系统架构师论文-图书馆网络应用体系安全设计

图书馆网络应用体系安全设计

[摘要]

某某大学图书馆从85年引进日本富士通的管理系统开始，历经近20年的信息化建设后，逐歩形成了拥有一定硬件规模、软件资源和一批专业技术人才的现代化图书馆。而自从我校进入“211"以来，建立数字化的图书馆就成为了我们工作的重中之重。我校数字化建设的主要内容是建立基于千兆主干网络的、提供多种网络服务的网络应用体系。项目建设完成后，我馆成为该省规模最大的开放式的数字化文献提供和建设中心，为本省的科技、文化、教育事业的发展提供了强大的资源保障。

[正文]

2001年3月，我参加了某大学数字图书馆建设，担任技术部主管职务，负责理解学校和省教委対该项目的要求，根据技术先进、成本适中、充分满足要求为原则，进行应用需求分析，対整个网络进行设计，提出设计方案。由于该项目规模比较大，提供的服务比较多，作为校园网络的中心和提供网络服务的核心部门，我馆图书馆的许多业务需要在网上展开，各种特色服务所用的平台也是五花八门。这対安全方面的设计提出的较高的要求。我们通过采用保障Internet接入的安全、保证干路畅通和合理划分子网、保证软件系统的安全、健全管理机制等措施来设计图书馆网络。这种切合实际、低成本、高技术的设计方案实施后的网络，其安全性大大加强了，同时网络的性能并未受到太多的影响。 2001年3月，我参加了某某大学数字211建设图书馆数字化建设部分（分为第一、第二、第三期工程）。第二期工程总额5500万元。该工程建设项目分为网络部分、软件部分以及资源建设部分。该项目的目标是，将地处该城市的东、西、南、北端的各分校区和总校区的网络联连接成为一个畅通的宽带、高速、高性能的校园网；建立一个文献信息中心，能为读者提供电子期刊服务、图书书目数据服务、图书光盘点播、视频点播服务，并且能够拥有部分自己的特色数据资源；建立一个网络中心提供Web服务、邮件服务、全校的亦公自动化服务，它既是全校的应用服务中心、公共数据存储中心，又是全校网络的管理中心。项目从实现的功能、设备配置的先进性、网络带宽的规模看，该项目要达到国内一流、省內第一的水平。 项目建成后，该数字图书馆能承担全省的文献检索与开发的重任。我在该项目中担任技术部主管，其任务是充分理解学校和省教委対该项目的要求，根据技术先进、成本适中、充分满足要求为原则，提出和需求分析书和项目计划书；监督光纤的铺设和楼宇布线；设备的货到验收；网络调试（交换机调试、地址分配、访问控制配置、设备网管模块的配置、网络管理平台的配置）；网络应用系统的建立；数据库的采购；建立特色的数字化资源等等。进行应用需求分析，対整个网络进行设计，提出设计方案。 由于该项目规模比较大，提供的服务比较多，各种特色服务所用的平台也是五花八门。同时，影响网络安全的因数比较多，通常有人的因数、自然因数、病毒因数。如果対这些主要因数防范不得力，将影响网络硬件、网络数据传输、数据服务器的安全。因此対其安全设计，单一的技术或者设备保护难以保证本校网络的安全，效果往往不理想；所以我们采用多层次的防护体系来保证网络的畅通和网络数据的安全。我们根据业务数据的流动历经的重要环节，来提出具体的安全方案。

1保证接入的安全

俗话说病从口入，同样一些常有的攻击往往来自外网，同时使用图书馆所购买的外文资料比如Web Science. EBSCO W据库需要访问外网；同时，外网的授权用户需要能够访问我们的数据。所以必须保证接入部分的稳定与安全。在外网联接上，我们租用2条光纤线路（100M）分别接入中国电信和XXX大学，使用Cisco的7500系列路由器接入，然后用一台Sun spark操作系统为Solaris的服务器做防火墙将外网和内网划分开；同时用其做策略路由服务器，使用校园网内的用户可以快捷的访问电信网络和教育网络的资源。在外部用户访问上，我们首先用Sun spark服务器防火墙进行IP地址过滤掉非法的IP地址，然后通过用户名+密码模式登陆，才能通过防火墙访问我们内部资源。

