海南师范大学校园网站 升级项目
发布者： 发布时间：2018-06-06来源：
|
项目名称 Project name |
密级 Confidentiality level |
|
|
海南师范大学校园网站重构 |
仅供收件方查阅 |
|
|
项目编号 Project ID |
版本 Version |
文档编号 Document code |
|
V1.0.0.0 |
1.0 |
V1.0.0.0_SPP_002 |
The Campus Websites Of HNNU
Updating Instructions
海南师范大学校园网站
升级方案书
|
Prepared by 拟制 |
|
Date 日期 |
2018-05-20 |
|
Reviewed by 评审人 |
|
Date 日期 |
|
|
Approved by 批准 |
|
Date 日期 |
|
Revision Record
修订记录
|
Date 日期 |
Revision Version 修订版本 |
CR ID /Defect ID |
Sec No. |
Change Description 修改描述 |
Author 作者 |
|
2018-05-20 |
V1.0 |
|
|
初稿 |
|
|
2018-05-21 |
V1.0.0 |
|
|
初稿续稿 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
文档说明
本文档是根据海南师范大学门户站群系统，进行周密详细调研后撰写的站群架构分析书（简称分析书）。分析书描述了学校网站现状，整体需求，以及预期的架构方案。
文档使用对象
项目组全体成员
文档参考规范
GB/T 11457 软件工程术语规范
GB 8566 计算机软件开发规范
GB 8567 计算机软件产品开发文件编制指南
GB/T 12504 计算机软件质量保证计划规范
文档形象记录
2018年5月20日 项目组成员设计初稿
重要版权声明
本书仅供文档说明中使用对象阅读，未经许可，不得以任何形式传播或提供非授权人阅读。
Catalog
目 录
1 升级背景
1.1 背景介绍
海南师范大学校园网新闻发布站群系统，从2013年上线后，期间尽管一直稳定运行，但由于建设部署资源及PHP源码陈旧，服务器系统资源空间局限及现有安全标准升级。导致原有架构内系统不能很好满足现阶段需求。需进行系统、应用层面的升级。
2 校园网站分析
2.1 校园网站运维环境管理现状
现阶段，校园网站内部运维环境相对局限。防范安全风险运维平台效能相对滞后，站群运维质量也无从监控，出了故障，需要靠人工发现故障，一步一步梳理故障链路，系统运行日志也缺乏必要的审计。多个系统、服务器密码缺乏统一管理，自动化周期性修改，存在安全风险。
系统间服务可用性难以保证，各个系统之间运作状态不可控。导致出现问题，才来排查。需要有效的运维工具、系统或者平台来支撑到。
2.2 校园网站系统管理现状
服务器系统版本、应用容器环境等版本较低，导致存在系统内核、应用安全漏洞。部分潜在漏洞可能渗透系统内部，越权执行服务器操作。
2.3 校园网站应用现状
现阶段，PHPCMS系统程序，根据当时需求做了定制化开发方案，但是系统部分API或者URL存在安全漏洞，导致部分数据可能越权提交，影响到系统稳定性、服务器安全。此外，主站首页大图加载图片MB级，导致页面拉取渲染慢。
除此之外，还有校园网新闻内容搜索不够全面。导致部分数据拉取不到，影响到用户使用。
3 升级方案设计
3.1 总体思路
为提高校园网安全质量,提高运维和运营效率,提高应用管理质量,主要按如下几个思路进行规划设计:
3.1.1 系统升级
1) 硬实力升级
将服务器系统升级到最新的Centos 7.X版本。及时更新内核，避免内核级安全问题；操作系统；WEB运行容器升级到最新稳定版本,规避安全或性能问题，如nginx/squid/mysql/rsync/inotify。
2) 软实力升级。
提供全新的负载均衡方案，动静态运行环境分离，不再保持环境一致。
3.1.2 应用升级
根据漏洞扫描工具，排查有问题的API接口或应用URL。对高频访问的应用URL或页面进行性能评估，并对其进行性能调优。
3.1.3 运维升级
部署开源监控运维平台，覆盖到服务器性能指标基础运维、网站运行情况等监控，实现短信、微信等告警。保证校园网发布平台7X24小时对外提供服务。
3.2 方案输出
3.2.1 系统升级方案配置
|
服务器 |
数量(服务器) |
用途 |
|
负载均衡 |
1(linux) |
对接最前端请求，主备环境 |
|
html网站 |
2(linux) |
主备环境、可打散用户请求 |
|
后端发布平台 |
2(linux) |
主备环境 |
|
静态资源 |
2(linux) |
主备环境 |
|
管理备份 |
1(linux) |
服务器数据冷热备 |
|
数据库 |
2(linux) |
数据库冷热备 |
|
运维监控平台 |
1(linux) |
监控管理端(负责对线上) |
3.3 涉及技术的详解
3.3.1 负载均衡
1. 通过反向代理服务器实现负载均衡
