摘要:网络安全类课程实验对培养学生实践能力至关重要,由于网络安全类实验对设备和网络环境的破坏性,以及实验设备多样性等要求难以满足,造成目前网络安全类实验不能满足人才培养的需求。针对存在的问题,本文利用基于虚拟化技术构建了网络安全实验平台,通过建立硬件资源池,提供多种虚拟实验环境及虚拟安全设备;通过建立课程资源池,扩充了实验项目。实践证明,本实验平台提高了学生动手实践能力,取得较好的实际效果,达到了设计目标。

关键词:虚拟化;虚拟机;资源池;网络安全;实验平台

引言

目前,计算机网络在各领域得到了广泛的应用,网络带给了人们极大的便利,但是网络安全的问题也日益突出,网络安全问题在国际上得到了各国的高度重视[1]。在我国,2015年,网络空间安全一级学科设立;2016年通过了《中华人民共和国网络安全法》,这体现了国家对网络安全的重视。我国还成立了中央网络安全和信息化领导小组,全力打造网络安全强国。因此,培养高素质网络安全人才,必须引起高校相关专业的重视。在网络安全类课程实验中,行业热点更新快,实验内容相对滞后,同时实验对网络安全设备要求种类多,经费投入大,并且攻防实验、病毒实验对设备、操作系统及网络软件环境具有破坏力,维护恢复实验环境工作量大,给管理带来不便[2]。因此,目前网络安全实验大多只进行演示实验和简单验证实验,不能进行综合性设计性实验。随着虚拟化技术和云计算的发展应用,通过研究发现,在网络安全实验环境建设中,科研利用虚拟化技术来解决现存在的问题[3]。通过建立硬件资源池,学生在虚拟机上实验,能够实现多种操作系统环境,不仅能尽量利用硬件资源,减少投入,而且管理方便,易于维护和升级。

1现状及问题

相较于最早的主机+网络安全设备模式,目前,网络安全实验室已经利用一些虚拟仿真软件,做了一定的优化,主要有两种方式组织,一种是单机虚拟PC+网络安全设备。利用vmware,用户可创建多个虚拟PC,模拟出windowslinux多系统环境,不需要进行系统重启切换,能进一步减少投入,解决电脑台套数问题和软件环境维护问题[4],但是由于虚拟PC与真实环境中的设备通信存在问题,故障率高,而且,网络安全设备的投入还是很大,升级慢。另一种是单机+模拟安全设备,利用packettracer、GNS3等模拟器来模拟一些防火墙[5],路由器等设备。但是,由于这些软件主要用于拓扑组网,路由管理维护方面的网络实验,在模拟网络安全设备方面运行不稳定,功能少,能实现的实验类型非常有限,只能做简单的访问控制和代理等实验。而且不能模拟服务器、linux多系统环境,实验受到较大限制。由于实验条件的以上限制,导致了目前网络安全教学普遍重理论,轻实验,这与课程的特性不符,理论知识过于枯燥抽象,导致学生没兴趣,学不好。但是,网络安全类设备更新快,价格昂贵,实验环境投入大,维护难,导致设备台套数不够,同等设备大量购置又存在经费投入大,场地占用大等问题。综上,目前网络安全实验存在的问题有:实验对网络安全设备要求种类较多,经费投入大,并且实验过程对设备、实验操作系统及网络软件环境具有破坏力,维护恢复实验环境工作量大,给管理带来不便。目前,有研究者提出利用云计算虚拟机技术来解决这些问题,取得较好的效果[6]。

2实验平台设计与实施

2.1平台设计原理

虚拟化技术是一种资源管理技术,将实体硬件资源(服务器、存储、网络等)抽象、重组,组成同一的资源池,在此基础上虚拟出多台逻辑上独立的设备。多个虚拟机可以运行在一台物理机器上,相互之间互不影响,大大提高资源利用率,减少维护成本。虚拟化技术运行原理如图1所示。图1虚拟化技术图利用这一特性,本实验平台可以在物理资源池基础上虚拟出多种操作系统:windows、linux,以及网络设备和网络安全设备,因此在网络安全实验平台中应用虚拟化技术,能较好解决现存的问题。目前主流的有KVM、Xen等虚拟化技术,通过对比,Xen具有开源免费、性能高比较好的优势,因此本文选用Xen虚拟化技术。

