标题

Size: px

Start display at page:

Download "标题"

篡枪陈
5 years ago
Views:

1 第 38 卷第 2 期教学研究 Vol 38 No 年 3 月 Research in Teaching Mar 基于 OpenStack 的网络安全实验平台廉龙颖王希斌刘文强陈荣丽 ( 黑龙江科技大学计算机与信息工程学院, 黑龙江哈尔滨 ) [ 摘要 ] 为了解决网络安全实验受到硬件条件和虚拟化技术限制的问题, 设计实现了基于 OpenStack 的网络安全实验平台该平台采用抽象分层模式, 通过整合实验项目设计虚拟网络拓扑结构, 并在 OpenStack 中使用 SDN 网络虚拟化技术搭建通过教学实践表明, 该平台具有真实性可编程性隔离性和扩展性等特点, 为用户提供了一个良好的网络安全实验教学环境, 具有一定的研究和应用价值 [ 关键词 ] OpenStack; 虚拟网络 ; 网络安全 ; 实验平台 [ 中图分类号 ] G642.0 [ 文献标识码 ] A [ 文章编号 ] (2015) 引言网络安全课程是计算机专业的一门专业主干课程实验教学是本门课程的重要环节, 是培养学生实践能力和创新意识的重要手段 [1] 目前, 各高校的网络安全实验基本采用两种方式来搭建网络攻防环境 :(1) 基于硬件设备搭建真实网络 ; (2) 基于 VMware 搭建虚拟网络 [2] 网络安全实验涉及到各种网络设备, 需要构建特定的复杂的网络拓扑结构, 实验以攻防为主, 具有一定的攻击性和破坏性采用方式一构建真实网络, 受到实验室的硬件资源限制, 存在成本高易瘫痪等问题 ; 采用方式二构建虚拟网络, 受到虚拟化技术限制, VMware 允许用户创建自己的虚拟机, 但无法虚拟其它网络设备, 存在虚拟网络设备不足网络环境简单等问题 [3 5] 由此可见, 采用以上两种方式搭建实验平台, 都不能完全满足网络安全实验的需求, 实验环境的构建成为阻碍网络安全教学的一大因素, 搭建新型网络安全实验平台具有重要意义为了解决网络安全实验需求与网络环境限制这一矛盾, 黑龙江科技大学展开相关研究, 搭建了基于 OpenStack 的网络安全实验平台该平台提供了真实的隔离的可扩展的可编程的实验环境, 并实现虚拟资源的统一管理该平台已在黑龙江科技大学投入使用, 并应用于网络安全课程教学中, 支持网络安全创新实验 1 基于 OpenStack 的网络安全实验平台设计与搭建实验平台采用抽象分层模式, 根据网络安全实验项目, 设计一个可满足实验需求的网络拓扑结构, 使用 SDN 网络虚拟化技术在 OpenStack 中完成实验平台搭建 1.1 实验平台结构设计实验平台按照资源管控和应用三个方面进行抽象, 自下而上进行分层的结构设计, 将复杂的平台设计简单化采用抽象分层的设计模式, 逻辑上进行集中管理和控制, 可使实验用户从复杂的实验环境配置中分离出来, 实现个性化定制实验网络拓扑结构 [6 8] 实验平台抽象为 3 层结构 : 面向底层虚拟化的硬件资源管理层, 面向 OpenStack 的网络虚拟化层, 以及面向用户的实验应用层经过抽象分层后, 实验平台结构如图 1 所示实验用户注册后, 申请实验资源, 将用户的需求转化为虚拟网络拓扑描述语言, 传递给网络虚拟化层网络虚拟化层根据硬件资源使用情况和用户提出的实验资源申请, 生成满足用户需求的虚拟网络, 并通过映射来完成对虚拟节点的配置, 并反馈给用户, 用户即可在平台中进行实验 [ 收稿日期 ] [ 基金项目 ] 黑龙江省教育科学十二五规划 2013 年度青年专项课题 (GBD ) [ 作者简介 ] 廉龙颖 (1981-), 女, 辽宁庄河人讲师, 硕士, 主要研究方向为网络安全

