校园一卡通系统的网络技术安全策略

柴文磊　刘劲松

摘 要：本文讨论了校园一卡通系统所面临的网络安全方面的主要问题，针对这些问题，提出了一些网络安全控制的策略，以保障校园一卡通系统能够正常稳定的运行。

关键词：校园一卡通网络安全安全策略

中图分类号：TP393.08 文献标识码：A 文章编号：1673-8454（2009）09-0031-03

近几年，随着计算机技术和网络技术的不断发展，我们的日常生活越来越离不开网络了。教育行业也不例外，比如教育部“教育信息化发展战略与政策研究”的正式启动，数字化校园2.0概念的提出,都标志着教育行业在进行着信息化的变革。数字化校园是以数字化信息和网络为基础，在计算机和网络技术上建立起来的对教学、科研、管理、技术服务、生活服务等校园信息的收集、处理、整合、存储、传输和应用，使数字资源得到充分优化利用的一种虚拟环境。通过实现从环境（包括设备、教室等）、资源（如图书、讲义、课件等）到应用（包括教、学、管理、服务、办公等）的全部数字化，在传统校园基础上构建一个数字空间，以拓展现实校园的时间和空间维度，提升传统校园的运行效率，扩展传统校园的业务功能，最终实现教育过程的全面信息化，从而达到提高管理水平和效率的目的。

校园一卡通系统是数字化校园建设的重要组成部分，它结合了学校统一的身份认证、人事、学工等MIS（Management Information System，管理信息系统）和应用等系统建设，通过共同的身份认证机制，实现数据管理的集成与共享。校园一卡通系统不仅是消费系统，还是管理系统，所以如何保证校园网络正常运行不受各种网络黑客的侵害就成为一个不可避免的问题。

一、校园一卡通功能概述

校园一卡通目的是实现“一卡在手，走遍校园，一卡通用，一卡多用”。校园一卡通的功能和用途主要体现在校园消费、管理和金融应用（银行）三方面。电子钱包一卡通：在各校区内，所有消费网点都可以使用校园卡作为电子钱包进行交易，所有校内商户或收款单位均可以实现授权代理收款、结算，实时转账。应用范围：水控(浴室、宿舍、开水房、洗衣房)、电控、缴费（学费、上机收费、医疗收费、停车收费）、代收费（固定电话费、移动电话费）、发放补助、发放奖学金、食堂餐饮、超市购物、校内宾馆等；身份识别一卡通：校内使用的各种证卡（包括工作证、学生证、借书证、医疗证、上机卡、会员证），均可由校园卡代替，实现图书馆、电子阅览室、宿舍楼、学生公寓、会议考勤的身份识别一卡通，实现校内所有重要场所的出入门禁管理；银校一卡通：家长可以使用银行系统的全国异地通存通兑业务，给学生卡中汇款；在校外，师生可以使用与校园卡关联的银行卡进行消费、存取款、转账结算等金融业务。在校园内，师生通过圈存机，可以实现银行卡到校园卡的电子钱包圈存并可自助查询银行账户余额。

二、校园一卡通存在的网络安全隐患

1.人为恶意攻击

人为恶意攻击是网络所面临的最大的威胁。对于在校园一卡通链路中传输数据的入侵方式存在两种情况：一种情况是入侵者直接到内部网络上进行攻击、窃取或做其他破坏；另一种情况是入侵者在传输线路上安装窃听装置，窃取网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改来破坏数据的完整性。

2.计算机病毒攻击

计算机病毒有着巨大的破坏性，已经被人们所认识，成为了信息时代的公害。特别是通过网络传播的病毒，无论是传播速度、破坏性和传播范围都是单机病毒无法比拟的。常见的有：（1）蠕虫病毒：这种病毒的共有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性；（2）木马病毒：这一病毒的共有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制；（3）后门病毒：该类病毒的共有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患；（4）ARP病毒：该病毒通过伪造的ARP数据包可以干扰网络的正常通信，影响或破坏网络的正常使用。

三、校园一卡通的网络安全策略

由此可见，仅仅从软件设计方面完善校园一卡通系统是不够的，还需要有一个安全稳定的网络环境，要把安全性放在首位。安全性是校园一卡通系统的生命线。针对网络的安全性，本文从以下几个方面多层次、多角度地进行安全策略分析。

1.虚拟局域网技术（VLAN）

现在的校园一卡通系统大部分是建立在校园网的基础上，依托的是校园网的网络架构，这种方式能充分利用现有的资源，减少设备的投入。但这种方式也给校园一卡通系统的网络安全带来了隐患，所以必须利用虚拟局域网技术对一卡通系统进行隔离保护。VLAN的划分根据不同的原则，一般有以下三种划分方法：

（１）基于端口的VLAN划分：把所有属于一卡通系统的端口划分成一个逻辑组，形成一个虚拟网，这是最简单也是最有效的方法。该方法只需要网络管理员对网络设备的交换端口进行重新分配即可，不用考虑该端口所连接的设备。

（２）基于ＭAC的VLAN划分：把所有属于校园一卡通系统的计算机的MAC地址划分为一个逻辑组，形成一个虚拟网。该方法需要统计所有系统中的计算机的MAC地址，工作量比较大。而且当系统中添加新机器时，更新维护的工作量也比较繁琐。

（３）基于ＩＰ的VLAN划分：利用三层交换机将校园一卡通系统中属于不同交换机下的不同端口划分为一个逻辑组，形成一个虚拟网。该方法不受地域的限制，可以把不同校区、不同办公楼的计算机划分到一个虚拟网络中，是非常有效和快捷的方法。

