小型校园网改进思路探究

2010-08-07吕宏强

网络安全技术与应用 2010年6期

吕宏强

中共宝鸡市委党校陕西 721001

0 前言

现有的校园网是在前几年ADSL上网的基础上扩充为光纤而来的，用的网络设备都是不可网管的，性能较差，安全性较低。一般都是用宽带路由作为网络的网关、DHCP服务器和 DNS服务器。内网服务器通过交换机与客户机相连，处于一个网段，为了方便管理在内网不配置 DNS服务器，访问内网WEB服务器是通过IP地址来完成，也很少搭建FTP服务。

1 改进思路一：配置单独的DHCP和DNS服务器减轻路由的负担

方法相对很简单，需要指定相应的网段、IP地址池、网关、DNS，或者为特殊主机保留的IP地址。以图1为例，网段为192.168.1.0，网关为192.168.1.254，首选DNS为192.168.1.252，IP地址池以网络中的主机数为依据，比所有的主机总数多就行，如最多100台主机时可以指定为192.168.1.1至192.168.1.100。

图1 改进思路一网络拓扑图

由于传统方案中路由承担的服务角色太多影响网络的效率和安全性，为此，可以将路由所承担的 DHCP和 DNS服务分离出来，由专门的服务器来完成，这一方面可以减轻路由的承担；另一方面也便于对服务器的集中管理，便于以后网络的升级。

1.1 网络拓扑图

将宽带路由的DHCP和DNS服务分离出来，用一个服务器来承担，以减轻其通信负担。配置的DHCP服务可以实现内网的IP地址自动获取，配置的DNS服务可以实现内网HTTP服务的域名访问和内网访问外网 WEB站点。配置的FTP服务可以实现内网的各种教学资源的共享使用(如图1)。

1.2 服务配置

DHCP配置：用中档客户机就可以实现DHCP服务的需求，操作系统最好是 Windows Server 2003。DHCP的配置

DNS配置：DNS服务对硬件的要求不是很高，可以和DHCP服务配置在一台服务器机上。对于DNS的配置可以创建WEB服务器(WWW.AAA.COM=192.168.1.253)和 FTP服务器(FTP.AAA.COM=192.168.1.253)的正向作用域和反向作用域，配置DNS的转发器，指向ISP提供的DNS服务器(如陕西电信可指定 61.134.1.4)。这样当内网用户访问时，通过DNS解析后，如果是内网就会通过IP地址直接访问，如果是外网就会通过网关去访问外网。同时 DNS配置后就启动了DNS缓存服务功能，在工作过程中能够大减少内网对外网的访问(主要是DNS解析的访问)，从而提高通信效率。

WEB/FTP服务配置：首先，在DNS服务器上创建WEB和FTP所对应的正向作用域(由域名到IP的解析)和反向作用域(由 IP到域名的解析)；其次，在服务器上安装 Windows Server 2003操作系统，并安装IIS服务。创建基于主机头的虚拟WEB站点和FTP站点，指定相应的访问目录和访问权限。完成后就能够在内网上通过域名访问 WEB(URL=HTTP://WWW.AAA.COM)和FTP(URL=FTP://FTP. AAA.COM)服务。

安全防护措施配置：在DHCP/DNS服务器和WEB/FTP服务器上安装桌面防火墙和杀毒软件，以提高服务器的安全防护能力。

1.3 优点

内网的DHCP和DNS不再由路由来承担，而是由专门的服务器来承担，这样有利于减轻路由的负担，同时内网的WEB和FTP两种服务均可以采用域名来访问，方便了用户对内网的访问。

1.4 缺点

安全性不高，内网服务器和客户机还是在同一网段，安全性方面和传统的方案没有多大提高。同时桌面防病毒软件防护能力有限，不能起到有效的防护，特别是对于基于局域网传播的病毒(如ARP)防护力度很差。

2 改进思路二：采用代理服务器，增加内网的安全

改进思路一虽然将路由的部分服务角色分离出来，但是对于网络的安全防护没有改进多少，不便于安装基于网络访问的防火墙，内网服务器也无法对外发布。改进思路二在思路一的基础上增加了堡垒主机，起到内外网络隔离的作用，对网络的安全具有一定的作用。下面对改进思路二作简单的说明。

2.1 网络拓扑图

代理服务器采用双网卡的堡垒主机来增加网络的安全性。堡垒主机的作用主要有：Internet防火墙、Web缓存服务器以及内网服务器发布等。双网卡的堡垒主机一个网卡与路由相连，IP地址与路由的LAN口IP在同一网段，如图可设为192.168.1.253；另一网卡与内网交换机相连，IP地址与内网IP在同一网段，如图可设为192.168.2.254，此IP也是内网用户的网关IP。此思路内外网通过堡垒主机进行了隔离，同时 DHCP/DNS由内网的专门服务器承担也减轻了路由的负担，这样不仅提高了网络的效率和安全性，也便于维护管理(如图 2)。

图2 改进思路二网络拓扑图

2.2 服务配置

DHCP/DNS配置：同思路一，网段为192.168.2.0，网关为192.168.2.254，DNS为192.168.2.252。

WEB/FTP配置：同思路一，WEB服务器(WWW.AAA.COM=192.168.2.253)和FTP服务器(FTP.AAA.COM=192.168.2.253)。

防火墙配置：在堡垒主机上安装防火墙软件ISA2004，并设置相应的网络规则和防火墙策略，以达到对内网的访问控制和安全防护作用。

2.3 优点

①安全性较高：通过堡垒主机使得内网和外网得到有效的隔离，保障了内网的安全，也可以避免内网中的客户机受到外网的攻击。

②网络效率较高：堡垒主机具有 Web缓存服务器的作用，可以大大提高内网访问外网的效率。

2.4 缺点

①改进成本较大和管理难度较高：此思路要增添堡垒主机和ISA2004软件，同时对网络管需要较专业的网管员来完成。

②安全性不高：内网服务器和内网用户同处于一个网段，服务器的安全不能得到很好的保障，安全性不高。

3 改进思路三：构建DMZ区，增加内网的安全性

改进思路二采用双网卡的堡垒主机作为代理服务器，这有利于网络安全的提高，但是对于内网的WEB/FTP服务器与用户在同一网段，不便于服务的安全管理，为此思路三在双网卡的基础上采用三网卡的堡垒主机，将内网的WEB/FTP服务器规划在DMZ区，将内网、外网和服务器网段分离开来，达到很好的防护效果。下面对改进思路三作简单的说明。

3.1 网络拓扑图

采用三网卡的堡垒主机来增加网络的安全性。堡垒主机的连接情况如图3所示：一个网卡连接路由，IP地址可设为192.168.1.253；另一网卡与内网交换机相连，IP地址可设为192.168.2.254，此IP也是内网用户的网关IP；第三个网卡与DMZ区相连，IP地址可设为192.168.3.254，此IP是DMZ区服务器的外网网关IP。在堡垒主机上安装ISA2004网关防火墙。对于网络设备交换机和路由器，可采用专业的产品(如思科、华为)，这更能增加网络的安全性和可管理性。