尧图网站建设 
简介这份毕业设计论文资源面向计算机、网络工程及相关专业的学生与指导教师聚焦校园网络安全系统的设计与实现帮助读者理解如何从现状分析、威胁识别到安全策略制定完成一套可落地的校园网安全方案。压缩包内仅含1个PDF文件约3.24MB即完整的本科毕业论文正文涵盖绪论、校园网络安全概述、现状与威胁分析、安全管理与措施、系统设计等章节并包含需求分析、关键设备、网络拓扑、组网技术、操作系统、Internet接入与防火墙技术等技术方案内容。论文以安全管理加防火墙加自建安全系统为主线按建设规划、技术支持、组建方案三个步骤展开目录结构完整便于直接参考写作框架与论证思路。目前已有239人学习下载适合需要选题参考、结构模仿或内容借鉴的网络安全方向毕业生使用。1. 校园网络安全系统设计与实现从论文选题到能跑起来的实验拓扑很多同学拿到「校园网络安全系统设计与实现毕业设计论文」这个题目时第一反应是去搜一堆防火墙配置命令然后拼凑出一篇看起来什么都有、答辩时却经不起追问的文档。我带过几届本科毕设最常见的翻车场景是论文里画了一张三层架构图写着「部署防火墙、入侵检测、漏洞扫描」但问一句「VLAN 怎么划的、防火墙策略命中哪条、IDS 告警从哪来」就答不上来了。这个题目的本质不是写论文而是搭一套能演示、能复现、能解释清楚数据流向的小型校园网安全体系。它适合网络工程、信息安全方向的本科生也适合想用一套完整实验串起 VLAN 划分、防火墙策略、入侵检测和漏洞扫描的从业者。接下来我按「先立住架构、再动手复现、最后讲坑」的顺序把这条路走一遍。2. 校园网安全架构怎么拆VLAN、防火墙、IDS、漏扫各管什么2.1 先想清楚校园网的信任边界在哪校园网和普通企业网最大的区别是「用户群体复杂且流动性高」教学楼、宿舍、图书馆、服务器区混在一张物理网上如果不做逻辑隔离一个宿舍的广播风暴或者 ARP 欺骗能直接打到教务系统。所以整个安全系统的第一层不是防火墙而是 VLAN 划分——把不同功能区拆成独立广播域这是后面所有策略的前提。常见的划分方式是教学区 VLAN 10、宿舍区 VLAN 20、服务器区 VLAN 30、管理区 VLAN 40、访客 VLAN 50。每个 VLAN 一个网段比如 192.168.10.0/24 对应教学区。VLAN 之间默认不通必须经过三层设备核心交换机或防火墙转发这样防火墙才有机会在 VLAN 间通信的路径上做策略控制。如果所有区域都在一个 VLAN 里防火墙只能挂在出口内网横向流量完全失控入侵检测也看不到东西。这里有个容易被忽略的点PVID 和 VLAN ID 不是一回事。PVID 是端口收到无标签帧时打的默认 VLAN 标签VLAN ID 是帧本身携带的标签。交换机互联口一般配 trunk允许携带多个 VLAN 标签通过接终端的 access 口配 PVID终端发出的无标签帧被打上 PVID 对应的 VLAN。搞混这两个概念就会出现「明明划了 VLAN 却还能互通」或者「跨 VLAN 完全不通」的玄学问题。2.2 防火墙放在哪一层策略怎么写防火墙的部署位置决定了它的价值。校园网常见两种放法一种是旁挂在核心交换机旁做 VLAN 间访问控制另一种是串在出口做 NAT 和内外网隔离。毕设里我建议把防火墙放在核心和服务器区之间同时兼做 VLAN 间路由这样一张拓扑能同时演示「VLAN 隔离」和「防火墙策略」两个考点。策略设计遵循最小权限原则按「源区域 → 目的区域 → 服务 → 动作」四元组写。比如源区域目的区域服务动作说明教学区 VLAN10服务器区 VLAN30HTTP/HTTPS允许访问教务系统宿舍区 VLAN20服务器区 VLAN30全部拒绝宿舍不直接访问服务器访客 VLAN50任意内网全部拒绝访客只能出外网管理区 VLAN40所有设备SSH/SNMP允许运维管理通道写策略时注意顺序防火墙一般从上往下匹配命中即停。所以「拒绝所有」这类兜底策略必须放最后否则前面写的允许规则永远不生效。另外华为、华三、锐捷的防火墙命令语法有差异但逻辑一致毕设里选一个平台讲透就行不要三个混着写。2.3 入侵检测和漏洞扫描补的是哪块短板防火墙管的是「能不能过」入侵检测管的是「过了之后干了什么」。校园网里 IDS 一般部署在核心交换机的镜像口上把服务器区和出口流量镜像一份过去做分析。自适应入侵检测的意思是不只看单包特征还结合流量基线做异常判断比如某台主机突然在凌晨向大量 IP 发起连接就触发告警。漏洞扫描则是主动发现资产弱点常见工具会扫描服务器区的开放端口、弱口令、未打补丁的服务。毕设里不需要真的扫出高危漏洞重点是演示「扫描 → 生成报告 → 针对报告调整防火墙策略」这个闭环。比如扫描发现服务器开了 3389 端口就在防火墙上加一条拒绝外部访问 3389 的策略这样论文里的「设计」和「实现」就串起来了。3. 用 eNSP 搭一套能演示的校园网安全拓扑3.1 拓扑规划和设备选型我一般用 eNSP 做毕设实验因为它对华为设备支持好防火墙、交换机、路由器都能模拟而且能抓包。