VLAN在校园一卡通系统中的优点是显而易见的：１）通过ＶＬＡＮ把系统中的计算机划分到一个虚拟网络中，信息只能到达应该到达的主机，防止了大部分基于网络监听的入侵手段。２）在ＶＬＡＮ中可以设置访问控制，使在虚拟网外的非法网络主机不能直接访问虚拟网内主机。３）独立划分出来的虚拟网内不会受其他网络的广播风暴的影响，提高了传输性能。

2.虚拟专用网技术（VPN）

校园一卡通系统从某种意义上说是校园网建设的一部分，但是由于它的应用特殊性，实质上它是一个专用网络，一个小型局域网。在校园网中通过VPN的隧道技术、加密技术、认证技术和访问控制等手段对校园一卡通系统的网络进行保护。建立VPN的方式可以有两种：一种是通过网络运营商建立VPN，这样可以完全不依赖于学校网络进行自身建设，还可以有更大的自主性；另一种是通过校园网建立VPN，这样就得依靠学校的网络建设，如果学校网络覆盖面积比较广的话可以采取这种办法，这样可以节省大笔经费。一般来说，VPN从技术上可分为以下三种：

（１）软件ＶＰＮ：利用软件公司提供的ＶＰＮ软件产品来实现简单的ＶＰＮ功能。最简单的是依靠Ｍｉｃｒｏｓｏｆｔ的Ｗｉｎｄｏｗｓ操作系统就可以实现纯软件平台的ＶＰＮ。

（２）硬件ＶＰＮ：使用专业硬件平台的ＶＰＮ设备实现复杂的ＶＰＮ功能。这样可以对数据安全和通信性能有更高的安全保障，但投资成本比较高。

（３）辅助硬件ＶＰＮ：这类ＶＰＮ的平台介于软件平台和硬件平台之间，主要是以现有网络设备为基础，再增添适当的ＶＰＮ软件实现ＶＰＮ的功能。这是最为常见也是最合理的ＶＰＮ平台。

VPN作为一种解决网络互联问题的技术，用在解决校园一卡通系统中不但保证了数据网络的安全和服务质量，同时实现了系统结构的简单和低成本。实践证明，VPN技术具有强劲的认证功能、有效的加密保障、安全的远端存取、IP路径选择、防火墙等功能，提高了校园一卡通系统的可管理性、灵活性和安全性。

3.访问控制列表技术（ACL）

利用访问控制列表对属于校园一卡通系统中的计算机进行访问控制，现在所有的路由器和三层交换机上都会支持ACL，部分二层交换机也开始提供ACL支持。

ACL可以对IP地址、端口、MAC地址、协议进行过滤，把病毒攻击和人为恶意攻击阻挡在一卡通系统网络之外。可以使用ACL中的标准访问控制列表和扩展访问控制列表进行规则定义：只允许一卡通系统内的IP和MAC访问数据库；数据库主机只开放部分端口提供给用户使用；屏蔽病毒经常入侵的端口和系统中不经常使用的端口；屏蔽所有不属于一卡通系统内的IP和MAC，保障只能让合法的主机进行内部数据交流，非法的主机拒绝在校园一卡通系统网络之外。

充分有效地利用好ACL能够实现在物理网络中构建一个逻辑独立的一卡通系统平台，从而保护一卡通系统的独立性，提高一卡通系统的网络安全性能。

4.地址绑定技术

地址绑定技术包括两种，一种是在交换机上把MAC地址和交换机端口绑定，一种就是把主机的MAC地址和IP地址进行绑定，建立起MAC和端口、MAC和IP的一一对应关系。

MAC和端口的绑定：交换机上可以在端口下配置MAC绑定，只允许合法MAC地址的数据通过交换机，不合法MAC地址的数据丢弃。进行过MAC绑定的端口只承认绑定过的MAC地址，其他地址一概不能连入网络，即使是使用相同的IP地址也是不行的，这样可以保证网络的完整性和独立性。

MAC和IP的绑定：可以通过软件和硬件的方法进行绑定——软件方法是通过运行在主机上的第三方软件实现的，硬件方法是通过三层交换机实现的，这两种方法都可以实现IP于MAC的绑定，而且可以同时使用。

地址绑定在实施的过程中比较繁琐，工作量比较大，以后的日常维护工作也比较困难，但是优点也是更加突出的，能够有效防止一卡通系统外的主机接入网络中，防止ARP病毒传播。

四、结束语

网络技术的飞速发展，数字化校园对广大师生的学习和生活都产生了深远影响，但在享受网络带给我们方便快捷的同时，我们也要清醒地认识到网络安全对数字化校园带来的威胁。目前各大高校都在讨论和实施校园一卡通系统，网络安全问题更是重中之重。上面四种安全策略并不是相互独立的，而是相互关联的，可以结合几种策略一起使用，这能起到更好的防范作用。比如说VLAN和ACL结合使用是最为常见的方法，加入VPN的方式，效果会更好一些。但这些策略都是基于网络设备而定的，所以学校应该加强校园网的投入，建设一个安全、可信的数字化校园环境。

参考文献：

[1]曾琼芳,胡孝昌,李桂莲.校园一卡通的规划与实施研究[J].文化建设,2006(12).

[2]康娥,朱玉爽.VPN技术的特点及应用[J].广播电视信息，2008（8）.

[3]冯萍,孙伟. VLAN技术在校园网中的应用[J].长春大学学报,2006(2).