分布型高校機房網絡的安全性研究

摘 要： 研究分析了當前高校的機房特點，以基于空間上呈分布式結構的計算機房為實例，結合當前較為常見的安全問題和可預見的潛在威脅，從硬件和軟件兩個方面，從單機輻射到整個局域網絡，從外部訪問到內部通信等多維度進行了深度的挖掘。提出了從邏輯上對機房進行簡單化網絡劃分的思想，按照緊急程度制定不同的安全策略，給出從局部到整體的全面解決方案。

關鍵詞： 分布型； 高校機房； 安全性； 網絡

中圖分類號：G482 文獻標志碼：A 文章編號：1006-8228（2013）03-17-03

0 引言

自成立綜合性大學以來，很多高校對一些小規模學校進行了兼并整合，于是校園網也出現了分布式大跨度復雜型結構，這對于需要資源統一調度管理的運行模式來說，提出了很高的要求。

1 分布型網絡機房結構

以我校為例，學校一共分為3個校區，每個校區都設立有計算機中心，并且以房間為單位劃分為不同的學生機房。校區1和校區2因為地理位置比較靠近，所以通過鋪設光纖通道來實現物理連接，校區3與校區1或校區2的地理位置跨度較大，經過與電信公司的協商，通過在其管理機房中跳線進行通信。詳細的網絡拓撲結構如圖1所示。

2 多維度的安全點分析

從保障教學質量和各類防火防水等安全角度出發，從單機到網絡，可以把機房安全問題分為硬件和軟件兩部分內容，基于網絡拓撲圖，我們研究并歸納出各個安全節點。

2.1 硬件方面

2.1.1 機房環境的安全

影響機房安全運行的因素多而復雜，如不消除這些不利因素，久而久之就會潛移默化成安全隱患，輕則導致計算機運行不穩或損壞，重則引起觸電、火災等重大安全事故。

⑴ 溫度的影響

由于學生機房設備數量大，密度高，并且經常同時運行，所以，機房的耗電量和散熱量都相當大；機房空間相對來說處于封閉狀態，熱量很難及時散發。所以機房的溫度（20℃～25℃為宜）和通風等是必須考慮的因素。

⑵ 濕度的影響

過大的濕度會使電子元器件表面覆蓋水膜層，在灰塵的共同作用下，就會形成供電線路短路，損壞主板等設備。然而濕度過小同樣危害很大，據有關資料表明，機房內相對濕度為30%時靜電壓為5000V，而相對溫度降到10%時靜電壓將高達20000V。為了確保計算機安全可靠地運行，除嚴格控制溫度之外，還應把濕度控制在規定的范圍45%～65%之內[1]。

⑶ 灰塵的影響

灰塵對于精密電子元器件的危害眾所周知，但在高校的教學機房中，根本無法做到絕塵管理。危害主要表現在：損傷磁盤驅動器磁片，劃傷磁盤，造成數據的丟失；使主機CPU產生錯誤信息，使鍵盤操作失靈，不能使用；使顯示器產生高壓打火；使線路板觸點阻抗變小，產生短路；交流電接觸不良，造成電網電壓發生波動等。

⑷ 靜電的影響

靜電是看不到，摸不著的東西，然而它卻是計算機最可怕的殺手之一。雖然機房沒有什么易燃易爆物品，但它可以擊穿MOS電路并引起計算機誤操作或運算錯誤，輕則會帶來使用上的困擾，重則會令一臺計算機報廢。此外靜電干擾會使顯示器的成像紊亂，令顯示器無法正常使用。