拓扑大致是这样核心交换机一台三层负责 VLAN 间路由接入交换机若干二层接各区域终端防火墙一台串在核心和服务器区之间服务器区用一台云设备或直接接在防火墙上IDS 用镜像口接一台抓包分析设备IP 规划示例区域VLAN网段网关教学区10192.168.10.0/24192.168.10.1宿舍区20192.168.20.0/24192.168.20.1服务器区30192.168.30.0/24192.168.30.1管理区40192.168.40.0/24192.168.40.1访客50192.168.50.0/24192.168.50.13.2 交换机 VLAN 划分和 Trunk 配置先在核心交换机上创建 VLAN配置各 VLAN 的网关然后把连接接入交换机的端口配成 Trunk。# 核心交换机配置 Huawei system-view [Huawei] sysname CoreSW [CoreSW] vlan batch 10 20 30 40 50 # 配置各 VLAN 网关VLANIF 接口 [CoreSW] interface Vlanif 10 [CoreSW-Vlanif10] ip address 192.168.10.1 24 [CoreSW-Vlanif10] quit [CoreSW] interface Vlanif 20 [CoreSW-Vlanif20] ip address 192.168.20.1 24 [CoreSW-Vlanif20] quit [CoreSW] interface Vlanif 30 [CoreSW-Vlanif30] ip address 192.168.30.1 24 [CoreSW-Vlanif30] quit # 连接接入交换机的端口配 Trunk允许所有 VLAN 通过 [CoreSW] interface GigabitEthernet 0/0/1 [CoreSW-GigabitEthernet0/0/1] port link-type trunk [CoreSW-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 30 40 50 [CoreSW-GigabitEthernet0/0/1] quit这段配置的逻辑是核心交换机通过 VLANIF 接口实现 VLAN 间路由Trunk 口负责把多个 VLAN 的流量透传给接入交换机。参数上port trunk allow-pass vlan后面跟的是允许通过的 VLAN 列表如果不写就是拒绝所有。接入交换机上接终端的端口配成 accessPVID 设为对应 VLAN# 接入交换机配置以教学区为例 Huawei system-view [Huawei] sysname AccessSW [AccessSW] vlan batch 10 20 [AccessSW] interface GigabitEthernet 0/0/1 [AccessSW-GigabitEthernet0/0/1] port link-type access [AccessSW-GigabitEthernet0/0/1] port default vlan 10 [AccessSW-GigabitEthernet0/0/1] quit # 上联口配 Trunk [AccessSW] interface GigabitEthernet 0/0/24 [AccessSW-GigabitEthernet0/0/24] port link-type trunk [AccessSW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20配完后用display vlan检查 VLAN 是否创建成功用display port vlan看端口 PVID 和允许的 VLAN。如果跨 VLAN 不通先查 Trunk 口有没有放行对应 VLAN再查终端网关是否指向 VLANIF 地址。3.3 防火墙策略配置和 VLAN 间访问控制防火墙串在核心和服务器区之间核心上把去往服务器区的流量指向防火墙。防火墙接口配置# 防火墙配置以华为 USG 为例 USG system-view [USG] sysname FW [FW] interface GigabitEthernet 1/0/0 [FW-GigabitEthernet1/0/0] ip address 192.168.30.254 24 [FW-GigabitEthernet1/0/0] quit [FW] interface GigabitEthernet 1/0/1 [FW-GigabitEthernet1/0/1] ip address 10.0.0.1 24 [FW-GigabitEthernet1/0/1] quit # 配置安全区域 [FW] firewall zone trust [FW-zone-trust] add interface GigabitEthernet 1/0/1 [FW-zone-trust] quit [FW] firewall zone untrust [FW-zone-untrust] add interface GigabitEthernet 1/0/0 [FW-zone-untrust] quit # 配置安全策略 [FW] security-policy [FW-policy-security] rule