河南安阳师范学院数字化校园信息化建设方案 - 图文(8)

4.5、统一身份认证、安全运营管理平台设计

4.5.1、方案组件

以学校现有的RG-SAM身份认证管理平台为基础，配合: 1、客户端软件（RG-SU）---可选

2、安全认证交换机（支持802.1X或WEB认证）

4.5.2、高融合

4.5.2.1、多种接入方式的融合认证（802.1x、WEBportal、无线接入、VPN接入）

RG-SAM安全运营管理系统是一套基于标准的RADIUS协议开发的宽带认证计费管理系统。它不仅支持最安全的802.1X接入控制技术，还支持WEB portal的认证计费方式，支持无线接入、VPN接入认证。

4.5.2.2、不同服务区域的融合认证（不同区域、不同计费策略）

RG-SAM提供分区域精细化管理，按照地区区域区分用户和使用的服务，按区域分别定制计费策略和提供的服务，实现分区域的精细化管理。例如：在教学区和宿舍区，一个学生使用同一账户可以使用不同接入服务和相应的计费策略。

第 35 页 共 73 页

4.5.2.3、可以和LDAP对接，进行身份融合（一卡通）

RG-SAM支持LDAP协议，方便实施用户身份信息的统一集中管理

4.5.2.4、提供和第三方系统对接的第三方接口

RG-SAM提供丰富的二次开发接口，方便与一卡通等业务系统的集成

4.5.3、高安全

4.5.3.1、保证用户身份的唯一性

RG-SAM具备多元素绑定，自动绑定， IP地址类型控制等多种接入控制功能，提供业界最严格的接入控制功能。

当发生安全事件或者非法攻击时候，典型的六元素绑定结合完善的日志记录，可以准确审查定位到个人。

第 36 页 共 73 页

4.5.3.2、防代理、防拨号功能

网络的SAM安全计费管理系统对用户架设的各种代理服务器（包括单网卡、双网卡、NAT等）具有自动探测并且自动屏蔽的功能，可以做到代理服务器的可控管理（即可以允许某些账号能够使用代理，可以不允许某些账号不能使用代理服务器）。 通过代理屏蔽技术，可以避免最终用户通过代理服务器上网。其一可以保障运营的受益，其二可以保障准确定位到个人。而且SAM可以禁止用户在认证后再次拨号登录外网，满足金融保险等行业对内网高安全性的要求。

4.5.3.3、网络攻击的防范与控制

网络攻击呈上升趋势，攻击的手段越来越多样化，产生的影响越来越验证，据统计超过80%的攻击来自网络内部，最典型的比如DDoS分布式拒绝服务器攻击，对于网络的解决方案来说，无论网络采用静态IP地址分配，还是动态IP地址分配，本方案中的SAM系统可以绑定IP地址和MAC地址与端口，攻击主机一旦修改其源IP地址其报文就会被丢弃，不对网络造成影响，消除了DDOS对网络的攻击。

接入认证交换机内建强大的ACL功能，支持标准、扩展以及专家级的访问控制列表，并独有ACL80功能进行基于应用的数据安全检测。可以进行基于接入交换机的ARP欺骗攻击防护。

第 37 页 共 73 页

4.5.4、高可用

认证计费系统RG-SAM支持集群功能，可实现认证计费系统的高可用以及容灾备份。 高可用的群集技术不但可以有效地解决单服务器的性能限制，而且可以实现故障的快速转移，保证服务的高可用性以及灵活的扩展性。RGAC（即：RG Application Cluster——应用群集）方案很好地应用了这一技术，由多台服务器以对称的方式组成一个服务器集合，每台服务器都具有等价的地位，都可以单独对外提供服务而无须其他服务器的辅助。通过某种负载均衡技术，将外部发送来的请求均匀分配到对称结构中的某一台服务器上，而接收到请求的服务器独立地回应客户的请求。这种技术可以用最少的投资获得接近于大型主机的性能。

4.5.4.1、RGAC集群技术特点1——认证流量负载均衡

第 38 页 共 73 页

4.5.4.2、RGAC集群技术特点2——认证业务实时备份

采用网络高可用集群技术（RGAC），可提高认证计费系统的整体性能及稳定性的同时，实现系统异地容灾备份。并为后续建设的校园网络统一活动目录（LDAP）提供标准对接接口，实现认证计费系统账号与数字校园账号信息的无缝对接。

4.5.5、可运营

4.5.5.1、贴近用户的丰富计费模式

结合校园网络的实际应用，支持普通包月、包月限时长、包月限流量、计天、计时长、计流量以及特有的根据是否上线按天计费（day cost）等多种计费策略。完全满足各种用户的需求，更好的提高学校网络服务的满意度。

第 39 页 共 73 页