反向代理（Reverse Proxy）方式是指以代理服务器来接受Internet上的连接请求，然后将请求转发给内部网络上的服务器；并将从服务器上得到的结果返回给Internet上请求连接的客户端，此时代理服务器对外就表现为一个服务器。
图5 网站反向代理实现负载均衡图
2. 通过PHPCMS多站点发布点实现负载均衡
PHPCMS内置发布点功能，可以将多个站点分别布置到不同服务器上，通过分站域名指向站点内容所属目录或服务器，轻松实现多域名访问和服务器集群布置。实现强大的负载均衡。
图6 网站通过PHPCMS实现负载均衡
3.3.2 Zabbix
zabbix（音同 zæbix）是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案。
zabbix能监视各种网络参数，保证服务器系统的安全运营；并提供灵活的通知机制以让系统管理员快速定位/解决存在的各种问题。
zabbix由2部分构成，zabbix server与可选组件zabbix agent。
zabbix server可以通过SNMP，zabbix agent，ping，端口监视等方法提供对远程服务器/网络状态的监视，数据收集等功能，它可以运行在Linux，Solaris，HP-UX，AIX，Free BSD，Open BSD，OS X等平台上。
4 网站服务器搭建与安全
4.1 网站服务器的搭建
4.1.1 服务器搭建步骤
略
4.2 网站服务器的安全
一般情况下，攻击者要入侵一个基于Linux的网站，会从以下几个方面入手：
利用网站源代码自身的安全漏洞进行入侵，如SQL注入、XSS跨站。
利用搭建网站程序的安全漏洞进行入侵，如Apache漏洞，Mysql漏洞。
利用Linux操作系统的安全漏洞进行入侵，如缓冲区溢出。
所以，对基于Linux操作系统的Web网站进行安全维护，需要同时从Linux服务器、Web服务器等2个方面进行。这样既可保证Linux服务器的安全，也可确保Web站点的安全；既可对Linux服务器和Web站点进行全程维护和定期检查。
4.2.1 Linux服务器以及Web安全现状
Linux操作系统具有很强的稳定性，同时漏洞比Windows少，所有通常情况下，Linux被认为比Windows更加安全和稳定，更适合作为网站服务器的操作系统。同时，由于Linux在终端应用上还不是很普及，针对 Linux的攻击行为和攻击软件，比Windows的少很多，这也侧面导致Linux的安全性高于Windows。
不过我们也知道， Linux的源代码是开放的，这说明任何人都可以对Linux进行研究，任何人都有可能找到Linux所存在的安全漏洞和隐患，并对其进行攻击。
综上描述可知，虽然Linux比Windows更加安全，但在默认情况下，其仍然存在被攻击的可能。在这种情况下，为了保证Linux系统的安全，必须对其进行安全加固，并进行长期不间断的安全维护。
而通常情况下，Web网站设计者在设计网站时，会将绝大多数精力花在考虑满足用户应用，如何实现业务等方面，而很少考虑网站开发过程中所存在的安全漏洞。这些漏洞在不关注网站安全的用户眼里几乎不可见，在正常的网站访问过程中，这些漏洞也不会被察觉。但对于恶意的攻击者而言，这些漏洞很可能会对网站带来致命的危害。
同时，如果Apache、Mysql、PHP等程序存在安全漏洞，也可能导致网站被攻击。
4.2.2 服务器内部环境的安全处理
1、增强服务器操作系统的安全，密切关注并及时安装系统及软件的最新补丁;建立良好的账号管理制度，使用足够安全的口令，并正确设置用户访问权限。
2、恰当地配置Web服务器，只保留必要的服务，删除和关闭无用的或不必要的服务。因为，启动不必要的服务可能使他人获得你的系统信息，甚至获取密码文件。
3、对服务器进行远程管理时，使用如SSL等安全协议，避免使用Telnet、FTP等程序，因为这些程序是以明文形式传输密码的，容易被监听;并严格控制远程root身份的使用，仅在绝对需要时，才允许使用具有高授权的操作。
4、禁止或限制cgi程序和php脚本程序的使用。因为，这些程序会带来系统的安全隐患，而且，某些脚本程序本身就存在安全漏洞。
4.2.3 服务器外部环境的安全处理
1、使用防火墙及壁垒主机，对数据包进行过滤，禁止某些地址对服务器的某些服务的访问，并在外部网络和Web服务器中建立双层防护。利用Linux iptables，将服务器中没有必要从防火墙外面访问的服务及端口阻隔，进一步增强开放的服务的安全性。
2、使用入侵检测系统并安装必要的Web日志系统，监视系统、事件、安全记录和系统日志，以及网络中的数据包，对危险和恶意访问进行阻断、报警等响应。
3、使用漏洞扫描Nessus等软件和安全评估软件，对整个网络进行全面的扫描、分析和评估，从用户账号约束、口令系统、访问控制、系统监测、数据完整、数据加密等多方面进行安全分析和审计。建立和提高用户的安全策略，及时发现并弥补安全漏洞。
4、在网关和服务器上使用多层次的防病毒系统，尤其对于允许上传和交互信息发布的服务器来说，防止病毒及木马程序的侵入是保证服务器系统安全的一个关键。