name allow_teaching_to_server [FW-policy-security-rule-allow_teaching_to_server] source-zone trust [FW-policy-security-rule-allow_teaching_to_server] destination-zone untrust [FW-policy-security-rule-allow_teaching_to_server] source-address 192.168.10.0 24 [FW-policy-security-rule-allow_teaching_to_server] destination-address 192.168.30.0 24 [FW-policy-security-rule-allow_teaching_to_server] service http https [FW-policy-security-rule-allow_teaching_to_server] action permit [FW-policy-security-rule-allow_teaching_to_server] quit [FW-policy-security] rule name deny_dorm_to_server [FW-policy-security-rule-deny_dorm_to_server] source-zone trust [FW-policy-security-rule-deny_dorm_to_server] destination-zone untrust [FW-policy-security-rule-deny_dorm_to_server] source-address 192.168.20.0 24 [FW-policy-security-rule-deny_dorm_to_server] destination-address 192.168.30.0 24 [FW-policy-security-rule-deny_dorm_to_server] action deny [FW-policy-security-rule-deny_dorm_to_server] quit这里的关键参数是source-address和destination-address的网段写法以及service指定的协议端口。策略顺序很重要允许教学区访问服务器的规则要放在拒绝宿舍区的前面否则如果先写了拒绝所有再写允许允许规则永远不生效。配完后用display security-policy rule all查看策略列表和命中计数。3.4 镜像口抓包验证 IDS 数据来源IDS 需要流量才能分析在核心交换机上把服务器区流量镜像到指定端口# 核心交换机配置镜像 [CoreSW] observe-port 1 interface GigabitEthernet 0/0/10 [CoreSW] interface GigabitEthernet 0/0/2 [CoreSW-GigabitEthernet0/0/2] port-mirroring to observe-port 1 both [CoreSW-GigabitEthernet0/0/2] quitobserve-port 1定义镜像目的端口port-mirroring to observe-port 1 both表示双向流量都镜像。配完后在 0/0/10 口接一台装了抓包工具的机器就能看到服务器区的进出流量。用 Wireshark 抓包时注意如果抓的是 Trunk 口报文带 VLAN 标签需要在 Wireshark 里开启 VLAN 显示或者过滤vlan.id 30只看服务器区流量。4. 漏洞扫描和告警联动怎么串成闭环4.1 扫描服务器区资产并生成报告漏洞扫描工具可以用 OpenVAS 或者 Nessus 的社区版毕设里用 OpenVAS 就够。部署在管理区扫描目标填服务器区网段 192.168.30.0/24。扫描前先确认防火墙允许管理区到服务器区的扫描流量否则扫出来全是「主机不可达」。# OpenVAS 启动和扫描命令示例 gvm-start # 创建目标 gvm-cli --gmp-username admin --gmp-password pass socket \ --xml create_targetnameserver_zone/namehosts192.168.30.0/24/hosts/create_target # 创建任务并启动 gvm-cli --gmp-username admin --gmp-password pass socket \ --xml create_tasknamescan_server/nametarget id...//create_task扫描完成后导出报告重点看开放端口和高危漏洞。比如发现 192.168.30.10 开了 3389就在防火墙上加一条拒绝外部访问 3389 的策略然后重新扫描验证端口已关闭。这个「扫描 → 发现 → 加固 → 复扫」的循环就是论文里「实现」部分最有说服力的内容。