摘 要：随着信息技术的快速发展，国内外高校信息化建设水平日益提高，大多数高等院校建立了校园网络体系，在信息技术为高校带来便利的同时，信息安全问题变得日益突出。为解决校园网的安全问题，结合安徽中医药高等专科学校的实际情况及设计方案，提出了校园网网络安全体系部署。本文的研究成果为其他高校校园网络的建设具有一定的参考和借鉴价值。

　　关键词：校园网;网络安全;安全体系;安全部署;安全实现

　　校园网在学校日常的教学、科研、管理工作方面发挥除了巨大作用。利用网络可以实现对信息更快的传递、更加充分的对网络资源进行共享、提高工作效率、更加合理的利用和配置优质教学资源。随着网络规模、用户数量以及网络开放程度的日益增大，校园网的安全问题也就快速显现出来。大多数高校校园网都面临着严峻的网络威胁，这些威胁主要来自人为疏忽和技术漏洞，致使网络易受恶意软件、黑客或病毒的攻击，这些都严重影响了校园网网络系统的使用和正常工作的开展。可以说，在各所高校网络建设过程中，网络安全问题已经成为一个我们无法回避、不得不面对的首要问题。如何保证校园网的安全，已成为当前高校数字化校园发展的重要问题[1-2]。面对网络安全威胁逐渐增加，采取怎样的措施来解决这些网络安全问题变的至关重要，笔者结合安徽中医药高等专科学校的实际情况及设计方案，提出了校园网网络安全体系部署。

　　1 网络设备及网络安全设备选型

　　综合后期升级维护且可以有效利用资源，我们提出如下选型：

　　1.1 核心层交换机。核心层交换机一般都是三层交换机或者三层以上的交换机，该层设备对于冗余能力、可靠性和传输速度方面要求较高。根据校园网整体需要，核心交换机应该具有极高的转发速率、第3层支持、千兆以太网/万兆以太网、链路聚合、冗余组件、服务质量(QoS)等功能。综合考虑，安徽中医药高等专科学校核心交换机选用是锐捷RG-S8600高密度多业务IPV6核心路由交换机。该交换机面向十万兆平台设计的下一代高密多业务IPV6核心路由交换机，支持下一代的以太网100G速度接口，满足未来以太网络的应用需求，提供14横插槽设计，10竖插槽设计和6横插槽设计三种主机。

　　1.2 汇聚层交换机。这一层交换机的主要功能是实现路由，重新分配路由协议、访问表，包过滤和排序，网络安全如防火墙等;在Vlan之间进行路由，以及其他工作组所支持的功能;定义组播域和广播域等策略。安徽中医药高等专科学校核心交换机选用是锐捷RG-S5750系列安全智能的万兆多层交换机，该设备可以提供12个SFP千兆光口，又可以提供24或48个10/100/1000M自适应的千兆电口，还可以提供PoE远程供电的接口，所以说它的接口形式和组合非常灵活。

　　1.3 接入层交换机。接入交换机一般用于直接连接电脑，校园网接入层主要特点为突发流量大，上网时间集中，网络布点分撒，难于统一管理，所以在接入层的认证方式采用802.1X。 综合考虑，安徽中医药高等专科学校接入交换机选用是锐捷RG-S2300系列千兆安全智能交换机，通过实施多种多样的安全策略，有效防止和控制网络病毒扩散，更可提供基于硬件的IPV6 ACL，方便未来网络的升级扩展。高级QOS机制适应网络中多业务的顺利开展，为服务质量提供保证。

　　1.4 防火墙。防火墙一般是作用在外网与内网、公共网与专用网之间的一道安全屏障，它主要由硬件和软件共同组成，它在Intranet与Internet之间建立起一个安全网关(Security Gateway)，以达到保护内部网络不受外部网络的攻击，防火墙一般由包过滤、应用网关、服务访问规则、验证工具四个部分组成。综合考虑，安徽中医药高等专科学校接入交换机选用是CISCO ASA5540-K8。

