简介本资源是巢湖学院《网络安全课程设计》的完整实践报告与配套实验环境面向高校网络工程、信息安全专业学生及课程设计指导教师聚焦校园网安全体系的系统性构建与落地验证。报告共47页涵盖绪论、设计分析、团队协作、P-WPDRRC模型构建、防火墙与IDS联动、主动防御应用、五层安全物理/网络/系统/应用/管理实现方案及结果分析等核心章节同步提供eNSP可直接运行的拓扑文件.topo、设备配置.cfg、虚拟PC参数.xml、闪存镜像.efz及拓扑图.png共26个文件总容量3.6MB。资源结构完整、模块清晰支持开箱即用与分步复现便于理解安全架构设计逻辑与工程实施细节。目前已有3473人学习下载是课程设计答辩、实验复盘与安全体系建模的优质参考范例。1. 校园网安全体系不是“加个防火墙就完事”它是一套能扛住学生批量刷课、蹭网、扫端口的真实防御闭环《网络安全课程设计》这门课很多同学一看到“课程报告”四个字就默认是交一份Word文档、贴几张截图、写点教科书定义——但真正做过校园网安全体系设计的人知道这不是纸上谈兵的模型图而是要直面真实场景的“压力测试现场”。你得让这套体系在凌晨两点同时承受300台手机连WiFi刷网课、5台笔记本跑nmap扫宿舍楼IP段、还有人用Python脚本暴力破解深澜认证接口它得在不阻断教务系统访问的前提下把异常DNS请求拦在出口网关让蹭网设备连DHCP都拿不到地址还要给网管留出可查、可溯、可回滚的操作日志。这不是堆砌“防火墙IDS堡垒机”的名词拼盘而是围绕校园网典型拓扑核心交换→认证网关→接入层→终端做减法去掉冗余告警、压低误报率、让策略可验证、让日志能定位到具体宿舍号MAC时间戳。适合刚学完TCP/IP、ACL、802.1X、Snort基础但还没在真实交换机上配过端口安全、没在Linux网关上写过iptables规则、没看过Wireshark里真实ARP泛洪包长什么样的本科生——这篇笔记就是帮你把课程设计从“及格线”拉到“能部署、能讲清、能答辩”的实战线。2. 从拓扑倒推为什么必须用“分层收敛策略下沉”代替“中心化大盒子”校园网安全体系最容易翻车的第一步就是照着教材画一个“防火墙在出口、IPS在DMZ、WAF护Web服务器”的理想架构图然后发现——根本没法落地。真实校园网不是企业IDC出口带宽常被限速、核心交换机型号老旧不支持NetFlow、接入层交换机连SSH都不开、学生终端操作系统五花八门Win10/11、macOS、Android、甚至还有树莓派挂代理、认证系统是深澜或Dr.COM这类定制化平台API文档残缺。所以我们放弃“统一管控”转向“分层收敛策略下沉”把防御能力拆解到每个可触达的节点让每层只解决自己能解决的问题且策略必须能在该层设备上直接生效、无需依赖上层联动。2.1 核心层用交换机ACL做第一道流量筛子不是防火墙很多同学以为“安全买防火墙”但在校园网核心交换机如H3C S6520、锐捷RG-S6000系列自带的ACL才是最稳的入口过滤器。它不耗CPU、不引入延迟、规则生效毫秒级且能直接匹配二层源MAC、三层源IP、四层端口——这对封禁已知恶意IP段、限制非教学区访问教务系统、拦截ARP欺骗广播包极其有效。# H3C交换机ACL示例封禁某IP段对教务系统的访问假设教务系统IP为10.1.10.100 acl advanced 3001 rule 5 deny ip source 192.168.200.0 0.0.0.255 destination 10.1.10.100 0.0.0.0 rule 10 permit ip source any destination any # interface Vlan-interface 100 # 假设这是连接教务服务器的VLAN接口 packet-filter 3001 inbound提示ACL规则顺序严格生效deny必须写在permit之前0.0.0.0表示精确匹配单IP0.0.0.255表示/24网段务必在测试VLAN先试运行避免误封整个宿舍楼。2.2 认证网关层深澜/Dr.COM不是黑匣子它是策略执行的黄金锚点深澜认证系统常见于郑州大学、中科大等或Dr.COM华南理工、部分师范院校看似封闭但其后台数据库MySQL/Oracle和日志接口是可读的。课程设计中不要试图绕过认证这既违规也不现实而要利用它已有的审计能力提取radacct表中的Acct-Input-Octets上行流量、Acct-Output-Octets下行流量、Framed-IP-Address分配IP、Acct-Session-Time在线时长再结合nasipaddress接入设备IP反向定位异常行为。例如字段含义可挖掘的安全线索Acct-Input-Octets 5GB AND Acct-Session-Time 3005分钟内上传超5GB可能为P2P共享、恶意文件外传Framed-IP-Address IN (SELECT ip FROM blacklist)分配IP已在黑名单库设备已被标记为高危终端COUNT(*) OVER (PARTITION BY nasipaddress) 50单台NAS设备认证失败超50次/小时暴力破解攻击我们不需要改深澜源码只需写一个Python脚本定时查库用pymysql触发阈值后调用其提供的/api/v1/user/block接口封禁账号需申请API Token。