畢業論文校園網絡安全系統設計與實現(編輯修改稿)

　

【文章內容簡介】 絡安全措施前述各種網絡安全威脅，都是通過網絡安全缺陷和系統軟硬件漏洞來對網絡發起攻擊的。為杜絕網絡威脅，主要手段就是完善網絡病毒監管能力，堵塞網絡漏洞，從而達到網絡安全。殺毒軟件。殺毒產品的部署. 在該網絡防病毒方案中，要達到一個目的就是：要在整個局域網內杜絕病毒的感染、傳播和發作。為了實現這一點，應在整個網絡內可能感染和傳播病毒的地方采取相應的防病毒手段；同時為了有效、快捷地實施和管理整個網絡的防病毒體系，應能實現遠程安裝、智能升級、遠程報警、集中管理、分布查殺等多種功能.。（1）在學校網絡中心配置一臺高效的 Windows2022 服務器安裝一個殺毒軟件的系統中心，負責管理校內網點的計算機。（2）在各辦公室分別安裝殺毒軟件的客戶端。（3）安裝完殺毒軟件，在管理員控制臺對網絡中所有客戶端進行定時查殺毒的設置，保證所有客戶端即使在沒有聯網的時候也能夠定時進行對本機的查殺毒。（4）網絡中心負責整個校園網的升級工作。采用 VLAN 技術。VLAN 技術是在局域網內將工作站邏輯的劃分成多個網段，從而實現虛擬工作組的技術。VLAN 技術根據不同的應用業務以及不同的安全級別，將網絡分段并進行隔離，實現相互間的訪問控制，可以達到限制用戶非法訪問的目的。內容過濾器。內容過濾器是有效保護網絡系免于誤用和無意識服務拒絕的工具。同時，可以限制外來的垃圾郵件。防火墻。在與 Inter 相連的每一臺電腦上都裝上防火墻，成為內外網之間一道牢固的安全屏障。在防火墻設置上按照以下原則配置來提高網絡安全性:(1)根據校園網安全策略和安全目標，規劃設置正確的安全過濾規則，規則審核IP 數據包的內容包括：協議、端口、源地址、目的地址、流向等項目，嚴格禁止來自公網對校園內部網不必要的、非法的訪問?？傮w上遵從“不被允許的服務就是被禁止”的原則.(2）禁止訪問系統級別的服務( 如 HTTP , FTP 等)。局域網內部的機器只允許訪問文件、打印機共享服務。使用動態規則管理，允許授權運行的程序開放的端口服務，比如網絡游戲或者視頻語音電話軟件提供的服務。(3）如果你在局域網中使用你的機器，那么你就必須正確設置你在局域網中的IP，防火墻系統才能認識哪些數據包是從局域網來，哪些是從互聯網來，從而保證你在局域網中正常使用網絡服務（如文件、打印機共享）功能。(4）定期查看防火墻訪問日志，及時發現攻擊行為和不良上網記錄。(5）允許通過配置網卡對防火墻設置，提高防火墻管理安全性.入侵檢測。入侵檢測系統是防火墻的合理補充，幫助系統對付網絡攻擊。擴展系統管理員的安全管理能力．提高信息安全基礎結構的完整性。入侵檢測系統能實時捕獲內外網之間傳輸的數據，利用內置的攻擊特征庫，使用模式匹配和智能分析的方法，檢測網絡上發生的入侵行為和異?，F象，并記錄有關事件。入侵檢測系統還可以發出實時報警，使網絡管理員能夠及時采取應對措施。漏洞掃描。隨著軟件規模的不斷增大．系統中的安全漏洞或“后門”也不可避免地存在．因此，應采用先進的漏洞掃描系統定期對工作站、服務器等進行安全檢查，并寫出詳細的安全性分析報告，及時地將發現的安全漏洞打上“補丁”。數據加密。數據加密是核心的對策，是保障數據安全最基本的技術措施和理論基礎。加強網絡安全管理。加強網絡管理主要是要做好兩方面的工作。首先，加強網絡安全知識的培訓和普及；其次，是健全完善管理制度和相應的考核機制，以提高網絡管理的效率。 [6]3. 校園網絡安全系統設計安全管理是保證網絡安全的基礎，安全技術是配合安全管理的輔助措施。學校建立了一套校園網絡安全系統，制定詳細的安全管理制度，如機房管理制度、病毒防范制度等，并采取切實有效的措施保證制度的執行，并定期對校內教師進行計算機網絡安全知識培訓，或發放常見病毒解決方案等。 校園網建設需求分析 需求分析局域網最大的特點就是可以實現資源的最佳利用,如:共享磁盤設備、打印機等,從而可以在組建的局域網內部互相調用文件,并可在任何一臺共享打印機上進行打印。