重庆用户认证及日志方案.doc

重庆分公司用户认证及日志方案应信息产业部的要求，作为isp要做好用户访问网站的日志纪录，已便检查用户在互联网上是否有非法行为。聚友网络作为cpn，应积极的作好互联网的清理整顿工作、用户的认证工作和记录用户行为的日志。一、重庆分公司目前状况聚友网络重庆分公司目前各个小区的出口分别接入当地的isp，所获得的真ip都是isp提供给的为数不多的真ip。因此用户所拥有的ip都是聚友分配的私有ip，为用户提供上网时要经过nat 转换成真ip，用户才能够访问internet。重庆目前开通了16个小区：4个小区接至电信，4个小区接至网通，8个小区接至联通。每个小区都有一台router 作nat 转换。二、重庆分公司规划现在重庆分公司即将进行网络改造，小区全部采用桥接模式连至中心机房，经中心机房作PAT到internet。根据信产部对我公司网络的要求，重点是在监控用户上网习惯，并留下一定记录，以供公安机关审查备案，并保留三个月的记录。要做好用户的日志记录工作必须要做好用户的认证工作。因为在网络上，特别是在INTERNET这个大环境中，能判断用户的特征一般就只有IP。所以我们只有通过IP来确定用户的身份。但是，由于我们使用的是小区的大型局域网，局域网的特征决定了静态IP用户的用户能够随意修改他的IP，从而达到掩盖其上网行为的目的。所以，只要使用静态IP的小区，用户记录形同虚设。所以，我们要实现用户记录的先决条件是我们能根据IP来确定用户。而要做到这点，认证系统必不可少。因此可采用中心认证的方式，在中心机房统一抓包纪录。三、实施方案1、 方案拓扑图如下：出口监听出口 Pix525储存器 Catalyst 4000用户区由于重庆正在建设中心机房，所有小区使用中心出口到internet，所有的流量都汇集在中心机房的交换机中。使用中心交换机作为核心，在每出口的端口上，使用另一个端口对出口端口做PORT MONITOR。2说明a、 认证 可以以用户名，密码，IP地址，MAC地址四项作为认证条件，其中IP地址和MAC地址一项可以由BAS服务器自动识别，而用户名和密码由用户自己输入，这同时也达到了防止用户密码被盗用的情况发生，保证了用户身份的唯一性。B、设备l Sniffer服务器：本方案选用宝德 Powerleader PL5200 塔式服务器。PL5300 是专门针对部门级基础设施和电子商务而设计的一款服务器。采用最新的133MHz前端系统总线。使用Intel至强866(可任选)处理器技术，133MHz PIII XEON866,支持PIII XEON933MHz/PIII XEON1GHz 支持双路至强对称多处理器，256M ECC Register SDRAM,可扩至4GB(133MB FSB)，集成Intel 82559 10/100M 网卡，支持WOL（远程唤醒）,更支持Intel 千兆网卡，高效的设计、出色的容错能力，极高的扩展性，支持多操作系统，应是作为Sniffer服务器的最好选择。l 磁盘阵列：本方案选用普桦豪威Power 6800系统磁盘阵列。有8个托架的智能化Ultra 160 LVD SCSI到Ultra 160 LVD SCSI的RAID系统。Power 6800是一款独立于主机的数据容错RAID系统，支持RAID级别0，1，0+1，3和5。具有热更换硬盘托架和冗余电源，环境控制器的实时状态监控。具有嵌入式的Ultra 160 LVD SCSI to Ultra 160 LVD SCSI RAID控制器。配置过程非常简单，通过RAID控制器的操作面板即可完成。Power 6800具有8个热更换硬盘托架，可安装3.5 Ultra 2/Ultra 160 LVD SCSI硬盘。通过有负载均衡功能的热更换电源保障系统可持续有效的运行。模块化和可升级结构时系统的容量扩展易于实现，通过串接多个扩展箱可使容量达到TB级。同时还提供基于浏览器的RAID管理软件增强系统的远端管理特性。采用三至五块磁盘，做RAID5应是一种不错的选择l 软件系统：采用BSDSniffer作为用户日志记录服务器的操作系统，PowerLeader PL5200的强大功能和稳定性应能完全满足BSD及Sniffer应用的需要。l 方案设备清单及报价：名称型号单价(元)数量总价(元)备注宝德服务器PL5300P III XEON 1GB(256K Cache)21000.00121000.00可根据具需求灵活达配256M SDRAM18.2 SCSI(7200转)SC5000(PL5200机箱)Intel 82559 10/100M 网卡普桦豪威Power 6800133000.001133000.002940 Ultra 160 LVD SCSI卡2100.0012100.00SCSI 72G 硬盘7