【文章內容簡介】 濾型防火墻工作在OSI參考模型的網(wǎng)絡層和傳輸層,它根據(jù)數(shù)據(jù)包頭源地址,目的地址,端口號和協(xié)議類型等標志確定是否允許通過,只有滿足過濾條件的數(shù)據(jù)包才被轉發(fā)到相應目的地,其余數(shù)據(jù)包則被數(shù)據(jù)流中阻擋丟棄。 網(wǎng)絡地址轉換技術網(wǎng)絡地址轉換是一種用于把IP地址轉換成臨時的外部的、注冊的IP的地址標準,用戶必須要為網(wǎng)絡中每一臺機器取得注冊的IP地址[ 7 ]。在內部網(wǎng)絡通過安全網(wǎng)卡訪問外部網(wǎng)絡時,系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口與外部連接,這樣對外就隱藏了真實的內部網(wǎng)絡地址。在外部網(wǎng)絡通過非安全網(wǎng)卡訪問內部網(wǎng)絡時,它并不知道內部網(wǎng)絡的連接情況,而只是通過一個開放的IP地址和端口來請求訪問7 ]。防火墻根據(jù)預先定義好的映射規(guī)則來判斷這個訪問是否安全和接受與否。網(wǎng)絡地址轉換過程對于用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規(guī)操作即可。 代理技術代理技術是在應用層實現(xiàn)防火墻功能,代理服務器執(zhí)行內部網(wǎng)絡向外部網(wǎng)絡申請時的中轉連接作用。代理偵聽網(wǎng)絡內部客戶的服務請求,當一個連接到來時,首先進行身份驗證,并根據(jù)安全策略決定是否中轉連接。當決定轉發(fā)時,代理服務器上的客戶進程向真正的服務器發(fā)出請求,服務器返回代理服務器轉發(fā)客戶機的數(shù)據(jù)。另一種情況是,外部網(wǎng)通過代理訪問內部網(wǎng),當外部網(wǎng)絡節(jié)點提出服務請求時,代理服務器首先對該用戶身份進行驗證。若為合法用戶,則把該請求轉發(fā)給真正的某個內部網(wǎng)絡的主機。而在整個服務過程中,應用代理一直監(jiān)控著用戶的操作,一旦用戶進行非法操作,就可以進行干涉,并對每一個操作進行記錄。若為不合法用語,則拒絕訪問。 全狀態(tài)檢測技術全狀態(tài)檢測防火墻在包過濾的同時，檢測數(shù)據(jù)包之間的關聯(lián)性，數(shù)據(jù)包中動態(tài)變化的狀態(tài)碼。它有一個檢測引擎，在網(wǎng)關上執(zhí)行網(wǎng)絡安全策略。監(jiān)測引擎采用抽取有關數(shù)據(jù)的方法對網(wǎng)絡通信的各層實施監(jiān)督測，抽取狀態(tài)信息，并動態(tài)地保存起來，作為以后執(zhí)行安全策略的參考。當用戶訪問請求到達網(wǎng)關是操作系統(tǒng)前，狀態(tài)監(jiān)測器要抽取有關數(shù)據(jù)進行分析，結合網(wǎng)絡配置和安全規(guī)定作出接納、拒絕、身份認證、報警或給該通信加密處理動作。 入侵檢測系統(tǒng) 入侵檢測系統(tǒng)概述入侵檢測是指通過對行為、安全日志或審計數(shù)據(jù)或其它網(wǎng)絡上可以獲得的信息進行操作，檢測到對系統(tǒng)的闖入或闖入的企圖。入侵檢測技術是為保證計算機系統(tǒng)的安全而設計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權或異?，F(xiàn)象的技術，是一種用于檢測計算機網(wǎng)絡中違反安全策略行為的技術。進行入侵檢測的軟件與硬件的組合便是入侵檢測系統(tǒng) 入侵檢測原理入侵檢測跟其他檢測技術有同樣的原理。從一組數(shù)據(jù)中，檢測出符合某一特點的數(shù)據(jù)。攻擊者進行攻擊的時候會留下痕跡，這些痕跡和系統(tǒng)正常運行的時候產(chǎn)生的數(shù)據(jù)混在一起。入侵檢測系統(tǒng)的任務是從這些混合的數(shù)據(jù)中找出是否有入侵的痕跡，并給出相關的提示和警告。入侵檢測的第一步是信息收集，收集內容包括系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為。由放置在不同網(wǎng)段的傳感器或不同主機的代理來收集信息，包括系統(tǒng)和網(wǎng)絡日志文件、網(wǎng)絡流量、非正常的目錄和文件改變、非正常的程序執(zhí)行。