网络安全课程设计.docx

1、网络安全课程设计网络安全课程设计网络安全课程设计 -企业网络搭建 1.1概述中国国内目前的企业需要的网络安全产品不仅仅是简单的安装，更重要的是要有针对复杂网络应用的一体化解决方案，如：网络安全、病毒检测、网站过滤等等。其着眼点在于：国内外领先的厂商产品；具备处理突发事件的能力；能够实时监控并易于管理；提供安全策略配置定制；是用户能够很容易地完善自身安全体系。然而，有网络的地方就有安全的问题。过去的网络大多是封闭式的，因而比较容易确保其安全性，简单的安全性设备就足以承担其任务。然而，当今的网络已经发生了变化，确保网络的安全性和可用性已经成为更加复杂而且必需的任务。用户每一次连接到网络上，原有的安

2、全状况就会发生变化。所以，很多企业频繁地成为网络犯罪的牺牲品。因为当今网络业务的复杂性，依靠早期的简单安全设备已经对这些安全问题无能为力了。网络攻击在迅速地增多网络攻击通常利用网络某些内在特点，进行非授权的访问、窃取密码、拒绝服务等等。考虑到业务的损失和生产效率的下降，以及排除故障和修复损坏设备所导致的额外开支等方面，对网络安全的破坏可能是毁灭性的。此外，严重的网络安全问题还可能导致企业的公众形象的破坏、法律上的责任乃至客户信心的丧失，并进而造成的成本损失将是无法估量的。1.1.1项目概述：（1）待改企业描述本方案的企业为一个制造生产销售一体化的计算机配件企业，希望能具有竞争力并提高生产效率，

3、这就必须对市场需求做出及时有力的响应，从而引发了依赖互联网来获取、共享信息的趋势，这样才能进一步提高生产效率进而推动未来增长。本方案旨在使公司的网络更安全，以保证企业安全和减少安全问题带来的损失。可以快速的对网络攻击做出反应。（2）功能此方案可让企业保证硬件设备减少安全隐患，公司重要信息不被人获取，应对突发的安全情况能力大大加强。（3）用户特点本方案的对象是企业的职工、网络管理人员、技术处工作人员、公司领导、信息中心系统管理人员和维护人员。（4）一般约束这是一个针对企业网络各方面进行调整的方案，不可避免要受于布线地理位置和系统安装的兼容性的限制。1.1.2性能需求为了保证系统能够长期、安全、稳

4、定、可靠、高效的运行，企业网络安全方案应该满足以下需求：（1）全面性和及时性方案的全面性和处理事件的及时性是必要的性能。从各个方面考虑到可能受到的网络攻击，做好全方面的补救和抵御措施。且在发生突发情况下能及时的补救，保证企业网络的正常运行。（2）系统方案的可扩充性在方案的设计过程中，应该充分考虑系统的可扩充性，为以后企业的发展，网络设备的扩充，提供良好条件。（3）系统的易用性和易维护性在完成这套方案之后，只需要技术人员在硬件上做好管理措施、系统上及时更新升级，以及做好备份工作。（4）方案的标准性方案在设计过程中，要涉及很多计算机硬件、软件。所有这些都要符合主流国际、国家和行业标准。例如要用到的

5、操作系统、网络设备以及软件、技术都要符合通用的标准。1.2实际网络的特点及目前企业网络优缺点分析如图，上图为一计算机配件企业的大概网络拓扑图，经过分析，公司网络主要分为4个部分，一部分为工厂生产网络，一部分是负责销售、网站维护和构想玩具工作等的写字楼办公网络，另两部分为领导决策的主网络以及公司的服务器群。其优点是结构简单灵活可靠性高，共享性强,适合于一点发送、多点接收的场合，容易扩展网络，使用的电缆少，且安装容易。缺点是安全行不高，维护不方便，分支节点出现故障会影响整个网络。其网络的交换机路由器已经经过一部分设置与设备NAT技术，使公司内部合理通信访问，工厂办公地点不能上网，员工办公阶段时间性

