【正文】 網(wǎng)的連接做好充分的準(zhǔn)備。再由于校園網(wǎng)已經(jīng)成為國內(nèi)先進(jìn)高校最主要的基礎(chǔ)設(shè)施之一，學(xué)生校園在與校園網(wǎng)緊密結(jié)合前提下能夠給同學(xué)們創(chuàng)造更多的價(jià)值，所以要將高校學(xué)生校園建設(shè)為集教學(xué)、科研、學(xué)習(xí)、娛樂為一體的多媒體計(jì)算機(jī)中心。而服務(wù)器共有 N臺，其中 FTP服務(wù)器 N臺， Novell服務(wù)器 N臺，ADSL上網(wǎng)代理服務(wù)器 N臺。同時(shí)建設(shè)應(yīng)該遵循以下原則： 先進(jìn)性 采用最新的技術(shù)和產(chǎn)品，在相應(yīng)的應(yīng)用領(lǐng)域占有較大的用戶市場，在相關(guān)計(jì)算機(jī)技術(shù)及網(wǎng)絡(luò)技術(shù)方面處于領(lǐng)導(dǎo)地位。 可靠性 選用高可靠性的產(chǎn)品和技術(shù)，充分考慮系統(tǒng)在程序運(yùn)行時(shí)的應(yīng)變能力和容錯(cuò)能力，確保整個(gè)系統(tǒng)的安全與可靠。 Abstract 可擴(kuò)充性 該系統(tǒng)具有良好的擴(kuò)充能力，可以根據(jù)不斷增長的業(yè)務(wù)處理需要很容易地進(jìn)行系統(tǒng)處理能力和網(wǎng)絡(luò)規(guī)模的擴(kuò)充。 第 2章 IP 地址 分配方案 網(wǎng)絡(luò)結(jié)構(gòu)分析 由于現(xiàn)在校園的規(guī)模日漸擴(kuò)大，目前的網(wǎng)絡(luò)結(jié)構(gòu)已經(jīng)不能滿足需求，以對我系校園的網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行重新的設(shè)計(jì)，通過一臺路由器將我系校園與校園網(wǎng)相接，同學(xué)們在上機(jī)的時(shí)候可以通過校園網(wǎng)連到 Inter網(wǎng)，也可以通過 ADSL代理服務(wù)器直接連到Inter網(wǎng)；校園的主機(jī)統(tǒng)一由 NOVELL服務(wù)器管理，還提供數(shù)據(jù)庫、 FTP、 VPN服務(wù)；同時(shí)增設(shè)一臺 DHCP服務(wù)器，改變以往的為每一臺主機(jī)設(shè)置一個(gè)靜態(tài) IP地址，現(xiàn)在由DHCP服務(wù)器為所有服務(wù)器指定靜態(tài) IP地址，其它主機(jī)從 DHCP服務(wù)器上自動獲取動 態(tài) IP地址。 （ 3） 要分配的 lP地址中的“主機(jī)號”不能全部是“ 255”；因?yàn)椤爸鳈C(jī)號”全是“ 255”的 lP 地址被 定義為此 lP 地址所處網(wǎng)段的廣播地址。 （ 7） 分配 lP地址時(shí)應(yīng)本著“合理規(guī)劃，預(yù)留擴(kuò)展，順序分配，便于管理”的原則，盡可能地按照部門或用戶集來分配 lP 地址，并且為每個(gè)部門或用戶集預(yù)留適當(dāng)?shù)臄U(kuò)展空間。 是一個(gè) C類私有網(wǎng)絡(luò)，但在此規(guī)劃中，將把它規(guī)劃分成若干個(gè)子網(wǎng)，通過借用第三個(gè) 8位地址組的前 6位來 創(chuàng)建子網(wǎng)，每個(gè)子網(wǎng)可以產(chǎn)生 26 2=62個(gè)子網(wǎng)，每個(gè)子網(wǎng)有 210 2=1022 臺主機(jī)，這對我系的 300 多臺主機(jī)來說已經(jīng)是足夠了。 我系購買的港灣路由器的配置，其型號為 NetHammer M141。為了便于對我系 300多臺機(jī)器的地址管理，決定配置一臺 DHCP 服務(wù)器統(tǒng)一對 300 多臺機(jī)器進(jìn)行地址服務(wù)，而且將 這個(gè)私有地址空間利用子網(wǎng)掩碼技術(shù)把它當(dāng)成一個(gè) B 類網(wǎng)絡(luò)，借用第三個(gè) 8位組的前 6 位來創(chuàng)建子網(wǎng)，則可創(chuàng)建 62 個(gè)可用子網(wǎng)，而剩余的共 10 位留作創(chuàng)建主機(jī)，則每個(gè)子網(wǎng)可創(chuàng)建 1022 臺可用主機(jī)，其相應(yīng)的子網(wǎng)掩碼為 。