文档介绍：典型网络安全方案设计
本项目主要从当前网络安全的状况做出安全需求分析,并结合网络安全的评价标准以及网络安全防御体系的一般结构来制定相关网络(如校园网、企业网、政府网等)的安全方案规划。最后,对后续的网络安全实验进行设计并建立一个虚拟的实验环境。
校园网络安全方案设计
校园网安全现状
目前,校园网在学校的办公系统中起着重要作用,合理的使用不仅能促进各院校的现代化教学改革、提高教学质量、改善教学环境,还将会极大的提高教育行业整体的工作效率和教育质量,而前提就是校园网必须是稳定的、安全的和可靠的。因此,校园网安全方案的设计尤为重要。。
校园网安全需求分析
校园网总体上分为校园内网和校园外网。校园内网主要包括教学局域网、图书馆局域网、办公自动化局域网等。校园外网主要指学校提供对外服务的服务器群、的接入以及远程移动办公用户的接入等。但具体还要根据不同校园网的实际情况来做简要分析。一般情况下,校园网安全主要可以从以下5个方面进行分析:
(1)物理安全。是指保护校园网内计算机设备、网络设备及通信线路,使其免遭自然灾害及其它环境事故(如电磁污染)的破坏。
(2)网络安全。是指校园网安全建设的基础,完善的网络安全防御措施可以解决大多数的校园网安全问题,包括基础网络安全、边界防护、远程接入和全局安全。
(3)主机安全。校园网内,主机的安全问题最为常见,也是其他安全问题源头,主机安全涉及到统一身份认证,主机安全防护体系。通过校园网统一身份认证和校园网主机安全防护体系来全面实现校园网的主机安全目标。
(4)应用安全。校园网的应用安全是最为复杂的部分,涵盖的内容涉及到了业务应用的各个层面。
(5)数据安全。数据是当前高校信息化建设中最宝贵的资源,其重要性已经得到越来越高的重视。校园网的安全建设中,数据安全是一个不可忽视的方面。数据的遗失或损坏对于学校而言,其后果不可想象。
校园网安全功能设计
1. 设计原则
为了建设全方面的、完整的校园网络安全体系结构,综合考虑可实施性、可管理性、可扩展性、综合完备性和系统均衡性等方面,网络安全防御体系在整体设计过程中应遵循以下5项原则:
(1)保密性:防止信息泄露给非授权用户的特性。达到保密性可选择VLAN的划分,并能在VLAN之间进行第三层交换时进行有效的安全控制,以保证系统的安全性;
(2)完整性:防止信息在存储或传输过程中被修改、破坏和丢失的特性。达到完整性采用VPN技术,用它的专用通道进行通信保证了信息的完整性;
(3)可用性:就是易于操作、维护,并便于自动化管理。达到可用性可以利用图形化的管理界面和简洁的操作方式,合理地网络规划策略,提供强大的网络管理功能,使日常的维护和操作变得直观,便捷和高效;
(4)可控性:就是对信息的传播及内容具有控制能力。达到可控性对于网络管理来说,要求采用智能化网络管理软件,并支持虚拟网络功能,对网络用户具有分类控制功能,从而来实现对网络的自动监测和控制;
(5)扩展性:就是便于系统及系统功能的扩展。达到扩展性对选择的网络设备最好是模块化的,便于网络的扩大和更改,其中核心交换机应具有多种模块类型,以满足各种网络类型的接入,所选择的设备都应具有良好的软件再升级能力。
。
2)设备需求
方案主要设备如表11-3所示。
(1)三层交换机的主要功能包括:高背板带宽为所有的端口提供非阻塞性能、灵活完备的安全控制策略、强大的多应用支持能力和完善的QoS策略等。
(2)防火墙的主要功能包括:扩展的状态检测功能、防范入侵及其它(如URL过滤、HTTP透明代理、SMTP代理、分离DNS、NAT功能和审计/报告等)附加功能。
(3)入侵检测系统主要功能包括:能够阻止来自外部或内部的蠕虫、病毒和攻击带来的安全威胁,确保企业信息资产的安全,能够检测各种IM即时通讯软件、P2P下载等网络资源滥用行为,保证重要业务的正常运转,能够高效、全面的事件统计分析;能迅速定位网络故障,提高网络稳定运行时间。
(4)VPN的主要功能包括:严格的身份认证、权限管理、细粒度控制、传输加密和终端安全检查等机制保障移动用户SSL安全接入可实现用户身份和PC硬件信息的对应;通过人机捆绑可以为远程用户分配内部IP地址;真正实现远程局域网可以为远程移动用户分配内部服务器地址;真正实现移动办公通过证书管理器为用户生成证书、私钥,可通过邮件通知用户自己到证书管理器上下载软件安装包和配置文件,用户只需在本地安装就可实现快速部署。
校园网安全模块详细设计
1. 交换模块安全设计与实施
为了更加安全,减小广播风暴,VLAN技术在网络中得到大量应用,但同时网络访问站点也不断增加,而路由器的接口数目有限,二层交换机又不具备路由功能。基于这种情况,三层交换机便应运而生,三层交换机弥补了路由器和二层交换机在某些方面的不足,它可以通过