校园网络管理方案设计.doc

_摘要校园网是为学校师生提供教学、科研和综合信息服务的宽带多媒体网络。首先，校园网应为学校教学、科研提供先进的信息化教学环境。这就要求：校园网是一个宽带 、具有交互功能和专业性很强的局域网络。多媒体教学软件开发平台、多媒体演示教室、教师备课系统、电子阅览室以及教学、考试资料库等，都可以在该网络上运行。如果一所学校包括多个专业学科(或多个系)，也可以形成多个局域网络，并通过有线或无线方式连接起来。其次，校园网应具有教务、行政和总务管理功能。关键词：校园网;网络安全;管理SummaryCampus network is to provide teachers and students of teaching, research and comprehensive information service for broadband multimedia network. First, the campus network should be teaching and research to provide advanced information technology teaching environment. This requires: Campus Network is a broadband, interactive features and highly professional local area network. Multimedia teaching software development platform, multimedia presentation classrooms, teacher preparation system, electronic reading and teaching, testing databases, can be run on the network. If a school includes a number of professional disciplines (or more lines), can also form a number of local area network via a wired or wireless link. Second, Campus Network should have the academic, administrative and general management functions.Keywords: Campus Network，Network Security，Management目录1前言31.1概述31.2校园网建设的必要性41.3应用特点52. 校园网管理52.1校园网管理目的52.2校园网管理相关内容62.3网络管理73.网络安全策略93.1校园内部网络安全与病毒防范93.1.1配置防火墙93.1.2采用入侵检测系统103.1.3 web，email，bbs的安全监测系统103.1.4漏洞扫描系统103.1.5 ip盗用问题103.1.6加强学生法制教育113.2校园网服务器安全113.3网络安全策略配置123.3.1安全接入和配置123.3.2拒绝服务的防止133.3.3访问控制133.4 校园网基于vlan安全部署133.5电源系统14总结15参考文献15- 1 -_前言1.1 概述在当今信息产业蓬勃发展的今天，信息已经成为一种关键性的战略资源，计算机技术在人们的生活中已经起到了越来越重要的作用。校园作为知识基地和人才基地，它理应成为代表信息产业应用最成功的典范。一所成功的学校不仅在学术上、教育上要力争上游，更应在管理上上一个台阶。利用各种成熟的技术带动学校各单位、各部门的电脑化管理，通过校园信息网，将各处的电脑联成一个数据网，实现各类数据的统一性和规范性；教职员工和学生可共享各种信息，极易进行各种信息的教流、经验的分享、讨论、消息的发布、工作流的自动实现和协同工作等，从而有效地提高学校的现代化管理水平和教学质量，增强学生学习的积极性、主动性，为信息时代培育出高素质的人才。