简介：计算机网络安全策略的本科毕业论文终稿，面向计算机科学与技术等专业学生及网络安全入门者，适用于毕业设计参考、课程论文写作或安全策略方案梳理。论文从网络安全含义与特征入手，梳理自然因素和人为因素带来的安全威胁，结合我国网络安全发展现状，重点阐述物理安全、访问控制、信息加密、网络安全管理与防病毒等策略，并给出策略应用实例；其中访问控制策略细分入网访问控制、权限控制、目录级与属性安全控制、网络监测与锁定、防火墙、入侵检测及身份认证等内容，覆盖较为全面。资源包内共1份Word格式文档，约235KB，包含摘要、目录、正文、参考文献与致谢，章节完整，便于按需查阅。目前已有46人学习，适合需要快速获取论文框架、论据与安全策略论述的读者。

1. 一份“终稿”不只是文档：计算机网络安全策略论文要回答的四个问题

临近交稿，很多人手里那份“计算机网络安全策略”毕业论文终稿还只是把防火墙、入侵检测、密码策略各写一章，最后再拼一个“结论”。但答辩现场最容易暴露的恰恰是那四个问题：你的策略管什么范围？凭什么这么设？怎么证明它有用？改坏了怎么回退？这篇笔记就沿着这条落地路径拆开讲——从需求分析、模型选型，到ACL/密码策略/策略路由的具体配置，再到仿真验证和避坑。适合正在写安全方向毕业论文、毕业设计，或者需要给客户交一份可执行策略方案的从业者。别把终稿当成文档排版任务，要把它当成一套能上线运行的技术方案。

2. 把“安全策略”从题目变成研究问题：需求分析与策略模型选型

多数终稿的第一章叫“绪论”，第二章叫“相关技术”，到第三章才出现“策略”。这个结构本身没错，但相关技术一节里铺了太多产品功能，真正的策略反而没有立起来。我的习惯是，动笔前先用一个风险评估矩阵把策略需求推出来：哪些资产最该防、哪些威胁最先处理、哪些参数值需要设成高阈值。这样后面每条配置都能指回需求，考官追问时有依据。

2.1 先分清“安全策略”在论文里的三种含义

“安全策略”这个词在不同章节扮演不同角色。如果不拆开，很容易把宏观方针、技术规则、管理流程混在一锅。我一般把它拆成三层来写：

• 宏观安全方针：说明“为什么要安全”，例如“内网业务数据不可被未授权访问”，对应论文绪论和需求章节。
• 技术规则：说明“怎么用设备实现”，例如ACL允许/拒绝的规则、密码复杂度要求、策略路由的匹配条件，对应设计与实验章节。
• 管理流程：说明“怎么持续维护”，例如周期性评审、日志保留时间、录像覆盖策略，对应运维保障章节。

三者之间要有推导关系：宏观方针导出技术规则的优先级，技术规则的剩余风险交给管理流程去兜底。很多终稿只写了第二层，导致第3章的ACL和密码策略像是从产品手册里抄来的。

可以用一张表把三层含义放进论文结构里：

这样写的好处是，整篇论文有一条清晰的因果链：资产等级 → 风险等级 → 策略优先级 → 配置参数。后文的所有命令和表格都可以沿着这条链放。

2.2 用风险评估矩阵导出策略需求

安全策略的强度不是越高越好，高强度的密码策略和严格的访问控制会直接影响业务效率。所以策略需求要从风险算出来，而不是靠拍脑袋。我常用的简化模型是经典的风险公式：R = A × V × T。

• A（资产价值）：按数据机密性、完整性、可用性打分，1到5分。
• V（脆弱性）：按系统暴露面、补丁状态打分，1到5分。
• T（威胁频率）：按历史攻击记录、暴露时长打分，1到5分。

四舍五入后，R值在1到125之间。我一般把R≥36视为高风险，12≤R<36视为中风险，R<12视为低风险。这个阈值不是固定的，但论文里必须明确写出来，否则风险等级就是玄学。

下面是一个典型的小型校园网风险评估片段：

这张表放在论文第三章开头，比任何文字都管用。它直接回答了“为什么你的密码策略要15位”这样的问题：因为对应数据库资产的A和T都高，所以参数取上限。

风险等级确定后，再整理一份“策略需求清单”，每条需求都指向一条风险记录。例如：

• 高风险80：需要访问控制策略，禁止非授权网段访问数据库的23端口。
• 高风险80：需要密码策略，核心系统口令长度≥15，90天更换一次。
• 中风险24：需要策略路由，把管理流量与业务流量分离，限制管理接口的源地址。

