毕业设计论文校园网络安全管理策略管理资料.docx
《毕业设计论文校园网络安全管理策略管理资料.docx》由会员分享，可在线阅读，更多相关《毕业设计论文校园网络安全管理策略管理资料.docx（18页珍藏版）》请在冰豆网上搜索。
毕业设计论文校园网络安全管理策略管理资料
长春信息技术职业学院 专科生毕业论文
中文题目校园网络安全管理策略
学生姓名专业计算机
毕业班级09402学号
指导教师职称
成绩
2011年5月15日
摘要
网络安全的本质是网络信息的安全性，包括信息的保密性、完整性、可用性、真实性、可控性等几个方面，它通过网络信息的存储、传输和使用过程体现。
校园网络安全管理是在防病毒软件、防火墙或智能网关等构成的防御体系下，对于防止来自校园网外的攻击。
防火墙，则是内外网之间一道牢固的安全屏障。
安全管理是保证网络安全的基础，安全技术是配合安全管理的辅助措施。
学校建立了一套校园网络安全系统是必要的。
本文从对校园网的现状分析了可能面临的威胁，从计算机的安全策略找出解决方案既用校园网络安全管理加防火墙加设计的校园网络安全系统。
通过以下三个步骤来完成校园网络安全系统：
1、建设规划；2、技术支持；3、组建方案。
关键词：
网络安全，管理策略，现状分析，系统设计
第1章校园网络安全
校园网概述
信息技术已引起了全面而深刻的社会变革，为此，世界各国政府都对教育的发展给予了前所未有的关注，把信息化教育放到重要的位置上，纷纷提出了本国的信息化教育规划。
是否在学校采用最先进的信息和传播技术是一个有决定性意义的问题,而且十分重要的是,学校应该处于影响整个社会深刻变革的中心地位。
因此校园网信息系统的建设，是非常必要的，也是可行的。
主要表现在：
1、当前校园网信息系统已经发展到了与校际互联、国际互联、静态资源共享、动态信息发布、远程教学和协作工作的阶段，发展对学校教育现代化的建设提出了越来越高的要求。
2、教育信息量的不断增多,使各级各类学校、家庭和教育管理部门对教育信息计算机管理和教育信息服务的要求越来越强烈。
3、我国各级教育研究部门、软件开发单位、教学设备供应商和各级学校不断开发提供了各种在网络上运行的软件及多媒体系统，并且越来越形象化、实用化，迫切需要网络环境。
4、现代教育改革的需要。
5、计算机技术的飞速发展，使相应产品价格不断下降；同时人们的认识水平和经济实力不断提高。
大量计算机进入学校和家庭，使得计算机用于教育信息管理和信息服务是完全可行的。
校园网络安全概述
自信息系统开始运行以来就存在信息系统安全问题，通过网络远程访问而构成的安全威胁成为日益受到严重关注的问题。
根据美国FBI的调查，美国每年因为网络安全造成的经济损失超过170亿美元。
由于校园网络内运行的主要是多种网络协议，而这些网络协议并非专为安全通讯而设计。
所以，校园网络可能存在的安全威胁来自以下方面：
1. 操作系统的安全性，目前流行的许多操作系统均存在网络安全漏洞，如UNIX服务器，NT服务器及Windows桌面PC；
2. 防火墙的安全性，防火墙产品自身是否安全，是否设置错误，需要经过检验；
3. 来自内部网用户的安全威胁；
4. 缺乏有效的手段监视、评估网络系统的安全性；
5. 采用的TCP/IP协议族软件，本身缺乏安全性；
6. 应用服务的安全，许多应用服务系统在访问控制及安全通讯方面考虑较少，并且，如果系统设置错误，很容易造成损失。
校园网络安全现状分析
随着网络技术的发展，可以说现在的大部分学校都建立了校园网络并投入使用，这对加快信息处理、提高工作效率、实现资源共享都起大了无法估量的作用，但在积极发展办公自动化、信息电子化、实现资源共享的同时，网络的安全问题越来越成为一个非常严惩的隐患，就好像一颗定时炸弹一样，深深的埋在教育现代化的进程中，如果这一个隐患不除，那么也许有一天，学校信息平台服务器遭到攻击而停止工作、整个校园网络被迫停止、学校积累的各种数据和信息被删除了，导致辛苦积累的大量教育资源被破坏。