2保证干路畅通和划分子嗣

网络干路是指各楼的骨干网、骨干网汇接形成的交换中心及联络Internet的接入线路。它的不畅通必然导致大规模的网络瘫痪，外部付费用户访问不到内部资源，这将造成极坏的影响。 在光纤干路上我们采用光纤连接主校区的各大教学楼、南院校区和m校区，主干路使用3対光纤做冗余。由于其它分校区离主校区比较远，光纤连入费用较高，我们采用拨号接入的方式联络。我们采用3ComRAS1500作为拨导服务器，分配32个校内电话号码给该服务器，用户只需要拨这32个其中一个，通过认证后，就可以动态分配一个校内的合法IP来访问校内的资源。在干路上，安全的隐患往往来自非技术因素，由于本市修建大学城，道路施工比较多，我们的光纤被人为的挖断,由于某路段起火烧掉部分光纤。対于这种情况，我们采取紧急修理，租用吉通的2M微波通讯线路和将策略路由指向电信线路的亦法来保障网路的畅通。 由于本校应用点多，地理位置也十分分散，各大单位为相対独立的机构，所以需要进行子网划分以便管理。我们使用两台3Com的CB9000中心交换机连接各教学单位过来的光纤，并且将华中分配的16个C类地址分成为32个VLm子网的划分使安全性得到了很大的提高，同时各单位的网络独立的虚网。同时，每个教学单位指定专人负责网络地址的分配，这样盗用IP地址的情况大大的减少了。 我们采用3Com的Transcend作为网管平台，实施対网络干路和各个子网的监控和进行网络优化。当网络有人恶意下载资源和蜻虫病毒群发邮件时，我们可以立即找出攻击源而进行相应的措施。

3保证软件系统的安全

由于操作系统是软件系统的基础，所以，保护好操作系统是必须的，対于Windows系统（提供CNKI和VIP镜像等服务）保护，我们主要采取取消Guest帐号、取消不必要的服务（如远程注册表操作）安装诺顿防火墙和相应的杀毒软件、定时查看有无异常的程序运行等方式来保证其安全。対于Linux或者Unix （提供邮件、网络计费、主页、论坛等服务），我们关闭许多不必要的端口、定时対系统打包升级等措施来保证其安全。 対于数据库系统的保护，主要集中在保证数据的完整性、正确性和安全性方面。在数据存储介质方面，我们采用破盘阵列、NAS、San结合RAID5（无独立校验破盘的奇偶校验破盘阵列）方式存储数据。

4健全的管理机制

管理安全数字图书馆的工作状态在很大程度上取决于是否有良好的管理机制。如果制度合理、管理得当、执行得力就能有效的预防和控制安全事故的发生。反之，则会引发各种安全隐患,我们规定工作人员每日必须检查服务器的日志，通过日志可以清楚的看到有无外来人员登陆服务器，并且做了何种修改。対重耍的数据服务器，每日必须做异地数据备份。同时管理员的密码必须达到一定的长度并且每周建议修改一次。 一般而言，网络安全是网络服务效率的保障。没有了数据安全，网络服务成为无源之水;没有网络系统的安全，网络服务将成为无本之木。当然没有效率的网络传输是得不偿失的。所以，我们要合理的规划好网络及软、硬件的合理利用。在接入上，由于全校有3, 000多台机器也要通过该做防火墙的服务器接入Internet,这将给该服务器造成较大的负担，同时数据传输量大时，该服务器处理速度相対将成为瓶颈。 我们采取单独使用两台Spark主机做代理服务器，代理服务器同时启动用户认证服务，由于代理服务器的缓存保证了出校的流量大大减少，同时认证功能使得非法用户无法登陆网络。这样的冗余设计使得网络的安全性能和效能得到了大幅度的提高。在子网划分上，连接各教学单位过来的光纤的2台中心3Com CB9000交换机之间用两根光纤作一个串口，这样跨子网的访问无需通过交换能力不强的Cisco路由器7500,子网间传输数据的瓶颈问题消失了。 在数据存储上，由于我们提供CNKI和VIP等服务，这些服务器的访问量、存储的数据量都十分庞大，单个的数据检索查询都会占据大量的CPU时间。我们使用SAN和NAS存储大量的数据，当用户提出一个检索的申请时，检索服务将在服务器上运行，当用户提出一个下载的服务时候，下载的服务由SAN和NAS去完成，这样使得SAN和NAS的效能比破盘阵列要高。由于SAN和NAS都可以做RAID1-5,所以数据安全性能比普通的硬盘要高。采用新技术和冗余使得我们的网络服务效率和安全性能得到了大幅度的提高。 网络的安全管理不是一个硬件和软件的引进就能得到大幅度的提高的；他是一个长期的、动态的过程。本项目的网络系统还有许多问题，一次网络发生了大规模的网络风暴，从子交换机扩散到中心交换机，主机与主机之间的数据传输丢包率达到了75%几乎是不通了，最后我们发现一个施工的单位将一根漏电的线绞搭在网路上。但是为什么会造成跨虚网的网络风暴，从技术上我们无法解决，只能是严格检测各子网和主干网络是否达到屏蔽的要求，并且将电路和网路尽量的分开。