Access Control Lists於校園網路管理之應用

(1)

Access Control Lists 於校園網路管理之應用

楊國棟

趙志宏

國立高雄大學圖書資訊館

E-mail：{kdyang, wilson}@nuk.edu.tw

摘要

在網路服務日益普及的校園中，校園宿舍網路的濫用，導致網路頻寬的壅塞，常是網路管理人員最為頭痛的問題。本文介紹以 PHP、Perl 為系統開發工具， MySql 為資料庫，利用 Cisco 的 Access Control Lists (ACLs) 功能為管理媒介，建置一套節省管理人力、有效遏阻非法使用者濫用網路資源之宿舍網路管理系統，落實校園網路資源能公平合理的被有效利用。本文中以圖文描述系統之原理架構、系統特色、功能及後續可應用之範圍，作為網管人員開發及建置相關系統之參考。關鍵詞：PHP，Perl，MySql，Cisco，ACLs

1.前言

由於資訊科技的進步，電腦設備的普及與網路頻寬的提升。國內大專院校學生使用網路的比率，近年來皆以十分驚人的速度成長。更有數據顯示，超過九成的學生擁有個人的電腦，以本校的統計數字，一千零六十四床的宿舍中，每學期平均有九百六十八部個人電腦登錄上網。宿舍網路最常出現的問題有下列幾項： 1. 使用續傳軟體大量下載資料，嚴重違反學術研究之目的。 2. 被植入後門程式或遭受病毒感染而不自知，不斷送出大量封包，塞爆宿舍網路頻寬，影響宿網甚至校園骨幹網路的正常運作。 3. 合法使用者 IP Address 遭非法使用者盜用，導致合法使用者無法正常上網，破壞網路使用規則。如何有效的管理與分配校園網路資源，使有限的網路資源能獲得公平而合理的運用，是身為網路管理者責無旁貸的責任。若能經由簡便的管理系統，達到有效的管理，想必是網路管理者最期望達到的目標。

2.系統簡介

我們以 Cisco IOS 中提供的 Access control lists（ACLs ）功能為管理工具。將宿網的 IP Address 與使用者的 MAC Address 相互搭配，達成 IP 與 MAC 需同時對應方能上網之目標，有效遏阻盜用 IP 之違法行徑。同時，利用排程的機制，每日定期將違反流量之 IP 及應複權之 IP 給予 deny 或 permit，對於時常超量使用網路的使用者或遭電腦病毒感染的電腦防制具有十分良好的管理功效。

3.系統特色

3.1 建置成本低

n 硬體的建置視現況調整或添購，不需增加太多之硬體。 n 伺服器作業系統與資料庫的選擇，採用免費軟體的方式，不需額外付費。

3.2 維護成本低

n 因所有軟體採非 Windows 相關產品，減少病毒破壞之機會，相對的所需維護之成本就降低。

(2)

3.3 程式碼簡單易懂

開發程式採用 PHP 程式語言，與 ASP 程式語法相似。略具程式基礎者皆可輕易上手維護。

4.架構及原理

宿網管理系統之架構採用單一伺服主機控制宿舍 Router（一台或以上）之 ACLs 設定為基本架構，其架構圖如圖 1 所示。伺服主機以 FreeBSD+ Apache 為系統工作環境，PHP+MySql 為管理開發工具，Perl 為控制 Router 的關鍵介面。每學期初，管理者需將申請核准之住宿名單資料轉入系統中，作為使用者認證登錄之依據。使用者於登錄系統後，輸入基本資料、IP 資料及 MAC 資料。系統先經過 IP 及 MAC 資料之初步認證後儲存。同時，呼叫 Perl 的程式，將剛登錄之 IP 及 MAC 資料寫到 Router 上，即可達到立即開通之功能。每日系統會定時執行停、複權的 Perl 程式。該程式將管理者所輸入違規停權之資料，依據先複權後停權之順序，分別對 Router 進行 Permit 及 Deny 的動作，達到自動停、複權的管理功能。程式流程如圖 2 所示。登陸宿網管裡系統 Internet 新使用者停權使用者一般使用者選擇IP，輸入MAC 停權IP輸入住宿資料轉入每日定時 Deny、Permit IP 立即 Permit IP 管理者 IP 被 deny 圖1 宿網架構示意圖 宿網管理系統之基本原理是利用 Router上之 ACLs 功能加以應用，其動作示意圖如圖 3 所示。 Router 針對每一個流入的封包，先行檢測欲流出之 Interface ，是否有設定 Access List？沒設定的 Interface 則直接將封包送到 Outbound。反之，根據所設定 Access List 規則，對該封包進行 Permit

或 Deny 的動作。開始連結資料庫選取欲 Permit記錄的 IP 與MAC 連結 Router Permit IP 與MAC 關閉連結結束開始複權處理選取欲複權記錄的IP 連結 Router Permit IP 關閉連結結束停權處理結束複權處理連結資料庫選取欲停權記錄的IP 連結Router Deny IP 關閉連結結束停權處理連結資料庫 Permit IP 流程圖停、複權流程圖 圖2 流程圖 Inbound Interface Packets Routing Table Entry ? Choose Outbound Interface Access List ? T e s t Access List Statements Permit ? N Y N N Y Y Packet Discard Bucket Outbound Interface Discard Packet