　　1.5 NPE40系列网络出口引擎。RG-NPE(Network outPut Engine，网络出口引擎)基于多核处理器技术进行构架，具备转发高性能，内嵌状态防火墙，此外，NPE针对国内普遍存在的NAT进行优化，该产品融入了智能DNS和多链路负载均衡技术，使得用户对内外访问都能智能选择最优最快速路径;集成了DPI引擎，让网络管理者轻松应对P2P等应用的流量控制;重构了Web界面，让NPE网络出口引擎的专业在设备管理维护层面变得简化。

　　1.6 RG-SNC智能网络指挥官网管系统。网管系统主要可以进行网络设备的远程控制、设置、维护、管理，从而大大的降低了网络维护工作的繁杂、耗时性。该系统还具有主动式网管的功能，可积极主动的收集网络信息，对网络信息和网络变更情况及时备份，及时恢复故障点。

　　2 网络系统安全技术实现

　　2.1 VLAN划分。考虑到校园网的多用户，多楼宇等复杂性，本方案准备对虚拟局域网进行划分的依据是网络层，不同的网络层划分成不同的网段，这种划分的方法不牵涉到网络层路由，只是根据网络中每个主机的网络层地址或协议类型来划分。实际操作中本方案将学校网络划分为多个VLAN，教学区和学生宿舍分开，每个楼宇使用不同的编号表示，比如，办公楼为111，教学楼211，以此类推。

　　2.2 用户认证。用户认证是网络安全一个重要组成部分，本方案将施行统一实名身份认证体系。如图1所示，通过ESS建立校园网公共认证平台，可实现有线用户、无线用户、远程访问的VPN用户的统一认证，同时，可以实现有线无线的统一拓扑管理、批量配置及实时告警等功能。

　　2.3 数据备份与恢复。网络数据是系统赖以生存的基础，一些重要的数据一旦丢失或损坏都将造成不可估量的损失。如何确保数据的完整性，备份数据是唯一的解决方案，在数据备份上安徽中医药高等专科学校使用全盘备份与差分备份相结合。

　　2.4 流量控制。网络出口处部署NPE40系列网络出口引擎和ACE应用控制引擎。NPE系列网络出口引擎在x-flow框架下建起了一个高性能，高稳定的转发平台，可以更加完善的状态检测防火墙，对P2P等应用的流量控制等功能。RG-ACE流量控制引擎以DPI(Deep Packet Inspect，深度包检测)技术为中心，支持软硬件Bypass，提供了基于七层应用的带宽管理和应用优化功能。

　　通过上述安全设备及安全技术，经实际运行检测，较大程度的保护校园网络安全。任何一个网络安全体系的构建都不会是无懈可击、一劳永逸的，随着网络技术的发展，各种新型的网络攻击手段会层出不穷。因此，这需要不断的发展和研究新的网络安全技术，以应对可能出现的新问题。

　　本文网络安全构建也只是部分安全措施的实施，对一些重要的安全措施还没有涉及，比如入侵检测系统(IDS)，数据加密技术等。在对该方案实施的过程中，会根据具体问题对方案进行进一步的修改、优化和完善，希望通过本文可以为其他高校的校园网安全构建提供参考，从而使校园网可以更加安全、稳定、可靠的服务广大师生。

　　参考文献：

　　[1]胡道元.网络安全[M].北京：清华大学出版社，2004.295―296.

　　[2]邓小莉，黄正荣.论校园网网络安全的现状及对策[J].科技信息，2009(4)：503.

　　[3]李小志.高校校园网络安全分析及解决方案[J].现代教育技术国防科技大学，2008(3)：92.

　　[4]杜洪志.校园网信息安全与防范体系探析[J].管理学家，2011(23)：166-167.

　　[5]肖阳，李阳.校园网络的多层安全体系研究[J].中南林业科技大学学报，2010(4)：170-172.

　　[6]薛硕.校园网络安全体系构建研究[J].中国电子商务，2010(12)：263-264.