高校校园网网络安全系统设计方案——以博文学院校园网为例

郭宝军

（兰州交通大学博文学院，甘肃兰州，730101）

1 网络安全方案设计概述

（1）设计和保证内网的安全：为了保证学院网络的安全，首先就要保证内部网络的安全，它主要是实现内部网络的安全防范。其中包括有效阻止内部人员的非法访问，控制和处理网内的病毒传播及对内网的攻击等。（2）设计和保证接入网络的安全：它主要是实现我们接入的网络要安全，另外一些不是校园网的用户。例如远程用户，出差在外的校园用户及非本校园网内之用户可以通过Interent来访问我院校内的网络资源。（3）设计和保证各区的安全：根据设计思想划分的个相关区域的网络安全。我们学院的校园网被分为教学楼办公区、网络数据中心区、广域网连接区，学生接入区等，它主要是实现对各个划分的安全区域进行安全防范。根据不同区域的安全要求来设计出不同的策略，保证每个区域的安全。（4）设计和保证核心数据区安全：它主要是重点保护和重点防御我院的中心数据区域，也就是对核心数据和存储他们的区域进行安全设计。（5）设计和监管上网行为：对所有内网中的上网用户行为监控。它主要是实现对校园网的安全管理，通过对内网用户的上网行为进行监控，可以发现导致网络被攻击或者入侵的源头，就可以对严重占用带宽的行为和非法访问进行控制和处理。

2 校园网网络安全系统设计与实现

出口和核心部分的两台路由器、两台防火墙、以及两台核心交换机组成“日”字形双平面冗余架构，设备之间均以千兆光口互联。A、B业务之间通过双平面隔离，同时可通过配置实现冗余备份。

网络出口以两台SR6604高性能路由器作为网关，进行地址转换，路由分发，VPN接入等功能，两台路由器可实现双归属冗余备份。

防火墙部署在出口路由器与核心交换机之间，工作在透明模式，专门负责网络安全过滤，两台防火墙组成双机系统，同步保护两条链路上的数据安全。

两台核心交换机之间通过光口连接组成双机系统，支持IRF2智能弹性虚拟化技术。双机双上行到两台防火墙。S75E系列交换机支持丰富的扩展接口卡和业务卡。方便我们以后对网络进行进一步扩展。

网管平台直接连接在核心交换机侧，在提供网络网络管理，设备管理，业务管理的同时。为内网接入用户提供了安全准入服务，从最前端保障了网络安全接入。同时，认证接入系统支持详尽的用户行为审计功能，支持实名制的用户行为审计。

3 校园网可靠性网络系统设计

为了提高可靠性，我们采用分布式体系结构。因为在分布式体系结构中，一般的设备都可以通过增加处理板来提高整体效果和性能。更主要的是我们能将不同功能分配在不同的处理板中。

采用实时热备份技术，要依靠系统软硬件，同样的要是核心部件发生了故障，再软件支持下可自动启动备份部件。实现主备之间的倒换。为了保障网络系统正常，不造成影响，当运行中发生设备故障时我们可以启用备份系统。方案中设计的核心交换机如果配置冗余引擎，那核心层就可提供不间断运行，为整个局域网的核心层做好保障。

采用关键部件的冗余，除了核心交换机，我们也可以把配件做备份并加以配置。即使系统发生故障，至少不至于所有功能全部失效。为此，在建设中让我院的核心交换机都要采用双电源、双引擎、双风扇等。

4 服务器系统安全设计与实现

4.1 RAID技术及应用

把多块独立的硬盘按不同的方式组合起来形成一个硬盘组，我们就称之为RAID，也称廉价磁盘冗余阵列。它是一种能提供更高的存储性能和数据备份的技术，组成磁盘阵列的不同方式被称之为RAID级别（RAID Levels）。数据备份用于当用户数据损坏时恢复数据。也就是一旦用户数据损坏，损坏的备份信息的数据恢复。保障用户数据的安全性。总之，就是对RAID的操作我们的操作方法和对单个硬盘的一样。

起初RAID的主要是为了节约成本，能使小容量硬盘的价格和低于一块大容量的硬盘。而性能能实现一致。但现在RAID在这方面的作用已经很不明显，只能发挥出多块硬盘的优势，能比单硬盘的速度快一点，吞吐量大一点。

4.2 双机热备技术

双机热备技术是应用在现代数据服务器上的一项技术，这种技术就是一种冗错技术，要使服务器的数据安全可靠，能够提高数据库数据的安全性，就可以采用双机热备技术，这样就可以让数据永不丢失。双机热备份软件MSCS能提高计算机系统可靠性，因此我们将MSCS 内置在Windows 2003 服务器版中，来实现客户对计算机系统及应用可靠性的需求。双机热备技术的工作技术基础是利用私有LAN监控主机状态。而HA环境中的每个节点都同时监测，发生故障或一个数据库系统不能正常工作。我们预先设置出的备用服务器将能接管这台主机上所有应用，前端用户就没有任何影响。