4.2 把 IDS 告警和防火墙策略联动起来IDS 告警本身不会阻断流量但可以手动或自动联动防火墙。毕设里做手动联动就够了IDS 检测到某 IP 频繁扫描服务器端口管理员在防火墙上加一条拒绝该 IP 的策略。# 在防火墙上封禁扫描源 IP [FW] security-policy [FW-policy-security] rule name block_scanner [FW-policy-security-rule-block_scanner] source-zone trust [FW-policy-security-rule-block_scanner] destination-zone untrust [FW-policy-security-rule-block_scanner] source-address 192.168.20.100 32 [FW-policy-security-rule-block_scanner] action deny [FW-policy-security-rule-block_scanner] quit这条规则要放在允许规则之前否则如果前面已经有允许宿舍区访问服务器的规则这条拒绝不会生效。配完后用display security-policy rule block_scanner确认规则存在再从 192.168.20.100 发起访问测试是否被阻断。5. 避坑与排查毕设实验里最容易翻车的 5 个点5.1 跨 VLAN 不通先查 Trunk 和 PVID现象教学区 ping 不通服务器区但同 VLAN 内互通正常。原因通常是 Trunk 口没放行对应 VLAN或者 access 口 PVID 配错。解决在核心和接入交换机上分别执行display port vlan确认 Trunk 口的allowed vlan包含目标 VLANaccess 口的PVID等于终端所在 VLAN。如果 Trunk 口只放行了 VLAN 10VLAN 30 的流量直接被丢弃防火墙根本收不到包。5.2 防火墙策略不生效检查顺序和区域绑定现象明明写了允许策略流量还是被拒。原因有两个一是策略顺序不对兜底拒绝规则排在了允许规则前面二是接口没绑定到正确的安全区域防火墙默认区域间流量全拒。解决用display security-policy rule all看规则顺序确保允许规则在拒绝规则之前用display zone确认接口已加入对应区域。华为防火墙上firewall zone trust后必须add interface否则接口不属于任何区域策略匹配不到。5.3 镜像口抓不到包检查 observe-port 和端口模式现象Wireshark 在镜像口看不到任何流量。原因可能是 observe-port 绑定的接口不对或者被镜像端口没有流量经过。解决确认observe-port 1 interface后面跟的是抓包机器连接的端口port-mirroring to observe-port 1 both配在正确的源端口上。另外如果源端口是 Trunk抓到的包带 VLAN 标签Wireshark 默认可能不解析需要在首选项里开启 VLAN 支持。5.4 漏洞扫描扫不到主机先放行扫描流量现象OpenVAS 扫描结果全是「主机不可达」。原因是防火墙默认拒绝管理区到服务器区的扫描流量。解决在防火墙上临时加一条允许管理区访问服务器区全端口的策略扫描完成后再收紧。注意扫描流量特征明显生产环境不要长期放行毕设里用完就删。5.5 设备重启后配置丢失保存配置是后悔药现象eNSP 里设备重启后 VLAN、策略全没了。原因是配置只在运行内存里没保存到启动配置。解决每次配完关键步骤执行save华为设备会提示确认文件名回车即可。这个坑看起来低级但答辩前夜设备重启导致演示失败的情况我见过不止一次。6. 答辩前怎么验证整套系统真的通了最后一章说一个我常用的验证方法按数据流方向逐段测试而不是只看单点通不通。具体做法是准备一张检查表从终端发起访问逐跳确认。检查点命令/工具预期结果终端到网关ping 192.168.10.1通跨 VLAN 路由ping 192.168.30.1通若策略允许防火墙策略命中display security-policy rule all命中计数增加镜像流量Wireshark 抓包看到服务器区流量IDS 告警IDS 控制台有对应告警记录漏洞扫描OpenVAS 报告目标端口状态与策略一致测试时按「先通后断」的顺序先把所有策略设为允许确认基础连通性没问题再逐条加拒绝策略每加一条测一次。这样出问题时能立刻定位是哪条策略导致的不用在一堆规则里大海捞针。还有一个技巧在防火墙上开display firewall session table看会话表能直观看到哪些流量建立了会话、哪些被丢弃。如果会话表里没有某条流量的记录说明包在到达防火墙之前就被丢了问题在交换机侧如果有会话但状态是 deny问题在策略。我自己做这类实验的习惯是每配完一个模块就save一次然后截图存到实验记录里。答辩时老师问「你怎么证明 IDS 真的在工作」直接翻出抓包截图和告警日志比说一百句「我部署了 IDS」都有用。这套东西不难难的是每一步都留下可验证的证据。希望帮到你。本文还有配套的精品资源点击获取 校园网络安全系统设计与实现：VLAN、防火墙、IDS与漏扫实验拓扑
