實(shí)名認(rèn)證解IP地址沖突和網(wǎng)絡(luò)安全之困(1)

發(fā)布時(shí)間: 2012/9/15 15:27:50

網(wǎng)絡(luò)安全實(shí)例之背景分析

在沒(méi)實(shí)施實(shí)名認(rèn)證之前，校園網(wǎng)的用戶(hù)(包括單位用戶(hù)和家庭用戶(hù))上網(wǎng)都是固定的IP地址。但是也可以說(shuō)是不固定的，因?yàn)槲覀儗W(xué)院把每個(gè)部門(mén)和每棟家屬樓細(xì)化了VLAN，在這個(gè)VLAN 中一般IP 地址劃分給這個(gè)VLAN。

所以有的用戶(hù)知道這種情況后，科室或者家里增加了電腦，就能猜到IP地址，如果和別人的發(fā)生了沖突，那么會(huì)造成搶網(wǎng)的事件，而且不便于網(wǎng)絡(luò)中心的工作人員管理網(wǎng)絡(luò)。對(duì)于網(wǎng)絡(luò)安全也存在很大的隱患，如果用戶(hù)中毒或者在網(wǎng)上發(fā)布影響學(xué)�；蛘邍�(guó)家的帖子，可能找不到本人。

正是由于這些不利的因素，學(xué)校準(zhǔn)備實(shí)施校園網(wǎng)擴(kuò)建工程的實(shí)名認(rèn)證。

網(wǎng)絡(luò)安全實(shí)例之方案介紹

“學(xué)院校園網(wǎng)項(xiàng)目”是校園網(wǎng)工程的一部分，包括教師宿舍、教學(xué)區(qū)、綜合樓和老教學(xué)區(qū)的樓棟匯聚、樓層接入網(wǎng)絡(luò)交換設(shè)備與集成、管理系統(tǒng)和認(rèn)證計(jì)費(fèi)系統(tǒng)。項(xiàng)目完成后將為整個(gè)校園提供一個(gè)高效、穩(wěn)定的網(wǎng)絡(luò)通信平臺(tái)。對(duì)校園網(wǎng)的整體設(shè)計(jì)要求實(shí)現(xiàn)百兆到桌面，主干雙鏈路千兆到樓宇匯聚，并保證子網(wǎng)的每個(gè)信息點(diǎn)有802.1X認(rèn)證的交換機(jī)端口。同時(shí)，還要保證在接入層實(shí)現(xiàn)安全控制接入。

網(wǎng)絡(luò)安全實(shí)例之實(shí)施要求

軟件上需要能夠提供對(duì)學(xué)生上網(wǎng)的管理，如用戶(hù)合法性的驗(yàn)證，IP、MAC的綁定，帳號(hào)的分配及管理；日常運(yùn)營(yíng)所需要的收費(fèi)、計(jì)費(fèi)服務(wù)；學(xué)生自助服務(wù)系統(tǒng)和設(shè)備管理。

交換機(jī)方面需要能夠?yàn)榻處熕奚�、教學(xué)區(qū)、綜合樓和老教學(xué)區(qū)提供穩(wěn)定、快速的接入服務(wù)，匯聚交換機(jī)能夠提供VLAN劃分和三層交換，接入需要支持802.1X以保證運(yùn)營(yíng)的實(shí)施。

學(xué)院校園網(wǎng)拓?fù)鋱D如圖1。

實(shí)名認(rèn)證解IP地址沖突和網(wǎng)絡(luò)安全之困

圖１學(xué)院校園網(wǎng)拓?fù)?/p>

網(wǎng)絡(luò)安全實(shí)例之網(wǎng)絡(luò)拓?fù)湔f(shuō)明

出口使用某廠(chǎng)商的RSR50-40路由器作為出口設(shè)備與移動(dòng)網(wǎng)和教育網(wǎng)相連。

核心層采用兩臺(tái)RG-S8606核心交換機(jī)，負(fù)責(zé)整個(gè)網(wǎng)絡(luò)的數(shù)據(jù)交換。匯聚層是千兆交換機(jī)S3760-12SFP/GT，千兆光纖連接核心交換機(jī)及每層樓的接入交換機(jī)。每棟樓的小匯聚使用的是S2126G，同時(shí)也可提供接入服務(wù)，使用雙絞線(xiàn)與接入交換機(jī)S2026F互聯(lián)。

網(wǎng)絡(luò)安全實(shí)例之方案實(shí)施

首先需要安裝SAM 服務(wù)器，學(xué)院選用的是RG-SAM 2.x企業(yè)版,擁有2000用戶(hù)。

其次是安全管理規(guī)劃，系統(tǒng)使用W i n d o w s 2 0 0 3 Server+SP2，并在相應(yīng)網(wǎng)站下載補(bǔ)丁程序升級(jí)，并建議客戶(hù)
預(yù)裝殺毒程序以保障機(jī)器的安全。

同時(shí)在交換機(jī)上通過(guò)ACL做服務(wù)器網(wǎng)段和用戶(hù)網(wǎng)段的隔離，并進(jìn)行端口過(guò)濾，只允許服務(wù)器進(jìn)行所需端口通過(guò)。

a) 8080.TCP端口.http訪(fǎng)問(wèn)端口  
b) 8443.TCP端口,https訪(fǎng)問(wèn)端口  
c) 1812.UDP端口.默認(rèn)的認(rèn)證報(bào)文接收端口  
d) 1813.UDP端口.默認(rèn)的記帳報(bào)文接收端口  
e) 1433.TCP端口.SQL SERVER的默認(rèn)監(jiān)聽(tīng)端口  
f) 1434.UDP端口.SQL SERVER的默認(rèn)監(jiān)聽(tīng)端口.  
g) 8009.TCP端口.ajp端口  
h) 1099.TCP端口.jnp端口  
i) 1098.TCP端口.rmi端口  
j) 8090.TCP端口.JBossMQ OIL service端口  
k) 8092.TCP端口.JBossMQ OIL2 service端口  
l) 8093.TCP端口.JBossMQ UIL service端口  
m 4444.TCP端口.RMIOBJECTPort  
n) 4445.TCP端口.ServerBindPort  
o) 1162.UDP端口.JBoss snmp agent端口.