校园网安全系统的设计与实现.docx
《校园网安全系统的设计与实现.docx》由会员分享，可在线阅读，更多相关《校园网安全系统的设计与实现.docx（28页珍藏版）》请在冰点文库上搜索。
校园网安全系统的设计与实现
摘要
随着网络技术蓬勃发展，校园网的迅速发展和普及，对学校日常工作学习和管理而言也起了重要的作用。
但不可忽视的是，随着网络的普及，其安全问题也日益突出。
如何让校园网正常高效的运行，充分发挥其教学、管理和服务等功能，已成为不可忽视的一个问题。
本设计着重分析了如今校园网中存在的安全隐患，提出理论性与实践性的依据，并针对网络设备安全和网络访问安全进行了详细的描述，设计出一个安全、便捷的网络管理方案，其中涉及到的技术有VLAN、STP、VTP、HSRP、ARP欺骗、MAC欺骗等。
本设计方案通过模拟设计环境，使用虚拟机Vmware实现了模拟黑客进攻和被攻击者的防御手段。
希望能对校园网的安全管理有所帮助，为师生创造一个安全、高效、干净的上网环境。
关键词：
网络安全；交换机；VPN；HSRP；OSPF
Abstract
Withthevigorousdevelopmentofnetworktechnology,therapiddevelopmentofthecampusnetworkandpopularization,dailyworktoschoolforlearningandmanagementalsoplayanimportantrole.Butimportant,alongwiththenetworkpopularization,thesecurityissuesarebecomingincreasinglyprominent.Howtomakethecampusnetworknormalandefficientoperationandmakefulluseofitsteaching,managementandservice,andotherfunctions,hasbecomeaproblemcannotbeignored.
Thisdesignfocusesonanalyzingthenowexistinginthecampusnetworksecurityproblems,putsforwardthetheoreticalandpracticalbasis,andinthelightofthenetworkequipmentsafetyandnetworkaccesssecurityaredescribed,designasafe,convenientnetworkmanagementplan,whichinvolvestechnologyhaveVLAN,STP,VTP,HSRP,theARPdeception,MACcheat,etc.Thisdesignschemethroughthesimulationdesignenvironment,usethevirtualmachineVmwarerealizethehackerattacksandthesimulationbyanattackerdefenses.Inhopesofcampusnetworksecuritymanagementhelp,fortheteachersandstudentscreateasafe,efficientandcleantheInternetenvironment.
Keywords：
Networksecurity;Switches;VPN;HSRP;OSPF
1.绪论
1.1选题背景
经过多年的信息化建设之后，我们国内大多数高等院校基本上都建成了自己的校园网。
但随着其应用的深入，校园网络的安全性和可靠性也成为院校领导共同关心的问题。
校园网络的安全直接影响着学校的日常教学、管理、科研活动的开展。
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不会由于偶然的或者恶意的原因而遭到破坏、更改和泄露。
系统能够连续、可靠、正常地运行，使网络服务不中断。
个人信息资料和学院相关网络文件一旦遗失或被盗，学院就会因此蒙受巨大损失，甚至间接的影响到该校教师和学生的人身安全。
因此，在全面了解校园网的安全现状基础上，合理构建安全体系结构，改善网络应用环境的工作迫在眉睫。
1.2选题目的
目前，全国各媒体，网站对国内校园网安全系统的设计与实现进行相关调查，发现目前国内各校园对自己校园网的系统安全设计都有着适合自己的特色以及功能。
