应用领域

随着校园网络规模的不断扩大，网络安全越来越成为园区或校园网络成功运行的关键因素。特别是随着多协议、新业务的发展，网上教学、远程教育、银校一卡通等各种应用使教育网络不再是一个封闭的网络，网络建设中制定网络安全策略， 部署相应安全防护方案，保证校园网络的安全顺畅的运行成为迫切需要解决的问题。 本解决方案针对校园网络现阶段所面临的主要安全问题，如：多链路的负载均 衡，校园网络流量的监控分析，网络攻击的防范，网络病毒的防范，网络流量的控 制尤其是严重影响校园网络性能的 P2P软件流量的控制提出相应的解决方案，希望能对校园网络安全建设提供建设性的建议和帮助。 随着校园网络规模不断扩大，网络应用不断增加，网络已经成为老师和学生获得信息的主要手段之一，校园网络的规模从以前的几百用户迅速扩充到几千用户甚 至几万用户，越来越多的校园网络应用开始部署，网络变得从所未有的重要，一旦网络系统出现问题，5 分钟内网络中心的电话就会响个不停，网络的安全和稳定运行给网络中心老师带来很大的压力。通过思科公司对大量校园网络建设案例的跟踪 和调查，我们发现现阶段网络建设主要

面临以下几方面的问题：
●  网络流量增长得很快，与此同时网络运营商的接入费用不降反升
●  管理人员对校园网的运行情况缺乏基本的分析和管理工具
●  网络安全事件时有发生，重要服务器和核心网络设备被攻击
●  网络病毒以及 P2P 流量泛滥，得不到控制
●  有线用户和无线用户的接入控制，定位缺乏手段

针对这些问题，STONESOFT 公司建议校园网络建设参考其特有的安全流量管理 STM（Security Traffic Management）指导性框架，根据具体情况部署相应解决方案，从而实现校园网络的安全稳定运行。此架构是建立在  StoneSoft  先进的应用产品平台上的，因此可以提供最高级的安全、性能、扩展性和吞吐量。
 
解决方案

以下是  StoneSoft  专门为满足学校的需要而提供的解决方案。并且还讨论了在 不同情况下校园网面临的挑战，以及在应用了StoneSoft的解决方案后获得的收益。StoneSoft  公司面向校园园区网络安全流量管理蓝图的主要目标是，为用户提 供有关设计和实施安全网络的最佳案例信息。安全流量管理可作为正考虑其网络安 全性要求的网络设计人员的指南。安全流量管理在网络安全设计方面采用了深层次 自动的防御的方式。这类设计的重点在于所预测出的威胁及自动减轻威胁的方法，而不是单纯地“将防火墙放在这儿，将入侵检测系统放在那儿”等。该策略带来了一 种安全分层方式，这样，一个安全系统的故障就不大可能引发对整个网络资源的损坏。安全流量管理以 StoneSoft 及其合作伙伴的产品为基础。
●安全性是过程而不只是简单的产品。
●网络的所有访问点都是安全性目标。
●解决安全性与攻击问题的基础应该是综合的安全性策略。
●成功的安全解决方案要求在整个网络基础设施上采用集成化保护，而不能只考虑某些专用安全性设备。
●安全解决方案必须能在独立模块中部署，保证提供成本效益、可扩展性和灵活性。
●通过对服务进行分层安排和提供冗余，安全流量管理最大限度减少存在潜在脆弱性的方面。
●针对关键资源和子网的入侵检测、对关键网络资源的用户和管理员验证与授权。
●对新兴联网应用的支持。
●安全性易于管理和报告提供。
 

