校園網(wǎng)絡安全規(guī)劃設計1校園網(wǎng)的建設目標校園網(wǎng)的設計目標簡而言之是將各種不同應用的信息資源通過高性能的網(wǎng)絡設備相互連接起來,形成校園區(qū)內(nèi)部的Intranet系統(tǒng),對外通過路由設備接入廣域網(wǎng)。具體而言這樣的設計目標應該是:1、信息資源共享通過校園網(wǎng),實現(xiàn)學校內(nèi)部,學校與國內(nèi)、國際信息的快速交流,達到資源共享,使廣大師生及時了解國內(nèi)外科學技術(shù)和高等教育發(fā)展的最新動態(tài),促進教學、科研、管理事業(yè)的發(fā)展。2、學校管理系統(tǒng)的信息化、自動化依托校園網(wǎng),構(gòu)建相應的交互式應用軟件平臺,實現(xiàn)教學、科研、人事、學生、財務、后勤、檔案等管理工作的自動化,實現(xiàn)統(tǒng)計監(jiān)測網(wǎng)絡化,提高管理效率和水平。實現(xiàn)網(wǎng)上招生、網(wǎng)上人才招聘、學生網(wǎng)上求職等。3、建立計算機網(wǎng)絡輔助教學系統(tǒng)建立基于網(wǎng)絡的電子教學CAI課件開發(fā)網(wǎng)上題庫、答疑與作業(yè)批改等計算機輔助教學系統(tǒng),實現(xiàn)教學手段的現(xiàn)代化。4、校園網(wǎng)和廣域網(wǎng)結(jié)合依托校園網(wǎng)、廣域網(wǎng)開展遠程教學,使廣大的學生和老師能更好的交流學習和獲取學校網(wǎng)絡的資源。5、人性化為廣大師生提供寬松,開放、易用的網(wǎng)絡環(huán)境,使網(wǎng)絡觸入日常工作和生活中,發(fā)揮網(wǎng)絡的最大效用。6、方便教學網(wǎng)絡可以進行圖、文、聲并茂的多媒體教學,可以取代語言實驗室進行更生動的語言教學,也可以利用大量現(xiàn)成的教學軟件,提供一個良好的教學環(huán)境,這些都是以往任何教學手段所不能達到的。校園網(wǎng)絡不但可以在校內(nèi)進行網(wǎng)絡教學,還很容易同外界大型網(wǎng)絡連結(jié),形成更大范圍的網(wǎng)絡交互學習環(huán)境。7、系統(tǒng)總體設計本著總體規(guī)劃、分布實施的原則,充分體現(xiàn)系統(tǒng)的技術(shù)先進性、高度的安全可靠性、良好的開放性、可擴展性,以及經(jīng)濟性。校園網(wǎng)網(wǎng)絡的建設目標是,建立一套完整的校園信息系統(tǒng),將學院校園網(wǎng)建設成為一個借助信息化教育和管理手段的高水平的智能化、數(shù)字化的教學園區(qū)網(wǎng)絡。3系統(tǒng)安全目標基于以上的分析,我們認為這個局域網(wǎng)網(wǎng)絡系統(tǒng)安全應該實現(xiàn)以下目標:建立一套完整可行的網(wǎng)絡安全與網(wǎng)絡管理策略將內(nèi)部網(wǎng)絡、公開服務器網(wǎng)絡和外網(wǎng)進行有效隔離,避免與外部網(wǎng)絡的直接通信建立網(wǎng)站各主機和服務器的安全保護措施,保證他們的系統(tǒng)安全對網(wǎng)上服務請求內(nèi)容進行控制,使非法訪問在到達主機前被拒絕加強合法用戶的訪問認證,同時將用戶的訪問權(quán)限控制在最低限度全面監(jiān)視對公開服務器的訪問,及時發(fā)現(xiàn)和拒絕不安全的操作和黑客攻擊行為加強對各種訪問的審計工作,詳細記錄對網(wǎng)絡、公開服務器的訪問行為,形成完整的系統(tǒng)日志備份與災難恢復——強化系統(tǒng)備份,實現(xiàn)系統(tǒng)快速恢復加強網(wǎng)絡安全管理,提高系統(tǒng)全體人員的網(wǎng)絡安全意識和防范技術(shù)備份與災難恢復——強化系統(tǒng)備份,實現(xiàn)系統(tǒng)快速恢復加強網(wǎng)絡安全管理,提高系統(tǒng)全體人員的網(wǎng)絡安全意識和防范技術(shù)網(wǎng)絡需求分析1用戶需求分析一、中層管理需求:1主要相關(guān)人員:處、部主任。