文章內(nèi)容

實(shí)名認(rèn)證解IP地址沖突和網(wǎng)絡(luò)安全之困(1)

發(fā)布時(shí)間: 2012/9/15 15:27:50

網(wǎng)絡(luò)安全實(shí)例之背景分析

在沒實(shí)施實(shí)名認(rèn)證之前，校園網(wǎng)的用戶(包括單位用戶和家庭用戶)上網(wǎng)都是固定的IP地址。但是也可以說是不固定的，因?yàn)槲覀儗W(xué)院把每個(gè)部門和每棟家屬樓細(xì)化了VLAN，在這個(gè)VLAN 中一般IP 地址劃分給這個(gè)VLAN。

所以有的用戶知道這種情況后，科室或者家里增加了電腦，就能猜到IP地址，如果和別人的發(fā)生了沖突，那么會(huì)造成搶網(wǎng)的事件，而且不便于網(wǎng)絡(luò)中心的工作人員管理網(wǎng)絡(luò)。對(duì)于網(wǎng)絡(luò)安全也存在很大的隱患，如果用戶中毒或者在網(wǎng)上發(fā)布影響學(xué)校或者國家的帖子，可能找不到本人。

正是由于這些不利的因素，學(xué)校準(zhǔn)備實(shí)施校園網(wǎng)擴(kuò)建工程的實(shí)名認(rèn)證。

網(wǎng)絡(luò)安全實(shí)例之方案介紹

“學(xué)院校園網(wǎng)項(xiàng)目”是校園網(wǎng)工程的一部分，包括教師宿舍、教學(xué)區(qū)、綜合樓和老教學(xué)區(qū)的樓棟匯聚、樓層接入網(wǎng)絡(luò)交換設(shè)備與集成、管理系統(tǒng)和認(rèn)證計(jì)費(fèi)系統(tǒng)。項(xiàng)目完成后將為整個(gè)校園提供一個(gè)高效、穩(wěn)定的網(wǎng)絡(luò)通信平臺(tái)。對(duì)校園網(wǎng)的整體設(shè)計(jì)要求實(shí)現(xiàn)百兆到桌面，主干雙鏈路千兆到樓宇匯聚，并保證子網(wǎng)的每個(gè)信息點(diǎn)有802.1X認(rèn)證的交換機(jī)端口。同時(shí)，還要保證在接入層實(shí)現(xiàn)安全控制接入。

網(wǎng)絡(luò)安全實(shí)例之實(shí)施要求

軟件上需要能夠提供對(duì)學(xué)生上網(wǎng)的管理，如用戶合法性的驗(yàn)證，IP、MAC的綁定，帳號(hào)的分配及管理；日常運(yùn)營(yíng)所需要的收費(fèi)、計(jì)費(fèi)服務(wù)；學(xué)生自助服務(wù)系統(tǒng)和設(shè)備管理。

交換機(jī)方面需要能夠?yàn)榻處熕奚帷⒔虒W(xué)區(qū)、綜合樓和老教學(xué)區(qū)提供穩(wěn)定、快速的接入服務(wù)，匯聚交換機(jī)能夠提供VLAN劃分和三層交換，接入需要支持802.1X以保證運(yùn)營(yíng)的實(shí)施。

學(xué)院校園網(wǎng)拓?fù)鋱D如圖1。

實(shí)名認(rèn)證解IP地址沖突和網(wǎng)絡(luò)安全之困

圖１學(xué)院校園網(wǎng)拓?fù)?/p>

網(wǎng)絡(luò)安全實(shí)例之網(wǎng)絡(luò)拓?fù)湔f明

出口使用某廠商的RSR50-40路由器作為出口設(shè)備與移動(dòng)網(wǎng)和教育網(wǎng)相連。

核心層采用兩臺(tái)RG-S8606核心交換機(jī)，負(fù)責(zé)整個(gè)網(wǎng)絡(luò)的數(shù)據(jù)交換。匯聚層是千兆交換機(jī)S3760-12SFP/GT，千兆光纖連接核心交換機(jī)及每層樓的接入交換機(jī)。每棟樓的小匯聚使用的是S2126G，同時(shí)也可提供接入服務(wù)，使用雙絞線與接入交換機(jī)S2026F互聯(lián)。

網(wǎng)絡(luò)安全實(shí)例之方案實(shí)施

首先需要安裝SAM 服務(wù)器，學(xué)院選用的是RG-SAM 2.x企業(yè)版,擁有2000用戶。

其次是安全管理規(guī)劃，系統(tǒng)使用W i n d o w s 2 0 0 3 Server+SP2，并在相應(yīng)網(wǎng)站下載補(bǔ)丁程序升級(jí)，并建議客戶
預(yù)裝殺毒程序以保障機(jī)器的安全。

同時(shí)在交換機(jī)上通過ACL做服務(wù)器網(wǎng)段和用戶網(wǎng)段的隔離，并進(jìn)行端口過濾，只允許服務(wù)器進(jìn)行所需端口通過。

a) 8080.TCP端口.http訪問端口  
b) 8443.TCP端口,https訪問端口  
c) 1812.UDP端口.默認(rèn)的認(rèn)證報(bào)文接收端口  
d) 1813.UDP端口.默認(rèn)的記帳報(bào)文接收端口  
e) 1433.TCP端口.SQL SERVER的默認(rèn)監(jiān)聽端口  
f) 1434.UDP端口.SQL SERVER的默認(rèn)監(jiān)聽端口.  
g) 8009.TCP端口.ajp端口  
h) 1099.TCP端口.jnp端口  
i) 1098.TCP端口.rmi端口  
j) 8090.TCP端口.JBossMQ OIL service端口  
k) 8092.TCP端口.JBossMQ OIL2 service端口  
l) 8093.TCP端口.JBossMQ UIL service端口  
m 4444.TCP端口.RMIOBJECTPort  
n) 4445.TCP端口.ServerBindPort  
o) 1162.UDP端口.JBoss snmp agent端口.