简介这份毕业设计论文资源面向计算机、网络工程及相关专业的学生与指导教师聚焦校园网络安全系统的设计与实现帮助读者理解如何从现状分析、威胁识别到安全策略制定完成一套可落地的校园网安全方案。压缩包内仅含1个PDF文件约3.24MB即完整的本科毕业论文正文涵盖绪论、校园网络安全概述、现状与威胁分析、安全管理与措施、系统设计等章节并包含需求分析、关键设备、网络拓扑、组网技术、操作系统、Internet接入与防火墙技术等技术方案内容。论文以安全管理加防火墙加自建安全系统为主线按建设规划、技术支持、组建方案三个步骤展开目录结构完整便于直接参考写作框架与论证思路。目前已有239人学习下载适合需要选题参考、结构模仿或内容借鉴的网络安全方向毕业生使用。1. 校园网络安全系统设计与实现从论文选题到能跑起来的实验拓扑很多同学拿到「校园网络安全系统设计与实现毕业设计论文」这个题目时第一反应是去搜一堆防火墙配置命令然后拼凑出一篇看起来什么都有、答辩时却经不起追问的文档。我带过几届本科毕设最常见的翻车场景是论文里画了一张三层架构图写着「部署防火墙、入侵检测、漏洞扫描」但问一句「VLAN 怎么划的、防火墙策略命中哪条、IDS 告警从哪来」就答不上来了。这个题目的本质不是写论文而是搭一套能演示、能复现、能解释清楚数据流向的小型校园网安全体系。它适合网络工程、信息安全方向的本科生也适合想用一套完整实验串起 VLAN 划分、防火墙策略、入侵检测和漏洞扫描的从业者。接下来我按「先立住架构、再动手复现、最后讲坑」的顺序把这条路走一遍。2. 校园网安全架构怎么拆VLAN、防火墙、IDS、漏扫各管什么2.1 先想清楚校园网的信任边界在哪校园网和普通企业网最大的区别是「用户群体复杂且流动性高」教学楼、宿舍、图书馆、服务器区混在一张物理网上如果不做逻辑隔离一个宿舍的广播风暴或者 ARP 欺骗能直接打到教务系统。所以整个安全系统的第一层不是防火墙而是 VLAN 划分——把不同功能区拆成独立广播域这是后面所有策略的前提。常见的划分方式是教学区 VLAN 10、宿舍区 VLAN 20、服务器区 VLAN 30、管理区 VLAN 40、访客 VLAN 50。每个 VLAN 一个网段比如 192.168.10.0/24 对应教学区。VLAN 之间默认不通必须经过三层设备核心交换机或防火墙转发这样防火墙才有机会在 VLAN 间通信的路径上做策略控制。如果所有区域都在一个 VLAN 里防火墙只能挂在出口内网横向流量完全失控入侵检测也看不到东西。这里有个容易被忽略的点PVID 和 VLAN ID 不是一回事。PVID 是端口收到无标签帧时打的默认 VLAN 标签VLAN ID 是帧本身携带的标签。交换机互联口一般配 trunk允许携带多个 VLAN 标签通过接终端的 access 口配 PVID终端发出的无标签帧被打上 PVID 对应的 VLAN。搞混这两个概念就会出现「明明划了 VLAN 却还能互通」或者「跨 VLAN 完全不通」的玄学问题。2.2 防火墙放在哪一层策略怎么写防火墙的部署位置决定了它的价值。校园网常见两种放法一种是旁挂在核心交换机旁做 VLAN 间访问控制另一种是串在出口做 NAT 和内外网隔离。毕设里我建议把防火墙放在核心和服务器区之间同时兼做 VLAN 间路由这样一张拓扑能同时演示「VLAN 隔离」和「防火墙策略」两个考点。策略设计遵循最小权限原则按「源区域 → 目的区域 → 服务 → 动作」四元组写。比如源区域目的区域服务动作说明教学区 VLAN10服务器区 VLAN30HTTP/HTTPS允许访问教务系统宿舍区 VLAN20服务器区 VLAN30全部拒绝宿舍不直接访问服务器访客 VLAN50任意内网全部拒绝访客只能出外网管理区 VLAN40所有设备SSH/SNMP允许运维管理通道写策略时注意顺序防火墙一般从上往下匹配命中即停。所以「拒绝所有」这类兜底策略必须放最后否则前面写的允许规则永远不生效。另外华为、华三、锐捷的防火墙命令语法有差异但逻辑一致毕设里选一个平台讲透就行不要三个混着写。2.3 入侵检测和漏洞扫描补的是哪块短板防火墙管的是「能不能过」入侵检测管的是「过了之后干了什么」。校园网里 IDS 一般部署在核心交换机的镜像口上把服务器区和出口流量镜像一份过去做分析。自适应入侵检测的意思是不只看单包特征还结合流量基线做异常判断比如某台主机突然在凌晨向大量 IP 发起连接就触发告警。漏洞扫描则是主动发现资产弱点常见工具会扫描服务器区的开放端口、弱口令、未打补丁的服务。毕设里不需要真的扫出高危漏洞重点是演示「扫描 → 生成报告 → 针对报告调整防火墙策略」这个闭环。比如扫描发现服务器开了 3389 端口就在防火墙上加一条拒绝外部访问 3389 的策略这样论文里的「设计」和「实现」就串起来了。3. 用 eNSP 搭一套能演示的校园网安全拓扑3.1 拓扑规划和设备选型我一般用 eNSP 做毕设实验因为它对华为设备支持好防火墙、交换机、路由器都能模拟而且能抓包。