服务器如何利用本地安全策略来限制访问IP的流量

1点击 “开始菜单/设置/控制面板/管理工具”,双击打开”本地策月”,选中”ip安全策月,在本地计算机”右边的空白位置右击鼠标,谈出快捷菜单,选择”创建ip安全策月”,弹出向导在向导中点击下一步 下一步,当显示”安全通信请求”画面时,把”激活默认相应规则”左边的钩去掉,点”完成”就创建了一个新的ip安全策月

2右击该ip安全策月,在”属性”对话框中，把”使用添加向导”左边的钩去掉,然后再点击右边的”添加”按纽添加新的规则,随后弹出”新规则属性”对话框,在画面上点击”添加”按纽,弹出ip筛选器列表窗口在列表中,首先把”使用添加向导”左边的钩去掉,然后再点击右边的”添加”按纽添加新的筛选器

3进入”筛选器属性’对话框,首先看到的是寻地址,源地址选”一个特定的IP地址”,目标地址选”我的ip地址”,在特定的IP地址那填上你要阻止的IP地址，点击确定

4在”新规则属性”对话框中,选择”新ip筛选器列表’然后点击其左边的复选框,表示已经激活最后点击”筛选器操作”选项卡中,把”使用添加向导”左边的钩去掉,点击”添加”按钮,进行”阻止”操作,在”新筛选器操作属性”的”安全措施”选项卡中,选择”阻止”,然后点击”确定”

5进入”新规则属性”对话框,点击”新筛选器操作”,选取左边的复选框,表示已经激活,点击”关闭”按钮,关闭对话框最后”新ip安全策略属性”对话框,在”新的ip筛选器列表”左边打钩,按确定关闭对话框在”本地安全策略”窗口,用鼠标右击新添加的ip安全策略,然后选择”指派”

目前,网络安全的技术主要包括防火墙技术、加密技术、身份验证、存取控制、杀毒软件、数据的完整性控制和安全协议等内容。针对校园网来说,存在较大的成本投入问题,不可能将所有的安全技术应用到网络中,在网络规划阶段可以针对最主要的安全问题进行设计防范。在网络设计阶段可以采取防火墙技术、VLAN技术、杀毒软件、网站过滤技术等。

楼主可以就上述技术在网络规划设计阶段如何进行设计进行探讨。

以下参考！！！！！！！！！！！！

引言

信息技术日新月异的今天，网络技术发展迅猛，信息传输已经不仅仅局限于单纯文本数据，数字数据

的传输，随之而来的是视频，音频等多媒体技术的广泛运用。随着技术的发展，网络设备性能和传输介质容量有了极大的提高，但是由于用户需求的日益提高，网络环境的日益复杂，使得网络规划成为一项越发困难的课题，作为校园园区网的规划成败与否，将直接影响到学校教育网络系统性能的高低，从而影响教学进程和教学效果，下面主要对校园园区网的规划思想进行探讨。

1． 校园园区网规划介绍

校园园区网规划是校园网进行工程组网的前期准备工作，它的内容涉及到整项网络工程的重要步骤，是网络设计的核心与灵魂，校园园区网优良的长远规划和最佳的实现选择是校园网长期高效能运营的基础。目前，校园园区网中技术应用主要为辅助管理，教学科研，internet信息服务，以及网络技术探索应用四大类，由于总体的规划所涉及到的技术因数繁多，因而校园园区网规划应当实地考察，调研，通过反复论证，结合当今技术及发展方向，提出总体规划设想，规划既要适应当前的应用，又要反映未来需求，规划应当考虑经济，环境，人文，资源等多方面因素，以合理需求为原则。

2． 校园园区网规划实施计划

2．1 了解用户，收集信息

网络规划的目的在于收集一线信息的基础上给出合理可行的设计方案，如战场指挥，运筹帷幄，决

胜千里，其关键之处在于广泛收集信息，全面合理的规划校园园区网需认真考虑三点因素：

（1）学校历史网络资源信息，当前网络规划设计计划，领先的技术方向，运营机制和管理办法，满足未来网络的高度扩展计划及其特点

（2）了解学校校园网络的使用者分别是谁？他们各自的知识层次如何？以及他们对计算机的使用观点和使用频率如何？他们对当前的网络态度和看法如何？这一点将为日后培训和安排多少人员进行网络的技术支持和维护起导向作用。

（3）明确网络规模：有哪些校区，哪些部门，多少网络用户，哪些资源需要上网，采用什么档次的设备而又在资金预算范围内，不同部门之间的信息流向问题，不同时刻网络流量及流量峰值问题，确定网络终端数量及位置，共享数据的存储位置和哪些人要用这些数据等基本状况等

（4）找出用户与用户，用户与资源，资源与资源之间的内在关系，相关信息，这是校园网设计的前提和依据，是规划的核心思想，作为一个庞大的校园网，如何使得设计的网络便于教学需求和管理应用，教学网与管理网各自安全运作，相互兼容，而又不矛盾？这一点尤为重要。

