《学校网络安全探究本科学位论文》由会员分享，可在线阅读，更多相关《学校网络安全探究本科学位论文（23页珍藏版）》请在金锄头文库上搜索。
1、宿舍网络安全探究摘 要Internet是一个开放的、互操作的通信系统，其基础协议是TCP/IP。Internet协议地址（简称IP地址）是TCP/IP网络中可寻址设施的唯一逻辑标识，它是一个32位的二进制无符号数。对于Internet上的任一主机，它都必须有一个唯一的IP地址。IP地址由InterNIC及其下级授权机构分配，没有分配到自己的IP地址的主机不能够直接连接到Internet。随着Internet的迅速发展，IP地址的消耗非常快，据权威机构预测，现行IPv4版本的IP只够用到2007年。现在，企业、机构、个人要申请到足够的IP地址都非常困难，作为一种稀缺资源，IP地址的盗用就成为很常
2、见的问题。特别是在按IP流量计费的CERNET网络，由于费用是按IP地址进行统计的，许多用户为了逃避网络计费，用IP地址盗用的办法，将网络流量计费转嫁到他人身上。另外，一些用户因为一些不可告人的目的，采用IP地址盗用的方式来逃避追踪，隐藏自己的身份。IP地址盗用侵害了Internet网络的正常用户的权利，并且给网络计费、网络安全和网络运行带来了巨大的负面影响，因此解决IP地址盗用问题成为当前一个迫切的课题。IP地址的盗用方法多种多样，其常用方法有很多种，例如静态修改IP地址、成对修改IP-MAC地址等等，针对IP盗用问题，我们将从网卡交换机以及802.1X协议方面详细讲解防止IP地址的盗用的方
3、法。 目 录0.前言11.宿舍网络安全简介12.网卡32.1网卡的基本构造32.2网卡的工作原理42.3网卡的工作模式及功能52.4 MAC地址的简介52.5 IP与MAC的绑定63.交换机83.1 什么是交换机83.2 交换机的种类83.3 交换机的工作原理83.4 可网管交换机VLAN技术93.5 MAC和交换机端口的绑定104.802.1x认证技术简介124.1 引言124.2 802.1x协议简介124.3 802.1x认证体系124.4 802.1x认证特点134.5 802.1x认证流程134.6 802.1x配置155.病毒、木马、防火墙165.1 计算机病毒及特点165.2 计
4、算机病毒的传播165.3 防火墙与查杀软件165.4 病毒的清除176. 结束语186.1论文总结186.2工作展望18参考文献、资料索引19致谢20宿舍网络安全探究0.前言如今，校园宿舍网呈现用户多且密度大、网络节点多、难以管理的特点。宿舍网的用户相对其他网络的用户分布要密集很多，而众多用户与不同宿舍楼之间的网络连接结构相似，但节点甚至比办公大楼、实验室等其他区域的网络节点还要多，管理起来工作量大。同时，不容忽视的是，学校拥有一大批活跃、求知欲强的学生用户，因此IP地址盗用等现象频频发生。在传统的IP和MAC地址绑定、流量计费的运营管理模式下，为了防止IP地址盗用现象，将大量IP和MAC地址
5、绑定，不仅加大了服务中心工作人员的工作量，甚至造成了超负荷工作，工作人员对此有很大意见；同时，用户对不能正常使用网络的抱怨也时有发生。各种原因交织在一起最终导致了管理难的问题。因此，我们一直在寻找由难到易的宿舍网运营计费认证管理办法，需要它营造出一种方便、实用、快捷、易于管理的网络环境。同时，由于宿舍区网络使用者知识能力等所限，被病毒、木马等威胁的实例也层出不穷，例如：局域网爆发ARP病毒，具体表现为局域网内一些正在上网的电脑主机频繁掉线或是断线。这是因为局域网内有电脑运行ARP欺骗程序（比如：传奇、QQ盗号的软件等）发送ARP数据包，致使被攻击的电脑不能上网。为了有效防范宿舍区内病毒等的发生