2 96 教学研究 2015 图 1 实验平台结构 1.2 实验平台拓扑结构设计网络安全实验教学内容主要包括攻击和防御两部分, 攻击实验项目包括 : 代理跳板隐藏扫描服务器漏洞暴力破解工作主机的 SAM 数据库远程入侵 Web 服务器远程入侵数据库服务器 DDoS 攻击等 ; 防御实验项目包括 : 防火墙配置 DDoS 攻击检测漏洞补丁数据备份与恢复数据加密等整合攻防实验项目所需的网络环境, 设计实验平台中虚拟网络拓扑结构, 如图 2 所示, 搭建出一个完整的网络安全实验场景在实验场景拓扑图中, 整个实验网络划分为公司内网和外网, 其中公司内网由内网 ( net1) 与非军事化保护区 DMZ (net2) 组成 net1 包含网络管理服务器 server1 数据库服务器 server2 密钥服务器 server3 网络管理员主机 pc1 和工作人员主机 pc2 net2 包含 Web 服务器 server4 邮件服务器 server5 FTP 服务器 server6 DNS 服务器 server7 和入侵检测系统 IDS 外网中包含攻击者主机 pc3 和普通用户主机 pc4 内网通过交换机 S1 与 F1 相连, 防火墙 F1 和 F2 之间为 DMZ 区, 外网通过路由器 R1 和防火墙 F2 相连图 2 实验场景拓扑图 1.3 实验平台搭建在 OpenStack 中使用 SDN 网络虚拟化技术, 通过 Neutron 组件来创建和配置虚拟网络, 实现网络安全实验平台搭建虚拟网络是指采用网络虚拟化技术, 在底层物理设施之上, 将虚拟节点与虚拟链路进行逻辑连接的虚拟拓扑集合 [9 11] SDN 是一种新兴的基于软件的网络架构及技术,SDN 的一个重要价值是实现网络虚拟化开源云计算管理平台 OpenStack 工作在 SDN 应用层首先, 在其网络资源管理组件中增加 Neutron 组件, 然后使用 Neutron 组件提供的虚拟网络子网端口抽象等 API, 分别创建虚拟网络路由器负载均衡等各种网络节点, 最后根据实验需求对虚拟节点进行配置和管理, 最终完成创建

3 第 2 期廉龙颖王希斌刘文强陈荣丽基于 OpenStack 的网络安全实验平台 97 图 2 所示的虚拟网络拓扑, 实现网络安全实验平台的搭建 [12] 在 OpenStack 中使用 SDN 虚拟化技术搭建实验平台的优势如下 1) 在 SDN 虚拟网络中, 虚拟机的增加删除迁移等都不依赖于物理设备, 更不需要对物理网络做任何修改, 所有的网络设备创建改动等操作都由软件来定义 2) 可模拟真实的网络环境搭建虚拟网络拓扑, 实现网络安全防御功能, 比如负载均衡防火墙 VPN 等 3) 支持用户自定义虚拟网络, 网络规则和控制策略因此, 利用 SDN 虚拟化技术搭建网络安全实验平台, 具有良好的可扩展性实现真实网络环境和深度可编程性等优点, 完全能够满足网络安全实验需求 [13 15] 1.4 实验平台特点 1) 真实性实验平台由软件定义的虚拟网络构建, 能够反映网络实际运行状况, 营造真实的网络环境, 实验中的代码几乎可以无缝迁移到真实的硬件环境中 2) 可编程性实验平台采用 SDN 网络虚拟化技术, 可以保障实验平台的可编程性在结构上, 支持用户根据实验虚求自定义网络拓扑结构 ; 在应用上, 支持用户自定义各种网络安全配置 3) 隔离性实验平台在 OpenStack 中运行, 支持不同实验共享虚拟网络资源, 支持多个实验并行开展, 保证不同实验流量的互不影响和有效隔离 4) 可扩展性实验平台采用抽象分层的模式, 提供标准化的管理接口, 方便软硬件的移植和扩展 2 实验流程用户 ( 学生或教师 ) 在实验平台中进行网络安全实验之前, 需要注册并通过平台管理员审核审核通过后, 用户提交资源使用申请, 管理员按照实验项目进行资源分配项目申请通过后, 用户在实验网络中进行创建镜像设计协议配置虚拟节点等操作, 完成后即可进行实验实验流程如图 3 所示图 3 实验流程 3 网络安全实验教学实验平台已在黑龙江科技大学网络安全实验教学中得到具体应用, 下面仅以防火墙配置实验项目中一个任务作为实例演示本实验任务要求学生通过 linux 下的 iptables 工具配置流表规则, 完成在 pc1 中配置禁止 SSH 数据包的过滤服务通过本实验, 了解控制器与防火墙之间的消息交换流程, 理解基于 OpenFlow 防火墙的工作原理在实验中, 学生可在实验场景拓扑结构中, 选择 pc1 作为 OpenFlow 控制器,pc2 作为用户主机 A, pc4 作为用户主机 B,s1 作为 OpenFlow 交换机, 该实验的网络拓扑图如图 4 所示学生在实验网络中利用 OpenFlow 协议中的流表项构建 ACL, 实现防火墙功能, 并使用 Wireshark 网络封包分析软件抓取数据包图 4 防火墙实验虚拟网络拓扑图

