安全策略越来越成为学校计算机网络的关键因素。特别是随着多协议新业务的发展、电子商务、网上办公、各种中间业务的应用，学校网络不再是一个封闭的网络，极大地扩展了学校的业务，提高了学校的竞争力，但同时也带来网络安全的风险。网络设计中必须制定网络安全策略，保证内部网络的完整性和安全性。
所谓安全威胁，就是未经授权，对位于服务器、网络和桌面的数据和资源进行访问，甚至破坏或者篡改这些数据/资源。从安全威胁的对象来看，可以分为网络传送过程、网络服务过程和软件应用过程三类。网络传送过程主要针对数据链路层和网络层协议特征中存在的漏洞进行攻击，如常见的监听、ip地址欺骗、路由协议攻击、ICMP Smurf攻击等；网络服务过程主要是针对TCP/UDP以及局域其上的应用层协议进行，如常见的UDP/TCP欺骗、TCP流量劫持、TCP Dos、FTP反弹、DNS欺骗等等；软件应用过程则针对位于服务器/主机上的操作系统以及其上的应用程序，甚至是基于WEB的软件系统发起攻击。从安全威胁的手法来看，蠕虫、拒绝服务、舰艇、木马、病毒……都是常见的攻击工具。
宝鸡职业学院网络安全体系架构为学校提供整体的、可扩展的、高性能的、灵活的安全解决方案。采用模块化的方法根据用户需求制定安全的设计、实施和管理。在设计每个模块时，都考虑到一些关键的因素，包括潜在可能的威胁或侵入及相应的对策、性能（不能因为安全控制带来不可接受的性能下降）、可扩展性、可管理性、服务质量和语音的支持等。
1路由器和交换机的安全功能
博达路由器实现的网络安全技术有：
VPN技术：IPSec、GRE
包过滤技术
AAA技术、Radius、Tacacs+认证
日志功能
NAT网络地址转换
PPP协议PAP、CHAP认证
PPP协议Callback技术
IP地址－MAC地址绑定技术
路由信息认证技术
IEEE 802.1Q VLAN技术
安全措施
7610、S8506、S6806和S2224提供了丰富的安全技术和措施。较为有效的措施有：设备本身的安全管理，包括设置用户管理权限，用户密码等；用户接入的认证，可以提供802.1X，Web认证等多种用户认证方式；端口和MAC地址等的绑定和过滤功能，端口用户数限制等功能。
其他的辅助措施还包括广播风暴抑制，端口限速等。
1.1基于包过滤的防火墙技术
博达路由器支持基于包过滤的防火墙技术，防火墙访问列表根据IP报文的IP报头及所承载的上层协议（如TCP）报头中的每一个域包含了可以由路由器进行处理的信息。包过滤通常用到的IP报文的以下属性：
IP的源、目的地址及协议类型
TCP或UDP的源、目的端口
ICMP码、ICMP的类型码
TCP的标志域
服务类型TOS
IP报文的优先级（precedence）
博达路由器的访问表还提供了基于时间的包过滤，可以规定过滤规则发生作用的时间范围，在此时间范围以外，不进行由时间定义的访问规则判断。在时间段的设置上，可以采用绝对时间段和周期时间段以及连续时间段和离散时间段配合使用，在应用上提供极大的灵活性。
1.2 AAA技术、Radius、Tacacs+认证
博达路由器AAA技术提供了对用户的验证、授权和记帐功能。
（1）验证功能
各种用户（包括登录、拨号接入用户等）在获得访问网络资源（包括路由器）之前必须先经过验证。验证时可以选择是采用本地维护的用户数据库，还是采用Radius服务器所维护的用户数据库，或者是采用Tacacs+服务器所维护的用户数据库。
博达路由器支持与AAA技术相结合的Radius、Tacacs+认证。
（2）授权功能
通过定义一组属性来限定用户的权限信息，来确定用户的访问权限。这些信息存放在相应的用户数据库内。
（3）记帐功能
该功能使得路由器可以对用户访问的网络资源进行跟踪记录，当选择了该项功能时，用户的访问信息便会存入相应的用户数据库内，根据数据库，就可以产生各类用户帐单信息。
1.3日志功能
日志（log）功能用于将路由器产生的各种信息以日志形式记录到具备Syslog功能的主机上（如Unix主机或运行Syslogd的主机）。日志功能与访问列表功能相结合可以任意定义所要记录的信息，以备查用，如跟踪记录黑客攻击报文等。
1.4 NAT网络地址转换技术
网络地址转换，用来实现内部网络私有地址和外部网络公共地址的相互转换，它的优点在于避免了内部非法地址和外部公共地址间的冲突，屏蔽了内部网络的实际地址，隐藏了内部网络的结构，增强了对外部网络访问的可控性，也增强了外部网络对内部网络访问的可控性。