2調(diào)查內(nèi)容:1、辦公需求:辦公自動化,文檔電子化。2、管理需求:會議管理,個人信息管理,公共信息管理,公文管理,教務綜合管理。3、E-mail服務:需要。4、遠程訪問:需要。A:辦公自動化系統(tǒng)結(jié)構(gòu)圖:B:綜合教務管理系統(tǒng):二、教師需求:1相關(guān)人員:各系部教師2調(diào)查內(nèi)容:1、教學要求:電子備課,資料查閱,文檔打印,文檔、課件上傳/下載,在線答疑2、教學活動:VOD(或?qū)硇枰?學生成績登入、公布3、遠程訪問:需要4、E-mail服務:需要三、學生需求:1相關(guān)人員:學生。2調(diào)查內(nèi)容:1、學習需求:電子文檔下載,文檔打印,資料查詢。2、E-mail服務:需要3、遠程訪問:需要4、學業(yè)管理:成績查詢。制應提供地址轉(zhuǎn)換、被動監(jiān)廳、端口掃描和否認服務等機制、,同時劃分不同級別的安全區(qū)域;遠程訪問的安全控制應提供訪問服務器的用戶身份認證、用戶授權(quán)及用戶記賬/審計等功能;應提供對整個網(wǎng)絡和工作站進行偵獨、解毒和清毒等工作,防范計算機病毒。內(nèi)部網(wǎng)絡實用VLAN分段,隔離廣播域,防止網(wǎng)絡竊聽和非法訪問,使用防火墻分割內(nèi)部網(wǎng)和外部網(wǎng),限制級別訪問內(nèi)部WEB服務器,財務數(shù)據(jù),以及OA系統(tǒng)各分區(qū)校園用戶使用VPN方式訪問主教學總部網(wǎng)絡,并限制同時的訪問量。2安全需求分析通過前面我們對這個學校局域網(wǎng)絡結(jié)構(gòu)、應用及安全威脅分析,可以看出其安全問題主要集中在對服務器的安全保護、防黑客和病毒、重要網(wǎng)段的保護以及管理安全上。因此,我們必須采取相應的安全措施杜絕安全隱患,其中應該做到:病毒防護數(shù)據(jù)安全保護數(shù)據(jù)備份與恢復網(wǎng)絡的安全管理針對這個學校局域網(wǎng)絡系統(tǒng)的實際情況,在系統(tǒng)考慮如何解決上述安全問題的設計時應滿足如下要求:1.提高系統(tǒng)的安全性(重點是可用性和可控性;2.保持網(wǎng)絡原有的能特點,即對網(wǎng)絡的協(xié)議和傳輸具有很好的透明性,能透明接入,無需更改網(wǎng)絡設置;3.易于操作、維護,并便于自動化管理,而不增加或少增加附加操作;4.盡量不影響原網(wǎng)絡拓撲結(jié)構(gòu),同時便于系統(tǒng)及系統(tǒng)功能的擴展;5.安全保密系統(tǒng)具有較好的性能價格比,一次性投資,可以長期使用;6.安全產(chǎn)品具有合法性,及經(jīng)過國家有關(guān)管理部門的認可或認證;7.分布實施。3網(wǎng)絡系統(tǒng)安全風險分析針對這個學校局域網(wǎng)中存在的安全隱患,在進行安全方案設計時,下述安全風險我們必須要認真考慮,并且要針對面臨的風險,采取相應的安全措施。下述風險由多種因素引起,與這個學校局域網(wǎng)結(jié)構(gòu)和系統(tǒng)的應用、局域網(wǎng)內(nèi)網(wǎng)絡服務器的可靠性等因素密切相關(guān)。下面列出部分這類風險因素:網(wǎng)絡安全可以從以下三個方面來理解:1網(wǎng)絡物理是否安全;2網(wǎng)絡平臺是否安全;3系統(tǒng)是否安全;4應用是否安全;5管理是否安全。針對每一類安全風險,結(jié)合這個學校局域網(wǎng)的實際情況,我們將具體的分析網(wǎng)絡的安全風險。4物理安全風險分析網(wǎng)絡的物理安全的風險是多種多樣的。網(wǎng)絡的物理安全主要是指地震、水災、火災等環(huán)境事故;電源故障;人為操作失誤或錯誤;設備被盜、被毀;電磁干擾;線路截獲。以及高可用性的硬件、雙機多冗余的設計、機房環(huán)境及報警系統(tǒng)、安全意識等。