見下圖 N A T 池：2 1 8 . 1 9 4 . 1 1 4 . 2 4 4 e0 e1 NetHammer M141InterP O W E R F A U L T D A T A A L A R MW e b 服務(wù)器P O W E R F A U L T D A T A A L A R M F T P 服務(wù)器 計(jì)科系網(wǎng)絡(luò)1 9 2 . 1 6 8 . 0 . 0 / 2 2校園網(wǎng)以太網(wǎng)以太網(wǎng) 圖 3 解決方案 ： interface ether0/0 ip address ip nat inside interface ether1/0 ip address ip nat outside ip accesslist 1 permit ip nat pool jkx mask ip nat inside source list 1 pool jkx overload ip nat inside source static ip nat inside source static ip route 在與校園網(wǎng)的連接中不僅僅使用了動態(tài)地址轉(zhuǎn)換，也使用了靜態(tài)地址轉(zhuǎn)換，還使用了端口地址轉(zhuǎn)換（ PAT），由于與校園網(wǎng)連接起來，所以還配置了默認(rèn)路由（ 是校園網(wǎng)那頭的網(wǎng)關(guān)）。缺點(diǎn)是需要專門配備一臺計(jì)算 機(jī)作為代理服務(wù)器，增加了投資成本。那能不能將兩種方法的優(yōu)點(diǎn)合二為一，方法三就是一種魚和熊掌能夠兼得的方案。在校園上 網(wǎng)時(shí)，如果想通過 ADSL代理，那么方法和上面介紹的一樣，在 IE瀏覽器的 INTERNET選項(xiàng)里設(shè)置代理服務(wù)器；如果想通過校園網(wǎng)，那么將 IE瀏覽器的 INTERNET選項(xiàng)里設(shè)置為自動檢測設(shè)置，使用自己的校園網(wǎng)帳號就可以上網(wǎng)了。 FTP 服務(wù)器根據(jù)服務(wù)對象的不同可分為匿名 FTP 服務(wù)器 (Anonymous Ftp Server) 和系統(tǒng) FTP 服務(wù)器。在 Inter和 Intra 網(wǎng)絡(luò)上，對每個(gè)使用 TCP/IP協(xié)議的主機(jī)而言，一個(gè)獨(dú)立的 IP地址是必不可少的，有了 IP 地址才能與網(wǎng)絡(luò)上其他的主機(jī)進(jìn)行通訊，但是，并不是每一個(gè)主機(jī)用戶都能對 TCP/IP進(jìn)行恰當(dāng)?shù)呐渲谩???8 計(jì)算機(jī)系學(xué)生校園的網(wǎng)站建設(shè) DHCP 的工作方式 使用 DHCP時(shí)，要求整個(gè)網(wǎng)絡(luò)中至少有一臺 Windows NT Server計(jì)算機(jī)運(yùn)行有 DHCP服務(wù)，同時(shí)，要使用 DHCP 功能的工作站也必須配置為支持 DHCP。 （ 2） 動態(tài)分配 動態(tài)分配（ Dynamic aollaction）是指在 DHCP 工作站第一次向 DHCP 服務(wù)器發(fā)出請求并成功租得 IP 地址后， DHCP 只能 暫時(shí)使用這個(gè)地址。動態(tài)分配的最大好處就是可以解決 IP 地址不夠用的問題。 VPN 服務(wù)器 虛擬專用網(wǎng) (VPN)被定義為通過一個(gè)公用網(wǎng)絡(luò) (通常是因特網(wǎng) )建立一個(gè)臨時(shí)的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。如果說得再通俗一點(diǎn)， VPN 實(shí)際上是“線路中的線路”，類型于城市大道上的“公交專用線”，所不同的是，由 VPN 組成的“線路”并不是物理存在的，而是通過技術(shù)手段模擬出來，即是“虛擬”的。每當(dāng) DNS工作站提出 IP 地址查詢請求時(shí)，就由 DNS服務(wù)器的數(shù)據(jù)庫提供所需數(shù)據(jù)完成域名解析的任務(wù)。在這種情況下， 校園網(wǎng)絡(luò)的安全管理是校園安全管理的重點(diǎn)，網(wǎng)絡(luò)的安全將直接影響到整個(gè)校園的安全。 