構(gòu)建全方位校園網(wǎng)管理系統(tǒng)

摘要：隨著網(wǎng)絡(luò)環(huán)境的日益惡化，網(wǎng)絡(luò)管理已成為企事業(yè)單位網(wǎng)絡(luò)維護(hù)的頭等大事，本文結(jié)合筆者多年的網(wǎng)絡(luò)管理經(jīng)驗(yàn)，從網(wǎng)絡(luò)管理、流量監(jiān)控、日志管理、安全管理等方面全面闡述了構(gòu)建全方位校園網(wǎng)管理系統(tǒng)的指導(dǎo)思想和實(shí)現(xiàn)方法。

關(guān)鍵詞：校園網(wǎng)；管理系統(tǒng)

中圖分類號(hào)：G637 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1006-3315(2008)06-117-01

在當(dāng)前的校園網(wǎng)建設(shè)過程中，有一個(gè)重要的建設(shè)方面就是校園網(wǎng)管理系統(tǒng)的建設(shè)，可以說隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，網(wǎng)絡(luò)信息傳輸?shù)娜找鎻?fù)雜化，構(gòu)建全方位的校園網(wǎng)管理系統(tǒng)已成為當(dāng)前校園網(wǎng)建設(shè)的迫切需求，下面結(jié)合我院校園網(wǎng)現(xiàn)狀談?wù)勅绾螛?gòu)建一款廉價(jià)的全方位校園網(wǎng)管理系統(tǒng)，我院的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如下：

現(xiàn)有網(wǎng)絡(luò)狀況描述如下：我院校園網(wǎng)建立于2003年，主要滿足網(wǎng)絡(luò)教學(xué)及網(wǎng)絡(luò)信息查詢之用，信息節(jié)點(diǎn)共計(jì)1400多個(gè)，由于網(wǎng)絡(luò)用戶規(guī)模龐大，人員參差不齊，而且網(wǎng)絡(luò)設(shè)備差異性巨大，所以對(duì)校園網(wǎng)的安全穩(wěn)定運(yùn)行提出了很高的要求，為此我們從網(wǎng)絡(luò)流量監(jiān)控、網(wǎng)絡(luò)日志管理、網(wǎng)絡(luò)設(shè)備管理、網(wǎng)絡(luò)安全監(jiān)控等方面為我院的校園網(wǎng)量身訂制了一套完整的校園網(wǎng)管理方案：

一、流量監(jiān)控系統(tǒng)

在網(wǎng)絡(luò)日常管理中經(jīng)常會(huì)發(fā)現(xiàn)由于網(wǎng)絡(luò)病毒、網(wǎng)絡(luò)攻擊、BT下載等大流量的網(wǎng)絡(luò)傳輸，造成網(wǎng)絡(luò)設(shè)備負(fù)載較大，甚至出現(xiàn)網(wǎng)絡(luò)癱瘓及斷網(wǎng)的現(xiàn)象，給正常的網(wǎng)絡(luò)教學(xué)和網(wǎng)絡(luò)管理造成了巨大的損害，為此實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)流量，發(fā)現(xiàn)網(wǎng)絡(luò)異常所在成為了當(dāng)前網(wǎng)絡(luò)管理的重中之重，在本方案中采用MRTG、Sniffer軟件實(shí)現(xiàn)網(wǎng)絡(luò)流量監(jiān)控及網(wǎng)絡(luò)異常分析。MRTG是一款應(yīng)用廣泛的網(wǎng)絡(luò)流量統(tǒng)計(jì)軟件，以圖形方式顯示具有SNMP功能的設(shè)備的網(wǎng)絡(luò)通信的狀況。可以實(shí)時(shí)統(tǒng)計(jì)從路由器和其他網(wǎng)絡(luò)設(shè)備獲得的網(wǎng)絡(luò)通流量信息及其他統(tǒng)計(jì)信息。Sniffer是一款用于收集網(wǎng)絡(luò)數(shù)據(jù)，網(wǎng)絡(luò)流量信息及用戶信息的嗅探工具，可以監(jiān)視網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動(dòng)情況以及網(wǎng)絡(luò)上傳輸?shù)男畔ⅰＴ谠撓到y(tǒng)中首先通過MRTG監(jiān)控全網(wǎng)流量，然后對(duì)比日常基準(zhǔn)流量，發(fā)現(xiàn)異常流量所在的區(qū)域，在確定異常流量產(chǎn)生的VLAN和接口之后，可以通過交換機(jī)端口鏡像或HUB旁路技術(shù)連接Sniffer嗅探主機(jī)，查找異常流量產(chǎn)生的主機(jī)及流量類型，在確定異常流量的來源之后即可采取相應(yīng)的方式處理網(wǎng)絡(luò)異常。