6、的上网，领导办公没有限制。这都有效提高了公司的工作质量与安全性，我们在这基础上，再设置一些安全措施，设计出一套完整的安全解决方案。1.3设计目标根据实际情况，全方面的找出并解决企业存在的各方面安全问题，从网络的硬件设备的安全以及配置、系统防御软件检测防御、流量控制优先级（QOS技术）、以及数据的加密传输、签名认证和远程专用网络，以及合理应用内外防火墙，达到最大限度保证企业信息的安全，以及网络的通信顺畅。2.1研究设计中要解决的问题2.1.1设备、服务器、流量控制（1）从拓扑图上可知，类似总线型的网络拓扑结构，存在着明显的安全问题，如果其中一台交换机设备出现故障，将严重影响网络的正常运行，这是很

7、大的安全隐患。（2）保证物理设备的安全，也没有针对一些突发情况的保护措施，以保证网络的随时通畅，容灾备份。（3）外部访问企业内部网络，共享资源，没有一个好的安全保护措施。（4）QOS流量服务控制，保证网络通顺。（5）服务器的安全非常重要。2.1.2应用系统软件系统的安全存在问题，没有好的软件工具防御外来攻击，列如垃圾病毒邮件的防御。2.1.3防火墙因为本企业对网络安全的不重视，还未安装外部防火墙，不能防御控制外来的攻击。2.2针对现在网络中出现的网络安全问题，本课题所作的改善设计2.2.1改善设计（1）改善其拓扑结构，把各设备协同工作时的隐患降到最低。（2）对物理设备实施保护措施，拥有少量备用

8、和扩充的设备，建立流量控制措施，达到遇到突发情况从容面对，加以保证网络的正常运行。（3）采用现有的最有效安全的虚拟专用网络（VPN）技术，达到外部访问内部资源时的安全。（4）QOS流量服务和ACL访问控制，保证网络通顺。（5）打造服务器安全。2.2.2系统软件拥有一些安全的系统和防御、杀毒、筛选检测工具，达到最大限度防御外来攻击。采用身份人证和数据加密，保护邮件安全，再及时更新漏洞补丁随着电子邮件的普及和应用，伴随而来的电子邮件安全方面问题也越来越多的引起人们的关注。我们已经认识到电子邮件用户所面临的安全性风险变得日益严重。病毒、蠕虫、垃圾邮件、网页仿冒欺诈、间谍软件和一系列更新、更复杂的攻击

9、方法，使得电子邮件通信和电子邮件基础结构的管理成为了一种更加具有风险的行为。2.2.3防火墙、入侵检测安装好专业切功能强劲的防火墙，来有效防御外来黑客病毒等方面的攻击。在两个网络之间加强访问控制的一整套装置，是内部网络与外部网络之间的安全防范系统通常安装在内部网络与外部网络的链接点上。所有来自internet（外部网）的传输信息或从内部网络发出的信息都必须穿过防火墙。入侵行为的发觉。它通过对计算机网络或计算机系统中若干关键点收集信息，并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。行进入侵检测的软件与硬件的组合便是入侵监测系统。与其他安全产品不同的是，入侵检测系统需

10、要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。一个合格的入侵检测系统能大大简化管理员的工作，保证网络安全的运行。3. 系统设计关键技术3.1.目标具体实现中采用的关键技术及分析3.1.1 本文主要用到的2种拓扑结构：1.总线拓扑总线拓扑结构采用一个信道作为传输媒体，所有站点都通过相应的硬件接口直接连到这一公共传输媒体上，该公共传输媒体即称为总线。总线拓扑结构的优点：（1）总线结构所需要的电缆数量少。（2）总线结构简单，又是无源工作，有较高的可靠性。（3）易于扩充，增加或减少用户比较方便。总线拓扑的缺点： （1）总线的传输距离有限，通信范围受到限制。（2）故障诊断和隔离较困难。

11、（3）分布式协议不能保证信息的及时传送，不具有实时功能。2. 星形拓扑星形拓扑是由中央节点和通过点到到通信链路接到中央节点的各个站点组成。星形拓扑结构具有以下优点：（1）控制简单。（2）故障诊断和隔离容易。（3）方便服务。星形拓扑结构的缺点：（1）电缆长度和安装工作量可观。（2）中央节点的负担较重，形成瓶颈。（3）各站点的分布处理能力较低。3.1.2 容灾备份技术首先，要解决网络的物理安全，网络的物理安全主要是指地震、水灾、火灾等环境事故;电源故障;人为操作失误或错误;设备被盗、被毁;电磁干扰;线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。在这个企业区局域网内

