校园网络安全设计

1、摘 要本文从计算机网络面临的各种安全威胁，系统地介绍网络安全技术。并针对校园网络的安全问题进行研究，首先分析了高校网络系统安全的隐患，然后从构建安全防御体系和加强安全管理两方面设计了校园网络的安全策略。本次论文研究中，我首先了解了网络安全问题的主要威胁因素，并利用网络安全知识对安全问题进行剖析。其次，通过对网络技术的研究，得出校园网也会面临着安全上的威胁。最后，确立了用P2DR模型的思想来建立校园网的安全防御体系。并得出了构建一套有效的网络安全防御体系是解决校园网主要威胁和隐患的必要途径和措施.关键词: 网络安全，安全防范，校园网, VPN第1章 前 言 二十一世纪是只是经济时代。随着现代科学

2、技术的飞速发展，全球信息化浪潮势不可挡，已经迅速延伸至国防、科研、教育等各个领域，也不可避免地改变着传统的企业人事的工作模式，利用当前蓬勃发展的一计算机和网络为主导的现代信息技术则是企业实现现代化工作的必不可少的技术基础，我国的信息起步晚，本可以高起点，高标准的建设我国的信息高速公路，但由于我国经济能力和幅员辽阔，建设成本压力很大，因此发展较为缓慢。学校，尤其是各大高校，作为知识基地和人才基地，它理应为代表信息产业技术发展的最前沿，然而现状是工业水平高于学术水平，即使这样，1994年中国教育科研网正是启动以来，已与国内几百所学校相连，2000年该网“二期工程”完成时，除达到连接1000所大学的

3、目标外，对有条件的中小学也将提供上网接入服务，但实际情况是我国大多数校园网却因应用水平的低下而造成资源的极大浪费，如何利用当前先进的计算机技术与校园网资源，实现学校各项业务系统的集成，提高应用水平成为学校校园网建设的工作重点。校园网在国内发展还不成熟，学校、媒体甚至计算机业界，对校园网都缺乏全面、深入的理解和认识，带有一定的盲目性和偏见。建设校园网要经过周密的论证、谨慎的决策和紧张的施工。米钱存在的一些情况是，网建成了问题也出现了；设计目标无法实现；应用软件缺乏，阻碍了设想实施；维护费用不堪承受等等。这就是需要在网络建设实施前确定明确的设计目标，是技术和成本找到最佳点，并考虑到日后的升级，既可

4、扩展性。第二章 校园网主动防御体系校园网的网络攻击主要来自internet中,所以对网络的攻击可以分为两种基本的类型，即服务攻击与非服务攻击。（1）服务攻击指对为网络提供某种服务的服务器发起攻击，遭成该网络的“拒绝服务”，使网络工作部正常。拒绝服务攻击将会带来消耗带宽、消耗计算资源、使系统和应用崩溃等后果，它是阻止针对某种服务的合法使用者访问他有权的服务。 （2）非服务攻击 非服务攻击是针对网络层等低层协议进行的，攻击者可能使用各种方法对网络通信设备发起攻击，使得网络通信设备工作严重阻塞或瘫痪，导致一个局域网或更多的网布能正常工作。与服务攻击相比，非服务攻击与特定服务无关，它往往利用协议或操作

5、系统实现协议时的漏洞来达到目的。校园网络主要存在的安全隐患和漏洞有：（1）校园网通过CERNET与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险。（2）校园网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，因此来自内部的安全威胁更大一些。而现在，黑客攻击工具在网上十分常见，一般人员并不需要很复杂的知识就能用，所以存在很大的危险。（3）目前使用的操作系统存在安全漏洞，对网络安全构成了威胁。大学的网络服务器安装的操作系统有WindowsNT/Windows2000、Unix、Linux等，这些系统安全风险级别不同，例如WINNT/WIN2

6、000的普遍性和可操作性使得它也是最不安全的系统：本身系统的漏洞、浏览器的漏洞、IIS的漏洞；Unix由于其技术的复杂性导致高级黑客对其进行攻击：自身安全漏洞（RIP路由转移等）、服务安全漏洞、Unix自身的病毒等等，这些都对原有网络安全构成威胁。（4）随着校园内计算机应用的大范围普及，接入校园网节点日渐增多，而这些节点大部分都没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全体系显得尤其重要。第一节 P2DR模型美国国际互联网安全系统公司( ISS )提出的 P 2 D R模型是