比如2007年暴发的“震荡波、冲击波、”等病毒，虽没有造成很大的损失，但足以使认识到网络安全的重要性。
因此，如何在现有的条件下避免这样事件发生，搞好网络的安全工作已成了一个重要课题。
各校在实践中逐渐意识到：
一所学校教育质量的好坏，学术水平层次的高低，与教学手段的先进程度有一定关系，教学手段对学校整体的发展有着直接影响。
在世界各发达国家，校园网的建设速度似乎不亚于其他如政府网的兴建速度。
现代教育的实施程度也与校园网络建设直接相关联。
如美国要求所有中小学生都能上网，都能使用电子邮件，并计划将全国122所一流大学与社会广泛连接，构筑一个教育与研究的专用网络；英国提出要在2003年成立网上工业大学，到2005年所有中小学、图书馆、学院和大学全部介入全国的学习网；新加坡提出八岁儿童能阅读，十二岁儿童能上网。
2006年在国家政策扶持下，我国校园网建设取得了飞速发展。
但现实中，各地在建立学校校园网的过程中又存在这样那样的问题，如有的学校建网初期就缺乏整体规划，从而导致主干网和各子网通路不畅，或是导致后期整体效率不高；有的学校缺乏必要的网络建设监督人员，将项目交给一些实力较弱或是责任心较差的公司全权负责，结果导致建网质量偏低，后期维护费用偏大；还有的学校认为校园网就是"一揽子"计划，忽视了后期维护和配套建设工作，从而导致后期预算偏紧，校园网难以正常运作为了解决上述问题，在建网时应注意：
1. 校园网建设没有通用方案，每个学校应根据自身实际情况（资金和技术能力），设计自身的校园网络；
2. 校园网建设是一个周期较长，规模庞大的系统工程，不能"一蹴而就"，更不能只考虑局部建设，而缺乏整体规划；
3. 重视对教师的培训，避免因教师素质原因导致网络应用效率不高，从而导致资源的浪费。
随着计算机网络的广泛使用和网络之间信息传输量的急剧增长，一些机构和部门在得益于网络加快业务运作的同时，其上网的数据也遭到了不同程度的破坏,或被删除或被复制，数据的安全性和自身的利益受到了严重的威胁。
校园网也同样不能幸免。
黑客入侵校园网的新闻也时有发生，非更改考试成绩；更改英语全国四、六级统考成绩；更改考研成绩；非法盗取学校招生、分配机密等。
综上所述，网络必须有足够强的安全措施。
无论是公众网还是校园网中，网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。
第2章校园网络安全策略
校园网的安全威胁既有来自校内的，也有来自校外的，只有将技术和管理都重视起来，才能切实构筑一个安全的校园网。
国内高校校园网的安全问题有其历史原因：
在以前的网络时期，一方面因为意识与资金方面的原因，以及对技术的偏好和运营意识的不足，普遍都存在“重技术、轻安全、轻管理“的倾向，常常只是在内部网与互联网之间放一个防火墙就万事大吉，有些学校甚至直接连接互联网，这就给病毒、黑客提供了充分施展身手的空间。
而病毒泛滥、黑客攻击、信息丢失、服务被拒绝等等，这些安全隐患只要发生一次，对整个网络都将是致命性的。
作为高等院校，如何构筑相对可靠的校园网络安全体系问题，变得越来越突出了。
一般来说，构筑校园网络安全体系，要从两个方面着手：
一是采用先进的技术；二是不断改进管理方法。
校园网安全管理
针对目前高校校园网安全现状的认识与理解，在防病毒软件、防火墙或智能网关等构成的防御体系下，对于防止来自校园网外的攻击已经足够。
以下五点是高校的安全策略：
1、规范出口管理，实施校园网的整体安全架构，必须解决多出口的问题。
对于出口进行规范统一的管理，使校园网络安全体系能够得以实施。
为校园网的安全提供最基础的保障。
2、配备完整系统的网络安全设备，在网内和网外接口处配置一定的统一网络安全控制和监管设备就可杜绝大部分的攻击和破坏，一般包括：
防火墙、入侵检测系统、漏洞扫描系统、网络版的防病毒系统等。
