【正文】 cmp流量通過(guò)，同時(shí)還能夠屏蔽一些不良網(wǎng)站對(duì)內(nèi)網(wǎng)的訪問(wèn)，啟用日志記錄之后，防火墻就能記錄下這些訪問(wèn)并作出日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息，可以清楚防火墻是否能夠抵擋攻擊者的探測(cè)和攻擊，并且清楚防火墻的控制是否充足。在Linux系統(tǒng)中的PortSentry軟件配置監(jiān)視下列端口：TCP_PORTS=1,7,9,11,15,70,79,80,109,110,111,119,138,139,143,512,513,514,515,540,636,1080,1424,2000,2001,[..]UDP_PORTS=1,7,9,66,67,68,69,111,137,138,161,162,474,513,517,518,635,640,641,666,700,2049,31335,27444,34555,[..]此文件記錄允許合法掃描服務(wù)器的主機(jī)地址IGNORE_FILE=/usr/local/psionic/portsentry/此文件中保留了以往所有入侵主機(jī)的IP歷史記錄HISTROY_FILE=/usr/lcal/psionic/portsentry/此文件中是已經(jīng)被阻止連接的主機(jī)IP記錄BLOCKED_FILE=/usr/local/psionic/portsentry/設(shè)置一條虛擬路由記錄，把數(shù)據(jù)包重定向到一個(gè)未知的主機(jī)．使之無(wú)法獲取信息。GenericKILL_ROUTE=/sbin/route add $TARGET$ Generic LinuxKILL_ROUTE=/sbin/route add host $TARGET$ gw 直接利用Linux中的ipchain,iptables,ipfw和Netfilter等命令，可以切斷攻擊主機(jī)的連接：KILL_ROUTE=/usr/local/sbin/iptables I INPUT s $TARGET$ j DROP也可以直接把攻擊者的IP記錄到/etc/，利用TCPWrappers保護(hù)機(jī)制來(lái)防止攻擊：KILL_HOSTS_DENY=ALL:$TARGET$ Portsentry blocked/usr/psionic/portsentry/，即允許合法掃描的主機(jī)地址下面是配置情況：Exclude all local interfaces 所有的本地網(wǎng)絡(luò)IPExclude the default gateway(s)默認(rèn)網(wǎng)關(guān)IP啟動(dòng)檢測(cè)模式：最后啟動(dòng)檢測(cè)模式，對(duì)應(yīng)TCP和UDF兩種協(xié)議方式，分別有三種啟動(dòng)模式，如下所示：portsentrytcp，TCP的基本端口綁定模式；portsentryudp，UDP的基本端口綁定模式；portsentrystcp，TCP的秘密掃描檢測(cè)模式；portsentrysudp，UDP的秘密掃描檢測(cè)模式；portsentryatcp，TCP的高級(jí)秘密掃描檢測(cè)模式；portsentryaudp，UDP的高級(jí)秘密掃描檢測(cè)模式。一般情況下，建議使用秘密掃描檢測(cè)模式或高級(jí)秘密掃描檢測(cè)模式。使用高級(jí)秘密掃描檢測(cè)模式(Advanced Stealth Scan Detection Mode)，PortSentry會(huì)自動(dòng)檢查服務(wù)器上正在運(yùn)行的端口， 然后把這些端口從配置文件中移去， 只監(jiān)控其它的端口。這樣會(huì)加快對(duì)端口掃描的反應(yīng)速度，并且只占用很少的CPU時(shí)間。啟動(dòng)PortSentry的命令如下：/usr/psionic/portsentry/portsentry atcp/usr/psionic/portsentr/portsentr sudp測(cè)試如下：?jiǎn)?dòng)PortSentry后，可以用掃描器掃描服務(wù)器，進(jìn)行測(cè)試PortSentry檢測(cè)到掃描后，會(huì)采取措施進(jìn)行阻擊，并在/Usr/local/psionic/portsentry目錄下生成對(duì)應(yīng)的文件，文件記錄了發(fā)動(dòng)攻擊的主機(jī)的信息。同時(shí)，TCPWrappers會(huì)把非法主機(jī)的IP添加到/etc/。這樣既切斷了與非法主機(jī)之間的通信，又在服務(wù)器上還保留了其犯罪的證據(jù)和時(shí)間記錄，讓它無(wú)處遁形，不可能再有進(jìn)一步的非法行為。蠕蟲(chóng)病毒是通過(guò)網(wǎng)絡(luò)或者系統(tǒng)漏洞進(jìn)行傳播，它還會(huì)在本地的UDP/69端口上建立一個(gè)tftp服務(wù)器。蠕蟲(chóng)選擇目標(biāo)IP地址的時(shí)候會(huì)首先選擇受感染系統(tǒng)所在子網(wǎng)的IP，然后再按照一定算法隨機(jī)在互連網(wǎng)上選擇目標(biāo)攻擊。一旦連接建立，蠕蟲(chóng)會(huì)向目標(biāo)的TCP/135端口發(fā)送攻擊數(shù)據(jù)。如果攻擊成功，會(huì)監(jiān)聽(tīng)目標(biāo)系統(tǒng)的TCP/4444端口作為后門(mén)。然后蠕蟲(chóng)會(huì)連接到這個(gè)端口，發(fā)送tftp命令，回連到發(fā)起進(jìn)攻的主機(jī)，然后運(yùn)行它。 配置過(guò)程以防范沖擊波病毒為例，命令如下：SW3(config)accesslist 101 deny tcp any any eq 135 ；阻止感染病毒的PC向其它正常PC的135端口發(fā)布攻擊代碼SW3(config)accesslist 101 deny udp any any eq tftp ；限制目標(biāo)主機(jī)通過(guò)tftp下載病毒S(config)accesslist 101 deny icmp any any ；阻斷感染病毒的PC向外發(fā)送大量的ICMP報(bào)文，防止其堵塞網(wǎng)絡(luò)SW3(config)int f0/1 ；應(yīng)用與f0/1端口SW3(configif)ip accessgroup 101 in ；針對(duì)于進(jìn)入端口的流量： 配置ACL過(guò)濾蠕蟲(chóng)病毒配置ACL之后，系統(tǒng)便能過(guò)濾大多數(shù)蠕蟲(chóng)病毒。具體配置過(guò)程如下：SW1(config)int f0/1SW1(configif)switch mode accessSW1(configif)switch portsecurity ；啟動(dòng)交換機(jī)端口安全性 SW1(configif)switch portsecurity maximum 1 ；設(shè)置最大連接數(shù)為1SW1configif)switch portsecurity macadd sticky ；粘性獲取MAC地址SW1(configif)switch portsecurity violation shutdown ；檢測(cè)到?jīng)_突時(shí)端口關(guān)閉同理f0/24配置相同，配置結(jié)束后F0/： F0/2端口安全性測(cè)試時(shí)在該交換機(jī)f0/2上接入一個(gè)新PC時(shí)，交換機(jī)的端口立即關(guān)閉。七、總結(jié)與展望（一）工作總結(jié)圖書(shū)館自動(dòng)化網(wǎng)絡(luò)系統(tǒng)是用戶(hù)服務(wù)水平高低的決定性因素，特別是為高校教學(xué)、科研的服務(wù)的高校圖書(shū)館網(wǎng)絡(luò)系統(tǒng)，隨著網(wǎng)絡(luò)技術(shù)和軟、硬件的快速發(fā)展，也面臨著機(jī)遇與挑戰(zhàn)。本著建設(shè)一個(gè)擴(kuò)展性好、穩(wěn)定性高、兼容性強(qiáng)的原則，建設(shè)了一個(gè)完整的圖書(shū)館網(wǎng)絡(luò)系統(tǒng)。主要是做了以下幾個(gè)方面的工作：(1)從圖書(shū)館網(wǎng)絡(luò)系統(tǒng)的需求開(kāi)始分析研究，對(duì)系統(tǒng)中的軟、硬件設(shè)施進(jìn)行了細(xì)致的分析比較，結(jié)合漢中職業(yè)技術(shù)學(xué)院圖書(shū)館網(wǎng)絡(luò)系統(tǒng)的實(shí)際需求，確定了圖書(shū)館網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)的目標(biāo)和原則，給出高校圖書(shū)館網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)方案。