校园网外网安全防范措施浅谈

《校园网外网安全防范措施浅谈》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、校园网外网安全防范措施浅谈[摘耍]随着计算机网络的不断发展和普及，计算机网络给我们带来了无穷的资源，但随Z而来的网络安全问题也显得尤为重要，为了更好的解决上述问题，确保信息网络安全，企业应建立完善的安全保障休系该体系包括网络安全技术防护和网络安全管理两方面。本文重点介绍了校园网络信息外网建设方案，并提出了一些外网安全防范措施。[关键词]计算机网络；安全；外网；防范措施[Abstract]Withthecontinuousdevelopmentandpopularizationofthecomputernetwork,computern

2、etworkhasbroughtusendlessresources,buttheattendantissueofnetworksecurityisparticularlyimportantinordertobetteraddresstheseissues,toensurethesecurityofinformationnetworks,theenlerpriseshouldestablishasoundsecuritysystemandthesystemincludestwoaspectsofnetworksecurityprote

3、ctionandnetworksecuritymanagement.Thispaperfocusesonthecampusnetworkinformationnetworkconstructionprogram,andmadeanumberofexternalnetworksecuritymeasures.[Keywords]Computernetwork;security;externalnetwork;precautions中图分类号：TN711文献标识码：A文章编号:1校园网外网现状1.1网络架构冃前我校每个办公室都铺设了信息外

4、网结点，信息结点由楼层接入交换机连接到核心交换机。然后再通过外网边界处部署的防火墙，通过VPN通道统一出口访问互联网。1.2网络设备型号核心交换机:II3C3600防火墙:FW4120校园网接入路由器:H3C5060楼层交换机：cisco29501.3现有网络安全配置为了做好我校信息外网安全工作，我校统一安装部署了卡巴斯基杀毒软件并定期更新、扫描，同时在信息外网的边界处部署了防火墙、由学校统一加强互联网出口、病毒木马、网络行为分析与流量监控來抵御來自外部网络的安全威胁，在这些设备、软件的严密监控下，来自网络外部的安全威胁大大减小，而对

5、来自网络内部的计算机客户端的安全威胁所作的安全管理措施不够，安全威胁较大。而口來自信息外网的威胁，也可能通过U盘等传播到信息内网，使信息内网同样面临安全威胁。为了抵御内部威胁防止未授权计算机的接入，最初我们只是在II3C3600核心交换机上做了IP、MAC地址绑定，这种配置方式虽然在一定程度上可以减少非法接入和ARP欺骗攻击但仍存在一定的缺陷，因为MAC地址可以伪造，非法用户可以利用绑定列表中的IP并虚拟与该IP绑定的MAC地址，通过任意一个办公室的信息结点连接外网。因此，最初所做的绑定策略是较低级别的授权认证。2校园网信息外网安全防

6、范措施为了解决单纯在核心交换机上进行IP、MAC地址绑定存在的缺陷，严格限制非法设备接入，同时做好外网信息安全工作，制定以下防范措施：2.1核心交换机上执行端口+IP+MAC地址绑定策略在核心交换机上，对在用的每一个端口进行端口+IP+MAC地址的绑定,实现在固定端口只允许固定IP和MAC地址的访问，对于未使用的端口全部关闭。由于对每个在用的端口进行绑定并冇严格限制，而未使用的端口全部关闭，所以在一个端口绑定的PC使用该TP地址和MAC地址也不可以在其他端口上网。在核心交换机上对端口、IP、MAC地址进行绑定，可以严格控制非法网络接入

7、，但是由于只是在核心交换机上进行限制，而终端计算机不是直接接入核心交换而是通过接入交换机进行接入，该方法虽然可以限制网络访问，但同一接入交换机直接相连的终端或不同接入交换机相连的终端仍然可以通信，且会产生不必要的网络流量，对网络仍产生一定的威胁，所以我们可以采用基于核心、接入交换的两级绑定管理。2.2基于核心、接入交换机的两级绑定管理我们保留最初在核心交换机上做的IP、MAC地址绑定，同时在接入层交换机上对每个端口绑定固定的一个MAC地址,且每个端口只允许一个MAC地址通过。这样，在接入层交换机上可以实现对终端计算机的-■级MAC地址

8、过滤管理，严格控制网络接入设备，同时减少非法接入设备产生的不必要的流量；在核心交换机上实现对终端设备的二级IP管理，每个MAC地址只能使用特定的IP,防止终端私自更改IP,做好IP地址管理工作。通过此配置，可以实现基于核