12、，由于网络的物理跨度不大，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的。这个是整个网络系统安全的前提。容灾备份：容灾备份是通过特定的容灾机制，在各种灾难损害发生后，仍然能够最大限度地保障提供正常应用服务的信息系统。容灾备份可以分为数据备份和应用备份。数据备份需要保证用户数据的完整性、可靠性和一致性。而对于提供实时服务的信息系统，用户的服务请求在灾难中可能会中断，应用备份却能提供不间断的应用服务，让客户的服务请求能够继续运行，保证信息系统提供的服务完整、可靠、一致。一个完整的容灾备份系统包括本地数据备份、远程数据复制和异地备份中心。当然并不是所有的企业

13、都需要这样一个系统，只有对不可中断的关键业务才有必要建立容灾备份中心。3.1.3 VPN技术一个完全私有的网络可以解决许多安全问题，因为很多恶意攻击者根本无法进入网络实施攻击。但是，对于一个普通的地理覆盖范围广的企业或公司，要搭建物理上私有的网络，往往在财政预算上是不合理的。VPN技术就是为了解决这样一种安全需求的技术。VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通

14、讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。3.2设计实现的策略和途径描述本方案为局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计、等。本安全解决方案的目标是在不影响企业局域网当前业务的前提下，实现对他们局域网全面的安全管理：（1）将安全策略、硬件设备及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。（2） 定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。（3） 通过入侵检测等方式实现实

15、时安全监控，提供快速响应故障的手段，同时具备很好的安全取证措施。（4）使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态，最大限度地减少损失。（5）在工作站、服务器上安装相应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒。3.3 设计模型及系统结构（新的拓扑图）在原拓扑图的基础上，增加了重要的防火墙，并把工厂办公子网的连接换到主交换机上，避免了员工子网交换机如果出现问题故障，导致重要生产线子网不能工作的问题。即是完全把企业的拓扑改成主流的星形拓扑结构。员工办公子网中间也可多增加一些交换机，减轻负担，对里面的部门分化也比较容易管理，再加上只要制定健全的安

16、全管理制度，做好备份，并且加强网络设备和机房的管理，就能达到在现有设备基础上，实现网络安全的目标。硬件选择: 安全配置:在出口路由:1.配置ACL访问控制列表。2.配置NAT转换,硬件防火墙由于内部主机是通过地址转换方式连接internet,有效隐藏了内部主机,同时,防火墙通过封锁部分病毒传播端口,可以在一定程度上防止病毒的感染和传播。将防火墙的规则配置分对内和对外两个部分。对外开放服务的规则，一般细化到每个服务器的每个端口，这样才可以保护服务器，不会被黑客利用操作系统或者开放的多余服务端口的漏洞进行攻击。3.对内规则，要根据自身的实际情况进行合理配置，在本网络拓扑结构中，我们根据不同的部门和

17、人员设置不同的权限，工厂办公地点不能上网，员工办公阶段时间性的上网，领导办公没有限制。4.配置远程连入。5.配置外网对内外访问的VPN。6.数据库冗余。7.日志服务器和日志分析系统。防火墙配置：1.配置ACL访问控制列表，防火墙设置智能化的规则，以便关闭那些有可能成为黑客入侵途径的端口。2.配置远程连入。3.入侵检测IDS配置。4.配置防火墙的DMZ区域的规则，DMZ，即非军事化缓冲区，是网络内部有服务需要开放给公网用户时而设置的独立区域。由于这些开放服务器要面对的是大量公网的任意未知用户，因此，需要设置严格的防火墙控制策略，以防止入侵者破坏。企业网络拓扑主要使用的设备1.PC机。2.数据库服

18、务器。3.核心交换机。4.汇聚层交换机。5.防火墙。6.打印机等辅助设备。7.物理隔离区闸。交换机路由配置: 交换机在网络中占有重要地位,通常是整个网络的核心所在.在这个黑客入侵风起云涌,病毒肆掠的网络时代,作为核心交换机也理所当然要承担起网络安全的一部分责任。1.流量控制把流经端口的异常流量控制在一定范围内.许多交换机有基于端口的流量控制功能,能实现风暴控制,端口保护和端口安全.流量控制功能用于交换机与交换机之间在发生拥塞时通知对方暂停发送数据包.2.访问控制列表(ACL)ACL可以限制网络流量、提高网络性能, 提供对通信流量的控制手段ACL可以在路由器端口处决定哪种类型的通信流量被转发或被

19、阻塞3.虚拟局域网(VLAN)技术 VLAN网络可以是有混合的网络类型设备组成，比如：10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形