二、日志管理系統(tǒng)

在當(dāng)前網(wǎng)絡(luò)環(huán)境中針對(duì)網(wǎng)絡(luò)日常訪問的管理及日志記錄顯得尤為重要，比如了解特定時(shí)間的主機(jī)流量情況，網(wǎng)絡(luò)協(xié)議分布，網(wǎng)絡(luò)訪問內(nèi)容的調(diào)查等等，這些活動(dòng)是發(fā)現(xiàn)網(wǎng)絡(luò)異常的重要手段，也是紀(jì)錄網(wǎng)絡(luò)攻擊和入侵的重要數(shù)據(jù)來源，常用的日志監(jiān)控方式為基于Linux的主機(jī)系統(tǒng)及大部分的網(wǎng)絡(luò)設(shè)備采用Syslog服務(wù)器作為日志監(jiān)控服務(wù)器，由于Linux的Syslog為文本方式，不便于閱讀，所以可以使用專業(yè)的Syslog服務(wù)器軟件進(jìn)行全網(wǎng)的日志監(jiān)控和流量采集，由于我校使用的是NetScreen防火墻，為了實(shí)現(xiàn)對(duì)日志的管理及網(wǎng)絡(luò)異常信息的監(jiān)控，使用了愛德威特公司的Firewall Analyzer系統(tǒng)，該系統(tǒng)是一個(gè)基于Syslog的防火墻日志分析工具，它能收集、分析和匯報(bào)整個(gè)企業(yè)范圍內(nèi)的防火墻、proxy服務(wù)器和Radius服務(wù)器上的日志，通過該系統(tǒng)可實(shí)時(shí)的了解到有關(guān)帶寬使用情況、帶寬占用較多的用戶、協(xié)議使用情況、網(wǎng)絡(luò)事件統(tǒng)計(jì)、病毒狀態(tài)等等方面的信息，為網(wǎng)絡(luò)管理人員實(shí)時(shí)了解全網(wǎng)流量提供了有力的保障。

三、網(wǎng)絡(luò)管理系統(tǒng)

隨著惠普公司的第一款網(wǎng)絡(luò)管理系統(tǒng)軟件Openview的誕生，掀開了網(wǎng)絡(luò)管理的新紀(jì)元，使用基于SNMP協(xié)議的網(wǎng)絡(luò)管理系統(tǒng)來進(jìn)行全網(wǎng)設(shè)備的管理已成為各種網(wǎng)絡(luò)管理環(huán)境的主流，由于我校大量采用了思科公司的設(shè)備，所以在網(wǎng)絡(luò)管理系統(tǒng)的選擇上選取了CiscoWorks 6.1網(wǎng)絡(luò)管理系統(tǒng)，該管理系統(tǒng)由多個(gè)功能模塊構(gòu)成：CiscoView是一個(gè)可視化的思科設(shè)備配置工具，對(duì)于集中的管理和配置思科網(wǎng)絡(luò)設(shè)備極為方便；WhatUp Gold是整個(gè)網(wǎng)絡(luò)管理系統(tǒng)的核心，通過該模塊可以進(jìn)行網(wǎng)絡(luò)結(jié)構(gòu)的拓?fù)浒l(fā)現(xiàn)，并對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行全面管理，在設(shè)定了網(wǎng)絡(luò)設(shè)備及服務(wù)器的SNMP屬性之后即可對(duì)設(shè)備進(jìn)行全面有效的管理，比如了解當(dāng)前的網(wǎng)絡(luò)設(shè)備的連通性狀況，了解當(dāng)前的網(wǎng)絡(luò)服務(wù)器的工作情況，通過故障警報(bào)，可以讓網(wǎng)管人員及時(shí)發(fā)現(xiàn)和解決網(wǎng)絡(luò)故障；Threshold Manager是設(shè)備故障管理模塊，在有網(wǎng)絡(luò)流量異常發(fā)生的過程中，通常都會(huì)有網(wǎng)絡(luò)設(shè)備的CPU及內(nèi)存過載的現(xiàn)象，所以通過該模塊設(shè)定每一款監(jiān)管設(shè)備的閥值，當(dāng)網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時(shí)即可觸發(fā)網(wǎng)絡(luò)警報(bào)通知網(wǎng)管員網(wǎng)絡(luò)異常所在。