⑸ 火災防護

火災在計算機房中較少發生，但是一旦出現，危害很大，主要是因為設備或線路自身的缺陷、維修不當、年久失修或使用不當，以及管理制度不嚴而造成的[1-5]。

2.1.2 網絡設備和連接的安全

在引入了機房管理系統和校園一卡通工程后，整個機房都必須在一個相對連通的網絡環境下才能正常使用，保證網絡的暢通是保障機房安全穩定運行的關鍵。從硬件上，網絡主要由網絡設備和網線（或光纖）等組成，網絡設備主要由連接學生用機的接入層交換機、連接各接入層交換機的匯聚層交換機和連接各匯聚層交換機的核心交換機三大類設備組成，另外還有托管給電信運營商的跨校區鏈路設備（此設備不用我們考慮），這些設備的損壞或者失效都會導致一部分或者整個機房運行的癱瘓；相關網線鏈路主要由連接學生機和接入層交換機的末端網路、跨校區的光纖鏈路和與核心層交換設備相連的網路三部分組成。末端網路故障主要由于水晶頭松動或者網線折斷等原因引起，而光纖鏈路的阻斷則會導致某個校區的癱瘓，與核心層設備相連的網絡阻斷則會導致整個機房管理的癱瘓。

2.1.3 學生機的安全

因為現在的機房管理一般引入硬盤保護卡模式，這些安裝在PCI插槽上的“網卡”經常會發生接觸不良而失效的狀況，會令機器無法使用，或者成為傳播機房病毒的定時炸彈。鍵盤鼠標可能會成為一些頑皮學生的惡作劇對象，經常發現有學生把標準鍵盤的按鍵按照不同的順序進行排列，導致使用上的障礙，更有學生對一些不太靈活的鼠標私自插拔，導致PS/2接口的針頭損壞，這些都對正常教學產生了極大的干擾。

2.1.4 服務器的安全

對于機房來說，各類服務器的應用必不可少，像FTP服務器、各類考試服務器、郵件服務器、Web服務器和網關服務器等，這些服務器時刻都在提供著各類服務，很多課程無法在脫離它們的情況下繼續正常教學，特別是提供機房管理服務的機器，一旦宕機，機房馬上癱瘓。然而由于服務器質量問題或長時間運行等原因，很難保證這些服務器能絕對安全地提供服務。

2.2 軟件方面

2.2.1 單機系統安全

現在的教學和自由上機幾乎都離不開網絡，機房接觸Internet和各類媒介的接口基本上只通過學生用機來實現，學生用機會成為病毒爆發和系統癱瘓的重要隱患。雖然硬盤保護卡能還原或恢復本機的相關數據和參數，但是不當的設置也存在爆發病毒的潛在威脅。根據CNNIC（中國互聯網信息中心）發布的最新數據表明，當前的病毒95%以上都是網絡型病毒，針對單機的攻擊非常少，也就是說只要系統存在缺陷，哪怕本機沒有病毒，網絡上存在的攻擊程序和病毒也會迅速傳播，影響正常使用。除此之外，各類服務器也會成為攻擊的主要目標，針對機房DMZ（非軍事化區域）的攻擊一旦成功，可能會致使整個機房運行的癱瘓，所以，單機系統的安全性也與各類服務器的安全設置相關。

2.2.2 網絡設置安全

對于這樣一個分布式的大型復雜網絡，如何從邏輯上進行有效合理的規劃并制定切實可行的安全策略是保障網絡安全的關鍵。從拓撲圖可以看出，雖然機房呈分布型散落在不同的區域，但是通過各類網絡設備的連接，可以實現邏輯上的大跨度局域網，合理分配IP地址，進行網絡安全性設置，把病毒傳播影響縮小到最小值；在相應位置添置各類安全設備或者設置安全規則，有效控制病毒傳播，抑制其爆發范圍。

3 相應安全策略和對策

針對以上已存在或潛在的威脅和安全問題，提出以下相應的安全策略。

⑴ 安裝空調系統。對于空間不是很大的機房（一般在60M2以下），可采用家用立式或壁掛式空調，設計容量可以參考160W-250W/M2來估算。如果是獨立實驗樓使用機房，建議安裝中央空調。在設計中，應充分考慮環保節能的技術，引入自然通風與地源熱泵等空調技術，以節約能源。