6、与蔓延，有必要认真研究解决对策。1.宿舍网络安全简介随着网络的快速发展和上网用户的急剧增多，网络中的不安全因素日益暴露无遗，主要表现在： 1）由于IP和MAC地址的可变性而导致的冒用合法用户入网问题。非法用户只要连接网线，对电脑进简单的网络配置就可以上网。由于IP和MAC盗用会导致合法用户不能上网，甚至非法入网者会以合法用户的名义从事非法勾当，对网络的安全管理造成很大的威胁； 2）操作系统和应用软件存在大量漏洞，这是造成网络安全问题的严峻的一个主要原因。国际权威应急组织CERT/CC统计，截至2004年以来漏洞公布总数16726个，并且利用漏洞发动攻击的速度也越来越快； 3）校园网用户安全意识
7、不强及计算机水平有限。大部分学校普遍都存在重技术、轻安全、轻管理的倾向，常常只是在内部网与互联网之间放一个防火墙就万事大吉，甚至有些学校直接连接互联网，严重缺乏防范黑客攻击的意识。学生宿舍网作为服务于教育、科研和行政管理的计算机网络，实现了校园内连网、信息共享，并与 Internet 互联。宿舍网连接的校内学生机，存在许多安全隐患，主要表现有： 1)宿舍网与 Internet 相连，面临着外网攻击的风险。 2)来自内部的安全威胁。 3)接入宿舍网的节点数日益增多，这些节点会面临病毒泛滥、信息丢失、数据损坏等安全问题。 通过对宿舍网的安全设计，在不改变原有网络结构的基础上实现多种信息安全，保障宿
8、舍网络安全 ，一个整体一致的内网安全体系，应该包括身份认证、授权管理、数据保密和监控审计四个方面，并且，这四个方面应该是紧密结合、相互联动的统一平台，才能达到构建可信、可控和可管理的安全内网的效果。 身份认证是内网安全管理的基础，不确认实体的身份，进一步制定各种安全管理策略也就无从谈起。内网的身份认证，必须全面考虑所有参与实体的身份确认，包括服务器、客户端、用户和主要设备等。其中，客户端和用户的身份认证尤其要重点关注，因为他们具有数量大、环境不安全和变化频繁的特点。 授权管理是以身份认证为基础的，其主要对内部信息网络各种信息资源的使用进行授权，确定“谁”能够在那些“计算机终端或者服务器”使用什
9、么样的“资源和权限”。授权管理的信息资源应该尽可能全面，应该包括终端使用权、外设资源、网络资源、文件资源、服务器资源和存储设备资源等。 数据保密是内网信息安全的核心，其实质是要对内网信息流和数据流进行全生命周期的有效管理，构建信息和数据安全可控的使用、存储和交换环境，从而实现对内网核心数据的保密和数字知识产权的保护。由于信息和数据的应用系统和表现方式多种多样，所以要求数据保密技术必须具有通用性和应用无关性。 监控审计是宿舍网络安全不可缺少的辅助部分，可以实现对宿舍网络安全状态的实时监控，提供宿舍网络安全状态的评估报告，并在发生宿舍网络安全事件后实现有效的取证。 宿舍网络安全已经成为信息安全的新
10、热点，其技术和标准也在成熟和演进过程中，我们有理由相信，随着同学们对宿舍网络安全认识的加深，用户宿舍网络安全管理制度的完善，整体一致的宿舍网安全解决方案和体系建设将成为宿舍网安全的主要发展趋势。宿舍内部网络安全经常会发生IP盗用现象，恶意修改MAC地址，严重危害了正常的上网秩序，下面我们先从网卡开始探讨网络的安全问题。2.网卡2.1网卡的基本构造网卡包括硬件和固件程式（只读存储器中的软件例程），该固件程式实现逻辑链路控制和媒体访问控制的功能，还记录唯一的硬件地址即MAC地址。网卡上一般有缓存。网卡须分配中断IRQ及基本I/O端口地址，同时还须配置基本内存地址（base memory addre