4 98 教学研究实验原理主机 A 和主机 B 之间经过 OpenFlow 交换机进行通信, 主机 A 向交换机发出访问主机 B 的请求, 如果该请求在交换机中无匹配的转发规则, 则转发该请求数据包的副本到 OpenFlow 控制器, 控制器的防火墙应用模块进行访问策略检查, 并且将响应结果返回给交换机, 如果交换机收到规则来自主机 A 的数据包可以被发送给主机 B, 则交换机响应主机 A 的请求, 数据从主机 A 转发到交换机, 再从交换机转发到主机 B 在使用 SDN 虚拟化技术构建的虚拟实验网络中, 防火墙以反应模式进行工作, 控制部分作为一个程序应用转移到控制器中, 转发部分则驻留在交换机中 3.2 实验操作实验要求防火墙实现禁止 SSH 数据包的过滤服务,SSH 是建立在应用层和传输层基础上的安全协议, 使用 TCP 协议, 默认监听端口为 22 因此, 本实验需要关闭所有 TCP 端口 22 的访问, 流表项形式的防火墙 ACL 如图 5 所示 Switch Port MAC scr MAC dst Eth type VLAN ID Src Dst Port TCP sport TCP dport Forward 22 drop 图 5 流表项形式的防火墙 ACL 1) 清除原有规则 iptables F 清除预设表 filter 中的所有规则链的规则 ;iptables X 清除预设表 filter 中使用者自定链中的规则 2) 关闭 ssh 服务, 默认端口号为 22:iptables A INPUT p tcp dport 22 j DROP;iptables A OUTPUT p tcp sport 22 j DROP 至此, 通过防火墙实验项目中一个简单任务案例, 详细的介绍了基于 OpenStack 的网络安全实验的过程, 验证了使用 OpenStack 平台搭建虚拟网络实验环境, 进行网络安全实验教学的可行性 4 结束语课题组分析了常用的网络安全实验环境构建方案的不足, 提出了基于 OpenStack 的网络安全实验教学平台设计方案该平台采用抽象分层模式, 通过整合网络安全实验项目设计网络拓扑结构, 在 OpenStack 中采用 SDN 网络虚拟化技术创建虚拟网络, 搭建出具有真实性可编程性隔离性和可扩展性的网络安全实验平台通过在黑龙江科技大学网络安全实验教学中的应用, 发现该平台完全能够满足网络安全课程实验环境需求, 并且可以推广到其它网络相关课程的实验教学中目前, 基于 OpenStack 的网络安全实验平台仅提供实验应用, 未来进一步的开发工作将集中在如下 2 个方面 :(1) 提供更高性能的实验环境构建, 即支持大规模网络拓扑的快速和自动化部署 ; (2) 提供实时监测功能, 对实验中的关键节点进行实时数据流量和状态监测今后将扩大该平台的应用部署范围, 加强实践应用和改进, 使该平台成为具有广泛认同度的网络安全实验平台参考文献 1 吴迪薛政潘嵘. 基于 XEN 云平台的网络安全实验教学 J. 实验室研究与探索姚青. 网络虚拟化的关键技术研究 D. 南京南京邮电大学史景慧. 网络安全虚拟实验系统的设计与实践 D. 北京北京邮电大学王芳李勇周烨. 基于分层抽象思想的虚拟化网络实验平台设计 J. 清华大学学报自然科学版周烨李勇王芳. 基于 OpenFlow 的网络实验平台技术 J. 清华大学学报自然科学版汪渊杨槐朱安国. 基于插件的网络攻防训练模拟系统设计与实现 J. 计算机技术与发展翟继强陈宜冬. 虚拟网络安全实验平台 J. 实验室研究与探索康辰朱志祥. 基于云计算技术的网络攻防实验平台 J. 西安邮电大学学报 N K Chowdhury R Boutaba. Network virtualization state of the art and research challenges J JEEE Communieations Magazine Wen H Tiwary P K Le Ngoc T.Network Virtualization Technolo gies and Techniques M. New York Springer International Pub lishing Bonner S Pulley C Kureshi I et al. Using OpenStack to improve student experience in an HE environment C. Science and Infor mation Conference SAI. IEEE 龚宇李帅李勇. 基于云计算的网络创新实验平台 J. 计算机工程 Hua Q. Using virtual machine technology to establish Network Se