博达路由器支持静态地址翻译（SNAT）、端口地址翻译（PAT）、动态地址翻译（DNAT）。可以支持带访问列表的地址转换，用来限定可以进行地址转换的内部主机地址，有效地控制内部主机对外部网络的访问；同时还可以根据地址池，进行多对多的地址转换，合理地利用公共的合法IP地址资源；利用网络地址转换，可以在屏蔽内部地址的同时，确保了对外的各种网络服务的安全性。
1.5 IP地址－MAC地址绑定技术
MAC地址绑定技术是通过在路由器中静态配置IP地址和MAC地址的映射关系来完成ARP应答来实现的。原理如图所示：
博达ARP代理技术
可以看到，路由器不再动态的响应来自局域网的主机的ARP请求，当接收到一个ARP请求时，路由器首先检查请求报文的源IP地址，然后在自己的静态映射表中寻找与此相对应的MAC地址，如果没有寻找到相关映射，将对此报文不作任何处理，通信也就无法实现，从而保证了可能由无效IP地址的主机发起的攻击。如果寻找到相关映射，就回答一个ARP响应，当响应报文中的目的MAC地址域的值是用映射表中的MAC地址填充的，而不是依据请求报文中的源MAC地址域的地址值。这样，只有请求报文的MAC和静态映射的MAC一致时（即没有伪装IP），通信才可以建立，否则，如图所示，通信也不可能建立，从而防止IP地址的欺骗。
这种技术可以在S8510、S6806等交换机上实现。
1.6动态路由协议认证技术
路由器是根据路由信息来发送报文的，而路由信息恰恰又是通过网络在不同的路由器间转发的。所以，在接受任何路由信息之前，有必要对该信息的发送方进行认证，以确保收到的路由信息是合法的。需要对邻接路由器进行路由信息认证的有以下几种：
Ø Open Shortest Path First（OSPF）
Ø Routing Information Protocal Version 2（RIP-v2）
博达路由器支持RIP-v2、OSPF动态路由协议MD5认证。
1.7访问控制
也可以在核心交换机S8510或者汇聚交换机S6806上设置访问控制，比如限制不同网段之间的互访，但是允许这两个网段对中心服务器的访问。设置允许两个网段上特定的主机可以访问外网和Internet等。
在核心交换机上可以设置ACL访问控制列表，端口监控等，控制和管理特定服务，如允许Http、Mail、Ftp等服务，而禁止其他不需要的服务和端口，如禁止外部发起的ICMP报文等；采用NAT地址转换技术，实现上网。可以采用静态、动态NAT，PAT等多种方式，对于内部某些对外的服务器，如Web服务器、Mail服务器、DNS服务器、FTP服务器等，可以采用静态NAT方式建立内外网地址和特定端口之间的静态映射。而一般用户可以采用动态地址池，端口地址转换等方式实现上网。
同时，可以结合博达产品具有的time－range等功能，实现定时上网、定时开放服务等功能。
1.8 ARP防范
博达交换机具有以下四种ARP防范技术：
1、在接口下过滤ARP报文，防止冒充网关。
2、在接口下对ARP报文进行IP+MAC绑定，防止对网关的欺骗。
3、免费发放ARP RESPONSE报文，纠正主机错误的网关。
4、在接口下配置Filter功能，防ARP扫描攻击。
通过以上的四个功能，可以完全做到对arp欺骗和攻击的防治，其中，将arp报文的IP与MAC绑定这一功能可以彻底防止arp欺骗，但大的网络中实施起来有可能工作量比较大。因此我们一般情况下可以只启用第一个功能，防止伪造网关的MAC地址，通常的ARP病毒就这这种类型。
如果有需要才将主机的IP+MAC绑定，对于DHCP环境，我们可以在DHCP Server上进行IP+MAC绑定，即：给特定的MAC地址分配特定的IP地址，再在交换机上做ARP的IP+MAC绑定。
防arp攻击这项功能，在统计周期和吞吐量的设定上最好使用默认配，只需要在全局和端口下开启此功能即可。免费发放arp response报文是一个辅助手段，它可以让已经被欺骗的主机自动纠正过来，减少了维护的工作量。可以在汇聚交换机S6806上实现这个功能。防御接入层用户区域的ARP攻击或欺骗。
1.9主机的安全
主机是最可能被攻击的目标之一，同时从安全方面也有最多的困难。学校网中有很多不同的硬件平台、操作系统、和应用程序。因为主机要向网络中其他机器提供服务，所以主机在网络中必须是可见的，因此主机是最可能被尝试侵入的。为保证主机的安全，需要注意到系统中的每一部件。保持操作系统和防毒软件的及时的更新；安装适当的经过测试的补丁程序。
| 
