浅探机房网络安全管理新模式

《浅探机房网络安全管理新模式》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、浅探机房网络安全管理新模式学校的信息化设备建了又建，有的学校的校园网已经多次扩容，面对急剧扩大的校园网规模，对其进行管理与维护的困难也显著增加，对于校园网的管理者来说，如何对校园网内用户的网络行为进行集中监控，及时发现排除故障；如何保障校园网稳定、可靠的运行，是一个急需有效解决的工作难点。事实上很多学校校园网的质量并不高，不仅网速慢、更有甚者还频频发生断网的现象，严重影响了师生的日常应用。在校园网建设的初期，多数学校都购置了较为有效的校园网管理防护设备，如防火墙、防病毒软件等，但效果仍然不佳，那么是不是购置的管理防护设备不好呢？其实不然，从应用管理层面看，网内病毒泛滥、用户随

2、意的占用带宽、流量得不到有效的控制是产生这种状况的主要原因。所以作为一个校园网管理者，我们的管理思路有必要从原先注重防治“外火”，转变为注重防治“内火”。对于学校局域网管理工作而言有两个层面的工作要做：一、是内网与外网的衔接部分（边界）的安全防护与管理；二、是内部网络的安全防护和管理。现在大家主要关注的是第一部分安全防护和管理问题，实际上网络管理已经远远不只是对边界的防御和行为管理，网络内部同样需要这种防护和管理措施，而且这种要求越来越强烈，有数据显示20%的安全管理问题来自外部，80%的安全管理问题来自内部，这就是值得我们关注的“外火”和“内火”，这种说法已经流行了很长一段

3、时间，但并没有引起人们的重视，其原因是大家主要担心的还是来自外部的破坏行为，对内部的担心较少，另外，没有受到人们重视的主要原因也可能是没有适合的解决方案或解决此类问题需要付出更大的代价。随着防范外部破坏行为的能力增强，内部安全和管理的问题就越来越突出。由于内部网络的规模越来越大，应用越来越多，业务对网络的依赖性越来越大，因此，解决内网的安全和管理问题，是整个网络安全下一步工作的主要内容。从应用角度讲，“外火”和“内火”的防治也不一样。防治“外火”是防御外部的攻击和入侵，例如校园网配置的防火墙一般就可以完成这样一个边界防护的要求，而防治“内火”则是防御内部攻击的泛滥；“外火”防

4、治采取的是简单的隔离（外网、内网）和严格的防护措施，而“内火”防治采取的则是复杂的隔离（按网络、链路、业务、用户等）和较严格的防护措施。外部访问行为管理只管理经由边界的使用行为，而内网访问行为管理是管理所有网络内部的使用行为；外部访问行为管理是通过过滤数据内容，进行访问业务的管理和访问目的的管理，而内网访问行为的管理是通过网络接入认证和授权,以及访问控制、网络资源管理和监控等综合手段进行的。通常情况下，就学校而言，网络计算机教室因其应用的特殊性决定了这里是“内火”发生的重灾区。首先，学生是一批活跃的用户群体，对网络技术充满好奇，勇于尝试，使用的计算机容易出现问题；其次，机房计

5、算机的绝对数量比较大，且使用的时间相对集中，容易对校园网产生一定的冲击；再次，因为大部分机房的学生用机没有安装有效的防杀病毒软件和流量管理设备，所以冲击波、ARP病毒、P2P软件等“内火”，很容易对校园网产生严重的危害。要解决计算机教室所造成的“内火”，首先要从机房认识接入校园网的方式入手。现在市内的学校大部分采用以下三种接入方式，一、直接接入校园网；二、通过划分VLAN接入校园网；三、通过代理服务器接入校园网。这三种接入方式都分别存在一些缺陷，而这些缺陷就是“内火”得以蔓延的主要原因。一、直接接入校园网，常见于一些规模较小的学校，机房计算机是学校计算机的主体，由于所有的计算

6、机全部连接在一起，只见没有任何的划分和隔离，如果有一台计算机发生了问题，那将很快蔓延开来，最终导致全网的堵塞瘫痪，例如冲击波病毒。另外，当网内计算机不断增加时，广播数据包的数量也会急剧增加，当广播数据包的数量占到通讯总量30%的时候，就产生了网络风暴，将大大降低网络的传输效率。二、通过划分VLAN接入校园网，一般情况下当校园网内的计算机超过200台左右的时候，一些学校就会将计算机按照功能划分为若干个虚拟子网（VLAN），通过划分为VLAN，不仅能对网内的计算机进行有效的隔离避免网络风暴的产生，还可以防止一些非授权用户访问校内的某些敏感数据，大大提高了网内数据的安全性。但是，划

7、分VLAN不能对用户的网络流量进行限制，如果有用户采用P2P软件，很容易将全校的出口带宽占为己有，这种肆意占用带宽的行为同样会影响到网内其他用户的正常使用。直接接入校园网通过划分VLAN接入校园网三、通过代理服务器接入校园网，还有一些学校在机房里配备了一台服务器，通过服务器提供NAT服务，代理学生机上网，这种接入方式的可以有效解决网络风暴和校园网出口带宽被肆意占用的问题，但服务器的WINDOWS操作系统容易受到病毒感染而导致机房所有计算机无法上网，而且代理上网仍然无法对学生的一些个人行为（QQ、P2P、