简介一份面向网络安全课程设计的完整参考资源以巢湖学院校园网为背景围绕校园网安全体系的设计与实现展开。内容涵盖国内外安全现状分析、校园网结构特点、P-WPDRRC安全模型构建、防火墙与入侵检测联动、主动防御技术应用以及物理安全、网络安全、系统安全、应用安全、管理安全五个层面的具体落地适合网络工程、信息安全等专业学生完成课程设计或毕业设计时参考。资源共26个文件包含47页Word设计文档、可直接导入eNSP运行的topo拓扑文件、cfg设备配置文件、efz/zip镜像备份与png拓扑图压缩包整体仅3.6MB便于快速学习与仿真调试。报告目录清晰从设计分析、团队协作到方案实现与结果验证均有详细说明设备配置可直接对照拓扑图逐项检查帮助读者理解防火墙策略、入侵检测规则及主动防御机制的实际配置方法。目前已有3475人学习适合需要完整校园网安全设计方案参考或进行仿真复现的读者。1. 网络安全课程设计真正要交的东西一套能跑的校园网安全体系网络安全课程设计最容易翻车的地方不是文档页数不够而是把“校园网安全体系的设计与实现”写成了概念合集。拓扑图画得漂亮配置一问就卡壳。这个题目的交付物其实很明确一份经得起追问的课程报告一套在eNSP环境里能直接运行的拓扑以及一个能现场演示的配置结果。某高校的这个课设题目要求从设计分析、团队协作到安全体系构建和结果分析完整走一遍。很多同学一上来就打开eNSP拉设备结果需求写不清楚设备不知道怎么分区最后全靠截图凑报告。这篇博文就按课程设计报告的顺序把需求、模型、实现、验收和答辩串成一条可照抄的路径。适合正在做网络安全课程设计的学生也适合要补一份可落地方案的工程师参考。2. 需求与威胁分析校园网三层结构、五个安全需求与设计输入2.1 校园网特点与网络结构先把三层架构和安全域定下来校园网和普通企业网不太一样终端数量大、操作系统杂、共享带宽、出口集中还有大量教学、办公、宿舍上网业务。这些特点决定了不能只在出口放一台防火墙就完事。课程设计里首先要描述清楚校园网的网络结构否则后面所有安全策略都没有落点。最典型的就是三层架构核心层、汇聚层、接入层。核心层负责高速转发汇聚层做策略控制和路由汇总接入层负责终端接入。安全体系在此基础上划分安全域内网用户区、服务器区DMZ、管理区、外网区。内网用户区是师生终端服务器区放教务和Web系统管理区放网管终端外网区指运营商出口。各区域之间用防火墙和交换机ACL控制访问方向。安全域边界位置防护要点内网用户区接入交换机到汇聚交换机用户隔离、防DHCP欺骗、防ARP欺骗服务器区DMZ防火墙DMZ接口Web应用防护、只开放必要端口管理区核心交换机管理VLAN强认证、限制管理源地址外网区防火墙untrust接口NAT、防扫描、防DDoS在eNSP工程里这套结构对应得很直接S1和S2做核心交换机S3和S4做汇聚S5和S6做接入FW1和FW2守边界AR9接运营商。这个设备角色分配是从工程文件里能直接对上的写报告时不要只画一张三层示意图要把每台设备的安全职责标出来。2.2 安全需求分解总体、平台、应用、管理四层缺一不可课程设计报告的需求分析部分通常是按总体需求、网络安全平台需求、应用环境安全需求、管理安全需求四个维度展开。很多人把这块写成空话比如“要保障网络安全”但没有任何可验证的目标。正确的做法是每一个需求都对应一个具体威胁和一项可落地措施。总体需求关注可用性、机密性、完整性。校园网最怕的不是单台机器中毒而是出口拥塞、核心设备宕机、大规模蠕虫爆发。所以总体需求里的目标动词应该是“保证核心链路冗余”“隔离异常流量”而不是“提升安全水平”。网络安全平台需求则落到防火墙、入侵检测、防病毒、流量控制这些具体设备。应用环境安全需求针对教务系统、Web门户、邮件服务典型威胁是SQL注入、网页篡改、暴力破解。管理安全需求关注账号管理、权限分级、日志审计、补丁更新。把这四层需求做成一张映射表后面答辩时直接照着讲。需求维度典型威胁对应措施总体安全出口DDoS、核心设备故障双链路、双防火墙、设备冗余平台安全未授权访问、蠕虫传播防火墙区域隔离、入侵检测应用安全SQL注入、网页篡改Web防护策略、只开放业务端口管理安全弱口令、内部违规操作AAA认证、日志审计、配置备份另外还要把校园网特有的内部威胁写进去比如学生私接路由器导致DHCP冲突、ARP欺骗实验室U盘传播恶意代码这类场景是课程报告里最能让导师信服的素材。我在写这部分时会把每个安全域的流量方向列一个清单内网用户区访问服务器区只放Web和中间件端口外网访问DMZ只放HTTP/HTTPS管理区访问核心设备只允许SSH。