【文章內(nèi)容簡介】 c/SSL VPN、網(wǎng)絡(luò)深度檢測與在線防御、防病毒、防垃圾郵件、WEB URL過濾、P2P控制和行為審計等安全技術(shù)，以期學(xué)生可以全面掌握網(wǎng)絡(luò)安全技術(shù)，并最終成為網(wǎng)絡(luò)安全專家。安全實驗將作為最基礎(chǔ)的內(nèi)容，共配置10組，與路由交換實驗臺一起，每組安全設(shè)備包括1臺具有多種安全功能一體的UTM設(shè)備和1臺VPN網(wǎng)關(guān)，組網(wǎng)結(jié)構(gòu)如下圖：以下是部分安全課程的實驗內(nèi)容：防火墻實驗：實驗內(nèi)容：搭建模擬環(huán)境，仿真各類攻擊，配置SecPath防火墻，實現(xiàn)各種功能，如：基于狀態(tài)的訪問控制；動態(tài)/ 靜態(tài)NAT和PAT功能；雙向NAT，支持基于策略的NAT；防火墻冗余備份及故障切換；靜態(tài)/動態(tài)路由；其他安全功能（DNS 保護，F(xiàn)lood Defender，F(xiàn)lood Guard，TCP 阻截等）教學(xué)目標(biāo)：全面了解網(wǎng)絡(luò)面臨的安全威脅，掌握防火墻的工作原理和防火墻工程實施步驟。IPS/IDS實驗：實驗內(nèi)容：模擬實際網(wǎng)絡(luò)環(huán)境，配置IDS抵御來自網(wǎng)絡(luò)內(nèi)部的攻擊，尤其來自于合法用戶的病毒和攻擊。包括IDS 監(jiān)控數(shù)據(jù)采集、設(shè)備安全性測試、攻擊應(yīng)對策略測試、主動告警功能測試等內(nèi)容。教學(xué)目標(biāo)：掌握IDS/IPS部署設(shè)計，理解工作原理，熟悉IDS/IPS網(wǎng)絡(luò)安全策略以及相關(guān)工程實施步驟。VPN實驗：實驗內(nèi)容：搭建基于二層、IPSEC VPN的網(wǎng)絡(luò)技術(shù)和各種不同的VPN連接技術(shù)，實現(xiàn)點對點，點對多點，遠(yuǎn)程訪問等環(huán)境。針對目前企業(yè)中經(jīng)常使用的ADSL寬帶包月、小區(qū)寬帶接入等方式，傳統(tǒng)的VPN技術(shù)很難基于私有IP地址、動態(tài)IP地址建立隧道，H3C的動態(tài)VPN技術(shù)很好的解決了這個問題，使得VPN技術(shù)具有更廣泛的適用性。RSA雙因素認(rèn)證實驗需要另配。教學(xué)目標(biāo)：了解VPN基本技術(shù)原理，掌握多種VPN設(shè)計及應(yīng)用環(huán)境，熟悉VPN網(wǎng)絡(luò)的配置流程。 管理系統(tǒng)實驗網(wǎng)絡(luò)管理維護是網(wǎng)絡(luò)建設(shè)中非常重要的環(huán)節(jié)，甚至是最重要的環(huán)節(jié)，因為建設(shè)網(wǎng)絡(luò)的目的最終是為了使用，而網(wǎng)絡(luò)管理無疑是保障用戶高效、可靠使用網(wǎng)絡(luò)的必要手段。隨著技術(shù)的進步，網(wǎng)絡(luò)管理內(nèi)容和方式已在發(fā)生著變化，除了生成拓?fù)鋱D、配置網(wǎng)絡(luò)設(shè)備、監(jiān)控網(wǎng)絡(luò)流量、實時統(tǒng)計和事件報警等基本功能之外，增加了很多新的功能，比如VPN實施、安全認(rèn)證、安全策略下發(fā)、用戶跟蹤等等。同時，如何靈活、安全地管理網(wǎng)絡(luò)，也是網(wǎng)絡(luò)管理發(fā)展的重要方向。同時，系統(tǒng)管理的范圍還包括用戶接入認(rèn)證、計費管理、終端安全接入控制等。本次建議的管理系統(tǒng)實驗臺包括網(wǎng)絡(luò)基礎(chǔ)管理、無線業(yè)務(wù)系統(tǒng)管理、流量管理、用戶接入認(rèn)證、計費、端點安全控制以及行為審計系統(tǒng)功能，學(xué)員可以熟練掌握各種管理系統(tǒng)的配置方法，了解技術(shù)的最新進展。