11、ss）和收发器（transceiver），主要由网卡的控制芯片、晶体震荡器、BOOT插槽、EPROM、内接式转换器、RJ-45和BNC接头、信号指示灯等部分。网卡的控制芯片是网卡中最重要元件，是网卡的控制中央，有如电脑的CPU控制着整个网卡的工作，负责数据的的传送和连接时的信号侦测。早期的10/100m的双速网卡会采用两个控制芯片（单元）分别用来控制两个不同速率环境下的运算，而现在较先进的产品通常只有一个芯片控制两种速度。内接式转换器只要有BNC接头的网卡都会有这个芯片，并紧邻在BNC接头旁，它的功能是在网卡和BNC接头之间进行数据转换，让网卡能通过它从BNC接头送出或接收资料。信号指示灯在网
12、卡后方会有二到三个不等的信号灯，其作用是显示现在网络的连线状态，通常具备TX和RX两个信息。TX代表正在送出资料，RX代表正在接收资料，若看到两个灯同时亮则代表现在是处于全双工的运作状态，也可由此来辨别全双工的网卡是否处于全双工的网络环境中部分。2.2网卡的工作原理网卡的主要工作原理是整理计算机上发往网线上的数据，并将数据分解为适当大小的数据包之后向网络上发送出去。对于网卡而言，每块网卡都有一个唯一的网络节点地址，它是网卡生产厂家在生产时烧入ROM（只读存储芯片）中的，我们把它叫做MAC地址（物理地址），且保证绝对不会重复。发送数据时，网卡首先侦听介质上是否有载波（载波由电压指示），如果有，则
13、认为其他站点正在传送信息，继续侦听介质。一旦通信介质在一定时间段内（称为帧间缝隙IFG=9.6微秒）是安静的，即没有被其他站点占用，则开始进行帧数据发送，同时继续侦听通信介质，以检测冲突。在发送数据期间,如果检测到冲突，则立即停止该次发送，并向介质发送一个“阻塞”信号，告知其他站点已经发生冲突，从而丢弃那些可能一直在接收的受到损坏的帧数据，并等待一段随机时间（CSMA/CD确定等待时间的算法是二进制指数退避算法）。在等待一段随机时间后，再进行新的发送。接收时，网卡浏览介质上传输的每个帧，如果其长度小于64字节，则认为是冲突碎片。如果接收到的帧不是冲突碎片且目的地址是本地地址，则对帧进行完整性校
14、验，如果帧长度大于1518字节（称为超长帧，可能由错误的LAN驱动程序或干扰造成）或未能通过CRC校验，则认为该帧发生了畸变。通过校验的帧被认为是有效的，网卡将它接收下来进行本地处理。2.3网卡的工作模式及功能1.工作模式分为以下四种：1) 广播模式（Broad Cast Model）:它的物理地址（MAC）地址是 0Xffffff 的帧为广播帧，工作在广播模式的网卡接收广播帧。 2）多播传送（MultiCast Model）：多播传送地址作为目的物理地址的帧可以被组内的其它主机同时接收，而组外主机却接收不到。但是，如果将网卡设置为多播传送模式，它可以接收所有的多播传送帧，而不论它是不是组内成
15、员。 3）直接模式（Direct Model）:工作在直接模式下的网卡只接收目地址是自己 MAC地址的帧。 4）混杂模式（Promiscuous Model）:工作在混杂模式下的网卡接收所有的流过网卡的帧，信包捕获程序就是在这种模式下运行的。网卡的缺省工作模式包含广播模式和直接模式，即它只接收广播帧和发给自己的帧。如果采用混杂模式，一个站点的网卡将接受同一网络内所有站点所发送的数据包这样就可以到达对于网络信息监视捕获的目的。比如，可以实施远程扫描来确定一块网卡是否工作在混杂模式。象AntiSniff这样的程序使用三种主要的方法来检测网卡是否工作于混杂模式： 1.检测网卡电子方面的变化来确定网卡的工作模式。 2.发送各种包（ARP请求，ICMP包，DNS请求，TCP SYN floods，等等）。如果从某台主机返回的包等待了一段不正常的时间，而且没有被主机处理过的迹象，则程序便推断出该主机的网卡可能出于混杂模式。 3.将错误的ICMP请求包含在无效的以太网地址头中。所有没有工作在混杂模式的系统将忽略这些请求，而那些回复错误
