如何维护校园网络安全
如何维护校园网络安全，随着校园网络的普及,校园网络的安全问题直接影响着学校各项教育教学活动的开展，校园网络安全也越来越被重视，那如何维护校园网络安全呢？下面就和大家一起接着往下看吧！
网络边缘安全区
网络边缘安全区所处的位置在校园网络与外网的衔接处，处在整个校园网络的边界区域，这个区域的物理设备主要的功能一是通过电信接入Internet。 二是通过学校接入中国教育网。三是联接学校内网并实现校内资源共享上网。四是发布对外服务器和提供远程访问服务。网络边缘安全区直接面临的就是外部高风险连接，在这个网络区域的物理设备既要保证联接外网又要保证校园网络正常事务的运行。所以网络边缘安全区的
网络边缘安全区
主要需求为：
禁止外部用户非法访问校内网络资源。校园网络进出的流量记录信息。将校园网络内网IP地址隐藏。有条件的提供安全的远程访问服务。具备检测和抵御入侵的能力。确保校园网络用户身份真实可靠，这是保证校园网络安全的最基本要求，当然合法的用户也会做出威胁校园网络安全的事情，还需详细记录用户对网络资源的访问行为和访问信息，便于之后的审计和追溯。
确保校园网络用户身份真实可靠
核心汇聚安全区
核心汇聚安全区域的设备是整个校园网络的关键节点，在校园网络中确保所连接的主干网络高速和稳定的传输，并作为校园网络流量的汇聚中心，核心汇聚设备在控制数据传输方面起着重要作用。核心汇聚安全区主要需求为：
根据具体用途划分VLAN网段。各网段间实施访问控制。根据用途对设备端口进行绑定。对设备端口的最大连接数进行限制。预防病毒流量的传输。划分VLAN，主要是缩小了广播域，一方面是防止基于广播的病毒感染整个校园网络，比如近期的勒索病毒就是一个基于广播的病毒。另一方面可以实现某.种用途的访问控制，这样就能控制VLAN间的数据传输，比如办公段、宿舍区段、校园卡段等。
某校园网络的拓扑图
接入层安全区
接入层安全区主要面临的威胁是接入主机感染的病毒利用二层协议的相关漏洞进行攻击，如MAC地址泛洪攻击、ARP欺骗攻击等。接入层设备直接与用户的主机相连，如何识别接入主机用户身份的合法性也是接入层设备在部署和配置时要做的工作。另外校园网络提供的接入点数量庞大，而且用户成份不同，可能人为的造成端口环路的现象。因此，接入层安全区的需求为：
配置接入主机对应的VLAN段。主机端口绑定。采用二次身份认证。设备接入主机数限制。防ARP攻击。端口环路检测。服务器群安全区
校园网络的服务器主要集中在计算机中心机房，主要有学校的门户网站服务器、VP N服务器以及各种应用系统服务器。为了确保这些服务器的安全主要从管理、技术和防范三个方面入手。根据服务器的用途可以分成对外服务和对校内服务两个安全区域。对外的服务器区放置的服务器相对于校园内网的服务器来说属于高风险区域，所以必须将对外服务器区与校园内网的通讯进行控制。另外校园内网中各种应用服务器安全性也不相同，为了防止出现被入侵的服务器成为“肉鸡”，来进一步攻击其它的'服务器，所以在服务器之间还需要实施隔离。服务器安全区的需求为：
服务器隔离。端口访问控制。设置DMZ区。防病毒。漏洞扫描。补丁升级。建立日志服务器。目前还没有专门收集各个网络设备日志以备事后审计和追溯的円志服务器。如果要查看某个网络设备的日志，必须通过该设备提供的接口访问查询，相对比较麻烦，所以建立日志服务器，定期对日志服务器进行审计，可以及时发现安全风险，及时杜绝安全漏洞。
杜绝安全漏洞
主机安全区
校园网络中每一个客户端带来的安全威胁主要是病毒和木马，它们可以作为一个校园网络的接入点，对校园网络造成威胁。主机安全区的需求主要为安装网络安全软件，如防病毒软件、桌面防火墙软件、漏洞扫描工具和补丁升级软件等，尽可能的保证接入主机的安全。
确保主机安全
其它的安全需求
传输线路的安全。校园网络传输线路所经过的物理位置必须远离具有电磁千扰、福射干扰等数据信号干扰源(如东侧的移动和联通的倍号驻站)。校园网络线路的安全传输。必须采取相应的检测手段来减少传输线路中数据的侦听、窃取、QoS下降及欺骗等。加强网络维护人员的管理。配置门禁系统、监控系统，增强相关设施的安全保卫，对进入机房的人员进行管理(比如刷校园卡进行管理)，建立《机房出入记录日志》。