另外，通过配置安全产品可以实现对校园网络进行系统的防护、预警和监控，对大量的非法访问和不健康信息起到有效的阻断作用，对网络的故障可以迅速定位并解决。
3、解决用户上网身份问题，建立全校统一的身份认证系统。
校园网络必须要解决用户上网身份问题，而身份认证系统是整个校园网络安全体系的基础的基础，否则即便发现了安全问题也大多只能不了了之，只有建立了基于校园网络的全校统一身份认证系统，才能彻底的解决用户上网身份问题，同时也为校园信息化的各项应用系统提供了安全可靠的保证。
4、严格规范上网场所的管理，集中进行监控和管理。
上网用户不但要通过统一的校级身份认证系统确认，而且，合法用户上网的行为也要受到统一的监控，上网行为的日志要集中保存在中心服务器上，保证了这个记录的法律性和准确性。
5、根据相关部门的要求，配备专门的安全管理人员，出台网络安全管理制度。
网络安全的技术是多样化的，现状还是“道高一尺，魔高一丈”，因此管理的工作就愈发重要和艰巨，必须要做到及时进行漏洞修补和定期询检，保证对网络的监控和管理。
校园网络安全措施
前述各种网络安全威胁，都是通过网络安全缺陷和系统软硬件漏洞来对网络发起攻击的。
为杜绝网络威胁，主要手段就是完善网络病毒监管能力，堵塞网络漏洞，从而达到网络安全。
1、杀毒软件。
杀毒产品的部署.在该网络防病毒方案中，要达到一个目的就是：
要在整个局域网内杜绝病毒的感染、传播和发作。
为了实现这一点，应在整个网络内可能感染和传播病毒的地方采取相应的防病毒手段；同时为了有效、快捷地实施和管理整个网络的防病毒体系，应能实现远程安装、智能升级、远程报警、集中管理、分布查杀等多种功能。
2、采用VLAN技术。
VLAN技术是在局域网内将工作站逻辑的划分成多个网段，从而实现虚拟工作组的技术。
VLAN技术根据不同的应用业务以及不同的安全级别，将网络分段并进行隔离，实现相互间的访问控制，可以达到限制用户非法访问的目的。
3、内容过滤器。
内容过滤器是有效保护网络系免于误用和无意识服务拒绝的工具。
同时，可以限制外来的垃圾邮件。
4、防火墙。
在与Internet相连的每一台电脑上都装上防火墙，成为内外网之间一道牢固的安全屏障。
在防火墙设置上按照以下原则配置来提高网络安全性:
（1）根据校园网安全策略和安全目标，规划设置正确的安全过滤规则，规则审核IP数据包的内容包括：
协议、端口、源地址、目的地址、流向等项目，严格禁止来自公网对校园内部网不必要的、非法的访问。
总体上遵从“不被允许的服务就是被禁止”的原则.
（2）禁止访问系统级别的服务（如HTTP,FTP等）。
局域网内部的机器只允许访问文件、打印机共享服务。
使用动态规则管理，允许授权运行的程序开放的端口服务，比如网络游戏或者视频语音电话软件提供的服务。
（3）如果你在局域网中使用你的机器，那么你就必须正确设置你在局域网中的IP，防火墙系统才能认识哪些数据包是从局域网来，哪些是从互联网来，从而保证你在局域网中正常使用网络服务（如文件、打印机共享）功能。
（4）定期查看防火墙访问日志，及时发现攻击行为和不良上网记录。
（5）允许通过配置网卡对防火墙设置，提高防火墙管理安全性。
5、入侵检测。
入侵检测系统是防火墙的合理补充，帮助系统对付网络攻击。
扩展系统管理员的安全管理能力．提高信息安全基础结构的完整性。
入侵检测系统能实时捕获内外网之间传输的数据，利用内置的攻击特征库，使用模式匹配和智能分析的方法，检测网络上发生的入侵行为和异常现象，并记录有关事件。
入侵检测系统还可以发出实时报警，使网络管理员能够及时采取应对措施。
6、漏洞扫描。
随着软件规模的不断增大．系统中的安全漏洞或“后门”也不可避免地存在．因此，应采用先进的漏洞扫描系统定期对工作站、服务器等进行安全检查，并写出详细的安全性分析报告，及时地将发现的安全漏洞打上“补丁”。
7、数据加密。
数据加密是核心的对策，是保障数据安全最基本的技术措施和理论基础。
8、加强网络安全管理。