7、指：策略 ( P o l i c y )、防护( P r o t e c t i o n )、检测( D e t e c t i o n ) 和响应 ( R e s p o n s e )。P 2 D R模型强调防护、检测和响应等环节的动态循环过程，通过这种过程达到保持网络系统的相对安全。所以P 2 D R模型是“整体的、动态的”的安全循环，在安全策略整体的控制下指导下保证信息系统的安全。P 2 D R模型如图1-1所示。 图 1-1 P2DR模型P2DR模型是美国ISS公司提出的动态网络安全体系的代表模型，也是动态安全模型的雏形。P2DR模型包括四个主要部分：Policy(安全策略)、Pro

8、tection(防护)、Detection(检测)和 Response(响应)。P2DR 模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、操作系统身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整到“最安全”和“风险最低”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。该理论的最基本原理就是认为，信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为和响应行为等等都要消耗时间。因此可以用时间来衡量一个体系的安全性和安全能力。作为一个防护体系，当入侵者要发起攻击

9、时，每一步都需要花费时间。当然攻击成功花费的时间就是安全体系提供的防护时间Pt；在入侵发生的同时，检测系统也在发挥作用，检测到入侵行为也要花费时间检测时间Dt；在检测到入侵后，系统会做出应有的响应动作，这也要花费时间响应时间Rt。P2DR 模型就可以用一些典型的数学公式来表达安全的要求：（1）公式 1：Pt Dt + Rt 。Pt代表系统为了保护安全目标设置各种保护后的防护时间；或者理解为在这样的保护方式下，黑客（入侵者）攻击安全目标所花费的时间。Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。Rt代表从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间

10、。那么，针对于需要保护的安全目标，如果上述数学公式满足防护时间大于检测时间加上响应时间，也就是在入侵者危害安全目标之前就能被检测到并及时处理。（2）公式 2：Et = Dt + Rt，如果 Pt = 0。公式的前提是假设防护时间为0。Dt代表从入侵者破坏了安全目标系统开始，系统能够检测到破坏行为所花费的时间。Rt代表从发现遭到破坏开始，系统能够做出足够的响应，将系统调整到正常状态的时间。比如，对Web Server被破坏的页面进行恢复。那么，Dt与Rt的和就是该安全目标系统的暴露时间Et。针对于需要保护的安全目标，如果Et越小系统就越安全。通过上面两个公式的描述，实际上给出了安全一个全新的定义

11、：“及时的检测和响应就是安全”，“及时的检测和恢复就是安全”。而且，这样的定义为安全问题的解决给出了明确的方向：提高系统的防护时间 Pt，降低检测时间 Dt和响应时间 Rt。第二节 校园网络安全防范体系 安全模型中的安全策略、防护、检测、响应始终贯穿着安全技术和安全管理两个方面的重要内容，校园网络安全防范体系构建是以安全策略为核心,防护，检测和响应为实施方法,并通过安全培训加强所有人员的安全意识，完善安全体系安全单元环境。安全体系的示意图如图1-2所示。图1-2 安全防范体系针对以上校园网网络安全体系应用以下安全技术来实现： （1）配置防火墙和入侵检测系统 在校园网的进口处架设了防火墙和网络入

12、侵检测系统。防火墙作为一种将内外网隔离的技术， 普遍运用于校园网安全建设中。防火墙可以有效地隔离内部网与外部网， 保护校园内部网络免遭非法的侵入。网络安全检测工具是一个网络安全性评估分析软件，不时的扫描分析网络系统， 网络管理员根据检测的报告系统分析存在的弱点和漏洞，及时采取补救措施，以达到增强网络安全性的目的。基于网络的入侵检测系统，对监视网段中的各种数据包进行特征分析，会根据产品中配置规则情况录取是否发出警报或直接切断网络连接。 （2）采用V L A N技术 按学校各部门拥有不同的应用业务以及不同的安全级别，有限制非法访问可以运用 V L A N技术。如使用三层交换机基于端口划分技术将网络