这才是课程设计里“可展示、可演示、可答辩”的真实集成点。2.3 接入层用交换机端口安全DHCP Snooping堵死私接路由器学生宿舍最常见的越权行为不是黑客攻击而是私接无线路由器、搭建二级NAT、共享宽带账号。传统做法是封IP但治标不治本。真正有效的是在接入层交换机如锐捷RG-S2928、华为S5735启用端口安全Port Security和DHCP Snooping端口安全限制单端口学习MAC数通常设为1并绑定静态MAC对应学生PC或手机超出则shutdown端口DHCP Snooping只信任上联口连接汇聚交换机其他端口为untrusted丢弃伪造的DHCP Offer/ACK包防止私有DHCP服务器分发错误网关。# 锐捷交换机配置示例以RG-S2928为例 interface GigabitEthernet 0/1 switchport port-security max-mac-count 1 switchport port-security mac-address sticky switchport port-security violation shutdown ! ip dhcp snooping ip dhcp snooping vlan 100 interface GigabitEthernet 0/24 # 上联口 ip dhcp snooping trust注意sticky参数会自动学习当前合法MAC并固化避免手动录入violation shutdown比protect更严格直接物理断连杜绝“MAC漂移”漏洞。3. 安全策略不是写在PPT里而是跑在Linux网关上的iptablesSnort规则链课程设计最容易被答辩老师追问的就是“你的安全策略怎么落地有没有实际生效”——光画架构图不行必须拿出一条真实生效的规则。我们选择在出口网关一台Ubuntu Server 22.04装有iptables Snort Fail2ban上构建最小可行防御链它不替代核心交换机ACL而是做深度检测与动态响应。3.1 iptables用raw表提前拦截避开连接跟踪开销很多人只用filter表但校园网高并发下conntrack模块会吃掉大量内存。我们改用raw表在连接状态建立前就做决策大幅降低负载# Ubuntu网关上启用raw表需加载nf_conntrack模块 sudo modprobe nf_conntrack sudo iptables -t raw -A PREROUTING -s 192.168.100.0/24 -d 10.1.10.100 -p tcp --dport 80 -j DROP sudo iptables -t raw -A PREROUTING -m string --string sqlmap --algo bm -j DROP sudo iptables -t raw -A PREROUTING -p icmp --icmp-type echo-request -m limit --limit 5/sec --limit-burst 10 -j ACCEPT sudo iptables -t raw -A PREROUTING -p icmp -j DROP第1条封禁宿舍网段192.168.100.0/24对教务系统Web端口的直接访问强制走认证网关第2条用字符串匹配拦截已知SQL注入工具特征sqlmap--algo bm指定Boyer-Moore算法比默认KMP快3倍第3-4条限速ICMP请求防Ping Floodburst设为10是为容忍突发如批量ping测网络连通性超过即丢弃。关键参数说明-t raw指定表PREROUTING链在路由前生效--limit-burst是令牌桶初始容量必须配合--limit使用-j DROP不记录日志避免日志爆炸。3.2 Snort用自定义规则捕获校园网特有攻击指纹Snort默认规则集ET Open对校园网场景覆盖不足。我们需要补充3类自定义规则深澜认证爆破探测识别/api/v1/login路径下的高频POST请求教务系统越权访问匹配GET /student/course/select?studentId.*courseId.*中studentId被篡改的模式DNS隧道特征检测长域名64字符、Base32编码子域含ABCDEFGHIJKLMNOPQRSTUVWXYZ234567字符集。# local.rules —— 放入/etc/snort/rules/目录 alert http $EXTERNAL_NET any - $HOME_NET any (msg:[校园网] 深澜登录接口暴力探测; flow:to_server,established; content:POST; http_method; content:/api/v1/login; http_uri; pcre:/POST.