20、成虚拟工作组，动态管理网络。3.3.1 VPN技术一个完全私有的网络可以解决许多安全问题，因为很多恶意攻击者根本无法进入网络实施攻击。但是，对于一个普通的地理覆盖范围广的企业或公司，要搭建物理上私有的网络，往往在财政预算上是不合理的。VPN技术就是为了解决这样一种安全需求的技术。VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网络我们可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它

21、并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。3.3.2设计实现的策略和途径描述本方案为局域网网络安全解决方案，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计、等。本安全解决方案的目标是在不影响企业局域网当前业务的前提下，实现对他们局域网全面的安全管理：（1）将安全策略、硬件设备及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险。（2） 定期进行漏洞扫描，审计跟踪，及时发现问题，解决问题。（3） 通过入侵检测等方式实现实时安全监控，提供快速响应故障的手段，同

22、时具备很好的安全取证措施。（4） 使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态，最大限度地减少损失。（5）在工作站、服务器上安装相应的防病毒软件，由中央控制台统一控制和管理，实现全网统一防病毒。 4. 系统实现技术概述确保现有的设备稳定安全的基础上，对交换机路由器等，采用一些安全技术，进行内部网络的设置。例如对各种设备都做了哪些修改，这些修改带来的优势，以达到增强网络安全的目的。4.1物理设备安全4.1.1 容灾备份从广义上讲，任何提高系统可用性的努力，都可称之为容灾（或容灾备份）。本地容灾就是主机集群，当某台主机出现故障，不能正常工作时，其他的主机可以替代该

23、主机，继续进行正常的工作。当一处系统因灾难而停止工作时，整个应用系统可以切换到另一处，使得该系统可以继续正常工作。在建立容灾备份系统时会涉及到多种技术，如：远程镜像技术、基于IP的SAN（存储区域网络）的互连技术、快照技术等。远程镜像技术就是远程同步复制技术，指通过远程镜像软件，将本地数据以完全同步的方式复制到异地。通过镜像把数据备份到远程存储系统中，再用快照技术把远程存储系统中的信息备份到远程的磁带库、光盘库中。基于IP的SAN的远程数据容灾备份技术，是将主数据中心SAN中的信息通过现有的TCP/IP网络，远程复制到备援中心SAN中。当备援中心存储的数据量过大时，可利用快照技术将其备份到磁带

24、库或光盘库中。4.1.2 防盗和防毁当计算机系统或设备被盗、被毁时，除了设备本身丢失或毁损带来的损失外，更多的损失则是失去了有价值的程序和数据。因此，防盗、防毁是计算机防护的一个重要内容。通常采取的防盗、防毁措施主要有：设置报警器在机房周围空间放置侵入报警器，侵入报警的形式主要有光电、微波、红外线和超声波；锁定装置在计算机设备中，特别是在个人计算机中设置锁定装置，以防犯罪盗窃；计算机保险在计算机系统受到侵犯后，可以得到损失的经济补偿，但是无法补偿失去的程序和数据，为此应设置一定的保险装置。4.1.3 防止电磁泄漏发射计算机主机及其附属电子设备如视频显示终端、打印机等在工作时不可避免地会产生电磁

25、波辐射，这些辐射中携带有计算机正在进行处理的数据信息。抑制计算机中信息泄漏的技术途径有两种：一是电子隐蔽技术，二是物理抑制技术。电子隐蔽技术主要是用干扰、调频等技术来掩饰计算机的工作状态和保护信息；物理抑制技术则是抑制一切有用信息的外泄。物理抑制技术可分为包容法和抑源法。包容法主要是对辐射源进行屏蔽，以阻止电磁波的外泄传播。抑源法就是从线路和元器件入手，从根本上阻止计算机系统向外辐射电磁波，消除产生较强电磁波的根源。4.1.4 防电磁干扰电磁干扰是指当电子设备辐射出的能量超过一定程度时，就会干扰设备本身以及周围的其他电子设备的现象。计算机与各种电子设备和广播、电视、雷达等无线设备及电子仪器等都