加强网络管理主要是要做好两方面的工作。
首先，加强网络安全知识的培训和普及；其次，是健全完善管理制度和相应的考核机制，以提高网络管理的效率。
第3章校园网络安全系统设计
安全管理是保证网络安全的基础，安全技术是配合安全管理的辅助措施。
学校建立了一套校园网络安全系统，制定详细的安全管理制度，如机房管理制度、病毒防范制度等，并采取切实有效的措施保证制度的执行，并定期对校内教师进行计算机网络安全知识培训，或发放常见病毒解决方案等。
校园网建设需求分析
需求分析
局域网最大的特点就是可以实现资源的最佳利用,如:
共享磁盘设备、打印机等,从而可以在组建的局域网内部互相调用文件,并可在任何一台共享打印机上进行打印;当然也可以借助Wingate或Sygate等软件多机共享一台Modem上网；或者通过代理服务器连上Internet，享受非一般的速度。
网卡根据传输速率可分为：
10Mbps网卡（ISA插口或PCI插口）、100MbpsPCI插口网卡、10Mbps/100Mbps自适应网卡和千兆网卡。
目前10MbpsISA插口的网卡仍以其低廉的价格占有市场的一定份额，但由于10MbpsISA插口网卡的网络传输速率低，且占用大量的CPU资源，只适应于那些对速度要求不高的局域网，因此用100MbpsPCI插口的网卡或者10Mbps/100Mbps自适应网卡，够适应于用户比较多，网上传输的数据量大和需要进行多媒体信息传输的应用环境。
BNC口是用细同轴电缆作为传输媒介的一种网卡接口。
RJ45是采用双绞线作为传输媒介的一种网卡接口，RJ45的接口酷似电话线的接口，但网络线使用的是8芯的接头，使用RJ45的缺点是架设成本高，但安装和维护较为方便，因此我们一般使用RJ45接口。
集线器（HUB）:
根据微机的数量,利用HUB构成星形结构,在工作站较多的情况下,会因HUB的处理速率远远低于通信线路的传输速度,从而造成瓶颈问题。
因此有条件的话可选用交换机。
一个Hub所组成的域称为冲突域,也就是说,网络上任何一台计算机在收发数据时,其他所有计算机都能够收到,且这些计算机不能同时进行数据的收发,否则会发生碰撞（CSMA/CD协议会阻止碰撞）。
此外每台接入Hub的计算机,都要检测接收到的数据目的地址,以确认是否是收到自己的通信信息,因此计算机CPU占用率高,全网通信效率低,只适用于小型工作组级别应用。
学校校园网是为学校师生提供教学、管理、科研和综合信息服务的宽带多媒体网络；是学校信息化教学环境的基础设施和实现各项管理的物质基础；是建立远程教育体系的基本保证；是提高全民素质的重要手段；也是一项灵魂工程。
其设计方案应注意以下原则：
实用性校园网设计应能满足学校目前对网络应用的要求，充分实现学校内部管理、教学和科研的网络化、信息化的要求，使网络的整体性能尽快得到充分的发挥，并且便于掌握。
可靠性校园网的系统及网络结构较为复杂，同时在部分子系统中存在较高的技术性，因此必须保证系统的稳定、可靠和安全运行，具有很高的MTBF（平均无故障工作时间）和极低的MTBR（平均无故障率），提高容错设计，支持故障检测和恢复，可管理性强。
统一性在系统的设计过程中，坚持"三统一"，即统一规划、统一标准、统一出口。
先进性在系统的开发过程中，既能满足当前院校对网络的应用需求，又可以在将来需要扩展的时候，能方便地扩展，保护目前的所有投资；设计的配置可以灵活变通，以便适应客户的其他要求。
关键设备
在产品选购之前一定要经过认真的分析，这次参与组网的机构选用美国Cisco公司的Catalyst6506作为数据网络系统的内部核心交换机，Catalyst6506是大容量的具有高交换能力的第三层模块化交换机，Catalyst6506的交换容量以及端口数量等技术指标足以满足网络目前的需求。
选择Catalyst3548作为外网交换机。
可以通过千兆的光纤链路连接到核心交换机，而所有的用户终端可以通过10/100M自适应通道接入到CiscoCatalyst3524和Catalyst3548交换机上。