当前由于网络、数据库及与之相关的应用技术不断发展，尤其国际互联网（Internet）和内部网（Intranet）技术的广泛应用，世界正在迈入网络中心计算（NetworkCentricComputing）时代。人们传统的交互和工作模式正在改变。处在不同地理位置的人们可以共享数据，使用群件技术（GroupWare）进而能够协同工作；多媒体数据的存储、传输、应用技术的不断成熟；以上这些计算机技术的发展对学校传统的计算机业务系统产生影响，使用户能更方便。更直观的使用系统，也使系统的性能更完善、功能更强大。校园网建设的目标简而言之是将校园内各种不同应用的信息资源通过高性能的网络设备相互连接起来，形成校园园区内部的Intranet系统，对外通过路由设备接入广域网。现在有很多学校都已建成了校园网，它促进了我们教育教学的改革，但同时也为计算机教师带来了沉重的负担。本次课程设计在管理、设置、软件维护几个方面阐述了对于校园网如何进行管理与维护。通过此次设计来加深我们对校园网络基本的管理与维护的了解，对于校园网建设中所用的基本设备如路由器，交换机，了解它们在校园网中的使用情况，及基本的配置过程。常用的病毒防治软件要掌握其具有的功能，及如何才能在校园网中起到预想的结果，还有防火墙的基本配置信息。1.2 校园网建设的必要性学校采用最先进的信息和传播技术是一个有决定性意义的问题,而且十分重要的是,学校应该处于影响整个社会深刻变革的中心地位。随着计算机多媒体和网络技术的不断发展与普及，校园网信息系统的建设，是非常必要的，也是可行的。主要表现在：1当前校园网信息系统已经发展到了与校际互联、国际互联、静态资源共享、动态信息发布、远程教学和协作工作的阶段，发展对学校教育现代化的建设提出了越来越高的要求。2教育信息量的不断增多,使各级各类学校、家庭和教育管理部门对教育信息计算机管理和教育信息服务的要求越来越强烈。个人是否具有获得信息和处理信息的能力对于能否成功进入职业界和融入社会及文化环境都是个决定性的因素,因此学校应该培养所有学生具有驾驭和掌握这种技术的能力。另一方面,信息技术在作为青少年教育工具的同时也向青少年提供了前所未有的机会。新技术提供的机会以及它们在教学方面具有的优势都是很多的,特别是计算机和多媒体系统的使用有助于个人化的道路,每个学生在个人的学习道路上都可以按照自己的速度发展。3我国各级教育研究部门、软件开发单位、教学设备供应商和各级学校不断开发提供了各种在网络上运行的软件及多媒体系统，并且越来越形象化、实用化，迫切需要网络环境。4现代教育改革的需要。在校园网中将计算机引入教学各个环节，从而引起了教学方法，教学手段，教学工具的重大革新。对提高教学质量，推动我国教育现代化的发展起着不可估量的作用。网络又为学校的管理者和老师提供了获取资源、协同工作的有效途径。毫无疑问,校园网是学校提高管理水平、工作效率、改善教学质量的有力手段,是解决信息时代教育问题的基本工具。5随着经济发展，我国各级政府对教育的投入不断加大；计算机技术的飞速发展，使相应产品价格不断下降；同时人们的认识水平和经济实力不断提高。大量计算机进入学校和家庭，使得计算机用于教育信息管理和信息服务是完全可行的。1.3 应用特点随着现代化教学活动的开展和与国内外教学机构交往的增多，对通过Internet/Intranet网络进行信息交流的需求越来越迫切，为促进教学、方便管理和进一步发挥学生的创造力，校园网络建设成为现代教育机构的必然选择。校园网大都属于中小型系统，以园区局域网为主，一个基本的校园网具有以下的特点： 1. 高速的局域网连接-校园网的核心为面向校园内部师生的网络，因此园区局域网是该系统的建设重点，由于参与网络应用的师生数量众多，而且信息中包含大量多媒体信息，故大容量、高速率的数据传输是网络的一项基本要求； 2. 信息结构多样化-校园网应用分为电子教学（多媒体教室、电子图书馆等）、办公管理和远程通讯（远程教学、互联网接入）三大部分内容：电子教学包含大量多媒体信息，办公管理以数据库为主，远程通讯则多为WWW方式，因此数据成分复杂，不同类型数据对网络传输有不同的质量需求； 3. 安全可靠-校园网中同样有大量关于教学和档案管理的重要数据，不论是被损坏、丢失还是被窃取，都将带来极大的损失； 4. 