它是整個網(wǎng)絡系統(tǒng)安全的前提,在這個學校區(qū)局域網(wǎng)內(nèi),由于網(wǎng)絡的物理跨度不大,,只要制定健全的安全管理制度,做好備份,并且加強網(wǎng)絡設備和機房的管理,這些風險是可以避免的。備份與災難恢復——強化系統(tǒng)備份,實現(xiàn)系統(tǒng)快速恢復加強網(wǎng)絡安全管理,提高系統(tǒng)全體人員的網(wǎng)絡安全意識和防范技術(shù)校園網(wǎng)的基本功能連接校內(nèi)所有教學樓、實驗室、辦公樓中的PC。同時支持大約500用戶瀏覽Internet。提供豐富的網(wǎng)絡服務,實現(xiàn)廣泛的軟件,硬件資源共享,包括:提供基本的Internet網(wǎng)絡服務功能:如電子郵件、文件傳輸、遠程登錄、新聞組討論、電子公告牌等。提供校內(nèi)各個管理機構(gòu)的辦公自動化。提供圖書,文獻查詢與檢索服務,增強校圖書館信息自動化能力。全校共享軟件庫服務,避免重復投資,發(fā)揮最大效益。提供CAI教學和科研的便利條件。經(jīng)廣域網(wǎng)接口,提供國內(nèi)外計算機系統(tǒng)的互連,為國際間的信息交流和科研合作,為學?？焖佾@得最新教學成果及技術(shù)合作等創(chuàng)造良好的信息通路。網(wǎng)絡設計原則我國各校校園網(wǎng)的建設,主要是借助國家現(xiàn)成的傳輸系統(tǒng)(中國公眾多媒體網(wǎng)、教育與科研網(wǎng)、中國科技網(wǎng)、有線電視網(wǎng)等,利用現(xiàn)代傳輸媒介和通訊技術(shù),因地制宜地組建自己的校園網(wǎng)絡,并開發(fā)了數(shù)量眾多、形式各異的校園網(wǎng)絡系統(tǒng)。主要有閉路電視網(wǎng)、計算機網(wǎng)、二合一網(wǎng)絡、一線通網(wǎng)等等。然而,這些校園網(wǎng)往往投資很大,但由于沒有用到教育主業(yè)上,僅用在辦公自動化中,其利用率就顯得很低,十分可惜,因此,我們在建設校園網(wǎng)時一定要把握以下幾個原則:1、系統(tǒng)性校園網(wǎng)是一個復雜的系統(tǒng),校園網(wǎng)建設無疑是一個復雜的系統(tǒng)工程。網(wǎng)絡的規(guī)劃、設計、硬件建設、軟件建設以及網(wǎng)絡的使用、擴充等均以系統(tǒng)的眼光來看等。任何一項工作都從全局、長遠的角度出發(fā),體現(xiàn)整體最優(yōu)性。2、先進性、實用性校園網(wǎng)規(guī)劃、設計盡可能地采用先進技術(shù),同時也要兼顧技術(shù)的成熟性和實用性。計算機網(wǎng)絡技術(shù)的發(fā)展一日千里,不考慮技術(shù)的先進性,無疑會形成建成不久即面臨淘汰的局面。而一味追求先進,不考慮技術(shù)的成熟性,將存在巨大的風險。因為先進性是以大量的資金投入為代價的。另一方面,一味追求先進,以至脫離自己的實際需求,也是沒有實際意義的。3、開放性、發(fā)展性系統(tǒng)的規(guī)劃、設計應采用開放技術(shù)、開放結(jié)構(gòu)、開放系統(tǒng)組件和開放用戶接口,有良好的兼容性,以利于網(wǎng)絡的維護、擴展、升級及與外界的溝通。既要滿足現(xiàn)在和未來五年的用戶需求,又要考慮將來向更為先進的技術(shù)實現(xiàn)低成本平滑地升級過渡。4、安全性系統(tǒng)具有多層次的安全控制手段,完善的安全管理體系,防止受到黑客攻擊和破壞。5、易用性、可靠性系統(tǒng)要求設計簡單,層次清晰,軟、硬件設備性能優(yōu)良,功能完善,運行穩(wěn)定、可靠,易于維護。6、經(jīng)濟性系統(tǒng)設計和資金投向合理,體現(xiàn)良好的性能價格比。力爭少花錢,多辦事。7、強調(diào)培訓老師和學生是校園網(wǎng)的使用者,他們的計算機應用水平直接決定了校園網(wǎng)使用情況的好壞。