拓扑大致是这样核心交换机一台三层负责 VLAN 间路由接入交换机若干二层接各区域终端防火墙一台串在核心和服务器区之间服务器区用一台云设备或直接接在防火墙上IDS 用镜像口接一台抓包分析设备IP 规划示例区域VLAN网段网关教学区10192.168.10.0/24192.168.10.1宿舍区20192.168.20.0/24192.168.20.1服务器区30192.168.30.0/24192.168.30.1管理区40192.168.40.0/24192.168.40.1访客50192.168.50.0/24192.168.50.13.2 交换机 VLAN 划分和 Trunk 配置先在核心交换机上创建 VLAN配置各 VLAN 的网关然后把连接接入交换机的端口配成 Trunk。# 核心交换机配置 Huawei system-view [Huawei] sysname CoreSW [CoreSW] vlan batch 10 20 30 40 50 # 配置各 VLAN 网关VLANIF 接口 [CoreSW] interface Vlanif 10 [CoreSW-Vlanif10] ip address 192.168.10.1 24 [CoreSW-Vlanif10] quit [CoreSW] interface Vlanif 20 [CoreSW-Vlanif20] ip address 192.168.20.1 24 [CoreSW-Vlanif20] quit [CoreSW] interface Vlanif 30 [CoreSW-Vlanif30] ip address 192.168.30.1 24 [CoreSW-Vlanif30] quit # 连接接入交换机的端口配 Trunk允许所有 VLAN 通过 [CoreSW] interface GigabitEthernet 0/0/1 [CoreSW-GigabitEthernet0/0/1] port link-type trunk [CoreSW-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 30 40 50 [CoreSW-GigabitEthernet0/0/1] quit这段配置的逻辑是核心交换机通过 VLANIF 接口实现 VLAN 间路由Trunk 口负责把多个 VLAN 的流量透传给接入交换机。参数上port trunk allow-pass vlan后面跟的是允许通过的 VLAN 列表如果不写就是拒绝所有。接入交换机上接终端的端口配成 accessPVID 设为对应 VLAN# 接入交换机配置以教学区为例 Huawei system-view [Huawei] sysname AccessSW [AccessSW] vlan batch 10 20 [AccessSW] interface GigabitEthernet 0/0/1 [AccessSW-GigabitEthernet0/0/1] port link-type access [AccessSW-GigabitEthernet0/0/1] port default vlan 10 [AccessSW-GigabitEthernet0/0/1] quit # 上联口配 Trunk [AccessSW] interface GigabitEthernet 0/0/24 [AccessSW-GigabitEthernet0/0/24] port link-type trunk [AccessSW-GigabitEthernet0/0/24] port trunk allow-pass vlan 10 20配完后用display vlan检查 VLAN 是否创建成功用display port vlan看端口 PVID 和允许的 VLAN。如果跨 VLAN 不通先查 Trunk 口有没有放行对应 VLAN再查终端网关是否指向 VLANIF 地址。3.3 防火墙策略配置和 VLAN 间访问控制防火墙串在核心和服务器区之间核心上把去往服务器区的流量指向防火墙。防火墙接口配置# 防火墙配置以华为 USG 为例 USG system-view [USG] sysname FW [FW] interface GigabitEthernet 1/0/0 [FW-GigabitEthernet1/0/0] ip address 192.168.30.254 24 [FW-GigabitEthernet1/0/0] quit [FW] interface GigabitEthernet 1/0/1 [FW-GigabitEthernet1/0/1] ip address 10.0.0.1 24 [FW-GigabitEthernet1/0/1] quit # 配置安全区域 [FW] firewall zone trust [FW-zone-trust] add interface GigabitEthernet 1/0/1 [FW-zone-trust] quit [FW] firewall zone untrust [FW-zone-untrust] add interface GigabitEthernet 1/0/0 [FW-zone-untrust] quit # 配置安全策略 [FW] security-policy [FW-policy-security] rule