1. 双重供应– 多归路

随着互联网对校园的影响越来越大，随着学校越来越依靠IP应用来完成关键任务，在保证网络安全的情况下解决网络的单点故障就变得日益重要。而且教育网的接入以及普通ISP 的线路接入是目前校园面临着多链路的挑战。策略路由已经不 能满足现在需求，而安全负载均衡是目前最好的解决手段。
ISP  连通性仍然是出现故障和性能下降的主要根源。这样的问题很难解决，因 为问题的根源并不在学校的控制范围之内。运营商可以提供更多的连接，但只是部分地解决了问题，因为不能执行负载均衡或者保证高可用性。而且针对某些特定的 资源，学校也需要智能的选择最优最快的线路来到达目的地。
在提高带宽利用率和性能的同时，需要确保终端用户获得无故障或确保服务水 平的连续的Internet访问。因此学校面对的挑战就是能否提供完全使用的、而不仅仅是热备用的第二个连接线，同时不需要与其它连接线供应商进行协调。

解决方案  – StoneGate  多归路网络（多 ISP）

StoneGate 能够在多归路网络（多ISP）配置中添加到Internet的多条连接线路。利用此功能，教育系统在使用后具有如下的好处：提供负载均衡以及安全保障，保证整个链路完全的可用性；最优化的选择最快到达目的地的连接线路；保障网络 安全不受侵害，过滤恶意流量，体现整体安全解决方案的优势；提供 QoS 功能，限 制恶意流量及 P2P 流量泛滥。

将 StoneGate  结合到多归路网络（多 ISP）具有以下优点：
1 StoneGate  可智能管理从不同链路访问 Internet。
2 通过为出站流量选择最好的ISP，StoneGate的负载均衡算法能够确保出入流量使用最佳路径，并能够确保将所有的ISP链路都用于入站流量。保证访问教育网资源可以选择最快到达的线路。
3 多链路的健康检查可保证网络中断时进行快速平滑的切换。
4 StoneGate  对通过可用链路的所有流量进行智能负载均衡，从而确保所有ISP链路都进行了优化。
5 QoS 技术可以保证校园网避免 P2P 过多的占用资源。

2.   配置服务

StoneGate  执行复杂的负载均衡算法，可以针对校园网系统的服务器群进行动态分配负载,  它可以透过ICMP或代理跟踪来进行服务器可以性评估及分配。
当正在进行负载均衡的服务器需要依靠其它资源时可以使用此方法。在这种情 况下，StoneGate 为了确保所选的服务器能够提供正常的服务，会校验所有资源的状态。例如，有时有关验证服务器的状态决定了是否能够提供正常的web服务，当然,也可以通过ping和端口检查进行健康监视。此方法是非常有用的，因为它会验证整个服务器是否可用,业务是否是畅通的， 并且保证会话将通过此路径到达目标。需要检查到服务器端口，硬盘空间或者 CPU 状态等条件时需要配合 Monitoring Agent 来实现。

解决方案  –STONEGATE
优点
1 应用服务器容错的安全性和高可用性
2 通过将每个请求重定向到最佳的站点来实现性能优化，可根据多种算法来进行重 定向
3 按照客户机、应用和内容对网络流量实施业务策略，从而保证服务质量
4 增强的资源安全性
5 保证管理的防火墙、VPN  和  IDS  设备具有完全的可用性和可扩展性
6 对服务器提供的资源实施负载均衡和流量管理，从而优化安全资源和提供最佳的 站点性能，并且可对整体服务器系统进行容错和平滑割接。
7 对服务器提供高
8 应用安全提供了实时保护，避免受到恶意的攻击
 

3.入侵/病毒以及拒绝服务(DOS/DDOS)保护

在过去的一年中我们已经遭受了拒绝服务(DOS)的攻击，这种攻击曾使一些公司如Ebay和Yahoo被迫停机。由于出现了一系列的攻击，而且由于校园网络的特殊性，需要不断寻找更安全的方式来保护他们的网络不受到拒绝服务(DOS)和分布式DoS (DDoS)的攻击，因为这些攻击会极大地降低他们整体的网络性能和可用性，关闭网络中的所有关键服务器，如email和DNS，并且具有极强的传染性。

