网络安全大作业校园网络设计.doc

题 目姓名： 班级： 计算机073 学号： 07013663 姓名： 班级： 计算机073 学号： 07013610 姓名： 班级： 计算机073 学号： 07013668 （为本方案的主要负责同学）计算机与信息学院二零一零年六月一、方案背景介绍 XX中学校园网络 12幢楼宇约458个信息点。其中1幢办公楼32个信息点， 3幢教学楼60个信息点（19+20+21=60），7幢教师宿舍楼172个信息点（21+21+28+28+27+36+11=172），1幢教辅用房硅步楼194个信息点（122+60+12=194）。 主干网络提供1000M带宽，到桌面提供100M带宽，连接15幢楼宇，校内互联，学校各部门子系统连接校园主干网口，各网段内、各网段之间计算机互访和校内资源共享； 校园网与国际互联网相连：局域网内的计算机通过WWW服务器代理网。 核心内部网络建设，包括DNS服务器、EMAIL服务器、WWW服务器、FTP服务器、BBS服务器、数据库服务器等，对外能与Internet互联，对内提供校内各种局域网的接口，提供Internet服务，如电子邮件、远程登陆、文件传输、信息查询等。 提供网络教学环境：网络提供视频、音频、课件在校园网内传输，提供视频点播系统服务； 提供办公自动化管理服务：进行各类公文收发、分类的处理； 提供远程用户访问服务。 二、方案设计任务分工 方案设计，找资料：龚卓成,陈林滔开题报告：龚卓成，陈林滔解决方案报告撰写：何骏,龚卓成解决方案报告修改：何骏,陈林滔三、需求分析从对内安全和对外安全两个角度进行分析:1.来自外部网络的安全威胁 由于需要，网络与外部网络进行了连接，这些连接集中在安全威胁的第一层，包括：如果内部网络和这些外部网络之间的连接为直接连接，外部网络则可以直接访问内部网络的主机，若内部和外部没有隔离措施，内部系统较容易遭到攻击。 由于需要，学生和教师在非校区内使用ISP拨号上网连接上Internet，进入学校内部网网络，这时非法的internet用户也可以通过各种手段访问内部网络。这种连接使学校内部网络很容易受到来自internet的攻击。攻击一旦发生，首先遭到破坏的将是办公自动化网的主机，另外，通过使用连接托管服务器网站与办公自动化网的DDN专线，侵入者可以继续攻击托管服务器网站部分。攻击的手段以及可能造成的危害多种多样。 1.对外安全分析安装软件、硬件防火墙，网络防病毒软件，客户端防病毒软件 利用代理服务器提供Internet与Intranet之间的防火墙功能 通过网管软件实时记录网络的运行状态。2.来自内部网络的安全威胁网络上的节点众多，网络应用复杂，网络管理困难。这些问题主要体现在安全威胁的第二和第三个层面上，具体问题： 网络的实际结构无法控制； 网管人员无法及时了解网络的运行状况； 无法了解网络的漏洞和可能发生的攻击； 对于已经或正在发生的攻击缺乏有效的追查手段； 访问控制的问题2.对内安全分析 利用VLAN的安全特性，按照学校各部分的基本工作性质结合楼宇的分布划分子网网段 一方面对子网内信息点设置访问控制，另一方面对不同子网的访问进行控制。 服务器访问控制：通过密码、口令（不定期修改、定期保存密码与口令）等禁止非授权用户对服务器的访问，以及对办公自动化平台、教务管理平台的访问和管理采用有效的扫描工具，定期对网络进行扫描，发现网络结构的变化，及时纠正错误使用有效的工具，及时发现错误，关闭非法应用，保证网络的安全 进行客观的网络风险评估，及时发现网络中的安全隐患，并提出切实可行的防范措施 记录攻击行为的全过程，为调查工作提供依据四、 网络安全设计方案楼宇交换机 楼宇交换机 网 管交换机 桌面交换机 桌面交换机 DNS对内安全：a) 利用VLAN的安全特性，按照学校各部分的基本工作性质结合楼宇的分布划分子网网段：192.168.10段，办公楼；192.168.20段，教师周转房（1，2）；192.168.30段，为临江园2幢教师住宿楼，192.168.40段为硅步楼，192.168.50段为2号教师住宿楼，192.168.60段为1号教师住宿楼。