第二步是信息分析，收集到的有關系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息，被送到檢測引擎，檢測引擎駐留在傳感器中，一般通過三種技術手段進行分析：模式匹配、統(tǒng)計分析和完整性分析。當檢測到某種誤用模式時，產(chǎn)生一個告警并發(fā)送給控制臺。第三步是結果處理，控制臺按照告警產(chǎn)生預先定義的響應采取相應措施，可以是重新配置路由器或防火墻、終止進程、切斷連接、改變文件屬性，也可以只是簡單的告警。 局域網(wǎng)入侵檢測系統(tǒng)的構建方法根據(jù)CIDF規(guī)范，從功能上將IDS 劃分為四個基本部分：數(shù)據(jù)采集子系統(tǒng)、數(shù)據(jù)分析子系統(tǒng)、控制臺子系統(tǒng)、數(shù)據(jù)庫管理子系統(tǒng)。具體實現(xiàn)起來，一般都將數(shù)據(jù)采集子系統(tǒng)和數(shù)據(jù)分析子系統(tǒng)在Linux或Unix平臺上實現(xiàn)，稱之為數(shù)據(jù)采集分析中心；將控制臺子系統(tǒng)在Windows NT或2000上實現(xiàn)，數(shù)據(jù)庫管理子系統(tǒng)基于Access或其他功能更強大的數(shù)據(jù)庫如SQL等，多跟控制臺子系統(tǒng)結合在一起，稱之為控制管理中心。構建一個基本的IDS,具體需考慮以下幾個方面的內容。首先，數(shù)據(jù)采集機制是實現(xiàn)IDS的基礎，數(shù)據(jù)采集子系統(tǒng)位于IDS的最底層，其主要目的是從網(wǎng)絡環(huán)境中獲取事件，并向其他部分提供事件。這就需要使用網(wǎng)絡監(jiān)聽來實現(xiàn)審計數(shù)據(jù)的獲取，可以通過對網(wǎng)卡工作模式的設置為―混雜‖模式實現(xiàn)對某一段網(wǎng)絡上所有數(shù)據(jù)包的捕獲。然后，需要構建并配置探測器，實現(xiàn)數(shù)據(jù)采集功能。應根據(jù)自己網(wǎng)絡的具體情況，選用合適的軟件及硬件設備，如果網(wǎng)絡數(shù)據(jù)流量很小，用一般的PC機安裝Linux即可，如果所監(jiān)控的網(wǎng)絡流量非常大，則需要用一臺性能較高的機器；在服務器上開出一個日志分區(qū)，用于采集數(shù)據(jù)的存儲；接著應進行有關軟件的安裝與配置，至此系統(tǒng)已經(jīng)能夠收集到網(wǎng)絡數(shù)據(jù)流了。其次，應建立數(shù)據(jù)分析模塊。數(shù)據(jù)分析模塊相當于IDS的大腦，它必須具備高度的―智慧‖和―判斷能力‖,所以，在設計此模塊之前，需要對各種網(wǎng)絡協(xié)議、系統(tǒng)漏洞、攻擊手法、可疑行為等有一個很清晰、深入地研究，然后制訂相應的安全規(guī)則庫和安全策略，再分別建立濫用檢測模型和異常檢測模型，讓機器模擬自己的分析過程，識別確知特征的攻擊和異常行為，最后將分析結果形成報警消息，發(fā)送給控制管理中心。設計數(shù)據(jù)分析模塊的工作量浩大，需要不斷地更新、升級、完善。在這里需要特別注意3個問題。應優(yōu)化檢測模型和算法的設計，確保系統(tǒng)的執(zhí)行效率；安全規(guī)則的制訂要充分考慮包容性和可擴展性，以提高系統(tǒng)的伸縮性；報警消息要遵循特定的標準格式，增強其共享與互操作能力，切忌隨意制訂消息格式的不規(guī)范做法。第三，需要構建控制臺子系統(tǒng)?？刂婆_子系統(tǒng)負責向網(wǎng)絡管理員匯報各種網(wǎng)絡違規(guī)行為，并由管理員對一些惡意行為采取行動（如阻斷、跟蹤等）。控制臺子系統(tǒng)的主要任務有：管理數(shù)據(jù)采集分析中心，以友好、便于查詢的方式顯示數(shù)據(jù)采集分析中心發(fā)送過來的警報消息；根據(jù)安全策略進行一系列的響應動作，以阻止非法行為，確保網(wǎng)絡的安全?？刂婆_子系統(tǒng)的設計重點是：警報信息查詢、探測器管理、規(guī)則管理及用戶管理。第四，需要構建數(shù)據(jù)庫管理子系統(tǒng)。一個好的入侵檢測系統(tǒng)不僅僅應當為管理員提供實時、豐富的警報信息，還應詳細地記錄現(xiàn)場數(shù)據(jù)，以便于日后需要取證時重建某些網(wǎng)絡事件。數(shù)據(jù)庫管理子系統(tǒng)的前端程序通常與控制臺子系統(tǒng)集成在一起，用Access或其他數(shù)據(jù)庫存儲警報信息和其他數(shù)據(jù)。第五，完成綜合調試。