对校园网络目前的现状进行调研。通过基于专家评分的网络安全评估方法对校园网络进行风险评估，得到校园网络安全处在高风险的结果，针对校园网络的安全现状及暴露的安全问题，通过拓扑结构将校园网络划分成网络边缘安全区、核心汇聚安全区、接入层安全区、服务器群安全区和主机安全区五个区域分别的进行了安全需求分析，最后补充了其它方面的安全需求，最终完善了校园网络的安全需求。
校园网络分为内网和外网，就是说他们可以上学校的内网也可以同时上互联网，大学的学生平时要玩游戏购物，学校本身有自己的服务器需要维护；
在大环境下，首先在校园网之间及其互联网接入处，需要设置防火墙设备，防止外部攻击，并且要经常更新抵御外来攻击；
由于要保护校园网所有用户的安全，我们要安全加固，除了防火墙还要增加如ips，ids等防病毒入侵检测设备对外部数据进行分析检测，确保校园网的安全；
外面做好防护措施，内部同样要做好防护措施，因为有的学生电脑可能带回家或者在外面感染，所以内部核心交换机上要设置vlan隔离，旁挂安全设备对端口进行检测防护
内网可能有ddos攻击或者arp病毒等传播，所以我们要对服务器或者电脑安装杀毒软件，特别是学校服务器系统等，安全正版安全软件，保护重要电脑的安全；
对服务器本身我们要安全server版系统，经常修复漏洞及更新安全软件，普通电脑一般都是拨号上网，如果有异常上层设备监测一般不影响其他电脑。做好安全防范措施，未雨绸缪。
校园网络安全及防范措施
校园网络安全及防范措施校园网建设的宗旨，是服务于教学、科研和管理，其建设原则也无外乎先进性、实用性、高性能性、开放性、可扩展性、可维护性、可操作性，但人们大多都忽略了网络的安全性，或者说在建设校园网过程中对安全性的考虑不够。据美国FBI统计，美国每年因网络安全问题所造成的经济损失高达75亿美元，而全球平均每20秒钟就发生一起Internet计算机侵入事件。在我国，每年因黑客入侵、计算机病毒的破坏给企业造成的损失令人触目惊心。人们在享受到网络的优越性的同时，对网络安全问题变得越来越重视。由于学校是以教学活动为中心的场所，网络的安全问题也有自己的特点。
主要表现在：
1.不良信息的传播。在校园网接入Internet后，师生都可以通过校园网络在自己的机器上进入Internet。目前Internet上各种信息良莠不齐，有关色情、暴力、邪教内容的网站泛滥。这些有毒的信息违反人类的道德标准和有关法律法规，对世界观和人生观正在形成的学生来说，危害非常大。如果安全措施不好，不仅会有部分学生进入这些网站，还会把这些信息在校园内传播。
2.病毒的危害。通过网络传播的病毒无论是在传播速度、破坏性和传播范围等方面都是单机病毒所不能比拟的。特别是在学校接入Internet后，为外面病毒进入学校大开方便之门，下载的程序和电子邮件都可能带有病毒。
3.非法访问。学校涉及到的机密不是很多，来自外部的非法访问的可能性要少一些，关键是内部的非法访问。一些学生可能会通过非正常的手段获得习题的答案，使正常的教学练习失去意义。更有甚者，有的学生可能在考前获得考试内容，严重地破坏了学校的管理秩序。
4.恶意破坏。这包括对网络设备和网络系统两个方面的破坏。网络设备包括服务器、交换机、集线器、通信媒体、工作站等，它们分布在整个校园内，管理起来非常困难，某些人员可能出于各种目的，有意或无意地将它们损坏，这样会造成校园网络全部或部分瘫痪。另一方面是利用黑客技术对校园网络系统进行破坏。表现在以下几个方面：对学校网站的主页面进行修改，破坏学校的形象；向服务器发送大量信息使整个网络陷于瘫痪；利用学校的BBS转发各种非法的信息等。
2. 校园无线网存在的问题
非法用户侵入
无线局域网具有一定的特殊性，即开放性与易获取性，这虽然很大程度上方便了网络用户的信息查询，但也让非法用户有了可乘之机，即非法使用者未经授权便可使用到校园的网络资源，这不仅是对校园网络宝贵的无线信道资源的非法占用，还使得无线网在校园合法用户的服务质量方面得到了大大降低。
2.2网络监听
无线局域网具有开放访问的特点，这使得入侵者不需要借助窃听工具与技术，便可以在无线信号覆盖范围之内进行校园重要资讯的窃听、篡改以及转发，进而导致校园网络信息的泄密与丢失，严重威胁了校园的信息安全，对学校的建设与发展十分不利。
2.3高级入侵
非法网络攻击者一旦侵入无线网络，则网络中的其他系统也极易被破坏，这便进一步导致整个网络暴露于非法用户的面前，并让无线网络的安全隐患发展成为整个校园网络安全系统的漏洞，可见高级入侵所造成的负面效应和后果是十分严重的。