操作方便，易于管理-校园网面向不同知识层次的教师、学生和办公人员，应用和管理应简便易行，界面友好，不宜太过专业化； 5. 经济实用-学校对网络建设的投入有限，因此要求建成的网络应经济实用，具备很高的性能价格比。 2. 校园网管理2.1校园网管理目的校园网管理的主要目的是保障网络运行的品质，如维持网络传送速率、降低传送错误率、确保网络安全等。所以校园网系统管理的技术人员可借网络管理工具或本身的技术经验实施网络管理，可分为下列几项： 1、系统管理随时掌握网络内任何设备的增减与变动，管理所有网络设备的设置参数。当故障发生时，管理人员可以重设或改变网络设备的参数，维持网络的正常运作。 2、故障管理为确保网络系统的高稳定性，在网络出现问题时，必须及时察觉问题的所在。它包含所有节点动作状态、故障记录的追踪与检查及平常对各种通讯协议的测试。 3、效率管理在于评估网络系统的运作，统计网络资源的运用及各种通讯协议的传输量等，更可提供未来网络提升或更新规划的依据。 4、安全管理为防范不被授权的用户擅自使用网络资源，以及用户蓄意破坏网络系统的安全，要随时做好安全措施，如合法的设备存取控制与加密等。 5、计费管理了解网络使用时间，能针对各个局部网络做使用统计。一则可作为使用网络计费的依据，更可作为日后网络升级或更新规划的参考。 6、信息管理网络上的信息分成两部分，一是由管理员放置的信息，它们的品质一般较高；另一部分是由用户放置的，可能会有一些问题，要对这部分信息进行管理。 2.2校园网管理相关内容校园网络拓扑图布线系统的日常维护 做好布线系统的日常维护工作，确保底层网络连接完好，是计算机网络正常、高效运行的基础。目前，城域网和广域网之间的互连除了微波、卫星通道等无线连接方式外,室外光缆铺设仍然是唯一的有线连接途径。对布线系统的测试和维护一般借助于双绞线测试仪和规程分析仪、信道测试仪等，智能化分析仪器的使用提高了布线的管理水平和管理效率，可以更好地保证计算机网络的正常运行。 关键设备的管理 无论何种规模的计算机网络，关键设备的管理都是一项相当重要的工作。这是因为,网络中关键设备的任何故障都有可能造成网络瘫痪，给用户带来无法弥补的损失。校园网中的关键设备一般包括网络的主干交换机、中心路由器以及关键服务器。对这些关键网络设备的管理除了通过网管软件实时监测其工作状态外，更要做好它们的备份工作。对主干交换机的备份，目前似乎很少有厂商能提供比较系统的解决方案，因而只有靠网络管理员在日常管理中加强对主干交换机的性能和工作状态的监测，以维护网络主干交换机的正常工作。 IP地址的管理 在TCP/IP协议已经成为事实上的工业标准的今天，TCP/IP网络主的任何一台工作站都需要有一个合法的IP地址才能够正常工作。在构建:规划计算机网络时，应做好机构内部各部门对上网业务的需求调查和统计，确定计算机网络规模。IP地址管理得当与否，是计算机网络能否保持高效运行的关键。如果IP地址的管理手段不完善，网络很容易出现IP地址冲突，就会导致合法的IP地址用户不能正常享用网络资源，影响网络正常运行，甚至会对某些关键数据造成损坏。 其他管理工作 当然，对应于不同的网络环境，还有很多管理工作要做。随着内部网和Internet的相互连通，网络管理员除了要维护各种数据的可靠性外，还要保证机密数据的安全。因此,计算机网络的安全管理(如防火墙的设置)又成为网络管理中一个非常重要的方面。2.3网络管理网络管理就是指监督、组织和控制网络通信服务以及信息处理所必需的各种活动的总称。其目标是确保计算机网络的持续正常运行，并在计算机网络运行出现异常时能及时响应和排除故障。网络管理的内容(1）网络故障管理；(2) 网络配置管理；(3) 网络性能管理；(4) 网络计费管理；(5) 网络安全管理；(6)容错管理；(7)网络地址管理(8)软件管理；(9)文档管理；(10)网络资源管理网络管理的手段在校园网络管理方面，为了便于校园网络管理人员的管理及维护，我们选购Quidview网络管理软件。Quidview网络管理软件基于灵活的组件化结构，用户可以根据自己的管理需要和网络情况灵活选择自己需要的组件，真正实现“按需建构”。Quidview网络管理软件采用组件化结构设计，通过安装不同的业务组件实现了设备管理、VPN监视与部署、软件升级管理、配置文件管理、告警和性能管理等功能。