網(wǎng)絡(luò)基礎(chǔ)管理了解SNMP協(xié)議的基本工作原理，提供網(wǎng)絡(luò)資源管理、拓?fù)涔芾?、故障管理、性能管理、用戶管理及系統(tǒng)安全管理。無線業(yè)務(wù)管理全面的無線業(yè)務(wù)管理能力，實現(xiàn)AC設(shè)備、FAT AP設(shè)備、FIT AP設(shè)備、移動終端等無線設(shè)備的集中管理，輕松實現(xiàn)設(shè)備配置管理功能，并提供資源分組、無線拓?fù)涔δ?，對全網(wǎng)無線設(shè)備進行直觀有效的組織，對網(wǎng)絡(luò)部署和設(shè)備狀態(tài)一目了然，策略模板等功能實現(xiàn)網(wǎng)絡(luò)和設(shè)備的批量配置。流量分析管理統(tǒng)計設(shè)備接口、接口組、IP地址組、多鏈路接口的（準(zhǔn)）實時流量信息，包括流入、流出速率以及當(dāng)前速率相對于鏈路最大速率的比例。從多個角度對網(wǎng)絡(luò)流量進行分析，并生成報表，包括基于接口的總體流量趨勢分析報表、應(yīng)用流量分析報表、節(jié)點（包括源、目的IP）流量報表、會話流量報表等幾大類報表。安全準(zhǔn)入控制把用戶的身份認(rèn)證、安全狀態(tài)檢查與網(wǎng)絡(luò)產(chǎn)品相互配合，能確保只有合法的用戶，在滿足安全狀態(tài)檢查的情況下，才能接入到內(nèi)部網(wǎng)中，將非法用戶徹底隔離。216。 檢查：檢查客戶端的安全狀態(tài)和防御能力，包括：操作系統(tǒng)版本、補?。℉otFix）、216。 防病毒軟件版本、病毒庫版本等。216。 隔離：隔離不符合安全策略、防御力低的終端， 、VPN、Portal認(rèn)證阻斷非法用戶；通過VLAN、ACL限制“危險”用戶的訪問權(quán)限（隔離區(qū)）216。 修復(fù)：強制修復(fù)系統(tǒng)補丁、升級防病毒軟件216。 監(jiān)控：實時監(jiān)控用戶的安全狀態(tài)216。 管理：集中、統(tǒng)一的用戶管理，接入策略、服務(wù)策略、安全策略、事件監(jiān)控、日志分析 行業(yè)應(yīng)用研究結(jié)合廣州大學(xué)自身優(yōu)勢學(xué)科和較深行業(yè)技術(shù)背景，對相關(guān)行業(yè)的組網(wǎng)技術(shù)、行業(yè)網(wǎng)絡(luò)中特定的應(yīng)用以及兩者之間的相互影響進行研究。 電信行業(yè)組網(wǎng)及應(yīng)用研究業(yè)務(wù)研究定位于承載類似17951 VoIP業(yè)務(wù)、VPN專線業(yè)務(wù)、NGN及3G等新型電信級業(yè)務(wù)，同時還將承載多種移動數(shù)據(jù)業(yè)務(wù)；模擬全網(wǎng)配置數(shù)臺路由器、網(wǎng)絡(luò)覆蓋國內(nèi)所有省份；核心網(wǎng)絡(luò)分為幾個大區(qū)，網(wǎng)絡(luò)構(gòu)建按照雙平面組織、內(nèi)部設(shè)置全網(wǎng)狀中繼電路，每一平面均按照可以承載全部話務(wù)量設(shè)計，接入路由器分別與兩個轉(zhuǎn)發(fā)平面連接，以確保業(yè)務(wù)的可靠性和QoS。 電子政務(wù)組網(wǎng)及應(yīng)用研究模擬省中心節(jié)點采用核心路由器，每個地市采用通用骨干路由器作為核心；省級廳局單位結(jié)合實際情況采用MSTP、FR等方式接入核心。 業(yè)務(wù)研究某個部委按照不同的業(yè)務(wù)和部門劃分VPN；相關(guān)政務(wù)部門專網(wǎng)接入；建設(shè)政務(wù)外網(wǎng)安全保障體系和外網(wǎng)管理中心；建立統(tǒng)一的外網(wǎng)服務(wù)體系；優(yōu)化電子政務(wù)業(yè)務(wù)系統(tǒng)的互聯(lián)互通、資源共享。 