服務(wù)器VOD服務(wù)器480T兩臺(tái)510T堆疊一臺(tái)460T一臺(tái)1024一臺(tái)1024一臺(tái)1016一臺(tái)460T一臺(tái)1024一臺(tái)460T一臺(tái)3008注：“”為千兆雙絞線，“”為千兆光纜，“”為百兆雙絞線彩虹學(xué)校校園網(wǎng)用戶分布很散亂，沒(méi)有一個(gè)二級(jí)交換機(jī)連著同一類用戶，少的兩三種，多的五六種用戶。2023/9/2163.2.2校園網(wǎng)用戶分析3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用小學(xué)辦公室小學(xué)教室小學(xué)機(jī)房初中機(jī)房初中辦公室初中教室高中機(jī)房高中辦公室高中教室領(lǐng)導(dǎo)辦公室備課室職能辦公室效勞器注：1.“AB〞表示用戶A可單向訪問(wèn)用戶B2.除過(guò)教室外，其余用戶都可上網(wǎng)圖五：彩虹學(xué)校校園網(wǎng)用戶訪問(wèn)需求2023/9/217劃分方式的選擇

3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用480T支持基于Port、基于802.1Qtag、基于Ethernetprotocoltype、基于MACaddress的VLAN劃分，也支持MixingPort-BasedandTaggedVLAN；460T支持基于Port、基于802.1Qtag、基于MACaddress的VLAN劃分；510T只支持基于策略的VLAN劃分。校園網(wǎng)的桌面級(jí)交換機(jī)1024、1016、3008級(jí)連在二級(jí)交換機(jī)的一個(gè)端口上，它們不支持VLAN劃分。2023/9/218劃分方式的選擇

3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用Win2000以上的操作系統(tǒng)可以輕易修改內(nèi)存中的MAC地址；在共享媒介中實(shí)施基于MAC地址的VLAN使網(wǎng)絡(luò)性能明顯下降；初始化時(shí)的巨大工作量，基于MAC地址的VLAN劃分方式不可選。460T基于端口劃分的VLAN不支持跨交換機(jī)。從校園網(wǎng)用戶分布情況可以看出，幾乎所有的VLAN都跨交換機(jī)，基于端口的VLAN劃分不不可選。所以我們選擇基于802.1Qtag的VLAN劃分方式對(duì)校園網(wǎng)進(jìn)行VALN劃分，510T不劃分VLAN，它的問(wèn)題后面再來(lái)解決。2023/9/2193.2.4VLAN具體的劃分

3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用VLANNAMEVLANIDIPADDRESGATEWAY教師辦公室VLAN88192.168.8.X192.168.8.1教室VLAN22192.168.2.X192.168.2.1領(lǐng)導(dǎo)辦公室VLAN66192.168.6.X192.168.6.1服務(wù)器VLAN77192.168.7.X192.168.7.1中學(xué)機(jī)房VLAN33192.168.3.X192.168.3.1小學(xué)機(jī)房VALN55192.168.5.X192.168.5.1網(wǎng)絡(luò)設(shè)備DEFAULT1192.168.1.X192.168.1.12023/9/2203.2.5校園網(wǎng)各VLAN間的互訪關(guān)系3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用小學(xué)機(jī)房VLAN5教室VLAN2中學(xué)機(jī)房VLAN3領(lǐng)導(dǎo)辦公室VLAN6教師辦公室VLAN8服務(wù)器VLAN7注：1.“AB”表示用戶A可單向訪問(wèn)用戶B2.除過(guò)教室外，其余用戶都可上網(wǎng)圖五：彩虹學(xué)校校園網(wǎng)用戶訪問(wèn)需求2023/9/2213.2.5彩虹學(xué)校校園網(wǎng)各VLAN間的通信3.2VLAN技術(shù)在彩虹學(xué)校校園網(wǎng)中的應(yīng)用三種方式：通過(guò)外部路由器實(shí)現(xiàn)、通過(guò)具有路由功能的交換機(jī)實(shí)現(xiàn)、通過(guò)建立通信連接來(lái)實(shí)現(xiàn)。通過(guò)購(gòu)置協(xié)議鑰匙來(lái)開(kāi)啟完全三層路由功能行不通，而根本三層的路由功能很有限，開(kāi)啟路由功能所有VLAN全通，關(guān)閉那么全不通。先開(kāi)啟根本三層路由功能使所有VLAN之間互通，再利用建立訪問(wèn)列表禁止局部VLAN間的通信。2023/9/222〔1〕Netscreen50防火墻的選購(gòu)