有了这张清单后面写防火墙策略就是填空题。2.3 从需求到模型为什么课程设计要先讲P-WPDRRC再谈设备这可能是整个课程设计里最容易被跳过的逻辑需求分析完为什么直接进入P-WPDRRC模型因为需求只能告诉你“要保护什么”模型才能告诉你怎么组织保护动作。P-WPDRRC模型把安全体系拆成策略、预警、保护、检测、响应、恢复、反击七个环节它的优势是既有技术又有管理和校园网这种复杂环境特别匹配。很多翻车案例是需求里写一套拓扑里设备乱放。比如需求里说要防入侵结果拓扑里根本没有检测设备需求里说要保障可用性结果核心链路只有一条。所以在需求分析和模型设计之间必须建立一个映射每一个安全需求都能找到模型里的一个环节每一个环节都能找到eNSP里的一台设备。通常的做法是先画一张模型到设备的映射表再开始搭拓扑。我一般会在动eNSP之前先把这张表写在报告的草稿里。这样后面配置防火墙、交换机时每一行命令都是为了完成某个模型环节而不是随手加的。到答辩时导师问“你这个安全体系是怎么设计出来的”你就能从需求到模型再到设备一路讲下来而不是卡在“当时觉得应该这么配”。3. 安全体系模型与关键技术P-WPDRRC六环节在eNSP中的映射3.1 模型职责划分策略、预警、保护、检测、响应、恢复、反击怎么落到设备上P-WPDRRC模型是校园网安全体系的核心骨架。很多人把它当成一个名词解释写进文档这是不够的。课程设计里要求的是“建立模型”意味着你不仅要画一个循环图还要说清楚每个环节由谁承担。策略环节是所有环节的开始内容包括安全制度、密码策略、ACL基线、区域访问规则。在eNSP里策略落地表现为防火墙的区域划分和交换机VLAN规划。预警环节对应漏洞扫描、补丁管理、威胁情报校园网里常见的是对服务器区做周期扫描对新漏洞提前更新防护规则。保护环节是防火墙隔离、交换机端口安全、AAA认证。检测环节是入侵检测、日志分析、异常流量监测。响应环节是应急预案和联动阻断。恢复环节是配置备份、双机热备、快速回滚。反击环节是取证和封锁攻击源。模型环节报告中的表述eNSP中的实现策略 Policy制定访问控制基线VLAN与安全区域划分预警 Warning漏洞扫描与补丁管理日志与版本检查保护 Protection边界隔离与终端准入防火墙策略、端口安全检测 Detection入侵行为识别旁路检测、IPS特性响应 Response告警与联动阻断防火墙会话表、ACL更新恢复 Recovery配置备份与冗余save文件、双链路冗余反击 Counterattack溯源与封堵日志审计、黑名单这个表写进报告里比用一整页文字空谈模型要有说服力得多。同时要注意模型不是死的比如“恢复”不一定要等到出事才做eNSP里把配置文件正确保存下来就是最基础的恢复手段“反击”在模拟器里也不一定能还原整套取证流程写出封堵攻击源IP的逻辑即可。3.2 防火墙与入侵检测结合边界防护和旁路检测的分工防火墙和入侵检测结合是整个课程设计的重点章节。防火墙工作在网络边界基于安全区域和五元组做包过滤优点是处理快、阻断直接缺点是对内网东西向流量和加密流量基本看不见。入侵检测IDS旁路部署在核心交换机的镜像口上通过分析流量的行为特征发现异常但它在多数情况下只能告警不能直接阻断。两者结合刚好互补。在eNSP工程里我习惯让FW1做主防火墙负责内网到外网、内网到DMZ的策略控制FW2作为旁路检测设备把核心交换机镜像过来的流量做分析。注意这不是唯一方案如果课程设计强调高可用也可以把FW1和FW2做成双机热备再把核心交换机的镜像流量引给备用防火墙的检测接口。两种设计都有道理关键是在报告里写清楚你选某一种的原因。联动机制要写具体IDS检测到扫描或者暴力破解后产生告警日志管理员确认后在防火墙上生成一条临时阻断策略限制攻击源IP流量转发路径在防火墙这一侧会被直接拦掉。这个“检测-告警-联动-封堵”流程在文档里可以用步骤图表描述在eNSP里可以通过查看防火墙会话表变化来验证。不要只写“防火墙和IDS联动”要写出谁检测、谁动作、在哪里封堵。3.3 主动防御技术从被动封堵转向风险前置主动防御是课程设计里容易被写虚的部分。所谓主动防御不是买一个更贵的设备而是尽可能把风险在造成损失之前处理掉。校园网场景里能落地的主动防御技术有几类漏洞扫描、补丁管理、入侵防御、终端准入、Web应用防护。漏洞扫描和补丁管理用于预警环节。模拟器里无法真实跑漏洞库但可以在报告里写清楚对服务器区每季度扫描一次发现高危漏洞后在防火墙策略里临时封堵受影响端口。