选择Catalyst3524和Catalyst3548作为计算机网络系统的二级汇聚交换机，为终端用户提供10/100M到桌面。
选择Cisco3662作为计算机网络系统DDN、ISDN访问路由器，既可以满足上级单位Internet的DDN、ISDN接入的需求，又可以满足继续扩展的需求。
同时Cisco3662作为计算机网络系统的拨号服务器，提供分支机构的拨号接入。
网络核心层：
用一台Cisco的高端三层交换机Catalyst6506作为整个交换系统的核心，由网络中心网络管理员统一调度，从而使计算机网络系统成为一个具有整合的千兆以太网主干并具备第三层交换功能的综合网络通信平台。
其中配置两个电源同时供电，彼此分担负荷并互为备份。
一块WS-X6K-S1A-MSFC2交换引擎是交换机的心脏，它控制交换机的寻址、数据转发、模块控制等。
Catalyst6506交换机引擎卡上的MSFC2（MultilayerSwitchingFeatureCard）卡具有极强的三层交换能力，利用Cisco特有的Netflow技术，完全满足核心线性三层交换的能力。
另一块WS-X6408-GBIC的8端口千兆以太光纤模块将所有的汇聚层设备、接入层设备、网管工作站及网络应用服务器都直接连入到核心层设备上去。
汇聚层：
在分配线间分别设立CiscoCatalyst3524和Catalyst3548作为计算机网络系统汇聚层设备，汇聚层设备将通过光缆以千兆以太网为主干连接到核心层设备Catalyst6506上去，终端用户可以通过超5类UTP线缆连接到各层交换机中去，可以实现10/100M的自适应通道连接到局域网中去。
接入层；在网络接入层中我们选用了一台Cisco3660路由器作为广域互连和外部用户拨号访问网关，其中主要采用了两种接入方式分别实现各自功能：
1. ADSL接入方式。
2.FTTX+LAN接入方式。
校园网网络拓扑结构
根据校园网的需求分析及建设目标，本设计方案采用交换式千兆以太网作为主干，百兆交换到桌面。
网络拓扑采用星型树结构，网络中心的交换机使用堆叠方式连接。
下面3-5图为校园网网络拓扑图。
3-5图
技术方案
校园网的建设规划
校园网建设作为一项复杂的系统工程，与任何一项工程建设一样，在开始建设前都要根据工程的特点事先进行详细的工程规化与技术需求分析，它的成功与否都直接影响到工程的建设质量以及今后网络能否可靠运行都有直接的关系，因此要特别认真地进行系统规划。
对于校园网来说，必须对技术和教育的发展前景有着清醒的认识，只有这样，才能从很好地为校园网进行合理的规划。
1．校园网的应用特点
随着现代化教学活动的开展和与国内外教学机构交往的增多，对通过网络进行信息交流的需求越来越迫切，为促进教学、方便管理和进一步发挥师生的创造力，校园网络建设成为现代教育机构的必然选择。
校园网大都属于中小型系统，以园区局域网为主，一个基本的校园网具有以下的特点：
高速的局域网连接--校园网的核心为面向校园内部师生的网络，因此园区局域网是该系统的建设重点，由于参与网络应用的师生数量众多，而且信息中包含大量多媒体信息，故大容量、高速率的数据传输是网络的一项基本要求；
信息结构多样化--校园网应用分为电子教学（多媒体教室、电子图书馆等）、学校管理和远程通讯（远程教学、互联网接入）三大部分内容：
电子教学包含大量多媒体信息，学校管理以数据库为主，远程通讯则多为WWW方式，因此数据成分复杂，不同类型数据对网络传输有不同的质量需求；
操作方便，易于管理--校园网面向不同知识层次的教师、学生和办公人员，应用和管理应简便易行，界面友好，不宜太过专业化；
经济实用--学校对网络建设的投入有限，因此要求建成的网络应经济实用，具备很高的性能价格比。
2．校园网的需求分析
在着手设计一个校园网或者计算机局域网时，其主要依据就是网络用户（学校）的需求及将要建设的网络系统的特点。