目前相关的校园网安全系统的设计与实现的相关资料也比比皆是，由于网络技术的飞速发展，越来越多的新的设计理念和创新的想法也逐步被人们领略到。
这些都为安全系统设计和实现提供了充足的材料和理论基础。
我们的目的就是在这现有的条件，根据自己学到的知识，以华南师范大学增城学院为研究对象去设计出一个校园网的系统安全设计方案。
1.3本文组织结构
本文主要介绍校园局域网所遇到的网络安全问题以及针对校园的需求设计网络安全的解决方案。
本论文的主要内容分为八章。
第二章详细的从各个方面分析了我们这个方案的可行性。
第三章以华南师范大学增城学院为研究对象，简述校园的基本构造和设计网络拓扑。
第四章和第五章主要结合参考文献，整体对网络的安全基础以及安全需求和安全目标做出详细的说明
第六章主要对VPN的设计和用路由器实现VPN。
第七章CISCO安全设备防火墙的设计。
第八章通过用虚拟机的模拟来实现网络攻击与防范。
2.可行性分析
可行性分析就是在系统调查的基础上，针对新系统的开发是否具备必要性和可能性，对新系统的开发从技术、经济、社会的方面进行分析和研究，以避免投资失误，保证新系统的开发成功。
可行性研究的目的就是用最小的代价在尽可能短的时间内确定问题是否能够解决。
该系统的可行性分析包括以下几个方面的内容。
2.1社会可行性
随着计算机技术的发展和网络人口的增加，网络世界也越来越广博，越来越丰富，校园实现网络办公、网络教学已经是一股潮流了。
相信要不了太长有时间，每个校园都会有属于自己的局域网络，都会实现网络办公，网络教学。
校园网络系统主要目的是进行保护校园的网络安全，并且严格按照国家法律法规来进行研究和实践，并无法律和政策方面的限制。
2.2技术可行性
本系统在PacketTracer上设计，并在虚拟机Vmware模拟实现，Windows2003Server操作系统。
由于在PacketTrace建立网络拓扑，能很方便的设计、配置网络模拟环境；Vmware能为我们的设计做出类似于实际环境的模拟测试。
所以使用这两个软件可以说明很好的证明该设计方案和实现的可行性。
硬件方面，科技飞速发展的今天，硬件更新的速度越来越快，容量越来越大，可靠性越来越高，价格越来越低，其硬件平台完全能满足此系统的需要。
2.3操作可行性
目前，大多数计算机都能运行该系统，该安全系统的安装、调试、运行不会改变原计算机系统的设置和布局，由相关人员指导便能够方便的操作此系统。
2.4系统开发平台及运行环境
2.4.1系统开发工具及平台
系统设计是在PacketTracer上的。
PacketTracer是由Cisco公司发布的一个辅助学习工具，为学习思科网络课程的初学者去设计、配置、排除网络故障提供了网络模拟环境。
用户可以在软件的图形用户界面上直接使用拖曳方法建立网络拓扑，并可提供数据包在网络中行进的详细处理过程，观察网络实时运行情况。
可以学习IOS的配置、锻炼故障排查能力。
2.4.2运行环境
操作系统：
Windows2000或WindowsXP。
浏览器：
InternetExplorer6.0及以上版本。
3.校园概况和网络拓扑
本章主要以华南师范大学增城学院为研究对象，进行系统的分析校园网的具体组成部分以及设计出网络拓扑。
3.1校园基本构造
建筑规模为行政楼，教学楼，图书馆和师生宿舍。
工程设计范围是行政楼，教学楼，图书馆和师生宿舍的网络建设。
3.2校园组成机构
最高层：
董事长办公室、董事会办公室、院长办公室。
第二层：
行政楼办公室（由第一行政楼和第二行政楼组成，主要办公室有各处长办公室、各系系主任办公室、党委书记办公室、团委书记办公室以及各老师办公室）。
第三层：
图书馆图书数据库和图书馆办公室（由图书馆馆长办公室和各老师办公室组成）。
第四层：
教学楼办公室、实验室和多媒体课室。
最底层：
师生宿舍
3.3网络体系结构
图3-1网络体系结构
3.4网络拓扑总图
图3-2网络拓扑图
4.网络安全基础
4.1网络安全的定义
网络安全是指网络系统的硬件、软件及其中数据受到保护，不受偶然的或者恶意的破坏、更改、泄露，保证系统连续可靠地运行，确保网络服务不中断。
网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性科学。
4.2网络安全的属性
从本质上来讲，计算机网络安全就是网络上的信息安全。
凡是涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。
网络安全具有以下几个基本属性。
1.可靠性
可靠性是网络信息系统能够在规定条件下、规定时间内完成规定功能的特性。
可靠性是系统安全的基本要求之一，是所有网络信息系统的基本目标。