终端准入控制在接入层交换机上实现典型做法是开启DHCP Snooping和IPSG防止终端伪造IP地址。Web应用防护在DMZ区边界做只开放80和443端口并对HTTP流量做深度检测。还有一类容易忽略的主动防御是配置基线。把交换机的STP开启、把未使用的端口全部shutdown、把管理接口的访问源限制到管理网段这些动作不需要额外设备但对校园网安全提升很明显。我在课程设计文档里会把“主动防御”拆成一张技术清单每一项后面都标注对应设备和验证方式这样导师一看就知道你真的做过而不是在抄概念。4. 基于eNSP的实现三层拓扑、防火墙区域划分与安全策略落地4.1 拓扑总体设计从设备清单到链路规划eNSP工程文件里的设备清单很长但拓扑结构并不复杂。AR9作为出口路由器连接运营商线路FW1和FW2作为边界防火墙S1和S2组成核心交换机S3和S4作为汇聚交换机S5和S6作为接入交换机下面挂接PC终端。DMZ区服务器接在防火墙的第三个接口上。在设计拓扑时最重要的原则是让每一个安全需求都能找到明确落点。核心层负责高速转发和冗余所以S1和S2之间要做链路聚合或VRRP汇聚层是策略控制点VLAN间的ACL大多在这里做接入层是终端信任边界端口安全和防欺骗配置都在这里。防火墙是内网和外界之间的唯一通道所以不要在防火墙上做太多VLAN复用的骚操作保持区域清晰。设备拓扑角色关键配置点AR9出口路由器默认路由、NAT、运营商互联FW1主防火墙安全区域、策略、防攻击FW2旁路检测/备防火墙端口镜像接收、检测日志S1/S2核心交换机VLANIF、DHCP、VRRPS3/S4汇聚交换机Trunk、STP、跨VLAN路由S5/S6接入交换机端口安全、DHCP Snooping很多课程设计把拓扑做得特别大设备十几台链路密密麻麻但报告里讲不清每台设备的作用。我一般会控制在三到四台交换机加两台防火墙的规模让每个安全需求都能对应到一台具体设备。拓扑文件里那些S1到S6的配置如果你重新打开后链路不通大概率是设备角色和接口区域没对上这正是后面排查章节要处理的问题。4.2 防火墙区域划分与安全策略配置先通内网再收出口防火墙是整个安全体系的核心执行点。在eNSP里配置防火墙第一步不是写策略而是把接口加入正确的安全区域。接口没有加入区域或者加错了区域策略写得再漂亮都没有意义。下面这段配置是FW1的基础区域划分。# 进入防火墙系统视图 system-view sysname FW1 # 配置接口IP并加入安全区域 interface GigabitEthernet1/0/0 ip address 202.202.10.2 255.255.255.0 quit interface GigabitEthernet1/0/1 ip address 192.168.10.1 255.255.255.0 quit # 把接口加入对应区域 firewall zone untrust add interface GigabitEthernet1/0/0 quit firewall zone trust add interface GigabitEthernet1/0/1 quit firewall zone dmz add interface GigabitEthernet1/0/2 quit这段配置里有几个地方特别容易踩坑。接口的IP地址必须和拓扑中交换机接口IP在同一子网否则防火墙二层能通但路由过不去。加入区域之后区域之间的默认动作是拒绝所以还需要配置安全策略。下面是一条基础策略允许内网访问外网。# 配置安全策略trust到untrust放行 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permit quit # 配置NAT内网共享出口IP上外网 nat-policy rule name nat_out source-zone trust destination-zone untrust action source-nat easy-ip quit这里要说明的是eNSP不同版本对安全策略命令的兼容性略有差异。部分版本用security-policy部分老版本可能用policy关键字。如果真的遇到命令敲不进去先检查模拟器版本再在报告里注明你使用的命令格式不要强行写一份和实际运行对不上的配置。NAT为什么要做因为校园网内网地址是私有地址AR9出口是公网地址必须通过源NAT转换才能访问互联网。easy-ip表示直接使用出接口的公网IP做转换适合模拟器场景。