5 第 2 期廉龙颖王希斌刘文强陈荣丽基于 OpenStack 的网络安全实验平台 99 curity teaching platform C. Electronics Computer and Applica tions Braga R Mota E Passito A. Lightweight DDoS flooding attack detection using NOX / OpenFlow C. Local Computer Networks LCN 2010 IEEE 35th Conference Corradi A Fanelli M Foschini L. VM consolidation a real case based on openstack cloud J. Future Generation Computer Sys tems OpenStack based experimental platform for network security LIAN Long ying WANG Xi bin LIU Wen qiang CHEN Rong li School of Computer and Information Engineering Heilongjiang University of Science and Technology Harbin Heilongjiang China Abstract In order to solve the problem of limitation of hardware conditions and virtualization technology for network secur ity experiment OpenStack based experimental platform for network security is designed and implemented. The platform adopts the abstract hierarchical pattern through integrating experimental project to design virtual network topology and uses SDN net work virtualization technology to build the experimental platform in OpenStack.Teaching practice indicates that the platform pos sesses the features of authenticity programmability isolation and expandability it can provide a good network security experiment teaching environment for users and possess certain research and application value. Key words OpenStack virtual network network security experimental platform 上接第 86 页 Extension and practice of German dual system education patterns in higher engineering education in China YU Wu xin TONG Xing sheng LI Yao School of Electromechanical & Architectural Engineering Jianghan University Wuhan Hubei China Abstract In this article the concepts and methods of German dual system education patterns are presented according to Chi na s national conditions.the undergraduate specialty of mechanical design manufacturing and automation is taken as an example. The German dual system education patterns are extended into the field of China s higher engineering education from three aspects of training target orientation and curriculum the development of practical teaching contents and the opportunity choice of work ing and learning alternation. Key words dual system higher engineering education curriculum working and learning alternation 上接第 90 页 Construction and application of equipment course practice teaching new system for professional education HUANG Jing de Department of Shipborne Gun Dalian Naval Academy Dalian Liaoning China Abstract This paper puts forward the new equipment course system for satisfying the development trend of equipment that knowledge skills literacy is integrated practice teaching is the core and its new idea is training application type talents. Based on continuous exploration and practice the training platform is established which equipment simulator using environment is support ing and the teaching mode and monitoring mechanism are constructed which learning practice innovation is promoting. Finally the equipment practice teaching system is founded by penetrating single device system overall and promoting teaching scientific research service each other. Its results are helpful to the cultivation of talents and have great value of application and promotion. Key words professional education practice teaching course system monitoring mechanism.

48 Computer Education 2011 2 课程体系设置 2.1 科学设置培养方案课程模块, 确定培养方向首先, 我们通过对人才市场需求分析, 确定了专业培养目标然后, 根据教育部高等

48 Computer Education 2011 2 课程体系设置 2.1 科学设置培养方案课程模块, 确定培养方向首先, 我们通过对人才市场需求分析, 确定了专业培养目标然后, 根据教育部高等第 3 期 2011 年 2 月 10 日 Computer Education No.3 Feb.10,2011 47 文章编号 :1672-5913(2011)03-0047-05 中图分类号 :G642 文献标识码 :A 网络工程 1+X 应用型人才培养新模式陈晓龙, 彭志平 ( 广东石油化工学院计算机科学与技