|
摘要：网络教育站点的安全是网络教育机构组织不得不严肃考虑的问题。除了建立网络安全策略用于指导和规范各网络教育管理人员的网络安全管理职责外，对网络教育站点的安全改进是使站点安全运行的重要方法。本文从服务器主机选择、虚拟网络（VLAN）运用和划分原则、服务器主机和服务器软件的配置、服务器管理等四方面论述了如何对网络教育站点进行安全改进。
关键词：VLAN；网络隔离；服务器；安全模式
Abstract Thesecurity of network education WEB sites is a problem whichnetwork education organization should consider. The improvement of the security on the WEB sites is an important way for the operation of the sites, besides the emphasis of the established strategies for guidance and duty of working staff. In this paper, the improvements on the security of the WEB sites are reviewed based on the selection of servers, sorting of network, application of VLAN, configuration of server- hardware and software, and management of servers.
Key Words VLAN ;Isolated network; server; safe model
1 教育站点服务器主机的选择
在选择教育站点服务器主机时，除了考虑诸如功能、性能和价格等因素外，更重要的要考虑安全需求，服务器很多，但它们的安全性能是不一样的，要使教育站点具有安全性就必须选择满足安全需求的服务器，网络教育站点的安全需求一般包括：
⑴较小的易受攻击性
⑵只能由授权用户进行管理的限制能力
⑶拒绝访问服务器中没有发布的信息的能力
⑷关闭操作系统或服务器软件中不必要的网络服务的能力
⑸访问各种外部可执行程序（如CGI scripts、服务器plug-ins）的可控能力
⑹为侦测入侵或企图入侵，记录教育站点服务器活动的能力
2 教育网络分段及虚拟网络（VLAN）运用和划分原则
对局域网来说，网络分段和VLAN的运用是保证教育网络安全的有效措施。
2.1 教育网络分段改善安全性能。
教育网络分段是保证安全的一项重要措施，同时也是一项基本措施，其指导思想在于将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。教育网络分段可分为物理分段和逻辑分段两种方式：
物理分段通常是指将网络从物理层和数据链路层(ISO/OSI模型中的第一层和第二层)上分为若干网段,各网段相互之间无法直接通讯。目前，许多交换机都有一定的访问控制能力，可实现对网络的物理分段。
逻辑分段则是指将整个系统在网络层（ISO/OSI模型中的第三层）上进行分段。例如，对于TCP/IP网络，可把网络分成若干IP子网，各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接，利用这些中间设备（含软件、硬件）的安全机制来控制各自网间的访问。在实际应用过程中可采取物理分段与逻辑分段相结合的方法来实现对网络系统的安全性能控制。
2.2 运用VLAN改变安全性能
以太网从本质基于广播机制，但应用了交换和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。
由以上运行机制带来的网络安全的好处是显而易见的：
信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。
通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。
2.3 VLAN 之间的划分原则
VLAN 的划分方式的目的是保证系统的安全性。因此，可以按照系统的安全性来划分VLAN；可以将主要的服务器系统单独划分作一个VLAN，如数据库服务 | 