2.4信息重放
倘若校园无线网络安全防范工作没有做到位的化，则极易受到利用非法AP进行的中间人欺骗和攻击。而这种攻击不仅仅是对授权客户端进行欺骗，它还对AP进行了欺骗，进而对信息进行非法的窃取和篡改。
2.5拒绝服务
该类攻击方式，是校园无线网络所有攻击方式中，造成后果最为严重的一种攻击方式。拒绝服务又可划分为两种不同的子攻击方式。一种既是攻击者泛洪式的对AP进行攻击，以使AP拒绝提供服务。另外一种则是攻击者对某个节点进行攻击，以使它不停地提供服务或进行数据包的转发，进而将其能源耗尽，导致其未能继续进行工作。该种攻击方式又可称为能源消耗攻击，其对校园局域网的攻击后果通常来讲都十分严重。
2.6无线加密协议破解
目前互联网上存在的一些非法程序，能让违法分子通过对多个WEP弱密钥加密包的收集，来对WEP密钥进行分析与恢复，有的甚至可以在两小时内对WEP密钥进行攻破。
2.7地址欺骗和会话拦截
通常来讲，无线网络中的合法终端的MAC地址比有线网络中的地址要更容易获取，因此攻击者经常会通过非法侦听的方式来获取MAC地址，并利用这些MAC地址来对其他系统进行恶意攻击。另外，由于IEEE802.11标准协议未能对AP进行身份认证，这便有利于不法之徒伪装成AP进入网络，进而将合法用户的身份信息进行获取，然后通过拦截、会话实现对网络的攻击。
3. 校园网络
分类: 教育唤姿/学业/考试 >> 远程教育
问题描述:
我们这个楼城的校园网最近出现了一些问题:就是网络出现非常不稳定的问题,网络发送和接受大数据速度非常非常慢,(网络是连接上的,不断,也不显示网络冲突,有时候QQ聊天视频是连接上的,但是打字就是发送不出去)`经常不能开网页,只有在晚上的时候速度才比较快一点,我们3楼只有一台电脑不断(可以一直上,其他的电脑都是我说的这种情况)这个问题我一直都不解````急~~~大家能告诉我是什么原因吗?
解析:
校园网络采用两级结构：即主干网和子网。校园网的主干采用成熟的100M快速以太网，由网络中心用光纤联至各座大楼的分节点，再经分节点的交换机联接到大楼的各个用户。这种配置结构既保证了主干网信息可靠、高速、无瓶颈地传输，又为用户计算机接入提供了灵活、方便的手段。（附校园网络拓扑结构如图1所示）
2、校园网络的IP路由信息和访问范围的控制管理
校园网络主要采用TCP/IP网络协议，网上的路由器间需要交换路由信息，IP路由信息交换有动态和静态两种方式。采用静态路由协议，与上一级网络中心相连，不采用RIP主要原因是为了防止网络上不正确的路由信息对本校园网络的影响。
为了控制用访问一些网络采用IP的限制，在路由器上加入这两条指令：
ip access-group 100 out
access-list 100 permit ip 210.34.96.0 0.0.0.31 any
access-list 100 permit ip any 国内ip列表 ip反向mask
表示只有96网段上210.34.96.0-210.34.96.31的用户才能访问国外网站这样防止其他用户访问国外网站，造成国外流量剧增，从而增加经费开支。此外，有些校园网络和携绝web服务器的内容，如校园网络办公信息系统只能让校园网络内用户访问，在Web服务器设置定义源IP访问范围；利用网络的c类地址的超网掩码技术实现这一功能。210.34.96.0 mask 210.34.240.0 表示IP地址只有210.34.96.0-210.34.111.255的用户可以访问web Server, 也就是校园内部用户可以访问校园网络办公信息的内容。
3、校园网络设备防雷电的防范策略
由于雷电直击，雷电及其他电磁感应，未受保护的网络负载设备将被瞬态过电压破坏的数据传输、耗损元件、或者毁坏芯片，造成不稳定的性能、的硬件故障等问题。
3.1、针对建筑物防雷
建筑物的防雷主要通过安装避雷针来实现，它可以有效的防止雷击损害建筑物并大大降低了雷直接击中网络传输线和网络设备及电源线的可能性，一定程度上起到了网络防雷的作用。
3.2、网络设备电源防雷
电源防雷的主要作用是防止雷击过电压从电源供入端进入设备,保障设备以及数据传输畅通无阻。普通插座的接地端要接地，地线的好坏不但直接影响着电源防雷器的效能而且还影响到信号防雷器的效能。
3.3、信号端口防雷