4.3 交换机安全配置VLAN隔离、DHCP Snooping与端口安全交换机侧的安全配置核心思路是把用户、服务器和管理网段隔离同时防止二层攻击。VLAN规划决定了隔离边界DHCP Snooping和端口安全是主动防御手段。下面以S1核心交换机为例配置业务VLAN和DHCP服务。# 进入核心交换机系统视图 system-view sysname S1 # 创建业务VLAN10办公20教学30服务器100管理 vlan batch 10 20 30 100 # 给VLANIF配置网关地址 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit # 开启DHCP服务并让VLANIF接口作为终端网关 dhcp enable interface Vlanif10 dhcp select interface quit # 开启DHCP Snooping防止伪造DHCP服务器 dhcp snooping enable interface GigabitEthernet0/0/1 dhcp snooping trust quitdhcp snooping enable之后连接合法DHCP服务器的端口必须标记为trust否则合法的DHCP请求也会被丢掉。这个命令是很多同学容易漏掉的S1下连S3/S4的Trunk口以及S1连防火墙的接口都应该被设置成trust口。接入交换机的配置重点是端口安全。# 接入交换机S5端口安全配置 system-view sysname S5 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 port-security enable port-security max-mac-num 1 quit端口安全的作用是限制一个物理端口只允许学习到指定数量的MAC地址。校园网里经常有学生在宿舍私自接一个小路由器这个小路由器会把大量终端的MAC地址从一个端口带进来导致地址表混乱甚至ARP欺骗。限制max-mac-num为1意味着这个端口下只能接一台设备的MAC私接路由器会直接触发安全告警。注意这个值不要设成1之后发现正常终端也上不了网因为有些终端有多个MAC比如有线加无线虚拟网卡一般留到2比较稳妥。4.4 管理安全与审计AAA认证、日志外发和配置备份管理安全在eNSP里很容易被忽略因为不配也不影响“通不通”。但课程设计报告里明确写到了管理安全的实现所以在配置中也要有对应动作。最简单的落地点是Console口认证、远程日志和配置备份。# 交换机启用日志发送到日志服务器 info-center enable info-center loghost 192.168.100.10 # Console口认证防止设备被本地直接操作 user-interface console 0 authentication-mode password set authentication password cipher Sim123 quit # 保存配置到vrpcfg.cfg save日志中心在eNSP里通常是一台Server设备地址为192.168.100.10记日志的意义在于让“检测”环节有数据可查。配置备份的意义在于让我之前反复强调的“恢复”环节真实落地。在模拟器里如果不执行save关闭设备后所有配置就会丢失这也是后面排查章节里最经典的一个翻车点。4.5 验证视角从会话表、路由表到区域状态配置完成不等于安全体系完成。验证时不要只测“ping通不通”而是要看防火墙的会话表、路由器和交换机的路由表、VRRP状态以及端口安全计数。下面这些命令建议在报告里保留输出截图。# 查看防火墙安全策略和会话表 display security-policy rule all display firewall session table # 查看核心交换机VRRP状态 display vrrp # 查看端口安全学习到的MAC数量 display port-security每条命令不是随便敲的。会话表能告诉你某条流量是否真的经过了防火墙以及被哪条策略命中VRRP状态说明核心冗余是否生效端口安全计数能验证接入层安全配置是否在起作用。课程设计答辩时导师最吃这一套你能指着命令行输出说“这里看到VRRP处于Master状态主备切换可用”比背十页概念都管用。5. 实施排查手册eNSP中五个最容易翻车的配置点5.1 设备启动失败图标变黄控制台报错现象打开拓扑后交换机或防火墙的图标长时间黄色双击控制台提示启动失败。