*\/api\/v1\/login.*Content-Length:[\s]*[0-9]{3,}/i; threshold:type both, track by_src, ip 192.168.0.0/16, seconds 300, hits 10; sid:1000001; rev:1;)flow:to_server,established确保只检已建连的HTTP请求pcre正则匹配Content-Length大于等于3位数常见爆破请求体更大threshold实现“5分钟内同一源IP触发10次即告警”避免单次误报sid:1000001是自定义规则ID必须唯一答辩时可指着这条说“这是我写的第1条业务规则”。3.3 Fail2ban把Snort告警自动转为iptables封禁Snort只告警不阻断我们要让它“动起来”。Fail2ban监听Snort日志/var/log/snort/alert匹配到规则后自动调用iptables封禁源IP 1小时# /etc/fail2ban/jail.local [snort-alert] enabled true filter snort-alert logpath /var/log/snort/alert maxretry 3 bantime 3600 findtime 600 action iptables[nameSNORT, porthttp,https, protocoltcp]# /etc/fail2ban/filter.d/snort-alert.conf [Definition] failregex ^.*\[\*\*\] \[.*\] (?Phost\S) .*$ ignoreregex 血泪经验findtime必须小于bantime否则无法触发maxretry3是平衡误报与防护的临界点——实测中学生正常刷课不会触发但用Burp Suite跑Intruder扫登录接口必中。4. 避坑课程设计答辩时被问住的5个真实问题以及怎么答才不露怯课程设计最怕的不是技术难而是答辩老师一句“你这个方案真跑通了吗”然后你支吾说“呃…在虚拟机里配过…”。以下是我在3届课程设计指导中学生被高频追问的5个问题附真实现象、根因和答辩话术——不是教你背答案而是让你提前把验证过程做扎实。4.1 现象Snort规则写了10条但tail -f /var/log/snort/alert一直空原因Snort默认只监控eth0但你的网关可能有ens33、enp0s3等不同网卡名或未开启-Qinline模式导致只抓包不检测或规则语法错误被静默忽略Snort不报错只跳过。解决先用sudo snort -i ens33 -A console -q确认网卡名和基础抓包再用sudo snort -T -c /etc/snort/snort.conf验证配置语法最后加-Q参数启动并用curl -X POST http://localhost/api/v1/login手动触发测试。4.2 现象深澜API封禁接口返回401但Token明明填对了原因深澜API要求Header带Authorization: Bearer token且token有时效通常2小时课程设计期间若Token过期未刷新就会401另外部分版本深澜要求Content-Type: application/json漏写也会拒收。解决写一个refresh_token.py脚本每次调用前先GET/api/v1/auth/token刷新所有POST请求用requests.post(url, headersheaders, jsonpayload)显式声明json参数。4.3 现象交换机ACL封了IP但学生说“还能上微信”原因ACL只作用于三层转发微信走的是UDP 53DNS TCP 443HTTPS而你只封了TCP 80或者学生开了IPv6ACL默认不匹配IPv6流量需额外配ipv6 traffic-filter。解决ACL规则必须覆盖ip协议族含TCP/UDP/ICMP封禁目标IP时用rule 5 deny ip source x.x.x.x 0.0.0.0 destination y.y.y.y 0.0.0.0IPv6环境需单独建ipv6 acl并应用。4.4 现象Fail2ban封了IP但iptables -L -n看不到规则原因Fail2ban默认使用iptables命令但Ubuntu 22.04默认用nftables后端iptables命令只是兼容层实际规则存在nftables中或Fail2ban服务未启动sudo systemctl start fail2ban。解决用sudo nft list ruleset | grep SNORT查真实规则或修改/etc/fail2ban/jail.local加backend systemd强制用systemd日志驱动。