网络信息系统的可靠性包括如下三种特性：
抗毁性、生存性和有效性。
抗毁性是指系统在人为破坏下的可靠性。
例如，部分线路或节点失效后，系统能否继续提供服务。
增强抗毁性可以有效地避免因各种灾害造成的大面积网络瘫痪问题。
生存性是在随机破坏下系统的可靠性。
生存性主要反映随机性破坏和网络拓扑结构对系统可靠性的影响。
有效性是一种基于业务性能的可靠性。
有效性主要反映在网络信息系统的部件失效情况下，满足业务性能要求的程度。
比如，网络部件失效虽然没有引起连接性故障，但是却造成质量指标下降、平均延时增加、线路阻塞等现象[1]。
2.可用性
可用性是网络信息可被授权实体访问并按需求使用的特性。
即网络信息服务被使用时，允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。
可用性是网络信息系统面向用户的安全性能。
网络信息系统最基本的功能是向用户提供服务，而用户的需求是随机的、多方面的、有时还有时间要求。
可用性一般用系统正常使用时间和整个工作时间之比来度量。
可用性还应该满足以下要求：
身份识别与确认、访问控制、业务流控制、路由选择控制、审计跟踪。
审计跟踪的信息主要包括：
事件类型、被管客体等级、事件时间、事件信息、事件回答以及事件统计等方面的信息[1]。
3.保密性
保密性是数据信息不被泄露给非授权的用户、实体或供其利用的特性。
保密性是在可靠性和可用性基础之上，保障网络信息安全的重要手段。
常用的保密技术包括：
防侦听、防辐射、信息加密、物理保密。
4.完整性
完整性是网络信息XX不能进行改变的特性。
即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。
完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成和正确存储和传输。
完整性与保密性不同，保密性要求信息不被泄露给未授权的人，而完整性则要求信息不致受到各种原因的破坏。
影响网络信息完整性的主要因素有：
设备故障、误码（传输、处理和存储过程中产生的误码，定时的稳定度和精度降低造成的误码，各种干扰源造成的误码）、人为攻击、计算机病毒等。
保障网络信息完整性的主要方法有：
协议、纠错编码方法、密码校验和方法、数字签名、公证[1]。
5.不可抵赖性
不可抵赖性也称作不可否认性，在网络信息系统的信息交互过程中，确信参与者的真实同一性。
即，所有参与者都不可能否认或抵赖曾经完成的操作和承诺。
利用信息源证据可以防止发信方不真实地否认已发送信息，利用递交接收证据可以防止收信方事后否认已经接收的信息。
6.可控性
可控性是对网络信息的传播及内容具有控制能力的特性。
可控性最重要的体现是全局监控、预警能力和应急响应处理能力。
全局预警就是要建立全局性的安全状况收集系统，对于新的安全漏洞和攻击方法能及时了解，针对体系内局部发生的安全入侵等事件进行响应[1]。
4.3网络信息安全因素
网络系统的安全威胁主要表现在主机可能会受到非法入侵者的攻击，网络中的敏感数据有可能泄露或被修改，从内部网向公共网传送的信息可能被他人窃听或篡改等。
典型的网络安全威胁如表4-1所示。
表4-1典型的网络安全威胁
威胁
描述
窃听
网络中传输的敏感信息被窃听
重传
攻击者事先获得部分信息或全部信息，以后将此信息发送给接收者
伪造
攻击者将伪造的信息发送给接收者
篡改
攻击者对合法用户之间的通信信息进行修改、删除、插入、再发送给接收者
非授权访问
通过假冒、身份攻击、系统漏洞等手段获取系统访问权，从而使非法用户进入网络系统读取、删除、修改、插入信息等
拒绝服务攻击
攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务
行为否认
通信实体否认已经发生的行为
旁路控制
攻击者发掘系统的缺陷或安全脆弱性
电磁/射频截获
攻击者从点子或机电设备所发出的无线射频或其他电磁辐射中提取信息
人员疏忽
已授权人为了利益或由于粗心将信息泄露给未授权人
影响计算机网络安全的因素有很多，如人为的疏忽、人为的恶意攻击、网络软件的漏洞、非授权访问、信息泄露或丢失、破坏数据完整性[2]。
4.4网络信息安全机制
网络信息安全机制定义了实现网络信息安全服务的技术措施，包括所使用的可能方法，主要是利用密码算法对重要而敏感的数据进行处理。
网络信息安全机制包括如下八种。
1.加密机制
加密是提供数据保密的基本方法，用加密方法和认证机制相结合，可提供数据的保密性和完整性。
2.数字签名机制