四、安全管理系統(tǒng)

由于受病毒及網(wǎng)絡(luò)黑客的影響，網(wǎng)絡(luò)安全防御，網(wǎng)絡(luò)病毒防范已成為網(wǎng)絡(luò)管理不可缺失的部分，由于網(wǎng)絡(luò)安全是一個(gè)龐大的體系，需要的投入巨大，所以對(duì)于校園網(wǎng)而言，重點(diǎn)是保障教學(xué)的正常進(jìn)行以及網(wǎng)絡(luò)連接的暢通，所以有必要首先考慮病毒的防范，因?yàn)橛行┎《竞湍抉R自動(dòng)掃描傳播的特性，所以僅靠單機(jī)版的網(wǎng)絡(luò)殺毒軟件已經(jīng)很難滿足網(wǎng)絡(luò)管理的需求，所以應(yīng)使用一款高性能、高準(zhǔn)確率的網(wǎng)絡(luò)版殺毒軟件，同時(shí)實(shí)現(xiàn)桌面管理的需求，根據(jù)需要，我院選擇了卡巴斯基網(wǎng)絡(luò)版殺毒軟件，為了控制網(wǎng)絡(luò)病毒的傳播，建議在每臺(tái)主機(jī)上安裝ARP防火墻及天網(wǎng)防火墻。對(duì)于網(wǎng)絡(luò)攻擊及網(wǎng)絡(luò)異常行為的發(fā)現(xiàn)和堵截，可使用McAfee Entercept IPS系統(tǒng)實(shí)現(xiàn)入侵檢測(cè)及安全防御，同時(shí)兼顧防火墻功能，該系統(tǒng)有服務(wù)器端，控制臺(tái)，客戶代理三部分構(gòu)成，在網(wǎng)絡(luò)中的服務(wù)器及工作站上可以安裝不同的客戶代理，最終由該系統(tǒng)的服務(wù)器全面監(jiān)管各個(gè)代理的工作狀態(tài)，可實(shí)現(xiàn)跨網(wǎng)段全網(wǎng)實(shí)時(shí)安全管理及防御，配合上述流量異常分析，即可找到網(wǎng)絡(luò)異常的根源所在。

除此之外，可根據(jù)實(shí)際需求構(gòu)建上網(wǎng)行為管理系統(tǒng)、網(wǎng)絡(luò)認(rèn)證計(jì)費(fèi)系統(tǒng)、桌面管理系統(tǒng)、防病毒網(wǎng)管等，網(wǎng)絡(luò)管理是一項(xiàng)系統(tǒng)工程，沒有哪一種技術(shù)或哪一款軟件能解決網(wǎng)絡(luò)中的全部問題，而現(xiàn)實(shí)可行的方法是在認(rèn)真分析了全網(wǎng)的需求和現(xiàn)狀之后制定出符合該本網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)管理系統(tǒng)，才是解決問題的根本途徑。