4.5 现象答辩时老师说“你这套和学校现网冲突吗会不会影响教务系统”原因没做影响范围评估纯技术思维。校园网安全的前提是“业务连续性”任何策略必须先白名单放行教务、选课、图书馆等核心系统IP段。解决在报告里单列一页《业务影响评估表》明确写出已放行IP段10.1.10.0/24教务、10.1.20.0/24选课、10.1.30.0/24图书馆所有策略均deny在permit之后确保白名单优先在测试环境用curl -I http://jwxt.xxx.edu.cn验证放行效果。5. 验证闭环用三组真实流量样本证明你的体系不是“看起来很美”课程设计最大的价值不是堆砌技术名词而是让老师相信你真的跑通了、测过了、能解释清楚每一环为什么这样设计。我坚持让学生用三组真实流量样本做闭环验证——不是Wireshark抓包截图而是用可复现的命令生成、注入、观测全链路响应。这三组样本覆盖了校园网最典型的攻击面且每组都能在10分钟内完成验证。5.1 样本1模拟深澜爆破验证SnortFail2ban联动我们不用真实爆破工具合规风险而用curl构造合法但高频的登录请求触发Snort规则和Fail2ban封禁# 生成15次请求超过阈值10次间隔0.5秒 for i in {1..15}; do curl -s -o /dev/null -X POST http://192.168.1.100/api/v1/login \ -H Content-Type: application/json \ -d {username:test,password:123} sleep 0.5 done wait # 验证是否封禁1分钟后ping该IP应超时 ping -c 3 192.168.1.100 # 应显示Request timeout # 查看Fail2ban日志确认 sudo tail -n 20 /var/log/fail2ban.log | grep SNORT答辩演示技巧把这段命令写进报告附录答辩时打开终端实时执行同步展示Snort告警日志、Fail2ban封禁日志、iptables -L -n | grep SNORT输出——三屏同显比10页PPT更有说服力。5.2 样本2用Scapy伪造ARP泛洪验证交换机端口安全生效学生常疑惑“端口安全真能防ARP欺骗吗”用Scapy发真实包最直观# arp_flood.py from scapy.all import * import time target_ip 192.168.100.1 # 网关IP victim_mac aa:bb:cc:dd:ee:ff # 伪造MAC for i in range(50): arp_pkt ARP(pdsttarget_ip, hwdstff:ff:ff:ff:ff:ff, psrc192.168.100.99, hwsrcvictim_mac) send(arp_pkt, verboseFalse) time.sleep(0.1)运行后去接入层交换机执行show port-security interface gigabitethernet 0/1 # 输出应含Security Violation Count : 1, Port State : Shutdown说明端口已被关闭ARP泛洪被硬性阻断——这就是“策略下沉”的物理证据。5.3 样本3构造DNS隧道请求验证iptables字符串匹配DNS隧道是校园网隐蔽数据外泄主通道我们用dig发一个典型长域名测试# 构造Base32编码的长子域符合DNS隧道特征 dig A $(python3 -c import base64; print(a*50 base64.b32encode(btest).decode())).example.com 8.8.8.8 # 正常应返回NXDOMAIN但你的iptables规则会DROP此请求 # 验证sudo iptables -t raw -L -n --line-numbers | grep string # 应看到匹配计数器1关键细节iptables -t raw -L -n --line-numbers中的--line-numbers必须加答辩时老师会让你指出“哪一行规则生效了”没有行号就尴尬了。这三组验证不是炫技而是把“安全体系”从抽象概念拉回地面它能感知、能响应、能证明。我带过的23届学生里凡认真做完这三组验证的答辩平均分高出12分——因为老师问“你这个体系怎么知道它有效”时你不是说“理论上可以”而是打开终端敲几行命令让他亲眼看到封禁日志滚动、端口状态变shutdown、iptables计数器跳变。这种确定性才是课程设计该有的成色。最后说句实在的别把课程设计当成过关作业。我当年也是从改深澜数据库字段开始被网管老师一句“你这改法会崩认证服务”打回重来后来学会先搭测试环境、再写回滚脚本、最后才动生产配置。网络安全不是靠堆功能而是靠每一次验证后的敬畏心——希望帮到你。本文还有配套的精品资源点击获取