192.168.70段为3幢教学楼。一方面对子网内信息点设置访问控制，另一方面对不同子网的访问进行控制。b) 服务器访问控制：通过密码、口令（不定期修改、定期保存密码与口令）等禁止非授权用户对服务器的访问，以及对办公自动化平台、教务管理平台的访问和管理对外安全：安装软件、硬件防火墙，网络防病毒软件，客户端防病毒软件；利用代理服务器提供Internet与Intranet之间的防火墙功能；通过网管实时记录网络的运行状态。网络可靠性设计：网络主干采用基于树型的多星型结构，使之具有链路冗余特性，能使树型中有一线路出现故障时，只有本线路出故障，其它网络部分仍然能正常运行。接入Internet：采用DDN接入。DDN是英文Digital Data Network的缩写，这是随着数据通信业务发展而迅速发展起来的一种新型网络。基于端口的虚网划分；利用VIAN国际标准802.1Q，实现跨交换机的VLAN，通过IEEE802.1d协议所支持的生成树技术（Spanning Tree），实现各中继之间的负载均衡；采用VLANPruning技术来优化交换网络中广播对网络性能的影响；网络管理方案设计：根据学校和服务器应用模式及全网范围资源集中管理的原则，建立网管中心（中心机房），统一网络中的交换设备的管理配置，虚网设计和配置，各种服务建立等。建立安全管理制度。提高包括系统管理员和用户在内的人员的技术素质和职业道德修养。对重要部门和信息，严格做好开机查毒，及时备份数据.对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机及网络的立法和执法力度等方面。加强计算机安全管理、加强用户的法律、法规和道德观念，提高计算机用户的安全意识.对计算机用户不断进行法制教育，包括计算机安全法、计算机犯罪法、保密法、数据保护法等，明确计算机用户和系统管理人员应履行的权利和义务，自觉遵守合法信息系统原则、合法用户原则、信息公开原则、信息利用原则和资源限制原则，自觉地和一切违法犯罪的行为作斗争，维护计算机及网络系统的安全，维护信息系统的安全。除此之外，还应教育计算机用户和全体工作人员，应自觉遵守为维护系统安全而建立的一切规章制度，包括人员管理制度、运行维护和管理制度、计算机处理的控制和管理制度、各种资料管理制度、机房保卫管理制度、专机专用和严格分工等管理制度。网管工作站对全网所有交换设备和路由设备进行统一管理、配置和维护；进行故障隔离、分析、统计、报警、设置；网管软件采用图形化界面，支持广泛的网管平台。物理安全层面：对计算机系统的安全环境条件，包括温度、湿度、空气洁净度、腐蚀度、虫害、振动和冲击、电气干扰等方面执行设备所规定的标准机房场地环境的选择计算机系统选择一个合适的安装场所十分重要。它直接影响到系统的安全性和可靠性。选择计算机房场地，要注意其外部环境安全性、地质可靠性、场地抗电磁干扰性，避开强振动源和强噪声源，并避免设在建筑物高层和用水设备的下层或隔壁。还要注意出入口的管理。 机房的安全防护为了防止未经过授权的个人或者团体篡改数据盗窃计算机设备，应做到物理访问控制来识别访问用户的身份，并对其合法性进行验证；其次，对来访者必须限定其活动范围；第三，要在计算机系统中心设备外设多层安全防护圈，以防止非法暴力入侵；第四设备所在的建筑物应具有抵御各种自然灾害的设施。五、总结拥有一个高水准的校园网，必将促进校园网络应用向WWW、E-mail、FTP的更高层次应用发展。计算机网络技术的发展，引发了学校各项工作的深刻变革。高性能校园网的建设大大提高了学校的管理水平，为师生员工更好地进行教学、科研等提供了先进的平台，极大地推动了学校的信息化建设。统一平台、整合资源，将很多原来划分在不同部门、不同系统的应用放在一个同时兼具高度灵活性、稳固的校园网平台上，产生出巨大的协同效应，甚至从根本上改变了原有的教育模式。同时进一步利用这个平台有效整合学校内部资源，以信息化促进学校内外部业务统一、流程优化。随着校园网基础建设的加强及学校信息化程度的提高，学校最终将迎来科学管理和教学的新时代。 计算机网络安全是一项复杂的系统工程，涉及技术、设备、管理和制度