通过对实际需要进行细致的分析，才能确定系统的总体目标和近期目标。
需求分析是如何设计、建设和应用校园网的关键。
在完成校园网的需求分析之后，就要对整个校园进行物理结构和逻辑结构的设计。
校园网具体的需求分析有如下几点：
（1）总体目标
对于一个校园网来说，系统的总体目标就是在一个时期内，当校园网完全健设好后所要达到的功能和具有的规模。
一般来说，一个校园网系统总体目标是分步实施的，包括功能的分步实施和规模的分步实施。
主要原因是受资金的限制（这是在建设校园网时普遍遇到的问题）和技术发展的影响（因为随着计算机网络技术的飞速发展，校园网总会有进行升级的需求）。
因此我们在设计一个校园网时，要充分考虑到对已有校园网资源的再次利用，又要考虑到将来对校园网进一步的升级改造。
（2）近期目标
近期目标就是根据实际需求来设计和建设校园网，使建设好后的校园网能满足实际需求所应有的功能和规模，同时又要考虑将来能对校园网进一步的升级改造或者是后期工程的建设，系统近期目标是需求分析的重点。
3．网络结构设计
校园网络结构设计主要是进行网络的物理设计和逻辑设计，在完成结构设计后才能对网络设备进行选型。
网络结构设计对于整个网络系统来说是十分重要的，它设计的成功与否都直接影响网络的使用功能的实现以及网络是否能满足网络的需求。
（1）物理设计
根据需求分析，可以知道整个校园网信息点的数目，同时也知道这些信息点在整个校园内的分布情况。
当我们确定网络控制中心的位置后，就应该考虑如何把校园内的信息点连到网络控制中心以及各种设备的连接速率和网络使用的拓扑结构等，网络系统所使用来连接各种网络设备的传输介质也是需要考虑的问题。
（2）逻辑设计
网络的逻辑设计主要考虑校园网的IP子网网段的划分，通过实际的网络物理连接，依据实际需求来实现虚拟网络（VLAN）的设置。
无论从网络的安全性和IP地址的可管理性来考虑，还是从有效利用IP地址资源的角度来考虑，将整个校园网划分为多个子网网段并对IP地址资源进行有效管理都是十分必要的。
4．网络技术
学校建设校园网有许多需要考虑的问题，如网络技术的选择、网络拓扑结构的选择、网络产品的选择、网络服务器的选择以及操作系统、网络应用服务、网络管理及网络安全等方面。
下面根据前面介绍过的各种网络技术来进行校园网组建技术的选择。
（1）网络技术类型
网络系统的建设应遵循高可靠性、技术先进、开放性、成熟标准、易于扩展、可维护性好等原则，并充分考虑性能价格比和今后技术的发展。
要求系统兼容性好，易于平滑连接，避免网络瓶颈。
当前达到或超过100Mbps的高速网络技术主要有：
快速以太网、FDDI、千兆以太网、ATM交换网。
FDDI是几年前十分流行的高速网络技术，虽然技术十分成熟，但网络管理复杂且成本较高，现已被逐渐淘汰。
ATM是比较先进的网络技术，它采用信元交换方式，以很高的速率在任意两点间建立直接的虚拟通信链路，有较强的传输质量控制能力，特别适合于多媒体信息的传输。
但在实际使用事因端口价格过高，难以大规模采用。
以太网是种成熟的、质优价廉的网络技术，其标准已制定完备。
经过多年发展，形成了完善的10Mbps、100Mbps和千兆以太网技术，同时还由共享式的网络发展成为交换式的以太网，具备与FDDI、ATM网络融合的多种方法与规范。
从技术上看，以太网技术还有不断发展的佘地，是一种能够到长期使用和发展的技术，另外以太网还可以在不同速率之间平滑升级，不会有网络协议和规范上的障碍。
综全以上对高速网络技术的分析，我认为在当前校园网的建设中应以建设和使用100Mbps快速以太网为主，在局部主干上使用千兆技术进行连接。
（2）网络拓扑的选择
当前在局域网的建设中，主要应用的拓扑结构有总线型、环型和星型。
在总线型网络中，由于各计算机共享一条通信电缆，而且不需要额外的通信设备，因此，可以节约组网费用。
但是其缺点也是十分明显的
升级会员 