一、前言

隨著教育信息化的加速，高校校園網(wǎng)給教學方式、教育管理方式、師生的生活方式都帶來了巨大的變化，這不僅提高了教育水平，而且也為學生打開了了解世界的窗口。但隨著網(wǎng)絡應用進一步的發(fā)展，校園網(wǎng)絡的安全問題也逐漸突出，直接影響著學校的教學、管理、科研活動。因此，如何構建一個安全高速的校園網(wǎng)絡承載平臺成為了擺在校園網(wǎng)絡管理者面前的一個難題。

二、業(yè)務挑戰(zhàn)

校園網(wǎng)從網(wǎng)絡到應用各個層面都面臨著不同的安全問題

（一）網(wǎng)絡邊界防護：多出口、高帶寬，網(wǎng)絡結構復雜；病毒、蠕蟲傳播成為最大安全隱患；越來越多的遠程網(wǎng)絡接入，安全性亟待改善；

（二）數(shù)據(jù)中心防護：缺少高帶寬、高性能的防護方案；無法提供有效的服務器防護；數(shù)據(jù)中心網(wǎng)絡資源有限但浪費嚴重；

（三）內容安全防護：無法對教職工、學生的網(wǎng)上敏感言論或集會召集行為進行先期干預，易釀成社會問題；暴力、黃色及邪教網(wǎng)站的訪問，損害學生的身心健康，需對其進行有效控制；各種P2P應用，如迅雷、快播等下載軟件嚴重堵塞網(wǎng)絡帶寬，影響正常的教學應用；

三、解決方案

華為通過深度了解校園網(wǎng)絡的業(yè)務特點及面臨的安全問題，與敏捷網(wǎng)絡相結合，提出校園網(wǎng)絡安全解決方案，幫助各高校最大化降低安全威脅，實現(xiàn)有效的網(wǎng)絡管理。

部署在學校數(shù)據(jù)中心入口的防火墻可提供安全隔離和日常攻擊防范，部署在互聯(lián)網(wǎng)出口的高性能下一代防火墻具備高級應用安全能力，比如攻擊防范、IPS、防病毒、上網(wǎng)行為審計等，在實施互聯(lián)網(wǎng)出口防護同時兼為整個校園的安全資源中心。

華為將安全行為分析軟件集成到Controller中，通過搜集全網(wǎng)各類設備的日志信息，記錄全網(wǎng)的各類安全事件，進而分析并發(fā)現(xiàn)一些以前從單點出發(fā)的視角不能發(fā)現(xiàn)的潛在威脅或攻擊。再通過交互界面呈現(xiàn)給管理員，并產生告警。管理員再對安全風險進行防御。管理員也可以在Controller預定義一些策略或者動作。例如，將可疑流量引流到安全中心去進行清洗。這樣可以降低管理人員的維護工作量，整個系統(tǒng)也可以更加安全的運行。比如來訪的教師訪問數(shù)據(jù)中心的流量可以引流到安全資源中心進行病毒檢測、應用攻擊檢測和訪問行為審計等。這種方式將有效復用下一代防火墻安全資源，降低建設和管理成本。

四、安全與管理系統(tǒng)相融合技術

針對校園中一般情況下認證系統(tǒng)和安全管理系統(tǒng)相分離的情況，華為利用自身全面的技術基礎，進行了管理整合。讓安全防御系統(tǒng)、行為審計分析系統(tǒng)和用戶認證管理系統(tǒng)實現(xiàn)聯(lián)動，從而安全與審計不再單單只能根據(jù)IP地址來進行策略制定和溯源，極大減少了安全維護工作量。

一般進行網(wǎng)絡管理時，如果用戶不在安全管理系統(tǒng)上認證，那么相關的流量控制、策略控制只能根據(jù)IP地址實現(xiàn)，而威脅管理同樣也只能依靠IP地址進行管理，比如檢測到某終端發(fā)起惡意攻擊，或某終端上網(wǎng)流量中包含異常，獲取到IP地址之后需要再到認證系統(tǒng)中根據(jù)時間進行查詢，在龐大的數(shù)據(jù)庫中查找到對應時間該IP地址分配的用戶，整個工作量非常曲折，也給日常的行為管理帶來極大的不便。

華為實現(xiàn)了安全與管理系統(tǒng)相互融合，用戶管理系統(tǒng)實現(xiàn)了用戶認證之后，會自動將用戶的賬號與IP地址對應管理之間傳遞到安全管理體系，進行流量控制策略或者QoS，或者違法追溯就能直接與用戶賬號或者賬號組進行設定，為網(wǎng)絡管理節(jié)約極大的工作量。

精細化安全管控：業(yè)務和用戶的聯(lián)動

五、真實應用場景舉例

學校把網(wǎng)絡分為教學區(qū)與生活區(qū)，對于教學區(qū)的用戶可以認為安全等級較高可以直接訪問內部和外部的網(wǎng)絡資源，對于宿舍區(qū)或家屬區(qū)的網(wǎng)絡需要加強安全監(jiān)控，通過策略將流量引到安全中心，執(zhí)行不同的策略，同時策略與用戶身份所關聯(lián)，比如對于本科生則限制其迅雷下載，對于老師則放開全權限控制并且有更高的帶寬權限，這些都是由安全設備與敏捷交換機的聯(lián)動來實現(xiàn)。

責任編輯：gt