支持多种操作系统平台，并能够与多种通用网管平台集成，实现从设备级到网络级全方位的网络管理。1.网络集中监视Quidview网络管理软件提供统一拓扑发现功能，实现全网监控，可以实时监控所有设备的运行状况，并根据网络运行环境变化提供合适的方式对网络参数进行配置修改，保证网络以最优性能正常运行。2.故障管理故障管理主要功能是对全网设备的告警信息和运行信息进行实时监控，查询和统计设备的告警信息。3. 性能监控Quidview网管系统提供丰富的性能管理功能，同时以直观的方式显示给用户。通过性能任务的配置，可自动获得网络的各种当前性能数据，并支持设置性能的门限，当性能超过门限时，可以以告警的方式通知网管系统。通过统计不同线路、不同资源的利用情况，为优化或扩充网络提供依据。 4.服务器监视管理服务器是企业IP架构中的重要组成部分，通过Quidview，可实现服务器与设备的统一管理。5.设备配置文件管理当网络规模较大时，网络管理员的配置文件管理工作将十分繁重，如果没有好的配置文件维护工具，网络管理员就只能手动备份配置文件。这样就给网络管理员管理、维护网络带来一定的困难。Quidview网络配置中心支持对设备配置文件的集中管理，包括配置文件的备份、恢复以及批量更新等操作，同时还实现了配置文件的基线化管理，可以对配置文件的变化进行比较跟踪。6. 设备软件升级管理Quidview提供完善的设备软件备份升级控制机制。使用Quidview，管理员可以方便地查询设备上运行的软件版本，并利用升级分析功能来确定设备运行软件是否需要升级。当升级软件版本时，可以利用Quidview集中备份设备运行软件，然后进行批量升级。升级之后，可以使用Quidview进行升级结果验证，确保升级操作万无一失。7.集群管理针对大量二层交换机设备的应用环境，Quidview网络管理软件提供集群管理功能，通过一个指定公网IP的设备（称作命令交换机）对网络进行管理。8. 堆叠管理Quidview网络管理软件通过堆叠管理，可以集中管理较大量的低端设备，并且为用户提供统一的网管界面，方便用户对大量设备的统一管理维护。9. 故障定位与地址反查针对最为常见的端口故障，Quidview网络管理软件提供了便捷的定位检测工具路径跟踪和端口环回测试；当用户报告网络端口使用异常时，网络管理员可以通过网管对指定用户端口做环回测试，直接定位端口故障。10. RMON管理RMON管理根据RFC1757定义的标准RMON-MIB及华为3Com自定义告警扩展MIB对主机设备进行远程监视管理。3. 网络安全策略3.1校园内部网络安全与病毒防范在网络环境下，病毒传播扩散快，仅用单机防病毒产品已经很难彻底清除网络病毒，必须有适合于局域网的全方位防病毒产品。校园网络是内部局域网，就需要一个基于服务器操作系统平台的防病毒软件和针对各种桌面操作系统的防病毒软件。如果与互联网相连，就需要网关的防病毒软件，加强上网计算机的安全。如果在网络内部使用电子邮件进行信息交换，还需要一套基于邮件服务器平台的邮件防病毒软件，识别出隐藏在电子邮件和附件中的病毒。所以最好使用全方位的防病毒产品，针对网络中所有可能的病毒攻击点设置对应的防病毒软件，通过全方位、多层次的防病毒系统的配置，通过定期或不定期的自动升级，使网络免受病毒的侵袭。 3.1.1配置防火墙利用防火墙，在网络通讯时执行一种访问控制尺度，允许防火墙同意访问的人与数据进入自己的内部网络，同时将不允许的用户与数据拒之门外，最大限度地阻止网络中的黑客来访问自己的网络，防止他们随意更改、移动甚至删除网络上的重要信息。防火墙是一种行之有效且应用广泛的网络安全机制，防止internet上的不安全因素蔓延到局域网内部，所以，防火墙是网络安全的重要一环。3.1.2采用入侵检测系统入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。在入侵检测系统中利用审计记录，入侵检测系统能够识别出任何不希望有的活动，从而达到限制这些活动，以保护系统的安全。在校园网络中采用入侵检测技术，最好采用混合入侵检测，在网络中同时采用基于网络和基于主机的入侵检测系统，则会构架成一套完整立体的主动防御体系。