〔2〕防火墻的配置

〔3〕用“天網(wǎng)〞個(gè)人防火墻保障關(guān)鍵主機(jī)的平安

3.3

彩虹學(xué)校校園網(wǎng)防毒反黑體系的建立

3.3.1防火墻技術(shù)的應(yīng)用2023/9/223〔4〕VPN技術(shù)的應(yīng)用集團(tuán)辦公服務(wù)器192.168.0.88219.145.Y.Y219.145.X.X互聯(lián)網(wǎng)校園網(wǎng)服務(wù)器VLAN192.168.7.3~10網(wǎng)管ADSL校園網(wǎng)領(lǐng)導(dǎo)VLAN192.168.6.101~115(圖七)網(wǎng)管、學(xué)校和集團(tuán)之間虛擬專用網(wǎng)(VPN)2023/9/224安裝時(shí)應(yīng)采取的平安措施帳戶的平安設(shè)置密碼的平安設(shè)置共享的平安設(shè)置端口和效勞的平安設(shè)置開(kāi)啟平安審核策略創(chuàng)立緊急修復(fù)盤(pán)協(xié)議的平安設(shè)置漏洞掃描3.3彩虹學(xué)校校園網(wǎng)防毒反黑體系的建立3.3.2校園網(wǎng)效勞器的平安設(shè)置2023/9/225選購(gòu)安裝瑞星網(wǎng)絡(luò)版殺毒軟件除安裝有硬盤(pán)復(fù)原卡、全盤(pán)保護(hù)的教室終端和學(xué)生機(jī)房外，校園網(wǎng)內(nèi)所有的終端都必須安裝殺毒軟件及時(shí)升級(jí)殺毒效勞器上的病毒庫(kù)每周一次全網(wǎng)查殺為系統(tǒng)打補(bǔ)丁，截?cái)嗖《緜鞑サ耐緩浇顾阶园惭b其它殺毒軟件3.3

彩虹學(xué)校校園網(wǎng)防毒反黑體系的建立

3.3.3預(yù)防查殺計(jì)算機(jī)病毒2023/9/226在校園網(wǎng)比較重要的效勞器網(wǎng)段VLAN7中放置基于網(wǎng)絡(luò)的入侵檢測(cè)產(chǎn)品S100。不停地監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包。對(duì)每個(gè)數(shù)據(jù)包或可疑的數(shù)據(jù)包進(jìn)行特征分析。如果數(shù)據(jù)包與入侵檢測(cè)系統(tǒng)中的某些規(guī)那么吻合，那么入侵檢測(cè)系統(tǒng)就會(huì)發(fā)出警報(bào)或者直接切斷網(wǎng)絡(luò)的連接。在重要的主機(jī)〔財(cái)務(wù)室電腦、教務(wù)室電腦等〕上安裝基于主機(jī)的入侵檢測(cè)系統(tǒng)S120，對(duì)該主機(jī)的網(wǎng)絡(luò)實(shí)時(shí)連接以及系統(tǒng)審計(jì)日志進(jìn)行分析和判斷，如果其中主體活動(dòng)十分可疑，入侵檢測(cè)系統(tǒng)就會(huì)采取相應(yīng)措施。在校園網(wǎng)中同時(shí)采用基于網(wǎng)絡(luò)和基于主機(jī)的入侵檢測(cè)系統(tǒng)，它們優(yōu)勢(shì)互補(bǔ)，構(gòu)架成一套完整立體的主動(dòng)防御體系。3.3

彩虹學(xué)校校園網(wǎng)防毒反黑體系的建立

3.3.4構(gòu)架立體的主動(dòng)防御體系2023/9/227校園網(wǎng)效勞器選用熱插拔硬盤(pán)、RAID5格式；在效勞器段VLAN7設(shè)置一臺(tái)裝有三個(gè)大容量IDE硬盤(pán)的備份PC(磁帶機(jī)的價(jià)格太高5000-50000￥)，將常用數(shù)據(jù)存儲(chǔ)在效勞器硬盤(pán)，不常用的數(shù)據(jù)存儲(chǔ)在這臺(tái)PC的硬盤(pán)中；利用Win2000Sserver自帶的備份工具對(duì)效勞器中的有效數(shù)據(jù)定期備份，放在備份PC的硬盤(pán)上；對(duì)教務(wù)室和財(cái)務(wù)室的電腦也要求定期備份；將學(xué)校需要保存的數(shù)據(jù)、圖像、資料每個(gè)學(xué)期末進(jìn)行一次分類、編號(hào)、整理、壓縮，然后刻成光盤(pán)存檔。3.4提高校園網(wǎng)平安性的其它措施

3.4.1數(shù)據(jù)備份2023/9/228一是加強(qiáng)對(duì)師生的信息道德培養(yǎng)和法制教育，使他們不會(huì)主動(dòng)上網(wǎng)瀏覽、下載、傳播這類信息；二是利用技術(shù)手段對(duì)校園網(wǎng)內(nèi)的信息進(jìn)行監(jiān)測(cè)，過(guò)濾含有黃色、暴力、邪教內(nèi)容的信息。要兩手抓，兩手都要硬。選用由公安部監(jiān)制的信息過(guò)濾軟件“藍(lán)眼睛智能信息過(guò)濾系統(tǒng)〞,從而到達(dá)凈化校園網(wǎng)網(wǎng)絡(luò)信息的目的；當(dāng)非法網(wǎng)址被訪問(wèn)或者系統(tǒng)監(jiān)測(cè)到的應(yīng)該被過(guò)濾的信息在流通時(shí)，除了中斷信息交流外，還會(huì)將相關(guān)信息記錄，以明確責(zé)任。使用網(wǎng)絡(luò)版對(duì)教師、教室、領(lǐng)導(dǎo)和備課室的電腦上傳輸?shù)男畔⑦M(jìn)行過(guò)濾，選用代理效勞器版對(duì)學(xué)生機(jī)房的電腦進(jìn)行信息過(guò)濾。3.4提高校園網(wǎng)平安性的其它措施

3.4.2不良信息過(guò)濾2023/9/229在防火墻內(nèi)口上捆綁IP和MAC地址在核心交換機(jī)480T上捆綁IP和MAC地址在學(xué)生機(jī)房的代理效勞器上捆綁MAC和IP地址在二級(jí)交換機(jī)460T和510T上捆綁端口和MAC地址3.4提高校園網(wǎng)平安性的其它措施

3.4.3多層