name allow_teaching_to_server [FW-policy-security-rule-allow_teaching_to_server] source-zone trust [FW-policy-security-rule-allow_teaching_to_server] destination-zone untrust [FW-policy-security-rule-allow_teaching_to_server] source-address 192.168.10.0 24 [FW-policy-security-rule-allow_teaching_to_server] destination-address 192.168.30.0 24 [FW-policy-security-rule-allow_teaching_to_server] service http https [FW-policy-security-rule-allow_teaching_to_server] action permit [FW-policy-security-rule-allow_teaching_to_server] quit [FW-policy-security] rule name deny_dorm_to_server [FW-policy-security-rule-deny_dorm_to_server] source-zone trust [FW-policy-security-rule-deny_dorm_to_server] destination-zone untrust [FW-policy-security-rule-deny_dorm_to_server] source-address 192.168.20.0 24 [FW-policy-security-rule-deny_dorm_to_server] destination-address 192.168.30.0 24 [FW-policy-security-rule-deny_dorm_to_server] action deny [FW-policy-security-rule-deny_dorm_to_server] quit这里的关键参数是source-address和destination-address的网段写法以及service指定的协议端口。策略顺序很重要允许教学区访问服务器的规则要放在拒绝宿舍区的前面否则如果先写了拒绝所有再写允许允许规则永远不生效。配完后用display security-policy rule all查看策略列表和命中计数。3.4 镜像口抓包验证 IDS 数据来源IDS 需要流量才能分析在核心交换机上把服务器区流量镜像到指定端口# 核心交换机配置镜像 [CoreSW] observe-port 1 interface GigabitEthernet 0/0/10 [CoreSW] interface GigabitEthernet 0/0/2 [CoreSW-GigabitEthernet0/0/2] port-mirroring to observe-port 1 both [CoreSW-GigabitEthernet0/0/2] quitobserve-port 1定义镜像目的端口port-mirroring to observe-port 1 both表示双向流量都镜像。配完后在 0/0/10 口接一台装了抓包工具的机器就能看到服务器区的进出流量。用 Wireshark 抓包时注意如果抓的是 Trunk 口报文带 VLAN 标签需要在 Wireshark 里开启 VLAN 显示或者过滤vlan.id 30只看服务器区流量。4. 漏洞扫描和告警联动怎么串成闭环4.1 扫描服务器区资产并生成报告漏洞扫描工具可以用 OpenVAS 或者 Nessus 的社区版毕设里用 OpenVAS 就够。部署在管理区扫描目标填服务器区网段 192.168.30.0/24。扫描前先确认防火墙允许管理区到服务器区的扫描流量否则扫出来全是「主机不可达」。# OpenVAS 启动和扫描命令示例 gvm-start # 创建目标 gvm-cli --gmp-username admin --gmp-password pass socket \ --xml create_targetnameserver_zone/namehosts192.168.30.0/24/hosts/create_target # 创建任务并启动 gvm-cli --gmp-username admin --gmp-password pass socket \ --xml create_tasknamescan_server/nametarget id...//create_task扫描完成后导出报告重点看开放端口和高危漏洞。比如发现 192.168.30.10 开了 3389就在防火墙上加一条拒绝外部访问 3389 的策略然后重新扫描验证端口已关闭。这个「扫描 → 发现 → 加固 → 复扫」的循环就是论文里「实现」部分最有说服力的内容。