3.1.3 web，email，bbs的安全监测系统在网络的www服务器、email服务器等中使用网络安全监测系统，实时跟踪、监视网络，截获internet网上传输的内容，并将其还原成完整的www、email、Ftp、telnet应用的内容，建立保存相应记录的数据库。及时发现在网络上传输的非法内容，及时采取有效措施。3.1.4漏洞扫描系统解决网络层安全问题，首先要清楚网络中存在哪些安全隐患、脆弱点。面对大型网络的复杂性和不断变化的情况，仅仅依靠一个人的技术和经验寻找安全漏洞、做出评估，显然是不现实的。解决的方案是，寻找一种能查找网络安全漏洞、评估并提出修改建议的网络安全扫描工具，利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。在要求安全程度不高的情况下，可以利用各种黑客工具，对网络模拟攻击从而暴露出网络的漏洞。3.1.5 ip盗用问题的解决在路由器上捆绑ip和mac地址。当某个ip通过路由器访问internet时，路由器要检查发出这个ip广播包的工作站的mac是否与路由器上的mac地址表相符，如果相符就放行。否则不允许通过路由器，同时给发出这个ip广播包的工作站返回一个警告信息。3.1.6加强学生的法制教育和德育教育学生机房管理时感慨地说：“学生的破坏能力是无穷无尽的”，我觉得这句话应该改成“学生的创新能力是无穷无尽的”，问题关键在于我们如何去正确引导他们。作为教师我们在教授网络知识的同时，应该加强学生的法制教育和德育教育，让学生了解我国在计算机应用方面的相应法规，做一个遵纪守法的好青年。3.2校园网服务器的安全校园网服务器的安全一般可分为硬件系统的安全与软件系统的安全。1、硬件系统的安全防护放置服务器的机房应切实做好防雷、防火、防水、防电、防高温等工作。为保证服务器24小时处于工作状态还应配备不间断电源。同时管理员要管理好机房的和机柜的钥匙，不要让无关人员随意进入机房，防止人为的蓄意破坏和盗窃事件发生。2、软件系统的安全防护同硬件系统相比，服务器软件系统的安全问题是最多的，也是最琐碎的。一般来说可以从以下几方面着手：、建立服务器档案对于服务器内部的硬件型号、软件版本、维修记录等进行记录，以便今后出现故障时能进行对照。、安装补丁程序目前大部分校园网服务器使用的是微软的windows2003操作系统，由于使用的人多，bug也不断被发现，微软的操作系统成了不少黑客攻击的对象。所以装好Windows 2003系统后一定要升级至service pack 2，管理员还要经常关注微软公司的网站及时下载最新的系统补丁打到服务器中。 、安装防火墙与杀毒软件在校园网中，重要的数据往往保存在整个中心结点的服务器上，这也是病毒攻击的首要目标。安装病毒防火墙和网络防火墙，定期对病毒库进行更新，按计划查毒杀毒。定期用对服务器开放的端口进行检测，将检测结果和以往备份的端口列表进行比较。用进程检测软件监测服务器所开的进程，并和以往的进程列表作比较。服务器尽可能不要设置文件共享，不要打开写文件的权限，即使开启共享，也应设置相应密码。、加强操作系统权限管理和口令管理打开“计算机管理”，检查用户和组里是否有非法用户，尤其小心管理员权限的非法用户。禁止系统提供的guest用户，因为黑客常用guest进行系统控制，对于administrator则应进行改名操作并设置足够复杂的密码。开启审核策略，修改终端管理端口，以及配置ms-sql，删除危险的存储过程。、监测系统日志管理员要定期查看系统日志记录，及时解决出现的问题，无法解决的问题及时向上级汇报；任何人不得动手删除运行记录数据库中的文档。定期对日志进行备份，并设置防止日志的大小，以免日志文件过大影响系统速度。、定期对服务器进行备份与维护为防止不能预料的系统故障或用户不小心的非法操作，系统管理员需要定期备份服务器上的重要系统文件。比如操作系统盘、用户账号等。文件资料可以用raid方式进行每周备份，重要的资料还应用保存在另外的服务器上或者备份在光盘中。监视服务器上资源的使用情况，删除过期和无用的文件，确保服务器高效运行。