抑制和防止電磁泄漏 (即 TEMPEST 技術(shù) )也是物理安全策略的一個(gè)主要問題。 服務(wù)器的安全是整個(gè)網(wǎng)絡(luò)安全的核心，訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問。三道關(guān)卡中只要任何一關(guān)末過，該用戶便不能進(jìn)入該網(wǎng)絡(luò)。用戶的口令是用戶人網(wǎng)的關(guān)鍵所在。 網(wǎng)絡(luò)管理員應(yīng)該可以控制和限制普通用戶的帳號使用、訪問網(wǎng)絡(luò)的時(shí)間、方式。 （ 2） 服務(wù)器硬盤訪問的權(quán)限控制 網(wǎng)絡(luò)的權(quán)限控制是針對網(wǎng)絡(luò)非 法操作所提出的一種安全保護(hù)措施。受托者指派和繼承權(quán)限屏蔽 (IRM)可作為其兩種實(shí)現(xiàn)方式。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限可以用一個(gè)訪問控制表來描述。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限 (Supervisor)、讀權(quán)限 (Read)、寫權(quán)限 (Write)、創(chuàng)建權(quán)限 (Create)、刪除權(quán)限 (Erase)、修改權(quán)限 (Modify)、文件查找權(quán)限 (File Scan)、存取控制權(quán)限 (Access Control)。 當(dāng)用文件、目錄和網(wǎng)絡(luò)設(shè)備時(shí)，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)給文件、目錄等指 定訪問屬性。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限對應(yīng)一張?jiān)L問控制表，用以表明用戶對網(wǎng)絡(luò)資源的訪問能力。 網(wǎng)絡(luò)允許在服務(wù)器控制臺上執(zhí)行一系列操作。自動回呼設(shè)備用于防止假冒合法用戶，靜默調(diào)制解調(diào)器用以防范黑客的自動撥號程序?qū)τ?jì)算機(jī)進(jìn)行攻擊。關(guān)于這一層次的安全控制，請參考微軟公司在其網(wǎng)站上發(fā)布的《安全服務(wù)詳細(xì)信息》。這種防火墻可以用于禁止外部不合法用戶對內(nèi)部的訪問，也可以用來禁止訪問某些服務(wù)類型。代理防火墻無法快速支持一些新出現(xiàn)的業(yè)務(wù) (如多媒體 )。雙穴主機(jī)從一個(gè)網(wǎng)絡(luò)收集數(shù)據(jù)，并且有選擇地把它發(fā)送到另一個(gè)網(wǎng)絡(luò)上。一個(gè)加密網(wǎng)絡(luò)，不但可以防止非授權(quán)用戶的搭線竊聽和人網(wǎng)，而且也是對付惡意軟件的有效方法之一。 在服務(wù)器 (或者網(wǎng)絡(luò) )安全管理中，除了采用上述技術(shù)措施之外， 加強(qiáng)網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對于確保網(wǎng)絡(luò)的安全、可靠地運(yùn)行，也將起到十分有效的計(jì)算機(jī)系學(xué)生校園的網(wǎng)站建設(shè) 作用。反過來，通過使用路由器的訪問控制列表，網(wǎng)絡(luò)管理員也可以建立特定的網(wǎng)站建設(shè)策略。圖 11，圖 17 是配置結(jié)果的顯示。下面就將所掃描出的結(jié)果進(jìn)行分析： X— Scan 掃描參數(shù)設(shè)置： 圖 18 掃描的范圍： 正在檢測 ... []: 正在檢測 存活主機(jī) ... []: 正在檢測 開放服務(wù) ... []: 正在檢測 NTServer弱口令 ... Abstract []: NTServer弱口令 掃描完成 . []: 正在檢測 NetBios信息 ... []: 正在檢測 Snmp信息 ... []: Snmp信息 掃描完成 . []: 正在檢測 遠(yuǎn)程操作系統(tǒng) ... []: 遠(yuǎn)程操作系統(tǒng) 掃 描完成 . []: 正在檢測 FTP弱口令 ... []: 正在檢測 Anonymous pub ... []: