【正文】 RADIUS, LDAP, RSA216。 基于用戶ID定義對(duì)交換機(jī)的管理– AAA 服務(wù)216。 Layer 3 (IP 源地址/目的地址)216。 基于以下特征設(shè)置對(duì)交換機(jī)的管理和訪問216。 Boink attack216。 Teardrop attack216。 Pepsi attack (UDP)216。 Ping of Death attack216。 Port scan216。主要可以采用以下的方法，來保證交換機(jī)的安全，具體如下：Alcatel公司OmniSwitch系列交換機(jī)支持DOS(拒絕服務(wù))攻擊保護(hù)，針對(duì)最常見的DoS攻擊進(jìn)行了防護(hù)，確保在受到攻擊時(shí)交換機(jī)不會(huì)癱瘓，增強(qiáng)了系統(tǒng)和網(wǎng)絡(luò)的可用性。支持DOS(拒絕服務(wù))攻擊保護(hù) ，確保在受到攻擊時(shí)交換機(jī)不會(huì)癱瘓，增強(qiáng)了系統(tǒng)和網(wǎng)絡(luò)的可用性。、網(wǎng)絡(luò)設(shè)備的安全性管理167。當(dāng)Trap 顯示和采取管理員預(yù)先定義的回應(yīng)措施，可產(chǎn)生如下結(jié)果：1. 中斷報(bào)錯(cuò)的用戶端口2. 生成過濾表 (on port / VLAN / Switch / Network)3. 將報(bào)錯(cuò)端口移入隔離的虛網(wǎng)這樣就可將中毒的機(jī)器與應(yīng)用網(wǎng)絡(luò)隔離開來。、應(yīng)用層面的攻擊檢測(cè)和消除（與防火墻、INDS安全聯(lián)動(dòng)）防火墻只能保證外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的入侵，但在校園網(wǎng)內(nèi)部，有很多學(xué)生的模擬攻擊，對(duì)網(wǎng)絡(luò)的安全構(gòu)成很大的威協(xié)，需要一個(gè)很好的內(nèi)部安全策略，利用ALCATEL的AQE（自動(dòng)入侵隔離引摯）/OmniVista ，可以與防火墻和NIDS、IDP聯(lián)動(dòng)，只要防火墻、NIDS檢測(cè)到網(wǎng)絡(luò)中有攻擊行為時(shí)，就會(huì)發(fā)出一個(gè)LOG信息到AQE系統(tǒng)，順利找到攻擊點(diǎn)，然后，AQE分別向ALCATEL交換機(jī)發(fā)出指令，隔離相應(yīng)的主機(jī)，或過濾相應(yīng)的主機(jī)通信。如果主機(jī)沒有通過主機(jī)完整性檢測(cè)，安全策略服務(wù)器給交換機(jī)發(fā)出一個(gè)檢測(cè)信息,用戶電腦則被放進(jìn)一個(gè)特定的隔離的虛網(wǎng)。 主機(jī)認(rèn)證的安全性的完整信息。 認(rèn)證信息包括用戶名和密碼。 系統(tǒng)檢測(cè)代理只有主機(jī)檢測(cè)代理檢測(cè)系統(tǒng)安全的情況下,才能打開與交換機(jī)連接相應(yīng)的通信端口。 防火墻代理,216。、主機(jī)強(qiáng)制性免疫檢測(cè)網(wǎng)絡(luò)利用ALCATEL的主機(jī)強(qiáng)制性免疫檢測(cè)功能,使用用戶認(rèn)證(Authenticator is workgroup switch)，利用交換機(jī)端口與安全免疫區(qū)服務(wù)器系統(tǒng)的聯(lián)動(dòng)，對(duì)主機(jī)強(qiáng)制進(jìn)行安全免疫，每臺(tái)主機(jī)安裝有檢測(cè)主機(jī)完整性的代理:216。Alcatel公司OmniSwitch8800交換機(jī)支持SSH、SNMPV3和SSL加密，確保校園網(wǎng)中交換機(jī)所有的管理數(shù)據(jù)進(jìn)行加密，使網(wǎng)絡(luò)管理十分安全。在校園網(wǎng)絡(luò)中，使用戶無論位于網(wǎng)絡(luò)的任一地，只要通過認(rèn)證，所連接的交換機(jī)端口，即可允許電腦訪問校園網(wǎng)絡(luò)的資源167。同時(shí)與校園網(wǎng)絡(luò)目錄服務(wù)或域用戶名和密碼集成，用戶不需要記兩套用戶名和密碼。具有比傳統(tǒng)驗(yàn)證更快的優(yōu)點(diǎn)。在校園網(wǎng)絡(luò)中，基于LDAP和RADIUS的用戶驗(yàn)證，使用戶無論位于網(wǎng)絡(luò)的任一地點(diǎn)，均可通過驗(yàn)證授權(quán)訪問重要的數(shù)據(jù)資源。、用戶在網(wǎng)絡(luò)中移動(dòng)和限止任意訪問策略針對(duì)校園網(wǎng)絡(luò)的用戶，需要在全校園網(wǎng)絡(luò)內(nèi)靈活機(jī)動(dòng)，無論其在網(wǎng)絡(luò)的哪里接入，只要用合法的用戶名和密碼，就可訪問相應(yīng)的網(wǎng)絡(luò)資源。 WEB216。 支持與域服務(wù)器用戶統(tǒng)一的密碼系統(tǒng) 客戶端支持：216。 校驗(yàn)用戶身份216。 RADIUS216。支持如下的驗(yàn)證：216。具有比傳統(tǒng)驗(yàn)證更快的優(yōu)點(diǎn)。、內(nèi)部網(wǎng)絡(luò)權(quán)限控制和身份驗(yàn)證交換機(jī)用戶驗(yàn)證對(duì)重要數(shù)據(jù)的訪問保護(hù)：在校園網(wǎng)絡(luò)中，可利用交換機(jī)的用戶驗(yàn)證功能，使用戶無論位于網(wǎng)絡(luò)的任一地點(diǎn)，均可通過驗(yàn)證授權(quán)訪問重要的數(shù)據(jù)資源。防止IP盜用和IP沖突，可采用端口綁定的策略，任何非成功嘗試將導(dǎo)致SNMP trap，可完全消除IP地址沖突的問題。如下圖所示：167。相互之間通過一定的訪問策略來實(shí)現(xiàn)資源的訪問控制。 基于端口、MAC地址、第三層地址、端口綁定、協(xié)議類型和用戶自定義的 VLAN216。同一個(gè)邏輯工作組中的用戶，可以不受物理網(wǎng)段位置的限止，通過一定的策略，定義網(wǎng)絡(luò)資源的訪問權(quán)限。在內(nèi)網(wǎng)絡(luò)中可以通過在交換機(jī)上，基于一定的策略，把用戶分為不同的“邏輯工作組”（VLAN），而不改變網(wǎng)絡(luò)的物理連接。167。并且實(shí)施的過濾策略的數(shù)量與系統(tǒng)性能沒有關(guān)系。 支持內(nèi)部發(fā)起連接的Reflexive 端口216。 源/目的 TCP amp。 源/目的 槽位/端口、源MAC216。它能夠按源和/或目標(biāo)IP和TCP信息域發(fā)送包。IP Filtering是一種硬件路由ASIC，IP Filtering以線速控制網(wǎng)絡(luò)、主機(jī)和硬件中的服務(wù)。、網(wǎng)絡(luò)安全系統(tǒng)具體規(guī)劃167。如何管理好學(xué)校的校園網(wǎng)，貫徹好關(guān)于信息網(wǎng)絡(luò)化“積極發(fā)展，加強(qiáng)管理，趨利避害，為我所用”的十六字方針，是學(xué)校和教育部門必須面對(duì)的問題。嚴(yán)格對(duì)網(wǎng)絡(luò)系統(tǒng)、安全設(shè)備的管理，加強(qiáng)對(duì)校園網(wǎng)用戶的安全意識(shí)教育和安全技術(shù)培訓(xùn)，提高整體安全防范能力。216。 利用交換機(jī)的用戶驗(yàn)證功能，對(duì)公共數(shù)據(jù)的訪問可采用用戶驗(yàn)證5) 防病毒設(shè)計(jì)：216。 針對(duì)上網(wǎng)比較集中的網(wǎng)段（如學(xué)生機(jī)房、宿舍等），設(shè)置Internet訪問控制管理系統(tǒng)，對(duì)學(xué)生的上網(wǎng)行為進(jìn)行管理和監(jiān)控，設(shè)置內(nèi)容掃描和過濾，限制學(xué)生訪問黃、賭、毒、暴等網(wǎng)站；利用經(jīng)濟(jì)手段，引導(dǎo)學(xué)生提高上網(wǎng)效率，把校園網(wǎng)的作用最大限度地發(fā)揮出來；4) 身份識(shí)別：216。 利用交換機(jī)的端口隔離功能，使用戶相互隔離。 利用交換機(jī)多樣的VLAN策略（8種），各部門間可劃分VLAN隔離；216。2) 存取權(quán)限限制：針對(duì)整個(gè)校園網(wǎng)和部分重要的網(wǎng)段（如校長(zhǎng)辦公、財(cái)務(wù)、人事、教研中心、重要實(shí)驗(yàn)室等），提供以下安全策略：216。 在校園網(wǎng)INTERNET出口，配置一臺(tái)硬件防火墻，利用防火墻和交換機(jī)的NAT和PAT功能，提供IP地址的轉(zhuǎn)換和隱藏。、網(wǎng)絡(luò)安全策略就如同現(xiàn)實(shí)的校園生活一樣，紀(jì)律的約束和安全策略的制定是確保校園秩序穩(wěn)定的前提條件。 加強(qiáng)校園網(wǎng)內(nèi)部的安全管理，提高全體用戶的安全意識(shí)。 對(duì)針校園網(wǎng)的攻擊行為以及從校園網(wǎng)發(fā)出的攻擊行為，必須能夠?qū)崟r(shí)檢測(cè)并阻斷。 加強(qiáng)對(duì)網(wǎng)絡(luò)病毒的防范，防止網(wǎng)絡(luò)病毒在校園網(wǎng)泛濫。 針對(duì)Web服務(wù)器，要加強(qiáng)防攻擊和防主頁篡改能力。 加強(qiáng)對(duì)校園網(wǎng)的內(nèi)部應(yīng)用服務(wù)器和應(yīng)用系統(tǒng)的安全保護(hù)，加強(qiáng)用戶身份認(rèn)證和 訪問控制等安全管理功能，防范非授權(quán)訪問，防范敏感信息泄密。 加強(qiáng)對(duì)學(xué)生上網(wǎng)時(shí)間的控制，防止學(xué)生無節(jié)制地上網(wǎng)，特別是通宵達(dá)旦地在網(wǎng) 絡(luò)上聊天、游戲等。 加強(qiáng)對(duì)學(xué)生上網(wǎng)行為的管理，凈化學(xué)生心靈，限制學(xué)生訪問Internet上的反動(dòng)、 色情、暴力等不健康網(wǎng)站和網(wǎng)頁。 要加強(qiáng)對(duì)校園網(wǎng)特別是對(duì)外服務(wù)器網(wǎng)段和內(nèi)部服務(wù)器等重點(diǎn)網(wǎng)段的保護(hù)，校園網(wǎng)與外網(wǎng)之間的訪問連接必須得到控制；辦公、教研網(wǎng)絡(luò)要和非辦公、教研網(wǎng)絡(luò)隔離。由于學(xué)生群體集中的特點(diǎn)，一旦某種網(wǎng)絡(luò)生活方式在學(xué)生中形成，會(huì)使這一方式以巨大的力量和極快的速度在青年學(xué)生間相互影響并傳播開去。 167。系統(tǒng)要采取多層保護(hù)和防范措施，既要防止局域網(wǎng)外非法用戶的侵入，又要保證局域網(wǎng)內(nèi)的工作人員分級(jí)按權(quán)限操作，同時(shí)要保證系統(tǒng)長(zhǎng)期穩(wěn)定地運(yùn)行。啟用IGMP協(xié)議，在接入二層交換機(jī)上，利用IGMP snooping，支持IP組播應(yīng)用，使局域網(wǎng)能夠?qū)σ曨l、語音和數(shù)據(jù)多媒體等應(yīng)用具體良好的支持，滿足現(xiàn)在和可預(yù)知的應(yīng)用。目前流行的操作系統(tǒng)都支持IGMP和IP組播協(xié)議。、在IP網(wǎng)絡(luò)上配置組播的策略 為了能在校網(wǎng)和服務(wù)提供商網(wǎng)絡(luò)上成功地配置IP組播，必須首先確認(rèn)網(wǎng)絡(luò)中的第二層交換機(jī)能夠控制組播流量的泛洪傳播。由于具有上述這些優(yōu)點(diǎn)，稀疏模式組播能在局域網(wǎng)中得到很好的運(yùn)用。一旦離主機(jī)最近的路由器把用戶加入到已存在的分發(fā)樹中后，或者再建立一個(gè)新的分發(fā)樹，視頻數(shù)據(jù)就開始流向需要它的用戶。例如當(dāng)用戶在PC上采用點(diǎn)擊方式申請(qǐng)視頻點(diǎn)播信息時(shí)，一個(gè)“報(bào)文”信息就會(huì)發(fā)送到離主機(jī)最近的路由器處，路由器將回復(fù)一個(gè)信息通知這個(gè)視頻流點(diǎn)播的組地址，以及這個(gè)組的數(shù)據(jù)集合點(diǎn)地址。 當(dāng)數(shù)據(jù)到達(dá)了集合點(diǎn)后，組播數(shù)據(jù)包被復(fù)制并沿著分發(fā)樹路徑把數(shù)據(jù)傳給對(duì)其感興趣的接收者。 對(duì)于發(fā)送端來說，如果想要給特定的地址發(fā)送數(shù)據(jù)，那么要首先在集合點(diǎn)進(jìn)行注冊(cè)后直接把數(shù)據(jù)發(fā)向集合點(diǎn)。 目前最流行的稀疏模式組播協(xié)議是稀疏模式下的PIM協(xié)議（ProtocolIndependent MulticastSparse Mode，PIMSM），它認(rèn)為網(wǎng)絡(luò)中只有通過IGMP報(bào)文進(jìn)行申請(qǐng)時(shí)才能得到所需要的數(shù)據(jù)包，數(shù)據(jù)集合點(diǎn)在網(wǎng)絡(luò)中構(gòu)建，這些集合點(diǎn)是一些虛擬的數(shù)據(jù)交換地點(diǎn)。網(wǎng)絡(luò)界傾向于采用稀疏模式組播，因?yàn)樗谟脩魯?shù)目稀少和眾多的情況下都可以正常工作，并且針對(duì)少數(shù)用戶的組播進(jìn)行了優(yōu)化。 稠密模式下的典型路由協(xié)議是距離向量組播路由協(xié)議（Distance Vector Multicast Routing Protocol，DVMRP）以及開放最短路徑路由協(xié)議的組播擴(kuò)展（Extensions to Open Shortest Path First，MOSPF）。例如，一個(gè)網(wǎng)絡(luò)若有200個(gè)子網(wǎng)，而其中僅僅有5個(gè)用戶希望用組播的方式進(jìn)行視頻會(huì)議，這時(shí)若通過稠密組播方式來傳送2Mbps的視頻數(shù)據(jù)時(shí)，將會(huì)在200個(gè)子網(wǎng)中的每個(gè)局域網(wǎng)段中產(chǎn)生2Mbps的數(shù)據(jù)，力圖使那5個(gè)用戶能準(zhǔn)確接收到信息，在這種情形下，巨大的不必要數(shù)據(jù)流量將對(duì)局域網(wǎng)性能產(chǎn)生嚴(yán)重的負(fù)面影響。那些沒有活躍用戶的路由器，例如沒有IGMP報(bào)文產(chǎn)生的路由器，將從分發(fā)樹中被修剪掉。 l 稠密模式組播 稠密模式組播把數(shù)據(jù)包用泛洪的方法傳遞給網(wǎng)絡(luò)中每個(gè)路由器的所有網(wǎng)絡(luò)接口，網(wǎng)絡(luò)中的任何一個(gè)路由器都知道每個(gè)目前活動(dòng)的發(fā)送者的組地址和每個(gè)數(shù)據(jù)源地址。組播路由器不僅要知道數(shù)據(jù)將傳往何處，而且知道數(shù)據(jù)是從何處傳來的。 組播路由建立了一個(gè)從數(shù)據(jù)源端到多個(gè)接收端的無環(huán)數(shù)據(jù)傳輸路徑。相反，一個(gè)組播應(yīng)用程序發(fā)送一個(gè)數(shù)據(jù)包給一組希望接收數(shù)據(jù)的接收者（組播地址），而不是僅僅傳送給一個(gè)接收者（單播地址）。 167。在這個(gè)環(huán)境中，數(shù)據(jù)傳向組中的所有成員，不是組中成員的用戶不會(huì)收到這些數(shù)據(jù)，正如圖3中的黑色箭頭指示的方向。組中的所有成員都能接收到數(shù)據(jù)包，因此為了接收數(shù)據(jù)包，必須首先成為組的成員，而數(shù)據(jù)包的發(fā)送者并不需要是組中的成員。然而在IP組播的環(huán)境中，數(shù)據(jù)包的目的地址不是一個(gè)而是一組，形成組地址。、IP組播中的組動(dòng)態(tài) IP組播依靠虛擬組地址（Virtual Group Address）的概念進(jìn)行工作。簡(jiǎn)單來說，IP組播是一種保存帶寬的技術(shù)，它采用的方式是把一個(gè)單獨(dú)的信息流同時(shí)傳送到許多接收者那里，從而減少了網(wǎng)絡(luò)的流量，IP組播技術(shù)對(duì)于像視頻會(huì)議、視頻點(diǎn)播、遠(yuǎn)程教育和實(shí)時(shí)訓(xùn)練等應(yīng)用來說非常適合。廣播方式也不利于信息的安全和保密。、解決實(shí)際問題的可行方案 當(dāng)信息（包括數(shù)據(jù)、語音和視頻）傳送的目的地址是網(wǎng)絡(luò)中的少數(shù)用戶時(shí)，可以采用多種傳送方式，例如可以采用單播（Unicast）的方式，即為每個(gè)用戶單獨(dú)建立一條數(shù)據(jù)傳送通路；或者采用廣播（Broadcast）的方式，把信息傳送給網(wǎng)絡(luò)中的所有用戶，不管他們是否需要，都會(huì)接收到廣播來的信息。網(wǎng)絡(luò)支持IGMP和 DVMRPvPIMSM等組播路由協(xié)議，可實(shí)現(xiàn)在局域網(wǎng)中，不同IP網(wǎng)絡(luò)間，實(shí)現(xiàn)良好的組播和視頻點(diǎn)播應(yīng)用。IP組播還能減輕服務(wù)器的負(fù)擔(dān)，提高電子商務(wù)應(yīng)用程序的效率，從而革命性地改變網(wǎng)絡(luò)的性能，節(jié)省大量的經(jīng)費(fèi)，并能帶來更多新的增值服務(wù)。IP組播就是為了解決這個(gè)棘手問題而開發(fā)出來的。例如在一個(gè)網(wǎng)絡(luò)上有2000個(gè)用戶需要接收相同的信息時(shí)，傳統(tǒng)的解決方案要么把這一信息分別發(fā)送2000次，以便確保需要數(shù)據(jù)的用戶能夠得到所需的數(shù)據(jù)；要么采用廣播的方式，在整個(gè)網(wǎng)絡(luò)范圍內(nèi)傳送數(shù)據(jù)，需要這些數(shù)據(jù)的用戶可直接在網(wǎng)絡(luò)上獲取。如下圖所示：167。三層服務(wù)器負(fù)載均衡，對(duì)所有訪問服務(wù)器的服務(wù)應(yīng)用請(qǐng)求，根據(jù)多種策略，動(dòng)態(tài)分配到每一臺(tái)服務(wù)器上，克服以上難以預(yù)期問題的出現(xiàn)。為了確保網(wǎng)絡(luò)的正常運(yùn)行，不會(huì)因網(wǎng)絡(luò)的并行用戶的增加、服務(wù)器的單點(diǎn)故障、某些服務(wù)器的應(yīng)用故障等難以預(yù)期的問題出現(xiàn)。隨著用戶數(shù)量的增加，實(shí)際情況是，一臺(tái)服務(wù)器往往不能完成這個(gè)任務(wù)，就需要增加多臺(tái)服務(wù)器來完成這個(gè)工作。、支持服務(wù)器負(fù)載均衡在局域網(wǎng)應(yīng)用中，有時(shí)一臺(tái)服務(wù)器是不能完全滿足應(yīng)用的要求，例如互動(dòng)多媒體應(yīng)用、視頻、音頻應(yīng)用，對(duì)交換機(jī)和服務(wù)器提出了更高的要求，要同時(shí)達(dá)到成百上千個(gè)多媒體的請(qǐng)求，就需要服務(wù)器具有同時(shí)完成上千個(gè)（每個(gè)幾百K）請(qǐng)求的能力。網(wǎng)絡(luò)支持IGMP和 DVMRPvPIMSM等組播路由協(xié)議，可實(shí)現(xiàn)在校園網(wǎng)絡(luò)中，不同IP網(wǎng)絡(luò)間，實(shí)現(xiàn)良好的組播和視頻點(diǎn)播應(yīng)用。167。、支持端到端的QOS服務(wù)本方案網(wǎng)絡(luò)匯聚層交換機(jī)層ALCATEL OmniSwitch 8800，支持多種QOS映射，可完成接入交換機(jī)到接入交換機(jī)的QOS映射，識(shí)別所有QOS服務(wù)，實(shí)現(xiàn)端到端的QOS服務(wù)。 帶寬管理：基于進(jìn)入的溢出帶寬限止，每個(gè)隊(duì)列支持以57kbps單位的帶寬增量，來控制通信的帶寬，根據(jù)不同應(yīng)用，充分合理利用網(wǎng)絡(luò)帶寬資源，實(shí)現(xiàn)帶寬控制。 隊(duì)列管理：不同應(yīng)用，實(shí)行隊(duì)列管理，每個(gè)端口支持4個(gè)硬件隊(duì)列優(yōu)先級(jí)。一個(gè)有效的QOS戰(zhàn)略應(yīng)實(shí)現(xiàn)有效的擁塞回避機(jī)制從而避免長(zhǎng)時(shí)間持續(xù)的擁塞。這些技術(shù)反饋網(wǎng)絡(luò)擁塞信息給數(shù)據(jù)源，使得數(shù)據(jù)源降低其數(shù)據(jù)發(fā)送速率，最終消除網(wǎng)絡(luò)擁塞。 所有路由交換機(jī)會(huì)根據(jù)這個(gè)流量標(biāo)志對(duì)該流量進(jìn)行相應(yīng)服務(wù)質(zhì)量類別的處理，從而保證極佳的IP服務(wù)，提供一個(gè)分類和網(wǎng)絡(luò)聚合流的優(yōu)先級(jí)216。167。、高帶寬通信平臺(tái)在網(wǎng)絡(luò)主干使用先進(jìn)的路由交換機(jī)，提供極高的吞吐量和IP路由能力，從而為諸如聲音和圖像等傳輸數(shù)據(jù)流的應(yīng)用提供了一條高帶寬、低延遲通信通道，骨干采用2X1000M鏈路，接入鏈路采用1000M接入到核心層。本方案主要從以下方面完善QOS服務(wù)。本方案利用ALCATEL路由交換機(jī)能夠根據(jù)廣泛的管理策略路由交通，使完成這項(xiàng)工作操作簡(jiǎn)便。視頻、話音、數(shù)據(jù)信息之間爭(zhēng)搶信道的現(xiàn)象將會(huì)十分突出，這就需要有完善的QoS（網(wǎng)絡(luò)服務(wù)質(zhì)量）管理機(jī)制。167。 三層冗余備份： OSPF ECMP（等價(jià)多路徑協(xié)議）、VRRP路由冗余協(xié)議 216。在方案設(shè)計(jì)時(shí)，從系統(tǒng)上可采用多種措施來提高整個(gè)網(wǎng)絡(luò)的可靠性，主要包括：216。 通信模塊相互獨(dú)立/模塊化，可實(shí)現(xiàn)模塊冗余備份，所有的模塊均支持熱插拔167。 可配置多個(gè)AC電源 ，電源失敗自切換，冗余恢復(fù)不會(huì)影響交換機(jī)工作。 管理模塊故障切換時(shí)間縮短小于10秒，管理模塊切換期間L2/L3數(shù)據(jù)交換保持連