数字签名是解决信息安全特殊问题的一种方法，适用于通信双方发生了下列情况的安全验证。
3.访问控制机制
访问控制是指处理主体对客体访问的权限设置的合法性问题，一个主体只能访问经过授权使用的给定客体。
否则，访问控制机制的审计跟踪系统会自动拒绝访问，并给出事件报告的跟踪审计信息。
4.数据完整性机制
数据完整性主要解决数据单元的完整性和数据单元序列的完整性。
5.鉴别交换机制
鉴别交换是在通信进程中，以双方互换约定信息方式确认实体身份机制。
[2]
6.通信业务填充机制
目的是对抗非法攻击者在传输信道上监听以及非法进行流量和流向分析。
7.路由控制机制
在复杂的网络环境中，路由控制机制在于引导信息发送者选择代价小且安全的特殊路径，保证数据能由源节点出发，经选择路由，安全到达目标节点。
8.公证机制
公证机制在于解决通信的矛盾双方，因事故和信用危机导致责任问题的公证仲裁[3]。
5.安全需求与安全目标
5.1网络安全需求
通过对局域网结构、应用及安全威胁分析，可以看出其安全问题主要集中在对服务器的安全保护、防黑客和病毒、重要网段的保护及管理安全上。
因此，要采用相应的安全措施杜绝安全隐患，应该做到以下几点[4]。
1.公开服务器的安全保护
2.防止黑客从外部攻击
3.入侵检测与监控
4.信息审计与记录
5.病毒防护
6.数据安全保护
7.数据备份与恢复
8.网络的安全管理
5.2网络安全策略
安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。
改安全策略模型包括建立安全环境的三个重要组成部分[12]：
1.法律规章。
安全的基石是社会法律、法规、规章制度与相应的制裁手段，在这基础上建立一套安全管理的办法。
既通过建立与信息安全相关的法律、法规和单位的规章制度，使不法分子摄于法律，不敢轻举妄动。
2.先进技术。
先进的安全技术是信息安全的根本保障，用户对自身面临的威胁进行风险评估，决定对其需要的安全服务种类，选择相应的安全机制和先进的安全技术。
3.严格管理。
各网络使用机构、校园和单位应建立相宜的信息安全管理办法，加强内部管理，建立审计和跟踪体系，提供整体的信息安全意识。
5.3系统安全目标
局域网络系统安全应该实现以下的目标[5]：
1．建立一套完整可行的网络安全与网络管理策略
2．将内部网络、公共服务器网络和外网进行有效隔离，避免与外部网络的直接通信
3．建立网站各主机和服务器的安全保护措施，保证系统安全
4．对网络服务请求内容进行控制，使非法访问在到达主机前被拒绝
5．加强合法用户的访问认证，同时将用户的访问权限控制在最低限度
6．全面监视对公共服务器的访问，及时防线和拒绝不安全的操作和黑客攻击行为
6.网络访问安全
6.1VPN概述
VPN是专用网络的扩展，是一种通过公共网络把两个私有网络连接在一起的安全访问技术，通常作为大型校园网络的补充，用于实现远程安全接入和管理。
VPN技术通过一系列的验证和加密技术，使建立VPN连接的两端虚拟的组成一条排他的专用线路，就好像是一条建立在校园两端的Intranet专线一样，只不过这条线路是通过因特网建立的。
6.1.1VPN简介
VPN（VirtualPrivateNetwork），虚拟专用网络。
VPN被定义为通过一个公用网络建立一个临时的、安全的连接，是一条稳定的隧道。
虚拟专用网是对校园内部网的扩展，可以让远程用户、校园的内部网建立可信的安全连接，并保证数据的安全传输。
6.1.2VPN的特点与应用
1．安全保障
虽然实现VPN的技术和方式很多，但所有的VPN均应保证通过公用网络平台传输数据的专用性和安全性。
在非面向连接的公用IP网络上建立一个逻辑的、点对点的连接，称之为建立一个隧道，可以利用加密技术对经过隧道传输的数据进行加密，以保证数据仅被指定的发送者和接收者了解，从而保证了数据的私有性和安全性。
2．服务质量保证（QoS）
VPN网应当为校园数据提供不同等级的服务质量保证。
不同的用户和业务对服务质量保证的要求差别较大。
如移动办公用户，提供广泛的连接和覆盖性是保证VPN服务的一个主要因素；而对于拥有众多分支机构的专线VPN网络，交互式的内部校园网应用则要求网络能提供良好的稳定性；对于其它应用（如视频等）则对网络提出了更明确的要求，如网络时延及误码率等。
QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。
3．可扩充性和灵活性
VPN必须能够支持通过Intranet和Extranet的任何类型的数据流，方便增加新的节点，支持多种类型的传输媒介，可以满足同时传输语音、图像和数据等新应用对高质量传输以及带宽增加的需求。