13、分段并进行隔离，实现访问控制。 （3）配置代理服务器 在计算机中心学生机房配置访问控制列表，使用二级防火墙，并利用代理软件配置代理服务器，在代理服务器上安装双网卡，连接外网的网卡使用公网I P地址，连接内网的网卡使用私有地址，学生客户机 I P地址与代理服务器内网 I P地址在同一网段，网关 I P为代理服务器内网 I P地址。机房机器通过代理服务器连接互联网，可以控制前往I n t e me t 的所有用户的流量。 （4）安装杀毒软件 在整个校园网中只要有可能感染和传播病毒的地方都采取相应的防病毒手段，安装相适应的防杀毒软件，有效地防止病毒在校园网上感染、传播和发作。对防病毒软件要有效、快速

14、地升级病毒定义码和扫描引擎。网络的安全管理是一个长期的、动态的过程。本网络系统的安全性还存在不少问题，比如说防止网络攻击方面， 尽管使用了入侵检测系统和防火墙的联动技术，但是，目前的入侵检测系统对未知的攻击检测能力较弱，且存在误报率太高的缺点。这些问题有待我们作进一步的探讨和改进，不断的分阶段完善安全防范体系。 （5）制定安全策略安全策略是赋予了组织机构技术人员或信息资产使用权的人员必须履行的准则的正规陈述它是一个成功的网络安全体系的基础与核心。业务需求和风险分析是安全策略的主要制定依据。校园网络的安全策略是依据校园网的业务需求描述了校园网近期安全目标和长期安全目标，以及安全风险评估分析，不同

15、安全评估标准中保护对象的安全等级方面的内容。 第三节 完善安全制度与管理安全管理贯穿整个安全防范体系，是安全防范体系的核心，代表了安全防范体系中人的因素。网络系统的安全性不只是技术方面的问题，如果日常管理上没有相应规章制度来管理约束，再先进的软件技术, 硬件设备对网络系统的安全来说也是不安全的。一个有效的安全防范体系应该是以安全策略为核心，以安全技术为支撑，以安全管理为落实,安全管理主要是对安全技术和安全策略的管理， 安全策略为安全管理提供管理方向，安全技术是辅助安全管理的措施。当网络出现攻击行为或其它一些安全威胁时，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击

16、行为的追踪线索，即缺乏对网络的可控性与可审查性。这就要求网络管理员经常通过网络攻击扫描器提前识别弱点区域，入侵检测系统监控和响应安全事件，必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。安全管理主要是对安全策略的一系列实施操作，这些操作是构建网络安全体系必不可少的。没有完善的安全管理体系，很难保证网络系统的安全。必须制定详细的安全管理制度，如机房管理制度、病毒防范制度等，并采 取切实有效的措施保证制度的执行。学院网络安全防范体系建立以后，学院的网络控制中心负责网络设备的运行管理，信息中心负责网络教学资源的安全管理。规定系统管理员要进行日常的网络安全管理，实时地、动态地监控网络运行情

17、况，每日必须检查服务器的日志，对重要的数据服务器，每日必须进行异地数据备份。同时管理员的密码必须达到一定的长度并且建议每周修改一次。管理员需及时对操作系统打补丁和防病毒软件包的升级，不断完善和优化网络安全防范体系。 第三章 VPN校园网络中的应用一、 IPSec/SSL 一体化VPN技术原理IPSec VPN 需要用户必须安装特定的客户端软件，这需要专业技术人员进行操作。此外IPSec VPN不能透过NET防火墙。且IPSec VPN 不允许从公网计算机接入专网。SSL VPN不需要安装任何客户端软件，用户只需输入SSL服务器的URL，然后再输入用户名及密码，即可完成远程登录的操作。故SSL

18、VPN最适合学校远程访问接入。而Ipsec VPN 是在两个局域网之间通过Internet建立安全连接，保护的是点对点间的通讯，并不局限于web应用，还能构建局域网之间的虚拟专用网络，功能和应用的扩展更强。故Ipsec VPN适合校区间点对点连接。因此，这种集成的VPN解决方案充分发挥了Ipsec VPN和SSL VPN的各自优势，能更好的满足校园网的多种需求。二、 IPSec/SSL实现过程那么，在校园网中部署Ipsec/SSL一体化VPN，它们又是如何工作的呢？（一）IPSec实现过程IPSec技术原理可以表达为其连接的五个步骤：（1）IPSec对等体发起会话，触发IPSec感兴趣流量，并