2．2 分析需求，提出网络设计原则

2．2．1 需求分析

教育行业有着自身的特殊性，校园园区网对整个网络性能要求相对较高，校园园区网组建需满足对数字，语音，图形图象等多媒体技术的宽泛应用，以及综合科研信息的传输和处理需求的综合数字网，并能符合多种协议的要求，其体系应当符合国际标准（如TCP/IP协议，Novell IPX协议等），同时能兼容已有的网络环境，因此设计组网前，应对各方面需求总结归纳，做出细致分析：

（1）内部光缆主干需求：规划需分析综合布线系统及其子系统，主配线间MDF与二及配线间IDF的位置，不同类别的服务器位置等。

（2）应用管理需求：能够让管理人员从繁琐的文字处理中彻底解脱出去，以计算机信息系统交流和日常事物，构建公文系统，日常办公系统，档案系统，电子邮件等功能，且需操作简单，便于使用。满足视频点播，语音教学，多媒体课件等教学需求，具备基本的Internet访问等。

（3）网络流量需求：要求校园园区网有足够的网络吞吐量来满足教学任务，保证信息的高质高效率传输，校园网流量涉及到，语音教学，多媒体课件，服务器访问，Web浏览，视频点播等，对带宽需求和时延性要求极高。

（4）网络安全需求：校园网络必须有完善的安全管理机制，能够确保网络内部可靠运行，还要防止来自外部的和来自内部的非法访问和入侵，保证关键数据库的存储安全

2．2．2 提出设计原则

（1）网络可靠性原则：

网络设计过程中网络拓扑应采用稳定可靠的形式，如：双路由网络拓扑，环行网络结构。因为它们即可冗余备份，安全性又可以得到保障，核心层交换可采用高端交换设备和光纤技术的主干链路（TRUNK）来实现较高的容错性，这样就可以避免单点故障的出现，网络结构使用双链路，双核心交换设备，双路由备份可靠措施，都可以使校园网可靠性和实用性得到大大的提高

（2）网络可扩展性原则：

校园园区网扩展性包含2层意思（一）：新的教学部门能简单的接入现有网络 （二）：升级新技术的应用能够无逢的在现有网络上运行

可见，规划校园园区网络时不但要分析当前的技术指标，而且要对未来的网络增长情况做出估计和预算，以满足新的需求，保证网络可靠性，从而保证校园正常的教学秩序

（3）网络实用性和可管理性原则：

校园园区网系统设计在性能价格比方面要体现系统的实用性，可采用先进的设备，但有要在资金允许的条件下实现建网的目标，校园园区网应基于简单网络管理协议（SNMP），并支持管理信息库（MIB），利用图形化，可视化管理界面和操作方式，易于管理，这也正体现出了实用性原则，合理的网络规划策略，可提供强大的管理

功能，能使管理一体化进行，这就便于日后的校园网更新与维护

（4）网络安全性原则

1对物理层及网络拓扑结构，操作系统及应用软件要求具备相应的安全检测机制，边界网关应该构筑防火墙，安装杀毒软件，对网关路由器进行必要的安全性过滤，如访问控制列表ACL配置，用户身份认证，数据加密，密钥等技术来实现校园园区网的安全化

2采用静态虚拟局域网技术（静态VLAN）加强内网的管理，因为VLAN是基于逻辑划分而非物理地理划分，这就有效的控制了各个网段的相互访问，从而保证了内网的安全性，同时VLAN又可抑制不必要的广播，从而节约了带宽，又便于管理

3以TCP/IP四层网际模型为框架建立持续过程的网络安全性措施运行机制，做到维护网络，监测网络，测试网络，改进网络四位一体的网络持续性保卫工作，它是网络安全性管理的核心思想，如图所示：

应用层

传输层

网际层

internet层

网络接入

图（1）以TCP/IP模型构建持续性网络安全管理方式

3． 总结失败项目，明确网络规划的必要性

当前很多学校纷纷建立自己的校园网，但由于组网设计前期规划工作做的不彻底，不扎实，使得校园

网发挥效益不大，巨大的投资没有换来实实在在的成效收益。这一点在中小学校园网建设上体现的较为明显，其原因主要三点：

（1）认识不到为

学校对校园网概念定义缺乏认识，带有盲目性和自我偏见性，没有明确建校园网的目的，不晓得校

园网到底起什么样的实质性作用。

（2）投资方案不合理

由于对校园园区网建设认识不正确，使得很多学校出现“重硬件，轻软件”的现象，结果校园园区网建设成了基于硬件设备的校园网组网解决方案，是纯粹的设备集合。而对建网后的维护极不重视，后期的管理投入所占比例微乎其微，所以使得校园网不能很好的服务与教学和管理，甚至还会使整个网络趋于崩溃。