解决方案  –  专门用来转发和过滤恶意流量的  StoneGate

通过在 StoneGate 上设置相应的访问策略，可以根据网络 IP 地址、用户、服务类型、访问时间等参数对网络流量进行严格的控制。StoneGate 依靠其先进的、多级别的访问规则体系，能够适应任何的复杂的网络环境。它为高校提供了全面的DoS/DDOS  检测和防护功能，同时还保证较高的网络吞吐量。它的概念是基于网络不时受到零星攻击的事实，这些分散的攻击只消耗了很少的带宽，可以被大多数网络接受，因此不需要采取任何应对措施。然而，一旦攻击占用了大量的网络带宽，它就会对网络产生威胁。StoneGate 通过优秀的安全引擎来检测这种类型的攻击，并自动采取措施解决问题。这种独特的使用方案与统一应用处理平台强大的计算能力相结合，提供了最快的速度和最高的安全性。另外，在各个节点部署 IPS 产品，并且在同一个管理界面进行分析比较，确保对整个网络环境威胁有一个统一的评估。也可以通过一台 IPS 来对多个网段进行分割保护，使用不同的成对的端口来过滤不同网段的恶意流量。
 

内置的 Bypass 功能可以
保证设备在调电情况下让流量
全部顺利通过。

优点
1 无所不在的安全防范
2 实时和高吞吐量的安全保护
3 在防止这些攻击的同时保证正常的流量
4 线速转发能力保证最快的响应时间
5 确保校园网通过网络提供的服务的高可用性和可靠性
6 比对和评估各不同节点的网络环境，提前预判网络潜在危险
7 在防止这些攻击的同时保证正常的流量
 

4.   增强的安全管理服务

在今天的Internet 环境中，每个用户都必须认识到一些破坏是由于恶意的软件、外部攻击、心有怨气的内部人员（可能的所有接入内网的人）、软件  bugs 等造成的。这种破坏造成的损失可能是巨大的、毁灭性的，并会摧毁客户对于企业网 络的信心，因为黑客一有机会就会侵入网络的IP系统，操纵或破坏系统。
增加防火墙、防病毒工具、VPN  和  IDS/IPS  设备是安全系统必然的选择，但 是必须考虑到安全设备的弱点，因为这些安全设备也会发生故障，难以进行扩展以承担更多的负载。同时还必须考虑各种安全设备的优化以避免出现一些情况，如一个防火墙始终处于繁忙状态而另一个却一直空闲。
在安装一种安全解决方案时，校园网必须确保管理的安全设备具有完全的可用 性和无缝服务的扩展性。这就需要在每个网络分段上应用侵入保护系统  (IDS)（如 检漏头）。这要求在各个分段物理配置多个 IDS/IPS。

解决方案  - StoneGate

StoneGate 防火墙集群技术能够在防火墙上实现负载均衡和故障冗余。通过负载均衡和故障冗余，防火墙集群提供更高的伸缩性并且能够对防火墙进行在线的维护。

StoneGate 在集群的各个节点之间进行负载均衡以提高整个防火墙的吞吐量，负载均衡对于用户来说是完全透明的。StoneGate 多节点集群同样提供故障冗余： 如果有一个节点发生故障，集群中的其它节点将自动的接管发生故障的那一个节点 的应用任务，不需要管理员对其进行任何的干预；集群技术可以使用户随时添加一 个新的防火墙节点到防火墙集群当中，以用来增强防火墙的性能；它同样也支持对 防火墙进行在线维护：可以在任意时刻（包括正常运营时间）将一个或几个节点从 集群当中分离（Offline）出来，以对其进行一些包括软件、硬件之类的升级或维护 工作，而不影响其业务的应用。另外，StoneGates  先进的状态监视和流量重定向 功能还可以将流量定向到工作正常的网络组件，从而可以确保用户获得需要的服务。

StoneSoft IDS/IPS 安全系统为您重要的资源提供更进一步的安全保障。而且， StoneSoft  的 IDS/IPS 也是整体安全流量管理架构的一部分，提供了千兆位速度完全可配置的和卓越的保护，使系统避免受到有害的攻击，组成了StoneGates网络 安全出色的服务系列。