4.2 把 IDS 告警和防火墙策略联动起来IDS 告警本身不会阻断流量但可以手动或自动联动防火墙。毕设里做手动联动就够了IDS 检测到某 IP 频繁扫描服务器端口管理员在防火墙上加一条拒绝该 IP 的策略。# 在防火墙上封禁扫描源 IP [FW] security-policy [FW-policy-security] rule name block_scanner [FW-policy-security-rule-block_scanner] source-zone trust [FW-policy-security-rule-block_scanner] destination-zone untrust [FW-policy-security-rule-block_scanner] source-address 192.168.20.100 32 [FW-policy-security-rule-block_scanner] action deny [FW-policy-security-rule-block_scanner] quit这条规则要放在允许规则之前否则如果前面已经有允许宿舍区访问服务器的规则这条拒绝不会生效。配完后用display security-policy rule block_scanner确认规则存在再从 192.168.20.100 发起访问测试是否被阻断。5. 避坑与排查毕设实验里最容易翻车的 5 个点5.1 跨 VLAN 不通先查 Trunk 和 PVID现象教学区 ping 不通服务器区但同 VLAN 内互通正常。原因通常是 Trunk 口没放行对应 VLAN或者 access 口 PVID 配错。解决在核心和接入交换机上分别执行display port vlan确认 Trunk 口的allowed vlan包含目标 VLANaccess 口的PVID等于终端所在 VLAN。如果 Trunk 口只放行了 VLAN 10VLAN 30 的流量直接被丢弃防火墙根本收不到包。5.2 防火墙策略不生效检查顺序和区域绑定现象明明写了允许策略流量还是被拒。原因有两个一是策略顺序不对兜底拒绝规则排在了允许规则前面二是接口没绑定到正确的安全区域防火墙默认区域间流量全拒。解决用display security-policy rule all看规则顺序确保允许规则在拒绝规则之前用display zone确认接口已加入对应区域。华为防火墙上firewall zone trust后必须add interface否则接口不属于任何区域策略匹配不到。5.3 镜像口抓不到包检查 observe-port 和端口模式现象Wireshark 在镜像口看不到任何流量。原因可能是 observe-port 绑定的接口不对或者被镜像端口没有流量经过。解决确认observe-port 1 interface后面跟的是抓包机器连接的端口port-mirroring to observe-port 1 both配在正确的源端口上。另外如果源端口是 Trunk抓到的包带 VLAN 标签Wireshark 默认可能不解析需要在首选项里开启 VLAN 支持。5.4 漏洞扫描扫不到主机先放行扫描流量现象OpenVAS 扫描结果全是「主机不可达」。原因是防火墙默认拒绝管理区到服务器区的扫描流量。解决在防火墙上临时加一条允许管理区访问服务器区全端口的策略扫描完成后再收紧。注意扫描流量特征明显生产环境不要长期放行毕设里用完就删。5.5 设备重启后配置丢失保存配置是后悔药现象eNSP 里设备重启后 VLAN、策略全没了。原因是配置只在运行内存里没保存到启动配置。解决每次配完关键步骤执行save华为设备会提示确认文件名回车即可。这个坑看起来低级但答辩前夜设备重启导致演示失败的情况我见过不止一次。6. 答辩前怎么验证整套系统真的通了最后一章说一个我常用的验证方法按数据流方向逐段测试而不是只看单点通不通。具体做法是准备一张检查表从终端发起访问逐跳确认。检查点命令/工具预期结果终端到网关ping 192.168.10.1通跨 VLAN 路由ping 192.168.30.1通若策略允许防火墙策略命中display security-policy rule all命中计数增加镜像流量Wireshark 抓包看到服务器区流量IDS 告警IDS 控制台有对应告警记录漏洞扫描OpenVAS 报告目标端口状态与策略一致测试时按「先通后断」的顺序先把所有策略设为允许确认基础连通性没问题再逐条加拒绝策略每加一条测一次。这样出问题时能立刻定位是哪条策略导致的不用在一堆规则里大海捞针。还有一个技巧在防火墙上开display firewall session table看会话表能直观看到哪些流量建立了会话、哪些被丢弃。如果会话表里没有某条流量的记录说明包在到达防火墙之前就被丢了问题在交换机侧如果有会话但状态是 deny问题在策略。我自己做这类实验的习惯是每配完一个模块就save一次然后截图存到实验记录里。答辩时老师问「你怎么证明 IDS 真的在工作」直接翻出抓包截图和告警日志比说一百句「我部署了 IDS」都有用。这套东西不难难的是每一步都留下可验证的证据。希望帮到你。本文还有配套的精品资源点击获取