⑵ 機房內應安裝溫濕度檢測儀器，當濕度超過一定標準時（一般是45%～65%），可以利用空調或相關除濕設備進行除濕操作，注意在梅雨季節時候，應不定期對機房進行除濕。對于濕度過低容易引起靜電的冬季，可以在每天打掃衛生的時候，用濕拖把清理地面來達到加濕的效果，有條件的也可以使用加濕設備。

⑶ 工作人員應做好每日的機房清潔工作，減少灰塵堆積；定期對計算機進行全面的硬件維護，可以打開機箱蓋，將CPU風扇、顯卡風扇、主板、硬盤、光驅等部件進行全面灰塵清理；嚴格控制灰塵源，制定并執行相關規章制度，要求進出實驗室的人員先換鞋或穿鞋套。

⑷ 通過接地的方法來防止靜電及外界電磁干擾，根據實際需要，進行電屏蔽、磁屏蔽或電磁屏蔽。機房地板是靜電產生的主要來源，在建造機房的時候，可直接鋪設防靜電PVC，也可選擇使用防靜電陶瓷架空活動地板，這不但利于機器設備的維護及維修，而且使用壽命長達50年，更是一種防火材質，是其他材料所無法比擬的。

⑸ 嚴格按照消防要求設計機房，從建筑、報警、設備和管理等方面采取必要的防火措施。機房必須建立嚴格的安全管理制度，同時要對機房的值班人員灌輸消防知識和進行必要的消防訓練。必須為機房配備消防設備（ 包括報警和滅火設備） ，不得使用明火，嚴禁吸煙等[1，6-8]。

⑹ 對于接入層交換機等較廉價網絡設備，可以采取備機方案，在設備損壞的時候，立即進行更換，因為網絡設備的損壞影響范圍較大，可致教學事故的發生。經驗告訴我們，交換機等設備的損壞基本上都發生在電容器件上，由于長時間運行，在灰塵堆積和散熱不良的雙重作用下，電容出現了爆漿或胖頂等失效現象，所以做好機柜的散熱非常有必要。對于有條件的學校來說，可以考慮引入精密空調設備來進行維護。網線等連接線的設計要充分考慮設備位移效應，學生在使用機器的時候可能會搬動機器，導致網線松動或者與接口脫落，所以在長度上應當給予一定的冗余值，一般比具體點位多出1-2米為宜。

⑺ 在選擇硬盤保護卡產品的時候，可以考慮使用集成在主板BIOS上的內置保護卡程序，隨著存儲芯片技術的發展，目前的BIOS芯片容量完全可以寫入各種底層控制程序，這種內置式的保護卡完全解決了因外置保護卡接觸不良而導致的還原失效問題。對于鍵盤鼠標等容易私自插拔的設備，可以設計成固定式，杜絕學生的破壞。

⑻ 對服務器的應用緊急性進行等級劃分。對于那些“零等待”的特別重要的服務器，比如機房管理系統服務器，必須要做好 “雙機熱備”的設置，在主設備宕機的時候，能夠立即切換到備用設備來實現系統的不間斷穩定運行；對于次緊急服務器可采用其他備份方式，比如采用ghost備份還原，盡可能快地恢復服務。

⑼ 合理規劃學生用機的操作系統和相關應用軟件的安裝，對于操作系統要盡量打全系統補丁，關閉與教學需求無關的端口和服務，根據需要選擇安裝防病毒或者防火墻軟件，在母機發送前一定要做好充分的調試工作，測試各種軟件是否存在沖突，保證其可用性。對于傳送之后出現的各類補丁和病毒庫，根據自身條件盡量進行升級，保證系統的安全性，并且，在安裝補丁之后，應重新進行各類測試，保證各類軟件的正常使用。目前大部分學校使用的新版保護卡都具有增量傳送功能，單單一些補丁程序，對于100臺規模的機房，可以在幾分鐘內完成同傳工作，效率非常高。如果光從安全的角度出發，完全可以禁用USB接口，杜絕媒介傳播病毒的可能性，但是對于開放式機房來說，往往需要開發USB接口，我們可以通過在客戶端安裝存儲設備掃描程序（比如說360的U盤掃描程序）來對插入的媒介進行淺度掃描，減少木馬等病毒傳播的機會[7，10，11]。