以上幾步完成之后，一個IDS的最基本框架已被實現(xiàn)。但要使這個IDS順利地運轉起來，還需要保持各個部分之間安全、順暢地通信和交互，這就是綜合調試工作所要解決的問題，主要包括要實現(xiàn)數(shù)據(jù)采集分析中心和控制管理中心之間的雙向通信及保證通信的安全性，最好對通信數(shù)據(jù)流進行加密操作，以防止被竊聽或篡改。同時，控制管理中心的控制臺子系統(tǒng)和數(shù)據(jù)庫子系統(tǒng)之間也有大量的交互操作，如警報信息查詢、網(wǎng)絡事件重建等。經(jīng)過綜合調試后，一個基本的IDS就構建完成了，但是此時還不能放松警惕，因為在以后的應用中要不斷地對它進行維護，特別是其檢測能力的提高；同時還要注意與防火墻等其它系統(tǒng)安全方面的軟件相配合，以期從整體性能上提高局域網(wǎng)的安全能力。一個網(wǎng)絡的防病毒體系是建立在每個局域網(wǎng)的防病毒系統(tǒng)上的，應該根據(jù)每個局域網(wǎng)的防病毒要求，建立局域網(wǎng)防病毒控制系統(tǒng)，分別設置有針對性的防病毒策略。 劃分VLAN 防止網(wǎng)絡偵聽運用VLAN（虛擬局域網(wǎng)）技術，將以太網(wǎng)通信變?yōu)辄c到點通信，防止大部分基于網(wǎng)絡偵聽的入侵。目前的VLAN技術主要有三種：基于交換機端口的VLAN、基于節(jié)點MAC地址的VLAN和基于應用協(xié)議的VLAN?；诙丝诘腣LAN雖然稍欠靈活，但卻比較成熟，在實際應用中效果顯著，廣受歡迎。基于MAC地址的VLAN為移動計算提供了可能性，但同時也潛藏著遭受MAC欺詐攻擊的隱患。 網(wǎng)絡分段局域網(wǎng)大多采用以廣播為基礎的以太網(wǎng)，任何兩個節(jié)點之間的通信數(shù)據(jù)包，不僅為這兩個節(jié)點的網(wǎng)卡所接收，也同時為處在同一以太網(wǎng)上的任何一個節(jié)點的網(wǎng)卡所截取。因此，黑客只要接入以太網(wǎng)上的任一節(jié)點進行偵聽，就可以捕獲發(fā)生在這個以太網(wǎng)上的所有數(shù)據(jù)包，對其進行解包分析，從而竊取關鍵信息，這就是以太網(wǎng)所固有的安全隱患。網(wǎng)絡分段就是將非法用戶與網(wǎng)絡資源相互隔離，從而達到限制用戶非法訪問的目的。所以網(wǎng)絡分段是保證局域網(wǎng)安全的一項重要措施。 以交換式集線器代替共享式集線器對局域網(wǎng)的中心交換機進行網(wǎng)絡分段后，以太網(wǎng)偵聽的危險仍然存在。這是因為網(wǎng)絡最終用戶的接入往往是通過分支集線器而不是中心交換機，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當用戶與主機進行數(shù)據(jù)通信時，兩臺機器之間的數(shù)據(jù)包（稱為單播包Unicast Packet）還是會被同一臺集線器上的其他用戶所偵聽。一種很危險的情況是:用戶TELNET到一臺主機上，由于TELNET程序本身缺乏加密功能，用戶所鍵入的每一個字符（包括用戶名、密碼等重要信息），都將被明文發(fā)送，這就給黑客提供了機會。因此，應該以交換式集線器代替共享式集線器，使單播包僅在兩個節(jié)點之間傳送，從而防止非法偵聽。當然，交換式集線器只能控制單播包而無法控制廣播包（Broadcast Packet）和多播包（Multicast Packet）。所幸的是，廣播包和多播包內的關鍵信息，要遠遠少于單播包。 實施IP/MAC 綁定很多網(wǎng)關軟件實施流量過濾時都是基于IP或MAC地址，對控制普通用戶起到了很好的效果，但對于高級用戶就顯得無能為力了，因為不管是IP或是MAC地址都可以隨意修改。要實施基于IP或MAC地址過濾的訪問控制，就必須進行IP/MAC地址的綁定，禁止用戶對IP或MAC的修改。首先通過交換機實施用戶與交換機端口的MAC綁定，再通過服務器網(wǎng)絡管理實施IP/MAC綁定，這樣用戶既不能改網(wǎng)卡的MAC地址，也不能改IP地址。通過IP/MAC綁定后，再實施流量過濾就顯得有效多了。網(wǎng)絡安全技術和病毒防護是一個涉及多方面的系統(tǒng)工程，在實際工作中既需要綜合運用以上方法，還要將安全策略、硬件及軟件等方法結合起來，構成一個統(tǒng)一的防御系統(tǒng)，又需要規(guī)范和創(chuàng)建必要的安全管理模式、規(guī)章制度來約束人們的行為。