网络教育站点安全性能的改进.doc

1 网络教育站点安全性能的改进摘要: 网络教育站点的安全是网络教育机构组织不得不严肃考虑的问题。除了建立网络安全策略用于指导和规范各网络教育管理人员的网络安全管理职责外, 对网络教育站点的安全改进是使站点安全运行的重要方法。本文从服务器主机选择、虚拟网络( VLAN )运用和划分原则、服务器主机和服务器软件的配置、服务器管理等四方面论述了如何对网络教育站点进行安全改进。关键词: VLAN ;网络隔离;服务器;安全模式 Abstract The security work education WEB sites isa problem work anization should consider. The improvement of the security on the WEB sites is an important way for the operation of the sites, besides the emphasis of the established strategies for guidance and duty of working staff. In this paper, the improvements on the security of the WEB sites are reviewed based on the selection of servers, sorting work, application of VLAN, configuration of server- hardware and software, and management of servers. 2 Key Words VLAN ;work; server; safe model 1 教育站点服务器主机的选择在选择教育站点服务器主机时, 除了考虑诸如功能、性能和价格等因素外,更重要的要考虑安全需求,服务器很多, 但它们的安全性能是不一样的, 要使教育站点具有安全性就必须选择满足安全需求的服务器, 网络教育站点的安全需求一般包括: ⑴较小的易受攻击性⑵只能由授权用户进行管理的限制能力⑶拒绝访问服务器中没有发布的信息的能力⑷关闭操作系统或服务器软件中不必要的网络服务的能力⑸访问各种外部可执行程序(如 CGI scripts 、服务器 plug-ins )的可控能力 3 ⑹为侦测入侵或企图入侵, 记录教育站点服务器活动的能力2 教育网络分段及虚拟网络( VLAN )运用和划分原则对局域网来说, 网络分段和 VLAN 的运用是保证教育网络安全的有效措施。 教育网络分段改善安全性能。教育网络分段是保证安全的一项重要措施, 同时也是一项基本措施,其指导思想在于将非法用户与网络资源相互隔离, 从而达到限制用户非法访问的目的。教育网络分段可分为物理分段和逻辑分段两种方式: 物理分段通常是指将网络从物理层和数据链路层(ISO/OS I 模型中的第一层和第二层) 上分为若干网段, 各网段相互之间无法直接通讯。目前, 许多交换机都有一定的访问控制能力,可实现对网络的物理分段。逻辑分段则是指将整个系统在网络层( ISO/OSI 模型中的第三层)上进行分段。例如,对于 TCP/IP 网络,可把网络 4 分成若干 IP 子网,各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接, 利用这些中间设备( 含软件、硬件) 的安全机制来控制各自网间的访问。在实际应用过程中可采取物理分段与逻辑分段相结合的方法来实现对网络系统的安全性能控制。 运用 VLAN 改变安全性能以太网从本质基于广播机制, 但应用了交换和 VLAN 技术后, 实际上转变为点到点通讯, 除非设置了监听口, 信息交换也不会存在监听和插入(改变)问题。由以上运行机制带来的网络安全的好处是显而易见的: 信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。通过虚拟网设置的访问控制, 使在虚拟网外的网络节点不能直接访问虚拟网内节点。 VLAN 之间的划分原则 5 VLAN 的划分方式的目的是保证系统的安全性。因此,可以按照系统的安全性来划分 VLAN ; 可以将主要的服务器系统单独划分作一个 VLAN , 如数据库服务器、电子邮件服务器等。也可以按照教育机构、对象的设置来划分 VLAN , 如可以按照教育机构服务器管理员所在的网络单独作为一个 leader VLAN(LVLAN) ,其它层次的分别作为另一个或几个 VLAN , 并且控制 LVLAN 与其他 VLAN 之间的单向信息流向,即允许 LVLAN 查看其他 VLAN 的相关信息,其他 VLAN 不能访问 LVLAN 的信息。 VLAN 之内的连接采用交换实现, VLAN 与 VLA