4．可管理性
从用户角度和运营商角度应可方便地进行管理、维护。
VPN管理的目标为：
减小网络风险、具有高扩展性、经济性、高可靠性等优点。
事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容[10]。
6.2路由器实现VPN
在本方案中，以一个学生宿舍与学院之间实现用VPN通信为例，以下为拓扑图：
图6-2VPN通信拓扑
其中，学院（R2）的详细配置如下，第一步：
配置端口地址；
R2（config）#inte0/1
R2（config-if）#ipaddress202.3.1.2255.255.255.0
第二步：
配置隧道；
R2（config）#inttunnel10
R2（config-if）#ipaddress172.168.1.1255.255.255.0
R2（config-if）#tunnelsource202.3.1.2
R2（config-if）#tunneldestination202.2.2.2
第三步：
配置连接内部的端口地址，并设置静态路由；
R2（config）#inte0/3
R2（config-if）#noshutdown
R2（config-if）#ipaddress10.5.7.1255.255.255.0
R2（config-if）#iproute0.0.0.00.0.0.0202.3.1.1
实践效果如图6-3所示：
图6-3路由器R2路由表
图6-4路由器R2ping通效果图
宿舍R3的配置如下所示：
R3（config）#inte0/2
R3（config-if）#ipaddress202.2.2.2255.255.255.0
R3（config）#inttunnel10
R3（config-if）#ipaddress172.168.1.2255.255.255.0
R3（config-if）#tunnelsource202.2.2.2
R3（config-if）#tunneldestination202.3.1.2
R3（config-if）#noshutdown
图6-5路由器R3路由表
以上可以看到，从R2路由器可以成功ping通道R3的路由器。
证明本方案的VPN通道是可以通信的。
7.Cisco安全设备
7.1防火墙设计
所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。
它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（SecurityGateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。
网络防火墙的主要特点是只能通过对它的数据包进行拦截和过滤，通常需要部署在被保护网络的边界，如局域网接入Internet时，就应该将防火墙部署在局域网的出口处。
网络防火墙可以应用于如下四种网络环境[7]。
1.内部网络与Internet的连接
这是一种应用最广，也是最重要的防火墙应用环境。
在这种应用环境下，防火墙主要保护内部网络不遭受互连网用户的攻击。
这也是目前绝大多数校园采用防火墙的目的。
在这种应用环境中，一般情况下防火墙网络可划分为三个不同级别的安全区域，如图7-1所示。
图7-1防火墙三个级别安全区域
内部网络：
这是防火墙要保护的对象，包括全部的校园内部网络设备及用户主机，这个区域是防火墙的可信区域。
外部网络：
这是防火墙要防护的对象，包括外部互连网主机和设备。
这个区域为防火墙的非可信网络区域。
DMZ（非军事区）：
它是从校园内部网络中划分的一个小区域，在其中就包括内部网络中用于公众服务的外部服务器，如Web服务器、邮件服务器、FTP服务器等，他们都是为互连网提供某种信息服务[8]。
2.局域网和广域网的连接
局域网和广域网之间的连接有两种方式可供选择，网络用户可以根据自己的实际需求来选择。
如果校园原来已有边界路由器，则此可充分利用原有设备，利用边界路由器的包过滤功能，添加相应的防火墙设置，这样原来的路由器也就具有防火墙功能了。
然后再利用防火墙和需要保护的内部网络连接[5]。
对于DMZ区中的公用服务器，则可直接和边界路由器相连，只经过路由器的简单防护，而不用经过防火墙。
网络拓扑结构如图7-2所示。
图7-2存在边界路由器网络连接
在此拓扑结构中，边界路由器和防火墙就一起组成了两道安全防线，并且在这两者之间能设置一个DMZ区，用来放置那些允许外部用户访问的公用服务器设施。
如果校园原来没有边界路由器，此时仅
升级会员 