校園網安全如何保證？部署高性能網關
責編：admin ｜2014-05-01 17:47:10 隨著以數字化校園為特征的教育信息化迅速發展，校園網成了網絡安全問題最為嚴峻的環境之一。 網絡用戶不斷增加，信息數據交流活躍，如何在保持其高速、便捷的同時，亦能使其擁有較高的安全性，是眾多高校網絡管理面臨的難題。長江大學作為湖北省屬高校中規模最大、學科門類較全的綜合性大學之一，近年來在數字校園的打造上不遺余力。為了解決網速“吃力”問題，寬帶由最初的200M升級到現在Cernet和Internet兩個出口各1G。但隨著校園寬帶升級，校園網出口防火墻的性能已經無法支撐如此高的轉發速率，從而導致防火墻出現了頻繁的當機、重啟現象。神州數碼網絡有限公司(簡稱DCN)攜手其 DCFW-1800E-N8410多核安全網關產品全力打造長江大學高性能出口安全網關，贏得了校園廣大師生的一致好評。
全面了解客戶需求
目前長江大學現有上網用戶5000左右，未來一年內有可能上升到6000-8000用戶的規模。出口防火墻的主要功能是保障校園網內部免受外來非法用戶的入侵并為校內師生訪問Internet及Cernet提供接入服務，外網兩條線路的接入帶寬分別為1G，防火墻的轉發性能需要能充分發揮兩條接入線路的帶寬優勢。DCN經過全面考察和了解，分析出具體需求如下：
1、強大高性能的攻擊防護功能；
2、兩條鏈路能很好的按要求實現負載均衡功能；
3、對于P2P及IM等應用的限制功能，針對國內的應用識別一定要準確，升級特征庫周期最短要一周，完善而細致的QoS功能，能按照帶寬占用的情況實現限速；
4、ARP欺騙防護功能，IPSec VPN以及SSL VPN功能等。
精心打造解決方案
1、升級核心交換機與安全網關之間的鏈路帶寬
DCN多核安全網關具有端口聚合功能，它可以將多個物理端口聚合為一條邏輯鏈路，以達到增加鏈路帶寬的作用。所以此次安全網關遷移后，核心交換與安全網關之間的互聯帶寬將達到2G，改造后安全網關的兩條出口帶寬將能得到充分利用，防火墻這個節點上的瓶頸問題將就此成為歷史。
改造后安全網關與核心交換機的連接拓撲如下圖：
2、對上課教室使用的特定網段IP限制其對P2P及IM的使用
學校之前使用的防火墻因為不具備過濾P2P及IM應用的功能，所以很多學生在上課的時候也利用教室的上網之便開啟迅雷、BT等P2P應用進行下載，嚴重影響了學習效率。DCN多核安全網關由于識別率非常之高，能夠第一時間將所有教室網段的P2P及IM應用全部封殺，以保證教育秩序的運行。
3、實施QoS策略，對內網常見業務應用啟動優先級控制機制，并對P2P應用所占總帶寬做出限制
長江大學之前校園網出口擁擠其實很大一部分都是被P2P應用給擠占，針對這個情況神州數碼的工程師結合多核安全網關在QoS方面的優勢給出了如下配置方案：在多核安全網關啟用兩層QoS策略。第一層啟用“應用Qos”，在安全網關內網口對流進的、校園網內業務量占比較大的應用進行優先級排序，這樣就可以讓優先級較高的數據優先通過防火墻被轉發，以加速用戶認為較關鍵的業務，而丟棄或延遲用戶不想要的低優先級數據。 第二層QoS策略則是要將全網P2P占用的帶寬控制在500M以內。這一策略將有效降低P2P對出口帶寬的威脅，從而為其他正常網絡業務的使用提供了保障。
4、啟用攻擊防護
從實施安全網關遷移前的調查中得知，以前長江大學對外開放的幾個應用服務器曾經有段時間頻繁受到外網攻擊，嚴重時曾一度導致服務器癱瘓而無法對外提供正常的服務。 這一次在新的安全網關上對內外網同時開啟“攻擊防護”功能，將攻擊統統消滅在網絡邊界。憑借多核安全網關的強大攻擊防護能力，讓流經它的數據做到“真真正正，干干凈凈”。
DCFW-1800E-N8410多核安全網關是神州數碼網絡公司面向網絡服務運營商、大型企業網、大型校園網等大型骨干網絡設計開發的新一代多功能安全網關產品。其領先的64位多核MIPS體系架構和高速交換總線技術，讓它不但在防火墻性能上實現了全面的跨越，而且在防病毒、IPS、VPN、QoS及應用層管控等方面的處理能力也得到了前所未有的提升，配合神州數碼潛心研發的64位并行安全操作系統在多線程并行處理能力上的優勢，使得DCFW-1800E-N8410即使在處理多任務并發時也全無性能瓶頸之虞，可充分滿足大型網絡對于不同接口類型及接口高密度的需求。