2.2设计思路

利用成熟的虚拟化技术,打造一个虚拟化网络安全实验平台,平台具有可扩展性,首先,是硬件资源可扩充性,根据实验需求,可以调整/扩充资源池,资源池中有多个虚拟安全组件,如虚拟防火墙、虚拟WAF、虚拟页防篡改等,这些安全器件是可扩充的;其次是实验内容可扩充性,可以根据教学需要,调整、增加实验资源包。最后,本平台应具有远程实验的功能,可以不受时间、空间限制进行实验;还应具有实验管理的功能,对用户、资源、实验过程等进行管理。

2.3平台实施

根据虚拟化技术原理,平台构架如图2所示。用户层主要提供标准的web访问,进行页面展示,访问入口。业务层主要是功能实现,数据处理和数据操作接口。基础服务层向业务层提供服务和接口,包括虚/实设备管理、拓扑设计与管理,以及公共服务。虚拟化层通过虚拟化技术生成虚拟机,提供基础虚拟化功能。硬件资源层为平台提供运行所需的硬件环境。平台集成8个实训模块,包括:网络安全、信息系统安全、云计算、密码学、安全运、开发语言、移动安全理论等,实训课程资源,实验项目包括恶意代码检测、安全漏洞挖掘、逆向工程、密码学、操作系统安全、web安全、安全研发、数据库安全……平台管理功能主要分为三块,门户管理、后台管理、资源管理,如图3所示。

3实验设计与效果

网络安全实验平台部署后,设备数量、种类以及环境约束得到较好解决,以防火墙QoS流量控制实验为例,实验设计如下:QoS中的流量监管就是对流量进行控制,通过监督进入网络端口的流量速率,对超出部分的流量进行处理(这个处理可以是丢弃、也可是延迟发送),使进入端口的流量被限制在一个合理的范围之内,解决网络中拥塞的问题。实验环境设计:虚拟防火墙一台,虚拟windows靶机一台(模拟内网主机),虚拟Linux靶机(模拟外网主机)。实验过程:进入管理中心,分别启动虚拟防火墙,虚拟windows靶机,虚拟Linux靶机。设置IP地址,使网络环境符合实验要求。windows靶机IP和防火墙的eth1处于内网段192.168.100.0,防火墙的eth2和Linux靶机IP处于外网172.22.10.0。实验拓扑结构如图4所示。进入windows虚拟机,选择目标设备linux,通过win-dows向linux发送数据,这里linux连接虚拟防火墙的eth2口。在防火墙里设置下行带宽和上行带宽,添加服务质量规则,选择好源主机(表示要发起操作的IP地址或者网段,这里是windows主机)和目的网络IP(表示与源主机发生通信的目的网络,这里是linux主机),选择本次服务所使用的协议和端口。实验验证:在规则生效之前和之后,进行远程文件拷贝,对比传输速度的区别,验证流量控制效果。本次实验涉及到两种操作系统环境,内外网及防火墙,在传统的实验室环境难以满足,利用本平台,能够满足需求,并且做到人人可以单独实验,提高学生的积极性和动手能力。此外,学生还可以通过远程登录进行实验,满足部分学生自学需求。目前,本校利用此平台对学生进行网络安全方面的技能培训,在信息安全竞赛,网络安全CTF等比赛中多次获奖。

4结束语

本文分析了传统网络安全课程实验环境存在的不足,设计了基于虚拟化技术的网络安全实验平台。该平台能够较好满足网络安全实验对设备环境的特殊要求,并且能够降低经费投入,突破实验时间、空间限制。该平台还支持硬件平台和实验内容资源的升级和扩展。在实际应用中证明,通过使用该平台,能够激发学生对网络安全学习的积极性,提高他们的实践能力,同时,能够作为信息安全类学科竞赛的训练平台,取得了较好的成效。

参考文献

[1]张焕国,韩文报,来学嘉,等.网络空间安全综述[J].中国科学:信息科学,2016,46

(2):125-164.

[2]底晓强,韩登,杨凌翔,等.基于超融合构架的网络安全虚拟仿真实验教学平台探索[J].实验室研究与探索,2017,36

(10):195-198.

[3]王瑞锦,周世杰,秦志光,等.基于虚拟化技术的信息安全实验教学体系建设[J],实验科学与技术,2015,13

(4):40-43.

[4]朱晓静,林元乖.基于虚拟化实验环境的网络信息安全课程的实践教学改革[J].琼州学院学报,2015,22

(5):120-124.

[5]陈天武.基于GNS3和VMware的防火墙技术仿真设计[J].信息系统工程,2018,

(1

1):69-71.