因此,學校要加強對應用人員的培訓8、采用開放產(chǎn)品,遵循國際標準只有采用開放的和符合國際標準的產(chǎn)品,校園網(wǎng)絡才能確保適應將來網(wǎng)絡技術(shù)發(fā)展的需要。9、可兼容及可擴展性在進行方案建設時,力求做到網(wǎng)絡結(jié)構(gòu)清晰、合理并具有擴展能力;硬件配置先進、可靠,能夠滿足網(wǎng)絡及軟件運行的需要;系統(tǒng)軟件安全、可靠,界面友好,易于操作和維護。10、統(tǒng)籌規(guī)劃,分步實施的原則學校經(jīng)費十分有限,一次性拿出大筆資金使網(wǎng)絡建設一步到位是不現(xiàn)實的,也沒有這個必要。因為網(wǎng)絡建設本身不僅是硬件建設,更重要的是軟件建設和實際應用,而軟件建設和實際應用需要逐步地依據(jù)需求的增長來完成。另一方面,整個網(wǎng)絡系統(tǒng)也必須隨著網(wǎng)絡技術(shù)的發(fā)展不斷地擴展和升級,需要連續(xù)的資金投入。但有些關(guān)鍵性的基礎(chǔ)設施必須一步到位,如主要網(wǎng)絡設備、服務器及操作系統(tǒng)軟件等。我們要認真地進行科學的論證,制定整體方案,確保網(wǎng)絡的整體性和實用性。設備選型主機系統(tǒng)負責整個網(wǎng)絡的數(shù)據(jù)存儲和數(shù)據(jù)處理,因此必須選擇處理能力強、可伸縮性強、優(yōu)良的TCP/IP網(wǎng)絡性能、先進的數(shù)據(jù)庫產(chǎn)品、高可靠解決方案、功能強大的應用開發(fā)工具以及客戶機/服務器應用解決方案包的服務器系統(tǒng)。如PC服務器基于Intel的體系結(jié)構(gòu)(IA,采用WindowsNT、NetWare等通用網(wǎng)絡操作系統(tǒng),與傳統(tǒng)的RISCUNIX服務器相比,具有開放性、標準化、性價比高等特點。Unix服務器主要是以Sun、Siemens、SGI學校為代表廠商,提供完整系列的Unix服務器,從針對中、小型校園網(wǎng)或?qū)W校網(wǎng)的小型Unix服務器,到大型Unix服務器均可提供,并且配以大量應用軟件。校園網(wǎng)Intranet主要是以Web服務器為中心,WEB服務器提供基本的HTTP功能,從通用數(shù)據(jù)庫(URL中得到所需頁的路徑,并傳送回瀏覽器,它改變了傳統(tǒng)的Client/Server的結(jié)構(gòu)。1、銳捷STAR-R2624銳捷R2624模塊化路由器1臺,路由器價格21000,STAR-R2624路由器提供豐富的網(wǎng)絡安全特性,支持啞終端接入服務器功能;提供完備的冗余備份解決方案。STAR-R2624路由器支持VoIP特性、IP組播協(xié)議,有豐富的QoS特性,為中小型學校提供高性價比的三網(wǎng)合一解決方案。2、銳捷STAR-S3550STAR-S3550千兆智能多層交換機6臺,每臺價格39000,STAR-S3550-24帶有24個10/100自適應以太網(wǎng)端口,2個千兆擴展插槽,可擴展1個或者是2個千兆/百兆模塊,有12.8Gbps背板帶寬和6.6Mpps二三層轉(zhuǎn)發(fā)能力;而STAR-S3550-48具有48個10/100自適應端口,2個千兆擴展插槽,可擴展1至2個千兆/百兆模塊;背板帶寬18.5Gbps,二三層轉(zhuǎn)發(fā)能力達到10.1Mpps。STAR-S3550-12G/S3550-24G產(chǎn)品則是兩款全千兆的智能多層交換機,STAR-S3550-12G具有12個基于GBIC的千兆位以太網(wǎng)端口,48Gbps的背板帶寬,18Mpps的二三層轉(zhuǎn)發(fā)能力;STAR-S3550-24G的GBIC千兆位以太網(wǎng)端口有24個,背板帶寬為72Gbps,二三層轉(zhuǎn)發(fā)能力達到36Mpps。STAR-S3550系列智能多層交換機憑借豐富的產(chǎn)品系列、齊全的端口、高性能配置,能夠為各種網(wǎng)絡應用提供個性化選擇。