19、在对等体中配置安全策略（2）IKE阶段1，IKE鉴别IPSec对等体并协商IKE安全关联（SA），为阶段中的IPSec安全关联（SA）协商建立安全通道。（3） IKE阶段2-IKE协商IPSec安全关联参数，并在对等体中建立相匹配的IPSec安全关联（SA）。（4）数据传输基于保存在安全关联数据库中的IPSec参数和密钥，在IPSec对等体间传送数据。（5）IPSec隧道终止-IPSec安全关联（SA）因被删除或超时而终止。简单点说就是：发起对等体会话协商安全关联（SA）构建安全通道协商安全关联参数传输数据隧道终止。（二）SSL实现过程SSL协议是基于Web应用的安全协议，它指定了在应用程序协

20、议（如HTTP/Telnet和FTP等）和TCP/IP协议之间进行数据交换的安全机制，为连接提供数据加密、服务器认证以及可选的客户机认证。作为应用层协议，SSL使用公开密匙体制和X.509数字证书技术保护信息传输的机密性和完整性，但它不能保证信息的不可抵赖性。SSL安全协议主要提供三方面的服务：（1） 认证用户和服务器，使得它们能够确信数据将被发送到正确的客户服务器上；（2） 加密数据以隐藏被传输的数据；（3） 维护数据的完整性，确保数据在传输过程中不被改变。它是由SSL记录协议、握手协议、密匙更改协议和警告协议组成，。它们共同为应用访问连接提供认证，加密和防纂改功能。其协议栈如图1-3：图1

21、-3 SSL协议栈SSL协议的主要用途是在两个通信应用程序之间提供机密性和可靠性，这个过程通过三个协议来完成：握手协议、记录协议和警告协议。且在SSL通信中，服务器方使用443端口，而客户方的端口是人选的。三、IPSec/SSL 一体化VPN校园网方案下面本文将结合校园布局，拟定一个IPSec/SSL一体化VPN校园方案，进一步讨论VPN技术在校园网中的应用。（一）校园网络布局特点例如：校园分为二个校区：东校区、西校区。为此拟定的校园拓扑设计如下图1-4，目前适合校园具体情况的IPSec/SSL一体化的网络设备产品很多，通过综合考虑（如安全性、稳健性、可管理性和性价比等）可选用深信服科技有限公

22、司的SINFOR M5100-S VPN网关及其配套产品，该网关集成IPSec VPN、SSL VPN、防火墙功能。IPSec VPN功能可以降低成本实现和分校区的网间互联；而SSL VPN功能则最适合移动办公人员的远程安全接入。防火墙功能还可以有效保证学校网络的Internet入口的安全。图1-4校园网拓扑图（二）IPSec/SSL VPN配置（1）配置中心校区SINFOR M5100-S VPN网关1 系统配置：将SINFOR M5100-S VPN硬件网关放置在中心校区的Internet出口处，配置其内外网接口的ip地址、子网掩码、外网接口的默认网关、DNS，线路类型选择以太网。将需要被

23、分校区和移动办公人员访问的各种应用服务器（财务系统、OA、WEB服务器）的网关指向SINFOR M5100-S VPN的内网接口。2 IPSec VPN配置在WebAgent设置中，输入“中心校区WAN口IP地址：4009”。针对中心校区需开发资源情况设定中心校区VPN内网服务设置，以便为各接入分校区分配相应权限（如对财务/OA/图书馆系统等）；为接入分校区分配合法的用户名密码等账户信息，可根据需要为每个账号分配不同的VPN权限，在启动ID鉴权的情况下需要把所有需接入中心校区的远程用户生成证书后传给中心网络管理员并分别绑定到对应的用户账户上；配置VPN内的QoS，为各种重要应用分配更高的优先级别，以便在网络繁忙时为这些重要应用预留更高的带宽；3 SSL VPN配置在WebAgent设置中，不需要设置任何信息。用户直接在浏览器里面输入学校WAN口IP就可以访问SSL VPN。 为移动接入分配合法的用户名、密码等账号信息，根据每个账户选定不同认证方式，如用户名密码、数字证书、短信认证、Dkey以及外部认证。为移动用户分配可用资源，包括Web资源和App资源。可通过修改“访问地址”来实现的Web资源定义，但有一定的局限性。 App资源几乎支持所有的C/S应用，包括Web、Emall和FTP。所以添加