1采用三层C/S和三层B/S混合的系统架构
三层B/S结构分为客户层、应用服务层和数据服务层，它是三层C/S的一种网络实现［5］。与C/S结构中的客户端不同，B/S结构的客户层只保留一个Web浏览器，Web服务器位于中间层应用服务层，数据库系统位于第三层数据服务层。Web浏览器和Web服务器之间只是简单的通信协议，其相应的功能由各自的组件独立完成，减轻了客户机的负担，却提升了数据库数据服务的效率;此外，由于Web应用程序主体被封装在Web服务器中，升级位于中间层的Web服务器中的应用程序即可实现每一客户端应用程序的更新，大大提高了系统的可维护性［6］。但由于三层C/S结构的分布功能弱、兼容性差、开发成本高、升级维护难度大;三层B/S结构相应速率低、交互性差、给数据库访问造成的压力较大，因此，采用三层C/S和三层B/S相结合的混合架构模式来搭建系统，扬长补短，发挥其各自优势:三层C/S结构用于安全性和交互性要求较高、数据处理量较大的子系统;三层B/S结构用于地理位置分散、数据流量较小的子系统。三层C/S和三层B/S混合的系统架构如图1所示。采用三层C/S和三层B/S混合架构，将所有业务逻辑封装于中间层，Web服务器和客户端要想对数据库服务器进行访问，需要经过中间层应用服务器的中转，提高了数据库服务器的安全性。
2将隧道技术和虚拟网卡应用于SSLVPN的建立
2．1SSLVPN技术
早期的程序设计中通常缺少关于网络安全的考虑，像telnet、smtp、pop3等协议都是以明文传递，即使是设置了重重安全保护机制的管理系统，机密资料在网络上传输时还是赤裸裸未经任何保护的明文资料，因而产生了许多可被攻击的漏洞。在实验室管理系统中，实验室管理员对学生进行远程管控、学生上机收费都是通过网络来完成的，在网络中传输的数据一旦被截获，学生的一卡通账户和密码、实验室的各项统计数据将有被篡改的危险，不但给实验室和学生带来经济损失，还会造成系统紊乱。因此，确保数据通信安全是非常必要的。我们采用较为先进的SSLVPN技术来保障网络数据传输。SSLVPN是指一种基于数据包封装技术使用SSL(安全套接层)协议来构建的VPN。它通过加解密等密码技术，将在公用网络上的连接包装成虚拟专用通道，能有效控制对内部数据的访问，减少来自公用网络的恶意攻击，大大提高了信息流通和网络的安全性能，是远程接入内网和远程访问内部数据较安全的技术［7］。传统的IPSecVPN需要安装客户端软件才能使用，而在SSLVPN架构下，使用者无需在客户端安装软件，只要利用浏览器，就可以通过网络进行资料存取和信息管理，显得更加的方便、快捷，是新生代的远程安全访问方式。传统的SSLVPN由于使用浏览器作为客户端程式，一些不适用以HTTP协议来执行的应用，就必须重新改写为Webbase的版本，或是加上新的Webbase介接程序，才能配合SSLVPN使用，这不仅增加了SSLVPN导入的成本，也增加了导入的难度，成为SSLVPN技术的限制。因此，本文提出用隧道技术和虚拟网卡改良SSLVPN的解决方案。
2．2基于隧道技术和虚拟网卡的SSLVPN
本系统通过SSL的四层隧道协议在公用网络中建构一条加密的私有专用通道，它是一种点到点的数据连接，客户端之间通过同一条线路进行数据传输，它将内部私有协议同主机网络隔离开来，并可以根据用户权限，允许授权用户或禁止未授权用户访问内网的资源和服务。隧道技术将数据流强制定向到特定的目的地，而且隐藏了内部私有协议，保护了内部的数据和资源，使得多种非IP协议数据包在IP网络上传输成为可能，最大限度保证了数据的安全可靠［8］。虚拟网卡是实现SSLVPN隧道和系统数据通信的重要部件［9］。它的主要作用是对传输的数据包进行编码和解码，在客户端，虚拟网卡对数据进行编码并发信息至服务器;在服务端，它对从客户端发送过来的数据进行解码，转化成明文后，再将其传输到物理网络中。虚拟网卡的功能通过Tun/Tap驱动程序来实现，图2为虚拟网卡驱动程序的工作原理图。Tun驱动模式构建点到点IP路由形式的VPN隧道，它虚拟点对点设备;Tap驱动构建以太网模型隧道，它虚拟以太网设备。如图2所示，虚拟网卡驱动程序就是核心态与用户态的一个接口，它通过用户态进行数据交互，不需要与物理网卡打交道。Tun/Tap驱动中的网卡驱动能够与TCP/IP协议栈之间进行网络分包的收发，Tun/Tap驱动中的字符驱动能够以字符设备的方式连接用户态和核心态，字符设备读取的是虚拟网卡发往物理层的字节流，而写入字符设备的数据则作为字节流被虚拟网卡接收。
3网络型入侵检测系统
随着校园网络攻击趋于隐蔽性和复杂性，实验室管理系统不能只单纯地依靠防火墙作为安全的防线，因为防火墙只能对进出网络的数据进行分析判断，而对于网络内部的异常事件无能为力，无法满足系统高安全度的需要。入侵检测系统(IntrusionDe-tectionSystem，简称IDS)则可以动态监控、预防或抵御系统入侵行为，作为对防火墙的补充［11］。基于网络的入侵检测系统(NIDS)使用基于统计和基于特征的两种检测方法，将网络适配器设置于混杂模式(promiscmode)下，，对所有本网段内的数据包、通信业务进行实时监控、侦听和分析，一旦检测到攻击或超越授权的非法访问，响应模块立即按照设置做出报警甚至直接切断网络连接。NIDS由于采用旁路技术，不会在主机中安装额外的软件，不需要改变服务器的配置，因此对网段中计算机影响较低，不会降低系统性能，即便NIDS发生故障，也不会影响正常业务的运行，是一项非常值得推广的系统安全防护措施［12］。
4合理的用户权限划分
本系统在数据库中建立权限表，将用户分为超级管理员、实验室管理员和学生3类。用户登录系统后，系统根据用户不同的权限级别，提供不同的菜单和功能使用模块。超级管理员具有最高权限，可以对系统数据进行设置和管理;实验室管理员可以对所管辖的实验室进行部分数据管理和功能应用;学生权限最低，只可以在系统中进行其相应级别的操作。通过对权限类别和级别的严格划分，本系统从根本上防止了用户的越权访问和控制失效等安全问题。
5结语
三层C/S和三层B/S混合的系统架构、基于隧道技术和虚拟网卡的SSLVPN、网络型入侵检测系统、合理的权限划分一起构成了实验室管理系统的信息安全保障体系。该体系既能够防止非法用户系统的入侵和攻击，又能防止合法用户的越权访问，全面保护数据在存储、使用、传输过程中的完整性和安全性，使整个实验室管理系统处于安全保护范畴之内。
13888888888
点击咨询 