金融行業(yè)組網(wǎng)及應(yīng)用研究研究金融二級網(wǎng)在某省內(nèi)幾個地市部署高端路由器，負(fù)責(zé)該地市行對支行業(yè)務(wù)的匯聚，原有路由器作為備份路由器，匯聚FR線路，作為2M線路的備份線路。兩臺高端路由器作為出口設(shè)備 ，充分滿足廣域網(wǎng)高性能、高可靠性以及網(wǎng)絡(luò)擴展能力的要求。同時在省分行中心部署一臺路由器提供撥號備份功能。業(yè)務(wù)研究建議為金融網(wǎng)絡(luò)的整個骨干網(wǎng)由全國中心省地市縣網(wǎng)點構(gòu)成樹狀結(jié)構(gòu)中縱向數(shù)據(jù)流流量的特點；研究電子銀行、網(wǎng)上銀行、個人銀行、電話銀行的部署模式；研究金融數(shù)據(jù)的集中、不間斷、可靠存儲。 電力行業(yè)組網(wǎng)及應(yīng)用研究組網(wǎng)技術(shù)建議研究電力行業(yè)最重要的電力調(diào)度數(shù)據(jù)網(wǎng)，骨干部署高端路由器，接入層變電站采用模塊化多業(yè)務(wù)路由器部署，如何部署MPLS/VPN技術(shù)實現(xiàn)實時業(yè)務(wù)和非實時業(yè)務(wù)的安全隔離，如何保障網(wǎng)絡(luò)安全性和可靠性。業(yè)務(wù)研究可以考慮電力生產(chǎn)、電力調(diào)度、燃料調(diào)度、繼電保護、電力調(diào)度自動化等通信技術(shù)。 數(shù)字校園組網(wǎng)及應(yīng)用研究網(wǎng)絡(luò)模擬新老校區(qū)的萬兆互聯(lián)，研究教學(xué)信息資源的共享，同時對校園網(wǎng)內(nèi)不同信息資源進行區(qū)分保護，保證重要資源的安全和普通資源的效率；如何部署網(wǎng)管系統(tǒng)和用戶認(rèn)證計費系統(tǒng)，完成對全網(wǎng)設(shè)備運行狀態(tài)的的監(jiān)控管理和上網(wǎng)用戶的認(rèn)證、授權(quán)和計費等功能，極大提升了學(xué)校教學(xué)、科研和校內(nèi)管理的效率；研究校園不同區(qū)域網(wǎng)絡(luò)流量特征的分析。 學(xué)生實驗操作學(xué)生上機操作配置專門的操作終端，目前規(guī)劃共分為10組，每組5至6人，每組學(xué)生對與10組對應(yīng)綜合型網(wǎng)絡(luò)安全實驗臺，同時，學(xué)生的操作終端配置雙網(wǎng)卡，一方面可以對設(shè)備進行實驗操作，另一方面終端也將作為實驗臺的終端PC機，用于校驗實驗結(jié)果。如下圖所示實驗室配置相關(guān)的學(xué)生機接入交換機，用于實現(xiàn)對學(xué)生操作終端的接入。 實驗臺的管理實驗用的網(wǎng)絡(luò)設(shè)備都由標(biāo)準(zhǔn)實驗臺組成。除IP管理系統(tǒng)實驗臺之外，每個標(biāo)準(zhǔn)實驗臺都是由一臺設(shè)備管理控制臺（DMC）及相關(guān)的實驗設(shè)備組成。實驗設(shè)備的連接可以按實驗內(nèi)容進行任意組合，教師和學(xué)生通過DMC來控制相關(guān)的網(wǎng)絡(luò)實驗設(shè)備，完成指定的實驗功能。在每一組實驗臺內(nèi)，設(shè)備管理控制臺（DMC，Device Management Controller）扮演的主要角色是一個串口服務(wù)器，用來在不同的網(wǎng)絡(luò)用戶間共享一個實驗臺中的網(wǎng)絡(luò)設(shè)備的Console口，使這些用戶可以通過IP網(wǎng)絡(luò)直接訪問實驗設(shè)備的Console口，完成設(shè)備的配置，進而完成相應(yīng)的實驗。每個實驗臺有一個DMC，用來連接本實驗臺里所有設(shè)備的Console口。