这一步做完，后面配置的每一个参数都有了出处。答辩时如果有人问“为什么用这个值”，你只需要指向对应的资产和威胁打分。

2.3 策略模型选型：边界防御、纵深防御还是零信任

需求清单有了，该选“骨架”。计算机网络安全策略里最常出现的三个模型是边界防御、纵深防御和零信任，毕业论文里选哪一个直接决定实验拓扑和章节分工。

我大多数时候建议写纵深防御。原因很实际：它既能容纳访问控制、入侵检测、密码策略这三块常见内容，又不会让实验拓扑复杂到跑不通。零信任虽然热，但毕业论文里往往只能做一张概念图，配置和验证都很难收尾；边界防御又太薄，撑不满核心章节。

选型之后，要把模型翻译成网络架构。例如采用纵深防御时，通常把网络划成外部区、DMZ区、内网区、服务器区。每个区之间用防火墙隔离，区内部再用ACL和入侵检测补强。这样后面写策略路由时，就有了“哪个区到哪个区的流量该走哪条路径”的明确边界。

这一章不需要代码，但它决定后面代码怎么写。如果直接跳过，后面的配置就只能按照厂商默认值凑，很难形成“策略”而不是“配置命令”。

3. 设计可落地的网络安全策略：访问控制、密码与策略路由的三层配置

需求分析给了方向和参数，但这还不够——“策略”在论文里必须体现为可执行的配置，而不是一段形容词。我一般选三个最能体现工程能力的策略层来展开：ACL访问控制、Windows密码策略、基于源地址的策略路由（PBR）。它们分别覆盖网络边界、主机系统和流量调度，正好构成纵深防御的三个支撑点。

3.1 访问控制策略：用ACL把“允许”和“拒绝”写清楚

访问控制是最直观的安全策略，也是最容易写成一堆“允许所有”的地方。在思科模拟器里，一个典型的内网访问控制实验会用到标准或扩展ACL。下面是一个扩展ACL的例子，目标是把学生网段对核心服务器Telnet端口的访问直接拒绝，同时放行其他IP通信：

R1(config)# access-list 101 deny tcp 192.168.10.0 0.0.0.255 host 10.1.1.100 eq 23 R1(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 any R1(config)# interface GigabitEthernet0/1 R1(config-if)# ip access-group 101 in

逻辑说明：第一条规则匹配“源地址是192.168.10.0/24网段、目标地址是10.1.1.100、目标端口是23”的Telnet流量，执行拒绝；第二条规则放行该网段去往任何目的IP的其余流量。ACL按顺序匹配，所以deny必须放在permit之前。最后一条隐含拒绝只处理没有匹配到的流量。

参数说明：192.168.10.0/24是学生终端所在网段，10.1.1.100是教务数据库服务器地址，eq 23对应Telnet服务。方向选择in表示过滤从该接口进入的流量。如果不加方向，ACL会同时检查双向流量，容易把正常通信也拦掉。

提示：ACL末尾自带“隐含拒绝所有”，如果不写permit any，未匹配的流量也会被丢弃。实验时需要根据“默认拒绝”还是“默认允许”业务策略来决定是否加这条规则。

在论文里，不要只贴这段命令，后面必须跟一张规则解释表：

这就是技术规则与风险需求挂钩的写法。考官看到这张表，就不会觉得ACL是抄的。

3.2 密码策略：把Windows 11密码策略要求映射到论文参数表

主机层面的安全策略里，密码策略是默认要写的一块。很多论文只抄一句“密码长度8位以上”，但在真实系统里，Windows密码策略由一组参数共同组成。如果实验环境是Windows 11，可以用本地安全策略或net accounts命令来设置和验证。

net accounts /minpwlen:12 /maxpwage:90 /minpwage:2 /uniquepw:5

逻辑说明：minpwlen设置密码最小长度为12位，maxpwage设置最长使用期限为90天，minpwage设置密码最短使用期限为2天（防止立即改回旧密码），uniquepw设置密码历史数量，即最近5次使用过的密码不能重复。

参数说明：这组命令不适用于域环境，域环境需要拿到域控制器上配置组策略。单机实验用net accounts足够，但论文里要写明实验环境是单机Windows 11还是域环境。Windows 11的默认要求一般是长度至少8位、启用复杂性要求，但毕业论文里的核心系统建议高于默认值，因为风险评估给了更高的A和V。