（3）缺乏有效的组织管理和实施手段

校园园区网的建设不仅仅涉及到技术问题，还会引起更深层次的变革，而学校在建设校园园区网时，认识不充分，在新技术，新思想面前不能及时转变观念，没有行之有效的组织管理和实施手段。

基于上述三点指出：盲目的进行校园网建设，不采取合理的规划，都会导致校园网建设失败，一个成功的校园网规划应当是集稳定开放的网络平台，量身定制的应用软件，有效的组织实施方案三位于一体的的校园园区网建设过程。

4． 总结

校园园区网应顺应时代教育思想的革命，在网络技术上具备响应的本质特征，教育的一个基本特征是打破时间和地域的限制，面向全体社会成员，这就要求规划校园园区网络时必须站的高，看的远，时刻明确思想定位和技术定位，本文主要探讨了如何行之有效的规划一个满足教学，科研，管理全方面高效新型校园园区网，并指明规划思想。总之，未来校园园区局域网的规划目标，规划方向应该是建成一个集IP服务，宽带光传输且提供服务的运营级多功能网络

参考文献：[1]王竹林等 校园网组网与管理<M> 清华大学出版社 2001出版

[2]思科网络技术教程（三 四）学期 人民邮电出版社 2002出版

[3]http://wwwnet130comcn

[4]方东权 杨岿 校园网络安全与管理[J] 网络安全与技术 2005第51期

修改/etc/logindefs文件，控制密码的有效期

chage -l 用户名

控制密码复杂度，需已安装pam_cracklib，centos已默认安装

修改/etc/etc/pamd/system-auth文件，添加如下语句，需放置在最前面，否则可能不生效

参数说明

Linux登录失败

1 修改/etc/hostsallow文件，增加允许通过SSH连接的客户端IP

2 修改/etc/hostsdeny文件，增加禁止通过SSH连接的客户端IP

3 重启sshd服务和xinetd(可选)服务，使之生效

如果hostsallow和hostsdeny文件均包含同一ip，则以hostsall文件为准，如果只是单独配置了hostsall文件，并没有在hostsdeny文件禁止，依然不生效

1、选择服务器操作系统：建议选择windows2003企业版

根据你网站采用的程序语言决定。如果是asp/aspnet的肯定要选windows。其他的如php等可以选择windows也可以选择linux

linux的版本有几十几百种类，非linux专业人事不要选择linux，操作很复杂。

2、安装网站运行环境

常用的运行环境就是iis,apache。iis是微软自带的组件。在添加删除程序中选择“安装删除组件”就能安装上。这类的教程网上容易搜索到。搜“iis架设”。

3、安全策略。

服务器重要的是做好安全工作，安全是门很重要的学问。通过健全的安全策略可以有效的保护好服务器。

常规做的安全策略有防火墙封端口，本地安全策略，文件夹权限，禁用不需要用的组件。关闭不需要用的服务！打好系统补丁。

安全策略是最重要的一部，网上找不到最全面的安全策略。因为每个人需要用的服务不一样，所以关闭不必要组件和服务不一样，而这些组件和服务是服务器遭到破坏的最大隐患。

其他安全思路：装虚拟机，虚拟机里再安装windows2003，然后把用到的网站端口映射在真实服务器上就可以了，这样真实服务器做安全，虚拟服务器再做安全加了一道墙，就相对安全很多了。

4、服务器分配：安全杀毒的,负载均衡的,数据库的,的,网站架构的

首先这5台服务器做不同用途，所以不需要考虑负载均衡。

顺便说一下，负载均衡是相对于大流量的网站而做的，这个“大”要大到什么程度才有必要这么做。我是做IDC的，其中一个业务就是服务

器托管，象你这种情况，如果是选择最常规最普通的带宽，那就是100M共享。这种带宽几十台服务器合用一个100M的带宽，你能用多少，假如你能用10M带宽，你用5台服务器做负载均衡，也就总共负载了50M流量，你想想100M共享，5台机器实际上不可能达到50M流量，这样别人流量就少了，交换机会做一些策略分配资源。

而我们服务器的网卡都是100M/1000M的，就流量问题一台服务器就足够应付了。购买大点的带宽，才能解决问题。

真正要用到负载均衡的是你流量大于100M的情况。你网站比方流量需要200M，这个时候网卡（服务器网卡或是接服务器的那个交换机的网口）是100M的，因为100M网卡跑不了200M流量啊！所以才需要负载均衡。

还有一种情况需要负载均衡：防止一台服务器损坏。这样一台服务器坏了还有一台均衡的服务器来解决这个问题。但是这个代价高，我们一般客户也就是准备一个备用服务器，型号一样的，到时候出了问题，把硬盘换上去就直接可以用。硬盘如果坏了，硬盘可以做RAID1。就是用2个硬盘同步数据，不可能2个硬盘同时坏。

5、服务器之间通信：对外的用外网，对内的用内网其实就可以了。省一个外网省点费用！把需要用外网的带宽买个大点的，够用的！