用戶通過反向Telnet方式訪問實驗設(shè)備的Console口。如下圖所示：在DMC的管理下，實驗臺由多臺網(wǎng)絡(luò)設(shè)備組成的真實環(huán)境，網(wǎng)絡(luò)設(shè)備連接可以任意組合，用戶通過WEB登錄實驗室管理系統(tǒng)進行選擇實驗設(shè)備，并通過反向Telnet登錄，完成實驗功能配置。 設(shè)備管理控制臺的主要功能作為網(wǎng)絡(luò)實驗室解決方案中的關(guān)鍵組件之一，DMC的功能特性如下：l 實驗設(shè)備自動識別：自動識別連接的實驗設(shè)備，如交換機、路由器、防火墻等，不需要手工干預(yù)；l 可識別多種邏輯；由于DMC設(shè)計的開放性，通過DMC可以識別H3C、Quidway、3Com及其他廠家等多種邏輯，便于網(wǎng)絡(luò)實訓(xùn)室通過同一臺DMC管理多種設(shè)備，實現(xiàn)統(tǒng)一管理。l Web操作界面：通過Web界面可以在DMC上實現(xiàn)多種操作：a) 瀏覽實驗設(shè)備：用戶可以直接用Web瀏覽器查看該控制臺連接的設(shè)備類型、使用狀態(tài)等信息；b) 訪問實驗設(shè)備：用戶在Web界面上點擊實驗設(shè)備鏈接，即可通過反向Telnet登錄到實驗設(shè)備的Console口；c) 清除實驗設(shè)備配置（一鍵清）：管理員用戶可以選擇清除一個、多個或全部實驗設(shè)備的配置；d) 重新檢測相連實驗設(shè)備：管理員用戶可以要求DMC重新檢測ASE卡上連接的實驗設(shè)備信息；e) 用戶分權(quán)管理：支持用戶的分權(quán)管理，為不同的用戶進行不同的授權(quán)，提高系統(tǒng)安全性。l 實驗設(shè)備Console口連接共享：登錄DMC就可以訪問實驗設(shè)備的Console口，完成設(shè)備配置和管理的功能，不需要直接連接實驗設(shè)備的Console口；l 并發(fā)控制：控制對實驗設(shè)備的訪問沖突，保證每臺實驗設(shè)備在任一時刻只有一個用戶可以訪問。 設(shè)備管理控制臺的優(yōu)點DMC具有以下優(yōu)點：實驗設(shè)備自動識別，簡化了配置工作。 采用Web接口模式，方便了用戶的訪問，增強了DMC的易用性。 通過DMC訪問實驗設(shè)備并根據(jù)實驗需要組網(wǎng)，從而避免反復(fù)插拔設(shè)備電纜，保護實驗設(shè)備接口。充分考慮到網(wǎng)絡(luò)實驗課程授課的特點，DMC提供“一鍵清”、預(yù)置實驗場景等功能，方便教師利用課間快速完成實驗環(huán)境的搭建，為下一節(jié)課的授課做好準(zhǔn)備工作。 實驗課程管理本次實驗室建設(shè)配置有實驗室管理系統(tǒng)，采用H3C的NEMS（Network Experiment Management System，H3C NEMS是教師用來進行網(wǎng)絡(luò)實驗教學(xué)管理的輔助工具。教師通過NEMS進行實驗設(shè)備的管理、實驗課程的設(shè)置、實驗內(nèi)容的定制、實驗環(huán)境的部署、實驗過程的管理監(jiān)控、實驗環(huán)境的恢復(fù)、實驗結(jié)果的獲取驗證等。H3C 實驗室管理系統(tǒng)主要包括如下功能：l 管理實驗設(shè)備：提供對設(shè)備控制臺、實驗設(shè)備和配置文件的管理功能，包括獲取實驗設(shè)備信息，獲取、查看、編輯、比較設(shè)備配置文件，設(shè)置實驗設(shè)備缺省配置等功能。l 管理實驗內(nèi)容：提供靈活的實驗內(nèi)容定制功能，包括定義每個網(wǎng)絡(luò)實驗所使用的實驗設(shè)備，每個實驗設(shè)備在實驗開始時的初始配置，在實驗完成后應(yīng)有的正確配置，并可以對這些已定義的網(wǎng)絡(luò)實驗進行分類，組成不同的實驗集，便于管理。l 管理實驗課程：提供管理學(xué)員信息和實驗課程的功