一、前言

隨著教育信息化的加速，高校校園網給教學方式、教育管理方式、師生的生活方式都帶來了巨大的變化，這不僅提高了教育水平，而且也為學生打開了了解世界的窗口。但隨著網絡應用進一步的發(fā)展，校園網絡的安全問題也逐漸突出，直接影響著學校的教學、管理、科研活動。因此，如何構建一個安全高速的校園網絡承載平臺成為了擺在校園網絡管理者面前的一個難題。

二、業(yè)務挑戰(zhàn)

校園網從網絡到應用各個層面都面臨著不同的安全問題

（一）網絡邊界防護：多出口、高帶寬，網絡結構復雜；病毒、蠕蟲傳播成為最大安全隱患；越來越多的遠程網絡接入，安全性亟待改善；

（二）數據中心防護：缺少高帶寬、高性能的防護方案；無法提供有效的服務器防護；數據中心網絡資源有限但浪費嚴重；

（三）內容安全防護：無法對教職工、學生的網上敏感言論或集會召集行為進行先期干預，易釀成社會問題；暴力、黃色及邪教網站的訪問，損害學生的身心健康，需對其進行有效控制；各種P2P應用，如迅雷、快播等下載軟件嚴重堵塞網絡帶寬，影響正常的教學應用；

三、解決方案

華為通過深度了解校園網絡的業(yè)務特點及面臨的安全問題，與敏捷網絡相結合，提出校園網絡安全解決方案，幫助各高校最大化降低安全威脅，實現有效的網絡管理。

部署在學校數據中心入口的防火墻可提供安全隔離和日常攻擊防范，部署在互聯網出口的高性能下一代防火墻具備高級應用安全能力，比如攻擊防范、IPS、防病毒、上網行為審計等，在實施互聯網出口防護同時兼為整個校園的安全資源中心。

華為將安全行為分析軟件集成到Controller中，通過搜集全網各類設備的日志信息，記錄全網的各類安全事件，進而分析并發(fā)現一些以前從單點出發(fā)的視角不能發(fā)現的潛在威脅或攻擊。再通過交互界面呈現給管理員，并產生告警。管理員再對安全風險進行防御。管理員也可以在Controller預定義一些策略或者動作。例如，將可疑流量引流到安全中心去進行清洗。這樣可以降低管理人員的維護工作量，整個系統(tǒng)也可以更加安全的運行。比如來訪的教師訪問數據中心的流量可以引流到安全資源中心進行病毒檢測、應用攻擊檢測和訪問行為審計等。這種方式將有效復用下一代防火墻安全資源，降低建設和管理成本。

四、安全與管理系統(tǒng)相融合技術

針對校園中一般情況下認證系統(tǒng)和安全管理系統(tǒng)相分離的情況，華為利用自身全面的技術基礎，進行了管理整合。讓安全防御系統(tǒng)、行為審計分析系統(tǒng)和用戶認證管理系統(tǒng)實現聯動，從而安全與審計不再單單只能根據IP地址來進行策略制定和溯源，極大減少了安全維護工作量。

一般進行網絡管理時，如果用戶不在安全管理系統(tǒng)上認證，那么相關的流量控制、策略控制只能根據IP地址實現，而威脅管理同樣也只能依靠IP地址進行管理，比如檢測到某終端發(fā)起惡意攻擊，或某終端上網流量中包含異常，獲取到IP地址之后需要再到認證系統(tǒng)中根據時間進行查詢，在龐大的數據庫中查找到對應時間該IP地址分配的用戶，整個工作量非常曲折，也給日常的行為管理帶來極大的不便。

華為實現了安全與管理系統(tǒng)相互融合，用戶管理系統(tǒng)實現了用戶認證之后，會自動將用戶的賬號與IP地址對應管理之間傳遞到安全管理體系，進行流量控制策略或者QoS，或者違法追溯就能直接與用戶賬號或者賬號組進行設定，為網絡管理節(jié)約極大的工作量。

精細化安全管控：業(yè)務和用戶的聯動

五、真實應用場景舉例

學校把網絡分為教學區(qū)與生活區(qū)，對于教學區(qū)的用戶可以認為安全等級較高可以直接訪問內部和外部的網絡資源，對于宿舍區(qū)或家屬區(qū)的網絡需要加強安全監(jiān)控，通過策略將流量引到安全中心，執(zhí)行不同的策略，同時策略與用戶身份所關聯，比如對于本科生則限制其迅雷下載，對于老師則放開全權限控制并且有更高的帶寬權限，這些都是由安全設備與敏捷交換機的聯動來實現。

責任編輯：gt