(2)對(duì)VLAN技術(shù)和常用網(wǎng)絡(luò)技術(shù)進(jìn)行了詳細(xì)的研究分析，以及對(duì)VLAN的理論方法、組建條件以及技術(shù)進(jìn)行了研究和實(shí)踐。(3)對(duì)圖書(shū)館網(wǎng)絡(luò)系統(tǒng)安全進(jìn)行了研究分析，并且針對(duì)系統(tǒng)中存在的安全問(wèn)題進(jìn)行了分析并提出了一些解決措施。（二）展望圖書(shū)館網(wǎng)絡(luò)系統(tǒng)是多種技術(shù)融合的體系結(jié)構(gòu)，隨著網(wǎng)絡(luò)技術(shù)、存儲(chǔ)技術(shù)的飛速發(fā)展，圖書(shū)館網(wǎng)絡(luò)也將受到巨大的沖擊。在存儲(chǔ)技術(shù)方面，隨著網(wǎng)絡(luò)速度的提升，穩(wěn)定性逐漸加強(qiáng)，基于網(wǎng)絡(luò)的SAN架構(gòu)將成為存儲(chǔ)的主流。在網(wǎng)絡(luò)技術(shù)方面，萬(wàn)兆以太網(wǎng)足夠滿(mǎn)足現(xiàn)階段以及未來(lái)一段時(shí)間內(nèi)城域骨干網(wǎng)帶寬需求（）。其次萬(wàn)兆以太網(wǎng)最長(zhǎng)傳輸距離可達(dá)40公里，且可以配合10G傳輸通道使用，足夠滿(mǎn)足大多數(shù)城市城域網(wǎng)覆蓋。10G以太網(wǎng)可以應(yīng)用在校園網(wǎng)、城域網(wǎng)、企業(yè)網(wǎng)等。但是由于當(dāng)前寬帶業(yè)務(wù)并未廣泛開(kāi)展，人們對(duì)單端口10G骨干網(wǎng)的帶寬沒(méi)有迫切需求，所以10G以太網(wǎng)技術(shù)相對(duì)其他替代的鏈路層技術(shù)并沒(méi)有明顯優(yōu)勢(shì)。但隨著將來(lái)廣泛開(kāi)展的寬帶業(yè)務(wù)，例如視頻組播、高清晰電視和實(shí)時(shí)游戲等，10G以太網(wǎng)技術(shù)將得到廣泛使用，推動(dòng)網(wǎng)絡(luò)健康有序的發(fā)展。參考文獻(xiàn)[1] 韓秀梅，高等學(xué)校數(shù)字圖書(shū)館建設(shè)解決方案:(碩士學(xué)位論文)遼寧工程技術(shù)大學(xué)，2003.[2] 李松，[J]，低壓電器，2007.[3] (第三版)[M]，北京:清華大學(xué)出版社，2000.[4] [J]，現(xiàn)代圖書(shū)情報(bào)技術(shù)，2001.[5] 顧錦旗等編著，實(shí)用網(wǎng)絡(luò)存儲(chǔ)技術(shù)，上海:上海交通大學(xué)出版社，2002.[6] Stakutis of a LAN at thes Peed of a SAN[C].Storage Management solution，1999。102一155.[7] 趙文輝著，網(wǎng)絡(luò)存儲(chǔ)技術(shù)，北京:清華大學(xué)出版社，2005.[8] [J]，蒙古科技與經(jīng)濟(jì)，2007.[9] 李冬林，圖書(shū)館網(wǎng)絡(luò)安全探析[J]，集團(tuán)經(jīng)濟(jì)研究，2006.[10] 高永強(qiáng)，人民郵電出版社，2003.致 謝歷時(shí)將近兩個(gè)月的時(shí)間終于將這篇論文寫(xiě)完，在論文的寫(xiě)作過(guò)程中遇到了無(wú)數(shù)的困難和障礙，都在同學(xué)和老師的幫助下度過(guò)了。尤其要感謝寧芳露老師姜春霞老師，他們對(duì)我進(jìn)行了無(wú)私的指導(dǎo)和幫助，不厭其煩的幫助進(jìn)行論文的修改和改進(jìn)。另外，在校圖書(shū)館查找資料的時(shí)候，圖書(shū)館的老師也給我提供了很多方面的支持與幫助。在此向幫助和指導(dǎo)過(guò)我的各位老師表示最中心的感謝！感謝這篇論文所涉及到的各位學(xué)者。本文引用了數(shù)位學(xué)者的研究文獻(xiàn)，如果沒(méi)有各位學(xué)者的研究成果的幫助和啟發(fā)，我將很難完成本篇論文的寫(xiě)作。感謝我的同學(xué)和朋友，在我寫(xiě)論文的過(guò)程中給予我了很多有用素材，還在論文的撰寫(xiě)和排版燈過(guò)程中提供熱情的幫助由于我的學(xué)術(shù)水平有限，所寫(xiě)論文難免有不足之處，懇請(qǐng)各位老師和學(xué)友批評(píng)和指