因此，局域網(wǎng)安全不是一個單純的技術問題，它涉及整個網(wǎng)絡安全系統(tǒng)，包括防范技術、規(guī)范管理等多方面因素。只要我們正視網(wǎng)絡的脆弱性和潛在威脅，不斷健全網(wǎng)絡的相關法規(guī)，提高網(wǎng)絡安全防范的技術是否被授權，從而阻止對信息資源的非法用戶使用網(wǎng)絡系統(tǒng)時所進行的所有活動的水平，才能有力地保障網(wǎng)絡安全。[①].高傳善，[M].高等教育出版社,2001:89[②].[M].人民郵電出版社, 2004:110.[③].李成大,[M].人民郵電出版社，2004:72117第二篇：小型局域網(wǎng)組建畢業(yè)論文小型局域網(wǎng)組建當今世界，各種先進的科學技術飛速發(fā)展，給人們的生活帶來了深遠的影響，它極大的改善我們的生活方式。在以計算機技術為代表的信息科技的發(fā)展更是日新月異，從各個方面影響和改變著我們的生活，而其中的計算機網(wǎng)絡技術的發(fā)展更為迅速，已經(jīng)滲透到了我們生活的各個方面，人們已經(jīng)離不開計算機網(wǎng)絡，并且隨著因特網(wǎng)的迅速普及，給我們的學習與生活條件帶來更大的方便，我們與外部世界的聯(lián)系將更加的緊密和快速。隨著人們對于信息資源共享以及信息交流的迫切需求，促使網(wǎng)絡技術的產(chǎn)生和快速發(fā)展，計算機網(wǎng)絡的產(chǎn)生和使用為人類信息文明的發(fā)展帶來了革命性的變化。自1995年中國教育教研網(wǎng)（CERNET）建成后，校園網(wǎng)的建設已經(jīng)進入到一個蓬勃發(fā)展的階段。校園網(wǎng)的建成和使用，對于提高教學和科研的質量、改善教學和科研條件、加快學校的信息化進程，開展多媒體教學與研究以及使教學多出人才、科研多出成果有著十分重要而深遠的意義。其主要包括各種局域網(wǎng)的技術思想、網(wǎng)絡設計方案、網(wǎng)絡拓撲結構、布線系統(tǒng)、Intranet/Internet的應用、網(wǎng)絡安全，網(wǎng)絡系統(tǒng)的維護等內容。通過本畢業(yè)設計課題的論述，希望使讀者能夠了解校園網(wǎng)的建設過程以及所涉及到的各種網(wǎng)絡技術，并能對今后大家在學習網(wǎng)絡技術知識或是進行校園網(wǎng)的工程建設中有所借鑒。摘要............................................................................................錯誤！未定義書簽。 計算機網(wǎng)絡.......................................................................................................3 校園網(wǎng)的建設思路..................................................................................3 校園網(wǎng)的建設原則..................................................................................3 局域網(wǎng)簡介.......................................................................................................3 ........................................................................................4 網(wǎng)絡協(xié)議.................................................................................................4 常用網(wǎng)絡設備...................................................................................................5 網(wǎng)卡.......................................................................................................5 交換機.