[打造安全稳定的校园网络] 校园网络安全

　　深圳大学经过25年的发展，学校已初步建成数字化校园，建有完备的校园网服务系统和校园一卡通身份识别、选课注册和货币支付系统，网络端口29861个，生均1.38个。 　　
　　新应用引发带宽挑战
　　
　　随着新校舍的建设，学生的增加，网络结构变得更加的复杂。尤其是在工作时间， BitTorent、Thunder（讯雷）、eMule（电骡）、eDonkey（电驴）等大量P2P应用占到网络带宽的80%以上。由于P2P应用占用了大量的带宽，使得网络不堪重负，经常出现问题，正常应用无法进行。
　　为了更好的服务教学工作和同学使用，深圳大学决定采用H3C SecPath ACG8800-S3网关，通过其丰富的控制手段和突出的性能，帮助深圳大学全面掌控网络中的应用，进而实现对校内网络行为的从容监管、控制P2P的下载、合理安排分配流量等功能。
　　据深圳大学信息中心主任张凡教授介绍，通过深圳大学应用H3C SecPath ACG8800-S3限制了网络流量，把总体流量控制了下来，起到了保教学、保科研的作用。张凡表示，在应用H3C SecPath ACG8800-S3之前，校园网的出口带宽达到了1.6G（双向）网络峰值，网络设备负荷非常大，经常出现不稳定等问题。在应用H3C SecPath ACG8800-S3之后，出口峰值降低到了1.2G（双向），有效下降了25%，从而腾出了更多的带宽给HTTP、邮件等正常办公应用。由于P2P应用给出口设备带来很大压力，经常造成故障，所以深圳大学为了合理利用网络资源，决定对其在繁忙时间进行限制。
　　P2P类应用的特点是单个IP的连接数较多，每个连接的端口号不固定，每个连接的数据包包长且速率较大，H3C SecPath ACG8800-S3在深入理解P2P协议模型基础上，建立了针对P2P协议识别通用模型。传统带宽管理模型中都以一个接口上的转发流量为核心，即对进入同一个接口的流量按照不同的流量等级分配不同的带宽，对接口带宽采用的是一种扁平化的带宽管理方法。近来出现了一种层次化的带宽管理技术应用于路由器和交换机产品，但这种新技术由于受限于产品形态、组网方式和业务模型，一般只能提供两个层次的带宽管理，例如用户层或应用层，即在同一个接口上区分不同用户分配带宽，然后在此用户的带宽范围内为不同应用分配不同的带宽，不能进行更多层次的带宽管理。
　　利用被广泛采用的数据包深层扫描（DPI）的技术，已经能够检测出报文所属的L7应用协议以及L7内容特征，但是基于TCP或UDP的应用层协议繁多，应用协议经过整理后，甚至可以达到成百上千种，用户如果仍然基于应用层协议对流量进行管理，是非常困难的。H3C SecPath ACG8800-S3带宽控制技术是面向IT服务的流量管理，实现了网络与系统的高效管理，使管理更加灵活、可用性更高。它能够基于不同的分段、不同的用户以及IT服务等应用不同的带宽策略，达到细分流量管理的目的。
　　
　　面向应用的精细管理
　　
　　目前学校网络中内部安全和内部控制的重要性日益突出。及时记录内部人员的上网行为，从而做到事后有据可查成为目前校园网和企业网迫切需要解决的问题。H3C SecPath ACG8800-S3用户行为审计功能可以对用户的上网行为进行全面记录，为事后取证提供完备的依据。H3C SecPath ACG8800-S3用户行为审计功能包括用户HTTP访问行为记录，用户电子邮件行为记录以及FTP上传下载行为审计。通过对URL的全记录，完全掌握用户上网行为，定位用户访问网页或查看的文件；通过对用户电子邮件内重要信息以及FTP上传下载文件名等信息的审计，完成数据流动的完全监控。
　　服务方面，张凡表示：“国内品牌相较国外品牌，服务更加周到。购买国外品牌产品后，客户很难和研发人员进行深层次地沟通，国外品牌设备更新也不太人性化。值得一提的是，深圳大学在应用中遇到问题时，H3C提供了研发级的服务，派出研发人员现场解决。”
　　最后，张凡总结道：“随着校园网络应用的发展，传统的基于带宽的粗旷式流量管理和运营模式已经远远不能满足要求，面向内容控制的精细化流量管理和运营模式已经成为大势所趋。H3C SecPath ACG8800-S3应用控制网关系列产品以其强大的深度应用识别功能和完善的带宽控制功能为基础，综合共享接入管理等多种流量运营增强功能，是实现精细化流量管理和运营的必备产品。”