尽管在电源和通信线路等外接引入线路上安装了防雷保护装置，由于雷击发生时网络线（如双绞线）感应到的过电压，会影响网络的正常运行甚至彻底破坏网络系统。在有外来线路进入的DDN或ISDN一定要在重要线路的网络接口上做相应的保护，如防火墙内外网接口。安装RJ45防雷器等，一旦有雷击就可以避免雷击造成网络设备的严重损失。
4、校园网络安全策略
在计算机网络日益扩展和普及的今天，计算机安全的要求更高，涉及面更广。不但要求防治病毒，还要提高系统抵抗外来非法黑客入侵的能力，还要提高对远程数据传输的保密性，避免在传输途中遭受非法窃取。
4.1、网络病毒的防御
在防治网络病毒方面，接受不明电子邮件，下载软件如：.zip .exe 等文件过程隐并中应特别加以注意。都有潜伏病毒的可能性。
对于系统本身安全性，主要考虑服务器自身稳定性，增强自身抵抗能力，杜绝一切可能让黑客入侵的渠道，避免造成对系统的威胁。对重要系统，必须加上防火墙和数据加密技术加以保护。
计算机系统安全是个很大的范畴，在操作系统、应用软件、硬件本身都可能出现的一些情况，平时应重视，加以防范。
4.2、web服务器安全预防措施：
1）对在web服务器上开的帐户，在口令长度及定期更改方面作出要求，防止被盗用。
2）在web服务器上去掉一些绝对不用的shell等之类解释器，即当在你的 cgi的程序中没用到perl时，就尽量把perl在系统解释器中删除掉。
3）设置好web服务器上系统文件的权限和属性，对可让人访问的文档分配一个公用的组如：，并只分配它只读的权利。把所有的HTML文件归属WWW组，由WEB管理员管理WWW组。对于WEB的配置文件仅对WEB管理员有写的权利。
4.3、在网络操作系统安全预防措施：
1）尽量使ftp, mail等服务器与之分开，去掉ftp,sendmail,tftp,NIS, NFS，finger,stat等一些无关的应用。
2）定期查看服务器中的日志logs文件，分析一切可疑事件。在errorlog 中出现rm, login, /bin/perl, /bin/sh等之类记录时，服务器可能有受到一些非法用户的入侵的尝试。
3）网络管理员要及时安装网络OS补丁程序。如windows2000有iis的漏洞，需要安装补丁程序sp1 sp2
5．利用防火墙增强网络的安全性和可管理性
当一个网络接上Inter之后，系统的安全除了考虑计算机病毒、系统的稳定之外，更主要的是防止非法用户的入侵。而目前防止的措施主要是靠防火墙的技术完成。防火墙(firewall)是指一个由软件或和硬件设备组合而成，处于网络群体计算机与外界通道(Inter)之间，限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。在构建安全网络环境的过程中,防火墙是一个系统，主要用来执行两个网络之间的访问控制策略, 通常应用防火墙的目的有以下几方面：限制他人进入内部网络；过滤掉不安全的服务和非法用户；防止入侵者接近网络系统；限定用户访问特殊站点；为监视局域网安全提供方便。
5.1、防火墙工作原理和防御过程
防火墙总体安全框架为： 物理地址－>IP地址－>身份认证－>应用层过滤，分别采用IP/MAC绑定，状态包过滤技术，身份认证，内容过滤等安全策略。通过这样的数据流程对内部网络进行全面的保护。
IP/MAC绑定技术方便了网络的IP地址管理，杜绝了内部网IP地址盗用，状态包过滤技术依据连接状态信息进行更加全面的过滤；而且在对包的网络层信息进行过滤的同时，更强调对应用层信息的过滤，因此大大提高了网络系统的安全性。在应用层实现内容过滤，主要是网页内容过滤，SMTP电子邮件标题过滤阻止病毒邮件，做到了防止外部网络不安全或管理员不希望通过的信息流入内部网络和限制内部网络的重要信息流到外部网络（如图2所示：）。
5.2、防火墙是构建整个网络安全体系的核心
防火墙是贯穿内部网络的整个防御过程：防火墙能够检测到通过防火墙的各种入侵、攻击和异常事件，并以相应的方式通知相关人员，安全员依据这些警报信息及时修改相应的安全策略，重新制定访问控制规则；由安全员分析审计信息，修正策略，制定新的过滤规则。防火墙和相应的操作系统应该用补丁程序进行升级且升级必须定期进行，以对付黑客新增的入侵攻击手段。
6. 结束语：一个网络系统的正常运行和安全防范是一项联系范围很广的任务，需要网络管理员日常工作经验不断地积累，加强专业知识的学习和技能提高。