校园局域网安全设计毕业设计

校园局域网安全设计毕业设计目录摘要............................................. 错误！未定义书签。

Abstract ......................................... 错误！未定义书签。

第一章绪论 (1)1.1研究背景及意义 (1)1.2网络安全设计基础 (1)第二章校园网安全威胁 (8)2.1校园内网安全分析 (8)2.2校园外网安全分析 (9)第三章设计简介及设计方案 (11)3.1设计简介 (11)3.2设计方案 (11)第四章物理层安全设计方案 (13)4.1设备和线路冗余 (13)4.2网络中心机房与账户安全管理 (15)4.3数据安全管理 (16)第五章数据链路层安全设计方案 (19)5.1加密技术 (19)5.2 MAC地址绑定 (21)5.3 VLAN网段划分 (23)第六章网络层安全设计方案 (25)6.1防火墙的分类 (25)6.2 网络中的三个安全区域 (26)6.3典型防火墙系统设置 (27)第七章 WLAN安全设计方案 (32)7.1无线局域网的特点 (32)7.2无线局域网的整体安全 (32)7.3无线网络安全措施 (32)第八章各层次设计解决方案配置 (40)8.1 Packet Tracer模拟环境简介 (40)8.2 链路冗余与负载均衡解决方案模拟 (42)8.3 MAC地址绑定解决方案模拟 (44)8.4 VLAN划分解决方案模拟 (47)8.5防火墙NAT转换解决方案模拟 (49)8.6 防火墙访问控制列表解决方案模拟 (52)8.7 WLAN配置解决方案模拟 (56)总结 (59)致谢 (60)参考文献 (61)附录 (62)附录A：各解决方案源码 (62)附录B：中文原文 (68)附录C：英文翻译 (71)第一章绪论1.1研究背景及意义1.1.1研究背景随着网络的全面发展和普及，网络安全已成为当今IT领域中最热门的话题，同样也是校园网管理最头疼的一个领域。

因为网络安全事故可能随时发生，并且其灾难后果也难以预测，就像我们生活中的交通事故一样。

现在的网络安全问题不再仅是几个计算机病毒那么简单。

以前的计算机保护系统安全策略保护策略早已不能满足现在的网络安全需求。

因为现在的网络安全已经自成系统，不再是网络的一个可有可无的附属品，已成为计算机网络中必不可少的一个组成部分。

为此，本文主要是针对校园网络安全当前的网络安全现状提出多种解决方案，创建一个稳健运行的校园安全网络。

1.1.2目的及意义网络安全保护的最终目的是预防各种各样的非法入侵、网络访问和网络攻击。

但是因为非法入侵、访问和攻击的方式、角度，或者途径可能各不相同所以才会有基于各种不同角度和不同层次的安全防火技术和方案。

校园局域网网建设是一项综合性非常强的系统工程，它包括了网络系统的总体规划、硬件的选型配置、系统管理软件的应用以及人员培训等诸多方面。

因此在校园网的建设工作中必须处理好实用与发展、建设与管理、使用与培训等关系，从而使校园网的建设工作健康稳定地开展。

本文的主要就是针对总体建设中涉及的安全问题进行分析与规划设计，最后并对大部分解决方案进行模拟实现。

健全的安全体系不仅为校园网今后的维护减少了不必要的麻烦，而且对因为安全问题而造成的损失也减少了不必要的开支。

1.2网络安全设计基础1.2.1网络安全的发展网络安全的大战与网络技术的发展几乎是同步的。

最早的网络是由连接哑铃终端到中央服务器的串行点到点线路构成的。

要突破这样的简单系统，只需要获得对终端或串行终端口的物理访问权限即可。

这时的网络安全主要体现在物理安全机制上。

为了增加用户访问的灵活性，后来在串行端口上增加调制调解器（MODEM），这使得用户和攻击者都可以从电话线路到达任何地方进行访问。

他们主要通过拨号式扫描方式寻找应答MODEM，从而获得未授权访问的机会。

试试的系统主要通过回拨技术来保证的。

在计算机网络发展的初级阶段，资源的共享成为了计算机网络的主要功能。

互联网诞生后，在计算机用户能够从单个系统交换和访问到大量外部网路上的共享信息的同时，也为黑客敞开了寻的攻击机会和攻击方式。

因此随后出现了第一代防火墙技术，用它来从入口上确保外部网络用户对内部网络访问的安全（因为防火墙的保护原理就是“防外不防内”）。

但第一代防火墙技术只是基于两台过滤型路由器之间的堡垒主机在TCP/IP的网络连接级提供保护。

“堡垒主机”就相当于通信线路上设置的第一道关卡（在此以战争年代的“城堡”进行类比），经过这些主机的通信流都需要进行各种特定的过滤，只有符合了相应过滤条件的通信流才允许通过。

随着计算机网络技术的发展，“网络安全防护”与病毒、攻击网络等似乎成了相辅相成的产业，因为其中都牵涉到巨大的产业链和经济利益，使得网络安全形势更加严峻。

在利益的驱动下，入侵与反入侵、攻击与反攻击技术都得到了长足的发展，攻击技术和攻击方式也变得越来越复杂，越来越隐蔽。

因此也催生了以后的多代防火墙技术，同时也诞生了许多其他网络安全技术和设备，如入侵检测系统（Intrusion Detection System，IDS）、入侵防御系统（Intrusion Prevention System，IPS）和网络隔离设备等。

