一、前言

隨著教育信息化的加速，高校校園網(wǎng)給教學(xué)方式、教育管理方式、師生的生活方式都帶來(lái)了巨大的變化，這不僅提高了教育水平，而且也為學(xué)生打開(kāi)了了解世界的窗口。但隨著網(wǎng)絡(luò)應(yīng)用進(jìn)一步的發(fā)展，校園網(wǎng)絡(luò)的安全問(wèn)題也逐漸突出，直接影響著學(xué)校的教學(xué)、管理、科研活動(dòng)。因此，如何構(gòu)建一個(gè)安全高速的校園網(wǎng)絡(luò)承載平臺(tái)成為了擺在校園網(wǎng)絡(luò)管理者面前的一個(gè)難題。

二、業(yè)務(wù)挑戰(zhàn)

校園網(wǎng)從網(wǎng)絡(luò)到應(yīng)用各個(gè)層面都面臨著不同的安全問(wèn)題

（一）網(wǎng)絡(luò)邊界防護(hù)：多出口、高帶寬，網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜；病毒、蠕蟲(chóng)傳播成為最大安全隱患；越來(lái)越多的遠(yuǎn)程網(wǎng)絡(luò)接入，安全性亟待改善；

（二）數(shù)據(jù)中心防護(hù)：缺少高帶寬、高性能的防護(hù)方案；無(wú)法提供有效的服務(wù)器防護(hù)；數(shù)據(jù)中心網(wǎng)絡(luò)資源有限但浪費(fèi)嚴(yán)重；

（三）內(nèi)容安全防護(hù)：無(wú)法對(duì)教職工、學(xué)生的網(wǎng)上敏感言論或集會(huì)召集行為進(jìn)行先期干預(yù)，易釀成社會(huì)問(wèn)題；暴力、黃色及邪教網(wǎng)站的訪問(wèn)，損害學(xué)生的身心健康，需對(duì)其進(jìn)行有效控制；各種P2P應(yīng)用，如迅雷、快播等下載軟件嚴(yán)重堵塞網(wǎng)絡(luò)帶寬，影響正常的教學(xué)應(yīng)用；

三、解決方案

華為通過(guò)深度了解校園網(wǎng)絡(luò)的業(yè)務(wù)特點(diǎn)及面臨的安全問(wèn)題，與敏捷網(wǎng)絡(luò)相結(jié)合，提出校園網(wǎng)絡(luò)安全解決方案，幫助各高校最大化降低安全威脅，實(shí)現(xiàn)有效的網(wǎng)絡(luò)管理。

部署在學(xué)校數(shù)據(jù)中心入口的防火墻可提供安全隔離和日常攻擊防范，部署在互聯(lián)網(wǎng)出口的高性能下一代防火墻具備高級(jí)應(yīng)用安全能力，比如攻擊防范、IPS、防病毒、上網(wǎng)行為審計(jì)等，在實(shí)施互聯(lián)網(wǎng)出口防護(hù)同時(shí)兼為整個(gè)校園的安全資源中心。

華為將安全行為分析軟件集成到Controller中，通過(guò)搜集全網(wǎng)各類(lèi)設(shè)備的日志信息，記錄全網(wǎng)的各類(lèi)安全事件，進(jìn)而分析并發(fā)現(xiàn)一些以前從單點(diǎn)出發(fā)的視角不能發(fā)現(xiàn)的潛在威脅或攻擊。再通過(guò)交互界面呈現(xiàn)給管理員，并產(chǎn)生告警。管理員再對(duì)安全風(fēng)險(xiǎn)進(jìn)行防御。管理員也可以在Controller預(yù)定義一些策略或者動(dòng)作。例如，將可疑流量引流到安全中心去進(jìn)行清洗。這樣可以降低管理人員的維護(hù)工作量，整個(gè)系統(tǒng)也可以更加安全的運(yùn)行。比如來(lái)訪的教師訪問(wèn)數(shù)據(jù)中心的流量可以引流到安全資源中心進(jìn)行病毒檢測(cè)、應(yīng)用攻擊檢測(cè)和訪問(wèn)行為審計(jì)等。這種方式將有效復(fù)用下一代防火墻安全資源，降低建設(shè)和管理成本。

四、安全與管理系統(tǒng)相融合技術(shù)

針對(duì)校園中一般情況下認(rèn)證系統(tǒng)和安全管理系統(tǒng)相分離的情況，華為利用自身全面的技術(shù)基礎(chǔ)，進(jìn)行了管理整合。讓安全防御系統(tǒng)、行為審計(jì)分析系統(tǒng)和用戶(hù)認(rèn)證管理系統(tǒng)實(shí)現(xiàn)聯(lián)動(dòng)，從而安全與審計(jì)不再單單只能根據(jù)IP地址來(lái)進(jìn)行策略制定和溯源，極大減少了安全維護(hù)工作量。

一般進(jìn)行網(wǎng)絡(luò)管理時(shí)，如果用戶(hù)不在安全管理系統(tǒng)上認(rèn)證，那么相關(guān)的流量控制、策略控制只能根據(jù)IP地址實(shí)現(xiàn)，而威脅管理同樣也只能依靠IP地址進(jìn)行管理，比如檢測(cè)到某終端發(fā)起惡意攻擊，或某終端上網(wǎng)流量中包含異常，獲取到IP地址之后需要再到認(rèn)證系統(tǒng)中根據(jù)時(shí)間進(jìn)行查詢(xún)，在龐大的數(shù)據(jù)庫(kù)中查找到對(duì)應(yīng)時(shí)間該IP地址分配的用戶(hù)，整個(gè)工作量非常曲折，也給日常的行為管理帶來(lái)極大的不便。

華為實(shí)現(xiàn)了安全與管理系統(tǒng)相互融合，用戶(hù)管理系統(tǒng)實(shí)現(xiàn)了用戶(hù)認(rèn)證之后，會(huì)自動(dòng)將用戶(hù)的賬號(hào)與IP地址對(duì)應(yīng)管理之間傳遞到安全管理體系，進(jìn)行流量控制策略或者QoS，或者違法追溯就能直接與用戶(hù)賬號(hào)或者賬號(hào)組進(jìn)行設(shè)定，為網(wǎng)絡(luò)管理節(jié)約極大的工作量。

精細(xì)化安全管控：業(yè)務(wù)和用戶(hù)的聯(lián)動(dòng)

五、真實(shí)應(yīng)用場(chǎng)景舉例

學(xué)校把網(wǎng)絡(luò)分為教學(xué)區(qū)與生活區(qū)，對(duì)于教學(xué)區(qū)的用戶(hù)可以認(rèn)為安全等級(jí)較高可以直接訪問(wèn)內(nèi)部和外部的網(wǎng)絡(luò)資源，對(duì)于宿舍區(qū)或家屬區(qū)的網(wǎng)絡(luò)需要加強(qiáng)安全監(jiān)控，通過(guò)策略將流量引到安全中心，執(zhí)行不同的策略，同時(shí)策略與用戶(hù)身份所關(guān)聯(lián)，比如對(duì)于本科生則限制其迅雷下載，對(duì)于老師則放開(kāi)全權(quán)限控制并且有更高的帶寬權(quán)限，這些都是由安全設(shè)備與敏捷交換機(jī)的聯(lián)動(dòng)來(lái)實(shí)現(xiàn)。

責(zé)任編輯：gt