优点
1 保证管理的防火墙、VPN  和  IDS/IPS  设备具有完全的可用性
2 提供所有防火墙、VPN  和  IDS/IPS  设备完全的扩展性
3 对可用性最高的资源实施负载均衡和流量管理，从而优化安全资源和提供最佳的 站点性能。
4 应用安全提供了实时保护，避免受到恶意的攻击,并且提供了完全可配置的、千兆速度保护，防止拒绝服务的攻击
5 完成了远程安全管理，完全满足了大型校园网整体的监视和管理需要
 

5.   带宽管理 QoS

由于TCP通讯协议的大突发量,在网络上的各种应用互相抢占广域网资源，个 别用户的应用可以轻易地占用大量资源，网络经常有阻塞发生。这就威胁到各种关 键应用的运行，造成直接经济损失或影响学校工作的正常进行。如学校内部人员对 网络资源的使用要求很不相同，视频流、HTTP、FTP 下载、MP3 下载、ICQ 聊天  等 的访问将很大程度的影响人们对有用的教育网资源的访问。如果没有带宽管理设备， 校园网络的管理人员将不能够确定某一时间自己网络的广域网出口处是否有足够的 保证关键应用的带宽，也不能够确定某一时间自己网络的广域网出口处都有什么样 的应用存在。因此，各校园网络需要有效、温和的手段以控制各种应用对广域网资 源的占用，但同时不希望引起这些应用的中断。

建议在教育网络中心与各分支校园网络的 StoneGate 上，将关键的应用如视频 应用做出分类，然后用 StoneGate 的带宽分区功能，对这个应用的带宽使用量进行分配和限制。
另外，在 StoneGate 的分类树上，还可以用一组特定的 IP 地址群作定义，定 出某一组用户,  如：学生、毕业生、学校内科研人员、教职员工、学校各级别行政人员等，为特别等级用户，给他们分配有保证的带宽，保证他们到教育网、国内 internet、国际 internet 的优先级别不一样，以达到提供分等级服务的目的。对于等 级高的用户，还可以给他们定义其流量的优先级，使其流量优先通过网络。

解决方案  –  带 QoS 技术的 STONEGATE
在 OSI 网络模型中，StoneGate 可以识别从第二层到第四层的信流特征，从而区分不同协议和应用程序。除了已有的分类，StoneGate 还让用户手动地根据信流特征作人工的分类分类功能识别了网络上的各类信流，分析功能则显示这些信流的运行状态，它 帮助找出问题所在和相应管理策略的线索。StoneGate 可以跟综日志显示的平均和 高峰信息流量，识别最大的用户和应用程序，测量应用程序响应时间，并且评估网 络效率。这样，管理人员就对目前网络资源使用状态有了充分的了解，为下一步实 施带宽管理准备了充实的数据依据。StoneGate 提供为某一类的信流带宽使用总量 设定上限和下限，确保某类流量有足够带宽而不受其他类别的影响，或者以上限带宽总 用量 限制 某类 流量 不能 超过 某一 限额 。与 基于 路由 器的 解决 方案 相比 ， StoneGate 积极地对信息传输进行双向检测，结果，StoneGate 使每个应用程序都 实现了稳定、迅捷、便于控制的性能。
StoneGate  对各种巳经分类的流类进行统计数据收集并提供在线图表报告，图 表报告详尽。这些大量的数据和图表帮助用户对网络资源分配和使用的过去、现在 和将来趋势都有很好的了解。达到有效管理带宽的目的。

总结
采用  StoneSoft  的创新性安全解决方案，运营商可以从现有客户中获得新的收益并通过他们提供的服务赢得新的客户和新的市场配置。这些解决方案主要的优点之一就是它们都配置在现有设备之上，因此只需要很少的投资和改动。另外StoneSoft提供的安全解决方案功能丰富，因此运营商可以依靠解决方案的强大优势来提高销售量而不是相对低廉的费用。最后StoneSoft是以其先进的技术和经验建立起声誉的。StoneSoft提供的安全服务可以降低运营商的成本为从现有基础设备中创造和提高收益提供了新的方法并使教育网能够为客户提供与众不同的服务