这时“网络安全系统”的概念才逐渐在人们的脑海中形成，就像当初由“计算机网络”产生现在的“计算机网络系统”一样。

所以，“网络安全系统”是从“网络安全”发展而来的。

1.2.2网络安全的属性从本质上讲，计算机网络安全就是网络的信息安全。

凡是涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。

网络安全具有以下几个基本属性。

可靠性可靠性是网络信息系统能够在规定条件下、规定时间内完成规定功能的特性。

可靠性是系统安全的基本要求之一，是所有网络信息系统的基本目标。

保密性保密性是网络信息不被泄露给非授权用户、实体或供其利用的特性，即当信息服务被使用，而不被泄露给非授权个人或实体。

保密性是在可靠性和可用性基础之上，保障网络信息安全的重要手段。

可用性可用性是网络信息可被授权实体访问并按要求使用的特性，即当信息服务被使用时，允许授权用户或实体使用的特性，或者是网络部分受损需要降级使用时，仍能为授权用户提供可用网络服务的特性。

可用性是网络信息系统面向用户的安全性能重要体现。

网络信息系统最基本的功能是向用户提供服务，而用户的需求是随机的、多方面的、有时还有时间的需求。

网络信息系统的可用性一般用系统正常使用时间和整个工作时间之比来度量。

可用性还应该满足以下要求：身份验证、访问控制、业务流控制、路由选择控制、审计跟踪。

完整性完整性是确保信息在传输过程中不被删除、修改、伪造、乱序、重放、插入等破坏和丢失。

完整性是一种面向信息安全的安全性，要求保持信息的原样，即信息正确的生成、存储和传输。

完整性与保密性不同，保密性要求信息不被泄露给未授权的人，而完整性则要求信息不致受到各种原因的破坏。

可控性可控性是对网络信息的传播及内容具有控制能力的特性，即网络系统中的任何信息要在一定传输范围和存放空间内可控。

可控性最重要的体现是全局监控、预警能力和应急响应处理能力。

全局预警就是要建立全局性安全状况收集系统，对于新的安全漏洞和攻击方法能及时了解，针对体系内局部发生的安全入侵等事件响应。

不可抵赖性不可抵赖性也称不可否认性，是指通信双方在信息交互过程中，确保参与者本身以及参与者提供的信息的真实同一性，即所有参与者都不能否认或抵赖本人的真实身份，以及提供信息的原样性和完整的操作与承诺。

1.2.3网络信息安全威胁网络安全保护的最终目的是预防各种各样的非法入侵者、网络访问和网络攻击。

但因为非法入侵、访问和攻击的攻击。

网络中的敏感数据有可能泄露或被修改，从内部网向公共网传送的信息可能被其他人窃听或篡改等。

影响计算机网络安全的因素很多，如有意的或无意的、人为的或非人为的等，外来黑客对网络系统资源的非法使用更是影响计算机网络安全的重要因素。

具体情况有以下几种：人为的疏忽人为的疏忽包括：失误、失职、误操作等。

例如操作员安全配置不当导致的安全漏洞，用户安全意识不强，用户密码选择不慎，用户讲自己的账号随意转借给他人或其他人共享等，都会对网络安全构成威胁。

人为的恶意攻击这是计算算计网络所面临的最大威胁，敌人的攻击和计算机犯罪就属于这一类。

此类攻击有可以分为主动攻击和被动攻击两种方式。

主动攻击是以各种方式有选择地破坏信息的有效性和完整性。

被动攻击是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要的机密信息。

这两种攻击均对计算机网络造成极大的危害，并导致机密数据的泄漏。

网络软件的漏洞网络软件不可能无缺陷和漏洞，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。

曾经出现过的黑客攻入网络内部的时间，大多是由于安全措施不完善导致的。

另外，软件的隐秘通道都是软件公司的设计编程人员为了自己方便而设置的，一般不为外人所知，但一旦隐秘通道被探知后果将不堪设想，这样的软件不能保证网络的安全。

非授权访问没有预先经过同意，就是用网络或计算机资源被视为非授权访问，如对网络设备资源进行非正常使用，擅自扩大权限或越权访问信息等。

主要包括：假冒、身份攻击、非法用户进入网络系统进行违法操作，合法用户以未授权方式进行操作等。

信息泄露或丢失信息泄露或丢失是指敏感数据被有意或无意地泄露或丢失，通常包括：在传输中泄露或丢失，例如黑客们利用电磁泄露或搭线窃听等方式截获机密信息，或通过对信息流向、流量、通信频度和长度等参数分析，进而截获有用的信息。

破坏数据完整性破坏数据完整性是指以非法手段得到对数据信息的使用权，删除、修改、插入或重发某些重要信息，恶意添加、修改数据，以干扰用户的正常使用。

1.2.4网络信息安全机制网络信息安全机制定义了实现网络信息安全服务的技术措施，包括所使用的可能方法，主要是利用密码算法对重要而敏感的数据进行处理。

网络信息安全机制，通常包括以下八种。

加密机制加密是提供数据保密性的基本方法，用加密方法和认证机制相结合，可提供数据的保密性和完整性。

加密形式可适用于OSI参考模型的不同层（会话层除外），加密机制还包括密钥管理机制。

数字签名机制数字签名是解决信息安全特殊问题的一种方法，适用于通信双方发生了下列情况的安全验证。

在网络通信中，数字签名的安全性必须具有可证实性、不可否认性、不可伪造性和不可重用性。

访问控制机制访问控制是指处理主体对客体访问的权限设置的合法性问题，一个主体只能访问经过授权使用的给定客体。

否则，访问控制机制的审计跟踪系统会自动拒绝访问，并给出时间报告的跟踪审计信息。

数据完整性机制数据完整性主要解决数据单元的完整性和数据单元序列的完整性。