當然也可以借助 Wingate 或 Sygate 等軟件多機共享一臺 Modem 上網；或者通過代理服務器連上 Inter，享受非一般的速度。網卡根據傳輸速率可分為：10Mbps 網卡（ISA 插口或 PCI 插口） 、100Mbps PCI 插口網卡、10Mbps/100Mbps 自適應網卡和千兆網卡。目前 10Mbps ISA 插口的網卡仍以其低廉的價格占有市場的一定份額，但由于 10Mbps ISA 插口網卡的網絡傳輸速率低，且占用大量的 CPU 資源，只適應于那些對速度要求不高的局域網，因此用 100Mbps PCI 插口的網卡或者10Mbps/100Mbps 自適應網卡，夠適應于用戶比較多，網上傳輸的數據量大和需要進行多媒體信息傳輸的應用環境。BNC 口是用細同軸電纜作為傳輸媒介的一種網卡接口。RJ45 是采用雙絞線作為傳輸媒介的一種網卡接口，RJ45 的接口酷似電話線的接口，但網絡線使用的是 8芯的接頭，使用 RJ45 的缺點是架設成本高，但安裝和維護較為方便，因此我們一般使用 RJ45 接口。集線器 (HUB):根據微機的數量, 利用 HUB 構成星形結構 ,在工作站較多的情況下 ,會因 HUB 的處理速率遠遠低于通信線路的傳輸速度 ,從而造成瓶頸問題。因此有條件的話可選用交換機。一個 Hub 所組成的域稱為沖突域 ,也就是說 ,網絡上任何一臺計算機在收發數據時 ,其他所有計算機都能夠收到 ,且這些計算機不能同時進行數據的收發 ,否則會發生碰撞(CSMA/ CD 協議會阻止碰撞 )。此外每臺接入 Hub 的計算機 ,都要檢測接收到的數據目的地址 ,以確認是否是收到自己的通信信息 ,因此計算機 CPU 占用率高 ,全網通信效率低 ,只適用于小型工作組級別應用。學校校園網是為學校師生提供教學、管理、科研和綜合信息服務的寬帶多媒體網絡；是學校信息化教學環境的基礎設施和實現各項管理的物質基礎；是建立遠程教育體系的基本保證；是提高全民素質的重要手段；也是一項靈魂工程。其設計方案應注意以下原則：實用性校園網設計應能滿足學校目前對網絡應用的要求，充分實現學校內部管理、教學和科研的網絡化、信息化的要求，使網絡的整體性能盡快得到充分的發揮，并且便于掌握?？煽啃孕@網的系統及網絡結構較為復雜，同時在部分子系統中存在較高的技術性，因此必須保證系統的穩定、可靠和安全運行，具有很高的 MTBF(平均無故障工作時間) 和極低的 MTBR(平均無故障率)，提高容錯設計，支持故障檢測和恢復，可管理性強。統一性在系統的設計過程中，堅持三統一 ，即統一規劃、統一標準、統一出口。先進性在系統的開發過程中，既能滿足當前院校對網絡的應用需求，又可以在將來需要擴展的時候，能方便地擴展，保護目前的所有投資；設計的配置可以靈活變通，以便適應客戶的其他要求。 關鍵設備 在產品選購之前一定要經過認真的分析，這次參與組網的機構選用美國 Cisco公司的 Catalyst 6506 作為數據網絡系統的內部核心交換機，Catalyst 6506 是大容量的具有高交換能力的第三層模塊化交換機，Catalyst 6506 的交換容量以及端口數量等技術指標足以滿足網絡目前的需求。選擇 Catalyst 3548 作為外網交換機?？梢酝ㄟ^千兆的光纖鏈路連接到核心交換機，而所有的用戶終端可以通過 10/100M 自適應通道接入到 Cisco Catalyst 3524 和 Catalyst 3548 交換機上。選擇 Catalyst 3524 和Catalyst 3548 作為計算機網絡系統的二級匯聚交換機，為終端用戶提供 10/100M 到桌面。選擇 Cisco 3662 作為計算機網絡系統 DDN、ISDN 訪問路由器，既可以滿足上級單位 Inter 的 DDN、ISDN 接入的需求，又可以滿足繼續擴展的需求。同時Cisco 3662 作為計算機網絡系統的撥號服務器，提供分支機構的撥號接入。 網絡核心層：用一臺 Cisco 的高端三層交換機 Catalyst 6506 作為整個交換系統的核心，由網絡中心網絡管理員統一調度，從而使計算機網絡系統成為一個具有整合的千兆以太網主干并具備第三層交換功能的綜合網絡通信平臺。其中配置兩個電源同時供電，彼此分擔負荷并互為備份。一塊 WSX6KS1AMSFC2 交換引擎是交換機的心臟，它控制交換機的尋址、數據轉發、模塊控制等。 Catalyst6506 交換機引擎卡上的 MSFC2 (Multilayer Switching Feature Card)卡具有極強的三層交換能力，利用 Cisco 特有的 Netflow 技術，完全滿足核心線性三層交換的能力。另一塊 WSX6408GBIC 的 8 端口千兆以太光纖模塊將所有的匯聚層設備、接入層設備、網管工作站及網絡應用服務器都直接連入到核心層設備上去。 匯聚層：在分配線間分別設立 Cisco Catalyst 3524 和 Catalyst 3548 作為計算機網絡系統匯聚層設備，匯聚層設備將通過光纜以千兆以太網為主干連接到核心層設備Catalyst 6506 上去，終端用戶可以通過超 5 類 UTP 線纜連接到各層交換機中去，可以實現 10/100M 的自適應通道連接到局域網中去。接入層；在網絡接入層中我們選用了一臺 Cisco 3660 路由器作為廣域互連和外部用戶撥號訪問網關，其中主要采用了兩種接入方式分別實現各自功能：1.　ADSL 接入方式。2. FTTX+LAN 接入方式。 校園網網絡拓撲結構根據校園網的需求分析及建設目標，本設計方案采用交換式千兆以太網作為主干，百兆交換到桌面。網絡拓撲采用星型樹結構，網絡中心的交換機使用堆疊方式連接。 技術方案 校園網的建設規劃校園網建設作為一項復雜的系統工程，與任何一項工程建設一樣，在開始建設前都要根據工程的特點事先進行詳細的工程規化與技術需求分析，它的成功與否都直接影響到工程的建設質量以及今后網絡能否可靠運行都有直接的關系，因此要特別認真地進行系統規劃。對于校園網來說，必須對技術和教育的發展前景有著清醒的認識，只有這樣，才能從很好地為校園網進行合理的規劃。1． 校園網的應用特點 隨著現代化教學活動的開展和與國內外教學機構交往的增多，對通過網絡進行信息交流的需求越來越迫切，為促進教學、方便管理和進一步發揮師生的創造力，校園網絡建設成為現代教育機構的必然選擇。校園網大都屬于中小型系統，以園區局域網為主，一個基本的校園網具有以下的特點： 高速的局域網連接校園網的核心為面向校園內部師生的網絡，因此園區局域網是該系統的建設重點，由于參與網絡應用的師生數量眾多，而且信息中包含大量多媒體信息，故大容量、高速率的數據傳輸是網絡的一項基本要求； 信息結構多樣化校園網應用分為電子教學（多媒體教室、電子圖書館等） 、學校管理和遠程通訊（遠程教學、互聯網接入）三大部分內容：電子教學包含大量多媒體信息，學校管理以數據庫為主，遠程通訊則多為 WWW 方式，因此數據成分復雜，不同類型數據對網絡傳輸有不同的質量需求； 操作方便，易于管理校園網面向不同知識層次的教師、學生和辦公人員，應用和管理應簡便易行，界面友好，不宜太過專業化； 經濟實用學校對網絡建設的投入有限，因此要求建成的網絡應經濟實用，具備很高的性能價格比。 2．校園網的需求分析 在著手設計一個校園網或者計算機局域網時，其主要依據就是網絡用戶（學校）的需求及將要建設的網絡系統的特點。通過對實際需要進行細致的分析，才能確定系統的總體目標和近期目標。需求分析是如何設計、建設和應用校園網的關鍵。在完成校園網的需求分析之后，就要對整個校園進行物理結構和邏輯結構的設計。校園網具體的需求分析有如下幾點：（1） 總體目標對于一個校園網來說，系統的總體目標就是在一個時期內，當校園網完全建設好后所要達到的功能和具有的規模。一般來說，一個校園網系統總體目標是分步實施的，包括功能的分步實施和規模的分步實施。