對于各類服務器來說，除了及時打上各類補丁之外，因為考慮到服務器一般都有專用的特點，是提供某種服務的系統，所以只開放相關的服務和端口即可，即服務最簡化，比如FTP服務器，只開放端口21（系統默認端口）或者用戶自定義端口即可，其他的相關服務和端口都可以關閉，并且卸載不相關的系統組件和服務，保證服務的純正，減少被攻擊的可能。

⑽ 根據物理位置并結合邏輯實現合理規劃設置IP地址段，我校結合用戶數量規模選擇了C類IP為學生用地址，所有機器的IP地址以192.168開頭，第三段為機房編號，第四段為機器編號，比如192.168.1.5即為1號機房5號機器，這樣非常方便網絡監控與管理，在匯聚層和核心層上創建以機房號為邊界的VLan，加入相關規則后，保證各個機房之間的邏輯隔離，這樣可以把網絡風暴和網絡病毒控制在特定區域中，使影響最小化。設置DMZ區域所有的機器為同一個網段，使學生用機都可以對其訪問。

⑾ 在機房總線出口處設置網關與防火墻，從外圍對網絡攻擊等行為進行源頭控制。網關設備推薦使用基于Linux內核的各類系統，比如著名的Router OS，在配置性能較強的網卡后，它完全可以讓一臺已經報廢的普通PC承擔上千臺的客戶端機，充分挖掘機器的潛力。防火墻最好采用具有獨立功能的硬件設備，對于數量眾多的客戶端來說，強勁的運算性能和良好的程序設計是安全和穩定運行的重要保障[8-10]。

4 安全點緊急性分析

在所有的安全點中，重要性和緊急性應予以區分，采取區別化策略。對各個具體安全因素根據緊急程度進行歸納匯總，合并成四個主要方面，具體如圖2所示，可以看出，位于三角形底部的是緊急性較低的因素，頂部的緊急性最高，各個層次采取的措施如左方。

5 結束語

分布型學校機房空間結構比較復雜，但是設計人員要從邏輯角度出發，合理科學規劃網絡設置，盡量做到簡單化，這樣可以更好地進行管理和維護。在精簡化的過程中，也要充分考慮潛在的安全隱患，最好制定相關的應急方案來應對突發事件。安全問題是一個不斷演化的過程，在設計和維護機房的時候，應從硬件和軟件兩個角度給予充分考慮，并制定相應策略，以避免更多的安全問題，保證更好的教學質量。

參考文獻：

[1] 盧來.高校計算機機房安全管理存在的問題及對策分析[J].信息與電

腦，2011.6：23-24

[2] 張慶河.電氣與靜電安全[M].中國石化出版社，2005.

[3] 夏雨.淺談高校計算機房安全管理[J].孝感學院學報，2007.6.

[4] 張鳳儀，劉學明，許子鍵.高校計算機機房環境安全管理對策[J].重慶

工學院學報，2006.20（11）.

[5] 呂昌河，何林林.計算機網絡安全實用技術[M].電子工業出版社，

2005.

[6] 陳向榮.高校中心機房安全管理[J].實驗室研究與探索，2005.12（7）.

[7] 袁更華.Windows Server 2003 組網與安全配置手冊[M]. 中國青年

出版社，2004.

[8] 李勁.Windows Server 2003網絡管理手冊[M].中國青年出版社，

2004.

[9] 朱志杰.建筑高級裝飾施工與報價[M].北京中國建筑工業出版社，

1992.

[10] 徐永根.工業與民用配電設計手冊[M].北京水利電力出版社，1994.

[11] 章長東.工業與民用電氣安全[M].北京中國電力出版社，1996.