写隧道技术实验室管理的论文

时间:2018-04-10 编辑:永旺 手机版

  1采用三层C/S和三层B/S混合的系统架构

  三层B/S结构分为客户层、应用服务层和数据服务层,它是三层C/S的一种网络实现[5]。与C/S结构中的客户端不同,B/S结构的客户层只保留一个Web浏览器,Web服务器位于中间层应用服务层,数据库系统位于第三层数据服务层。Web浏览器和Web服务器之间只是简单的通信协议,其相应的功能由各自的组件独立完成,减轻了客户机的负担,却提升了数据库数据服务的效率;此外,由于Web应用程序主体被封装在Web服务器中,升级位于中间层的Web服务器中的应用程序即可实现每一客户端应用程序的更新,大大提高了系统的可维护性[6]。但由于三层C/S结构的分布功能弱、兼容性差、开发成本高、升级维护难度大;三层B/S结构相应速率低、交互性差、给数据库访问造成的压力较大,因此,采用三层C/S和三层B/S相结合的混合架构模式来搭建系统,扬长补短,发挥其各自优势:三层C/S结构用于安全性和交互性要求较高、数据处理量较大的子系统;三层B/S结构用于地理位置分散、数据流量较小的子系统。三层C/S和三层B/S混合的系统架构如图1所示。采用三层C/S和三层B/S混合架构,将所有业务逻辑封装于中间层,Web服务器和客户端要想对数据库服务器进行访问,需要经过中间层应用服务器的中转,提高了数据库服务器的安全性。

  2将隧道技术和虚拟网卡应用于SSLVPN的建立

  2.1SSLVPN技术

  早期的程序设计中通常缺少关于网络安全的考虑,像telnet、smtp、pop3等协议都是以明文传递,即使是设置了重重安全保护机制的管理系统,机密资料在网络上传输时还是赤裸裸未经任何保护的明文资料,因而产生了许多可被攻击的漏洞。在实验室管理系统中,实验室管理员对学生进行远程管控、学生上机收费都是通过网络来完成的,在网络中传输的数据一旦被截获,学生的一卡通账户和密码、实验室的各项统计数据将有被篡改的危险,不但给实验室和学生带来经济损失,还会造成系统紊乱。因此,确保数据通信安全是非常必要的。我们采用较为先进的SSLVPN技术来保障网络数据传输。SSLVPN是指一种基于数据包封装技术使用SSL(安全套接层)协议来构建的VPN。它通过加解密等密码技术,将在公用网络上的连接包装成虚拟专用通道,能有效控制对内部数据的访问,减少来自公用网络的恶意攻击,大大提高了信息流通和网络的安全性能,是远程接入内网和远程访问内部数据较安全的技术[7]。传统的IPSecVPN需要安装客户端软件才能使用,而在SSLVPN架构下,使用者无需在客户端安装软件,只要利用浏览器,就可以通过网络进行资料存取和信息管理,显得更加的方便、快捷,是新生代的远程安全访问方式。传统的SSLVPN由于使用浏览器作为客户端程式,一些不适用以HTTP协议来执行的应用,就必须重新改写为Webbase的版本,或是加上新的Webbase介接程序,才能配合SSLVPN使用,这不仅增加了SSLVPN导入的成本,也增加了导入的难度,成为SSLVPN技术的限制。因此,本文提出用隧道技术和虚拟网卡改良SSLVPN的解决方案。

  2.2基于隧道技术和虚拟网卡的SSLVPN

  本系统通过SSL的四层隧道协议在公用网络中建构一条加密的私有专用通道,它是一种点到点的数据连接,客户端之间通过同一条线路进行数据传输,它将内部私有协议同主机网络隔离开来,并可以根据用户权限,允许授权用户或禁止未授权用户访问内网的资源和服务。隧道技术将数据流强制定向到特定的目的地,而且隐藏了内部私有协议,保护了内部的数据和资源,使得多种非IP协议数据包在IP网络上传输成为可能,最大限度保证了数据的安全可靠[8]。虚拟网卡是实现SSLVPN隧道和系统数据通信的重要部件[9]。它的主要作用是对传输的数据包进行编码和解码,在客户端,虚拟网卡对数据进行编码并发信息至服务器;在服务端,它对从客户端发送过来的数据进行解码,转化成明文后,再将其传输到物理网络中。虚拟网卡的功能通过Tun/Tap驱动程序来实现,图2为虚拟网卡驱动程序的工作原理图。Tun驱动模式构建点到点IP路由形式的VPN隧道,它虚拟点对点设备;Tap驱动构建以太网模型隧道,它虚拟以太网设备。如图2所示,虚拟网卡驱动程序就是核心态与用户态的一个接口,它通过用户态进行数据交互,不需要与物理网卡打交道。Tun/Tap驱动中的网卡驱动能够与TCP/IP协议栈之间进行网络分包的收发,Tun/Tap驱动中的字符驱动能够以字符设备的方式连接用户态和核心态,字符设备读取的是虚拟网卡发往物理层的字节流,而写入字符设备的数据则作为字节流被虚拟网卡接收。

  3网络型入侵检测系统

  随着校园网络攻击趋于隐蔽性和复杂性,实验室管理系统不能只单纯地依靠防火墙作为安全的防线,因为防火墙只能对进出网络的数据进行分析判断,而对于网络内部的异常事件无能为力,无法满足系统高安全度的需要。入侵检测系统(IntrusionDe-tectionSystem,简称IDS)则可以动态监控、预防或抵御系统入侵行为,作为对防火墙的补充[11]。基于网络的入侵检测系统(NIDS)使用基于统计和基于特征的两种检测方法,将网络适配器设置于混杂模式(promiscmode)下,,对所有本网段内的数据包、通信业务进行实时监控、侦听和分析,一旦检测到攻击或超越授权的非法访问,响应模块立即按照设置做出报警甚至直接切断网络连接。NIDS由于采用旁路技术,不会在主机中安装额外的软件,不需要改变服务器的配置,因此对网段中计算机影响较低,不会降低系统性能,即便NIDS发生故障,也不会影响正常业务的运行,是一项非常值得推广的系统安全防护措施[12]。

  4合理的用户权限划分

  本系统在数据库中建立权限表,将用户分为超级管理员、实验室管理员和学生3类。用户登录系统后,系统根据用户不同的权限级别,提供不同的菜单和功能使用模块。超级管理员具有最高权限,可以对系统数据进行设置和管理;实验室管理员可以对所管辖的实验室进行部分数据管理和功能应用;学生权限最低,只可以在系统中进行其相应级别的操作。通过对权限类别和级别的严格划分,本系统从根本上防止了用户的越权访问和控制失效等安全问题。

  5结语

  三层C/S和三层B/S混合的系统架构、基于隧道技术和虚拟网卡的SSLVPN、网络型入侵检测系统、合理的权限划分一起构成了实验室管理系统的信息安全保障体系。该体系既能够防止非法用户系统的入侵和攻击,又能防止合法用户的越权访问,全面保护数据在存储、使用、传输过程中的完整性和安全性,使整个实验室管理系统处于安全保护范畴之内。

写隧道技术实验室管理的论文相关推荐