原因模拟器依赖的虚拟化组件被安全软件拦截或者电脑同时启动设备过多导致内存不足。解决以管理员身份运行eNSP关闭系统防火墙和实时防护打开设备时先别一次全启动分批次启动核心设备控制台报错信息里如果提到虚拟化组件重装对应组件即可。这个坑在机房电脑上特别常见因为统一管理的安全软件经常会拦截虚拟网卡导致设备起不来。5.2 防火墙策略已经放行但PC仍然ping不通现象安全策略写了action permit源区域是trust目的区域是untrust内网PC还是无法访问外网。原因百分之八十是接口没有加入安全区域或者接口加到了错误区域。还有一部分情况是NAT策略没配流量虽然放行了但私网地址到公网没有转换回包到不了PC。解决先执行display zone查看接口归属再执行display firewall session table查看流量是否到达防火墙最后检查NAT策略是否存在。理论上讲只要区域和NAT都正确ping外网是必通的。5.3 跨VLAN时通时断ARP表不稳定现象同一VLAN内的PC通信正常跨VLAN访问时有时无延迟忽高忽低。原因终端私接路由器导致DHCP地址冲突接入交换机端口安全限制太严把合法终端的MAC锁掉STP收敛不稳定。解决开启DHCP Snooping并正确配置trust口端口安全max-mac-num调成2在核心和汇聚交换机开启STP。命令为stp enable和stp mode rstp这些配置放在主动防御章节里讲也说得通。排查时先看终端获取的IP和网关是否匹配再看交换机MAC地址表如果同一个MAC反复在多个端口出现基本就是环路。5.4 保存了配置重启后却回到初始状态现象在eNSP里花两小时配完所有设备关闭后再打开工程发现所有配置都没了。原因没有执行save或者保存时设备还在启动中。eNSP里大多数设备配置是临时驻留在内存里的只有save之后才会写入vrpcfg.cfg。解决每台设备配置完的最后一个动作就是save输入Y确认批量操作时在每台设备上重复执行不要只保存一台导出工程前先停止所有设备再重新打开验证一次。课程设计交之前一定要强制自己重启一遍整个拓扑确认所有配置还在否则答辩就是现场翻车。5.5 报告拓扑和实际工程对不上现象报告里的拓扑图还是最初画的草稿实际工程里接口名、IP地址、VLAN划分已经改了好几轮文档截图和工程拓扑不一致。原因边做边改最后只更新了工程没更新文档导致文档、拓扑、配置三方对不上。解决最终验收前重新导出一版标准拓扑图标注所有IP和区域把每台设备的配置导出一份按设备名归档在文档里新增一张“设备配置清单”表把设备角色、接口、IP、VLAN、关键策略全部列出来确保三方一致。这个习惯不是课程设计特有的工作里做网络变更也一样有效。6. 验收与答辩用检查表和四步演示让课程设计拿到高分6.1 验收检查表八项功能逐条过答辩前不要靠感觉准备一张验收表每项在eNSP里实测并打钩。验收项验证方法通过标准内网到外网连通性PC ping AR9出口IP通且NAT生效跨VLAN通信VLAN10访问VLAN20通路由正确未授权访问阻断外网访问DMZ非Web端口被防火墙拒绝Web服务可达外网访问DMZ Web服务80/443端口通入侵检测告警模拟扫描DMZ服务器检测设备产生日志DHCP防欺骗私接伪造DHCP服务器终端不获取错误地址配置保存重启所有设备配置全部保留日志审计查看日志服务器关键操作有记录6.2 答辩演示路径从需求讲到配置只走四步第一步讲需求校园网有哪些脆弱面为什么要做安全体系。第二步讲模型P-WPDRRC七个环节分别对应什么设备。第三步展示拓扑打开拓扑图或工程讲清楚三层结构和安全域划分。第四步现场验证在eNSP里跑通一次内网访问再演示一次未授权访问被防火墙拦截最后展示会话表和日志。整个演示控制在十分钟以内导师问细节时再补充命令输出。6.3 导师常问的三个问题问为什么用P-WPDRRC而不是其他安全模型答它既包含技术环节又包含管理环节适合校园网这种人员和业务复杂的场景同时方便把每个环节落到具体设备配置上。问防火墙和IDS各自有什么优势和局限答防火墙能阻断但看不见内网东西向流量IDS能发现异常但通常不能直接阻断两者联动才能形成闭环。问物理安全在eNSP里怎么体现答eNSP验证的是逻辑安全物理安全用设备冗余、机房管理和灾备设计来表达体现在拓扑的双链路和恢复策略上。从那以后我每次交课程设计都会强制自己在答辩前把工程文件整体重启一遍再用验收表逐项走确认配置还在、功能仍通。这个习惯帮我避开了好几次“现场翻车”希望帮到你。本文还有配套的精品资源点击获取