而STAR-S3550系列交換機之所以受到廣大用戶的歡迎,還在于其為用戶所提供的豐富地網(wǎng)絡智能服務:硬件實現(xiàn)多種功能,增強數(shù)據(jù)處理能力。STAR-S3550系列多層交換機獨創(chuàng)性采用了硬件方式實現(xiàn)交換和路由,并且ACL和QOS功能也是通過硬件實現(xiàn),這意味著,即使在大量數(shù)據(jù)處理情況下,系統(tǒng)所有端口仍能保持線速轉(zhuǎn)發(fā)。3、銳捷RG-S2126交換機S2126交換機55臺,每臺價格5600,S2126交換機支持512個802.1QVLAN,支持端口和MAC地址綁定，支持廣播風暴抑制，還可以對屬于同一個802.1QVLAN的端口之間設置隔離或互通。S2126靈活的擴展能力和遠程維護，S2126提供百兆光接口擴展能力，允許交換機通過光纖上聯(lián)網(wǎng)絡。支持HGMP集群管理系統(tǒng)并能實現(xiàn)設備管理和故障診斷，實現(xiàn)了設備的集中管理和維護。S2126多樣的管理方式，S2126交換機支持SNMPV1/V2，支持OpenView等通用網(wǎng)管平臺以及iMC網(wǎng)管系統(tǒng)配置和管理。支持CLI命令行，Web網(wǎng)管，TELNET，HGMP集群管理等多種方式，便于設備維護。vlan劃分及子網(wǎng)配置實現(xiàn)校園網(wǎng)絡設計，完成VLAN劃分可以避免廣播風暴，在骨干網(wǎng)絡中尤為突出，在多媒體、視頻點播等很容易引起廣播信息；劃分之后，VLAN是廣播只在子網(wǎng)中進行，不會做無意義的廣播，消除了廣播風暴產(chǎn)生的條件;可以增加網(wǎng)絡的安全性，在不同的VLAN之間不能隨意通訊，只限與本子網(wǎng)間通訊，不會對其他的子網(wǎng)產(chǎn)生干擾。要進行訪問，需要通過三層交換，這樣信息流就得到相當好的控制;網(wǎng)絡管理系統(tǒng)采用完全獨立的IP子網(wǎng)和VLAN，實現(xiàn)更加安全的對所有網(wǎng)絡設備進行管理。建立VLAN和IP子網(wǎng)的對應關(guān)系;提高管理效率，實現(xiàn)虛擬的工作組，減少站點的移動和改變的開銷。VLAN間的子網(wǎng)訪問，在三層交換機上實現(xiàn)，子網(wǎng)間的通訊在匯聚設備上實行，分流核心交換機的三層交換，優(yōu)化組網(wǎng)。根據(jù)骨干網(wǎng)絡網(wǎng)絡建設的實際情況，方案建議在骨干網(wǎng)絡VLAN劃分規(guī)劃以“靈活劃分、方便管理”為基本原則，以不同的使用群體為VLAN范圍劃分。這樣劃分VLAN的好處有：方便管理。為了更好的進行VLAN規(guī)劃的實施，因此在網(wǎng)絡實施前期，要對網(wǎng)絡中不同區(qū)域的VLAN設置進行詳細的規(guī)劃，細化到接入層網(wǎng)絡，這樣在骨干網(wǎng)絡這樣大型的校園網(wǎng)絡中如果以用戶群體來劃分VLAN的話，避免由于前期配置設備時復雜煩瑣，而且由于相同的用戶群體可能在不同的物理位置，導致造成整個校園網(wǎng)絡中VLAN劃分復雜，減輕管理和后期維護。所以方案建議骨干網(wǎng)絡劃分VLAN方式前進行詳盡規(guī)劃，這樣既可以減少廣播域，又達到劃分VLAN，方便管理的效果，對于后期網(wǎng)絡維護和升級具有十分現(xiàn)實的意義。易于實施。按群體劃分VLAN在工程實施中就十分的方便，不會造成VLAN劃分復雜失誤而使得網(wǎng)絡出現(xiàn)不通的現(xiàn)象，便于工程快速實施和網(wǎng)絡中心整體規(guī)劃。VLAN間路由采用三層交換設備進行VLAN路由。以便不同VLAN間進行訪問，對于學校重要網(wǎng)絡資源，需要進行權(quán)限訪問的時候，建議采用專家級ACL（可同時基于VLAN號、以太網(wǎng)類型、MAC地址、IP地址、TCP/UDP端口號、時間靈活組合限定的硬件ACL）來進行訪問權(quán)限設定，保障重要資料不被非法訪問Vlan的劃分辦公樓——VLAN1，PC機IP范圍