Outbound ACL Operation

圖3 ACLs 動作原理

5.系統功能

宿網管理系統之功能分為使用者與管理者介面兩方面來說明：

5.1 使用者功能介面

n 登錄說明 系統提供簡易之操作說明及如何取得 MAC Address 的說明畫面於首頁，使用者於登錄前瀏覽登錄說明有助於其完成登錄作業。 n 使用者身份辨認（系統登入） 系統會依據使用者所輸入之帳號、密碼先判斷該帳號、密碼是否存在。接著判斷是否已登錄過。通過上述兩項身份認證後方可進行登錄。

(3)

圖4 宿網登錄畫面 n 住宿查詢 使用者可於系統提供之住宿查詢選項，查詢到當學年學期之住宿資料。 n IP 查詢 使用者可使用多條件式的查詢畫面輸入查詢條件，系統會依使用者輸入之條件，將宿舍房間所分配的 IP Address 及該 IP 其使用之狀況資料顯示出來。 n 停權查詢 使用者可利用系統提供之查詢畫面，查詢某停權 IP Address 之停權起始日期及複權日期。。 n 宿網登錄 使用者通過認證後即進入宿網登錄的畫面。使用者需鍵入 MAC、IP 等相關資料後。系統先經過初步的認證，確認使用者所輸入之 MAC 並沒有其他使用者使用。完成初步認證之後，系統將使用者所輸入之資料儲存於資料庫。同時將該使用者輸入之 MAC 與 IP 利用 Perl 程式寫到 Router 上，並 Permit 該 IP 完成宿網之登錄。 圖5 MAC 資料登錄畫面

5.2 管理者功能介面

n MAC 查詢 管理者可依據不同的查詢條件，例如姓名、學號、IP、MAC、寢室等進行查詢，查詢的結果顯示目前使用者的詳細登錄資料。若是 MAC 資料有異動時，例如換電腦或是換網卡，亦可使用刪除功能將舊資料刪除，系統同時將 Router 上所設定之資料刪除並更改 IP 狀態。使用者即可另行登錄新資料。 圖6 MAC 資料查詢畫面 n IP 狀態查詢 可依照管理者所設定的查詢條件，查詢目前所有 IP 的使用狀況。 n 住宿資料維護 管理者可於管理者介面上異動住宿生資資料。對於住宿生互換寢室、住宿生資料異動可提供方便之管理介面。 圖7 住宿資料查詢畫面 n 住宿資料新增 管理者可隨時新增新的住宿生資料。對住宿異動頻繁的開學初期是相當方便的作法。 n 停權作業

(4)

管理者依據各 IP 每日進出校園流量，對於流量違反規定者，設定停權起始日及停權天數。目前本校是以當日進出本校流量超過 2GBytes 停權三天，超過 5GBytes 停權七天，當月停權達三次者則停權一個月作為管理之規範。 圖8 停權設定畫面 n 停權資料維護 管理者可依條件查詢停權資料並可針對該資料加以修改。 n 數據分析 系統依據 IP 之使用狀況，圖形化的顯示於畫面上。 圖9 數據分析畫面

6.應用

宿網管理系統之基本原理，是以資料庫之資料狀態改變來控制網路設備之設定。由上述之基本原理亦可進而發展出去控制更多網路設備或伺服器設定之想法。因此，凡屬大量之資料維護、每日、每週、每月例行性之定期設定等工作，皆可考慮將其系統化、自動化。以本校為例，目前上線測試中之系統有全校 IP 管理系統，已上線之系統有教職員電子郵件帳號管理系統，皆是利用資料庫搭配 Telnet 網路設備或伺服器之功能達到管理之目的。

7.效益

本校宿網建置完成至今已達第四年，使用宿網管理系統亦已有兩年的時間。期間經過數次修正改版後，方達到目前 IP 與 MAC 可同時設定的基本目標。圖 9 表示使用宿網管理系統前後，對於宿舍網路所投入之維護人力與工讀人力之分析，可以明顯看出在使用宿舍網路管理系統之前後，其人力降低之效益，主要歸功於自動化的管理系統有效地遏止使用者濫用網路資源及盜用 IP 等之行為，減少時間在稽查上述破壞網路秩序之行為。因此制定一套合時合宜的管理規範，並輔以一套合用的管理系統，對於學校在解決宿舍網路所面臨的問題，有很大的幫助。不止解決了管理人力不足的問題，亦提升宿舍網路使用的公平性。 0 1 2 3 4 5 維護人力工讀人力使用前使用後 圖1 0 效益分析表

參考文獻

[1] Cisco Systems,”Interconnecting Cisco Network Devices Version 2.1 Student Guide”,2003

[2] 吳弘凱 , 鄧文淵 ,“PHP4 網頁程式語言 MySQL 資料庫快速入門 ”,2001