任何先进的系统都是为人服务的，因此人永远是决定性的因素，配合先进的技术手段，建立起一整套完善的现代化网络运行、使用、管理规范永远是保证其发挥出最大效益的重要保障。3.3网络安全策略配置3.3.1安全接入和配置安全接入和配置是指在物理(控制台)或逻辑(telnet)端口接入网络基础设施设备前必须通过认证和授权限制，从而为网络基础设施提供安全性。限制远程访问的安全设置方法如下表19安全接入和配置方法访问方式保证网络设备安全的方法备注Console控制接口的访问设置密码和超时限制建议超时限制设成5分钟进入特权exec和设备配置级别的命令行配置Radius来记录logon/logout时间和操作活动；配置至少一个本地账户作应急之用telnet访问采用ACL限制，指定从特定的IP地址来进行telnet访问；配置Radius安全纪录方案；设置超时限制SSH访问激活SSH访问，从而允许操作员从网络的外部环境进行设备安全登陆WEB管理访问取消Web管理功能SNMP访问常规的SNMP访问是用ACL限制从特定IP地址来进行SNMP访问；记录非授权的SNMP访问并禁止非授权的SNMP企图和攻击为增加安全,建议更改缺省的SNMP Commutiy子串设置不同账号通过设置不同的账号的访问权限，提高安全性3.3.2 拒绝服务的防止网络设备拒绝服务攻击的防止主要是防止出现TCP SYN泛滥攻击、Smurf攻击等；网络设备的防TCP SYN的方法主要是配置网络设备TCP SYN临界值，若多于这个临界值，则丢弃多余的TCP SYN数据包；防Smurf攻击主要是配置网络设备不转发ICMP echo请求(directed broadcast)和设置ICMP包临界值，避免成为一个Smurf攻击的转发者、受害者。3.3.3 访问控制1、允许从内网访问internet，端口全开放。2、允许从公网到DMZ（非军事）区的访问请求：WEB服务器只开放80端口，mail服务器只开放25和110端口。3、禁止从公网到内部区的访问请求，端口全关闭。4、允许从内网访问DMZ（非军事）区，端口全开放5、允许从DMZ（非军事）区访问internet，端口全开放6、禁止从DMZ（非军事）区访问内网，端口全关闭。3.4校园网基于vlan的安全部署采用以太交换的校园网络，可以用vlan技术来加强内部网络管理。vlan能够帮助控制流量，提供更高的安全性，使网络设备的变更或移动更加方便。vlan技术的核心是网络分段，根据不同的应用业务以及不同的安全级别，将网络分段并进行隔离，实现相互间的访问控制，以达到限制非法访问的目的。网络分段分为物理分段和逻辑分段两种方式。物理分段192.168.0.1192.168.2.1通常是将网络在物理层和数据段链路层分为若干网段，各网段相互之间无法直接通信。逻辑分段则是将整个系统在网络层上进行分段。例如：对于tcpip网络，可以把网络分成若干ip子网，各子网间必须通过路由器、路由交换机或网关等设备进行连接，利用这些中间设备（含软件、硬件）的安全机制来控制各子网间的访问。实际应用时，通常采取物理分段与逻辑分段相结合的方法。如上图所示，为了提高网络的安全性，应避免将教师和学生处于同一网段，可将教师和学生划分为两个子网vlan。利用网关保证信息的有效过滤，机房处于一个相对安全与过滤型的网络状况下运行。 3.5电源系统为保证网络系统的安全运转及电源发生故障时重要数据的储存,须配置具有高可靠性的UPS电源。总结校园网的网络管理是一个系统性工程，不能仅仅依靠防火墙和其它网络安全技术，而需要仔细考虑系统的安全需求，建立相应的管理制度，并将各种安全技术与管理手段结合在一起，才能生成一个高效、通用、安全的校园网络系统。所以建设校园网时要本着从实际出发，以应用为目的，综观全局、统筹安排。同时对建设好的校园网络我们应加强安全防御意识，建立相应的安全防御体系和管理维护制度。以确保校园网正常安全运行和朝着健康有序方向发展。参考文献1杨云江，“计算机网络管理技术” M.清华大学出版社,2010.32杜威.“计算机网络管理与安全技术”，武汉大学出版社，2008.93黄志晖，"计算机网络管理与维护全攻略"，西安电子科技大学出版社,2007.74 劳动和社会保障部主编，“计算机网络管理员基础知识”，清华大学出版社，2004.613