26、会发出电磁干扰信号，计算机要在这样复杂的电磁干扰环境中工作，其可靠性、稳定性和安全性将受到严重影响。因此，实际使用中需要了解和考虑计算机的抗电磁干扰问题，即电磁兼容性问题。4.1.5 媒介安全包括媒介数据的安全以及媒介本身的安全。对于存放重要数据的计算机设备，要有定期数据备份计划，用磁盘、光盘等介质及时备份数据，妥善存档保管。也要有数据恢复方案，在系统瘫痪或出现严重故障时，能够进行数据恢复。4.1.6保密技术计算机系统的保密主要是指存放于磁盘上的文件、数据库等数据存储的保密措施，应用于这方面的技术主要有访问控制、数据加密等。可用加密系统有数据加/解密卡、数据加密机、数据采编加密系统、抗辐射干扰

27、器、电子印章系统等。4.2 VPN技术为了远程访问的快捷与安全，我们采用了VPN技术，可按照企业的情况对主路由进行配置实现。这是原本企业没采用的方式。VPN(Virtual Private Network，虚拟专用网络)是专用网络的延伸，包含了类似 Internet 的共享或公共网络连接。通过VPN可以模拟点对点专用连接的方式通过共享或公共网络在两台计算机之间发送数据。它具有良好的保密和不受干扰性，使双方能进行自由而安全的点对点连接，因此广泛地受到网络管理员们的关注。配置VPN服务器（需有路由和远程访问功能）： 第一：右键点击桌面的“网络”-“属性”后出现下图选种“连接到工作区”点下一步单击“

28、使用我的Internet连接（VPN）”，马上就转跳到图（4），如电脑中已经设置了Internet连接，马上就转跳到（5）在这里我们单击“我将稍后设置Internet连接（I）”在“Internet 地址（I）”填上代理提供的VPN代理IP地址。这里是填VPN的用户名和密码，点“创建（C）”。之前没有设置Internet连接如图，到这里就完成的连接设置导向。点击“关闭”。已经设置Internet连接提示如图到这里就完成的连接设置导向。点击“跳过”。第二步：回到桌面右键点击“网络”-“属性”，再点击一下左边的“更改适配器设置”。找到我们刚才建好的“VPN 连接”双击打开。填写相应代理提供的VPN

29、用户名和密码，“域”可以不用填写。整个过程都设置完成了。现在点击“连接（C）”就可以上游戏、上网冲浪了。注意如连接不正常，在VPN连接属性中，在“数据加密（D）”这一项选中“可选加密（没有加密也可以连接）”选好后点击“确定”尝试4.2.2如何赋予用户拨入的权限：1. 想要给一个用户赋予拨入到此服务器的权限(默认是任何用户均被拒绝拨入到服务器上)，需打开管理工具中的用户管理器(在计算机管理项或Active Directory用户和计算机中)，选中所需要的用户，在其上单击右键，选属性。2. 在该用户属性窗口中选拨入项，然后点击允许访问项，再按确定即可完成赋予此用户拨入权限的工作。4.2.3通过局域

30、网进行VPN连接：1.进入Win98的计算机，要想连接到VPN服务器，则需要先安装虚拟专用网络服务。在控制面板的网络下，进入通讯即可找到此项并添加上去。安装完成之后再根据提示重启动计算机。 2. 重新启动之后，在控制面板的网络中就有了Microsoft 虚拟私人网络适配器，即说明VPN服务已安装成功！ 3. 还需要建立到VPN服务器的连接。首先进入我的电脑的拨号网络中，双击建立新连接，然后在请键入对方计算机的名称中输入连接名，比如局域网内的VPN连接，在选择设备选中Microsoft VPN Adapter项！再按下一步。 4. 接着出现请输入VPN服务器的名称或IP地址，在其下的文字框中输入

31、Win2K服务器的名字或IP地址，比如此处为192.168.0.1，再根据提示操作即可建立成功！ 5. 然后在拨号网络中双击刚才建立好的局域网内的VPN连接图标，再输入相应的用户名(需具有拨入服务器的权限)和密码，再按连接按钮。 6. 如果成功连接到了VPN服务器，此时就会像普通拨号上网成功一样，在任务栏右下角会出现两个小电脑的图标，双击它即可出现连接状态小窗口，在其中可以看到。 4.2.4通过Internet进行VPN连接1.首先得确保服务器已经连入了Internet，用ipconfg测出其在Internet上合法的IP地址。 2. 在Win98客户机端参照本节上文相关内容建立一个新的VPN连接，在相应处输入服务器在Internet上合法的IP地址，然后将客户机端也拨入Internet，再双击所建立的VPN连接，输入相应用户名和密码，再点连接按钮。 3. 连接成功之后可以看到，双