与论文结合时，我一般会做一张“密码策略参数表”：

这张表比描述“Windows 11密码策略要求”的文字更有说服力。它把默认参数和论文参数的区别摆出来了，回答“为什么不用默认值”的问题。

3.3 策略路由：用华为防火墙实例说明流量调度怎么进论文

策略路由是论文里最容易被写成“路由协议配置”的内容。实际上，策略路由（PBR）解决的是“基于源地址”的调度问题，和OSPF、静态路由这种按目的路由是两回事。在华为防火墙USG系列模拟器里，一个常见的实例是这样：学生网段访问服务器区时，强制走审计链路先过检测设备，其他流量走普通链路。

acl number 3000 rule 5 permit ip source 192.168.10.0 0.0.0.255 policy-based-route pbr1 permit node 10 if-match acl 3000 apply next-hop 10.1.1.2 interface GigabitEthernet1/0/0 ip address 192.168.10.254 255.255.255.0 ip policy-based-route pbr1

逻辑说明：ACL 3000先匹配源地址为192.168.10.0/24的流量；策略路由节点pbr1引用这个ACL，并把匹配流量的下一跳强制设为10.1.1.2；最后在接口GigabitEthernet1/0/0上使能该策略路由。匹配该规则的流量不会按照路由表去查目的地址，而是直接发给10.1.1.2。

参数说明：rule 5中的5是规则编号，不连续是为了以后插入新规则；apply next-hop指定策略下一跳，10.1.1.2就是审计设备的内网接口；如果该设备不可达，流量会被丢弃，所以还要写一条不匹配时的默认路由兜底。配置调整策略我一般遵循一次只改一个变量的原则：先只改ACL源地址，验证通了再动下一跳。

论文里写PBR时要特别注意：不要和路由协议混在一起。策略路由是流量策略，不是动态路由学习。基于源地址的策略路由这个点很容易在答辩时被追问。“这个策略路由和静态路由哪个优先？”答案是匹配策略后，PBR优先。

3.4 把策略整理成一张可验收的清单表

三层策略全部配置完，最后统成一张清单。论文末尾的附录放这张表，答辩时可以照着讲：

清单是策略的“目录”，它让读者第一眼就知道你做了哪些事。没有这张表，论文里每个章节各自为政，整体策略感就弱了。

4. 把策略跑起来：仿真拓扑、关键命令与结果数据的采集

策略设计得再完整，不上仿真验证就是纸面方案。论文终稿里，实验章节的作用是证明“策略产生了可测量的效果”。我习惯用思科模拟器或华为eNSP把拓扑搭出来，因为这两种环境都能保存快照，改一次参数重跑一组数据，非常适合做对比实验。

4.1 用思科模拟器或华为eNSP搭一个能过审的实验拓扑

我一般会搭一个含三个安全区的拓扑：外部区用一台路由器模拟ISP；内网区用一台交换机划分VLAN；服务器区独立放置两台服务器。用华为eNSP时，设备清单大致是：

• 防火墙：USG6000V，承担安全检查与策略路由。
• 路由器：AR2220两台，一台模拟边界，一台模拟审计链路。
• 交换机：S5700两台，分别接学生终端和服务器。
• 终端：PC1和PC2，PC1所在网段为192.168.10.0/24，PC2模拟其他部门网段。
• 服务器：Server1为教务数据库10.1.1.100，Server2为Web服务器。

地址规划表要提前写清楚：

为什么用模拟器而不是真实设备？因为论文需要可重复：策略开和关的对比数据必须在同一拓扑上反复跑。真实设备配置容易受遗留配置干扰，eNSP里可以随时重置。这个理由写在论文里很站得住。

4.2 防火墙策略路由配置实例（基于源地址）

拓扑就绪后，先把防火墙接口划入安全区域，再配置策略路由。下面是USG6000V的关键配置段：

acl number 3000 rule 5 permit ip source 192.168.10.0 0.0.0.255 policy-based-route pbr1 permit node 10 if-match acl 3000 apply next-hop 10.1.2.2 interface GigabitEthernet1/0/0 undo shutdown ip address 192.168.10.254 255.255.255.0 ip policy-based-route pbr1 interface GigabitEthernet1/0/1 undo shutdown ip address 10.1.1.1 255.255.255.0 interface GigabitEthernet1/0/2 undo shutdown ip address 10.1.2.1 255.255.255.0 firewall zone trust add interface GigabitEthernet1/0/0 add interface GigabitEthernet1/0/1 add interface GigabitEthernet1/0/2

逻辑说明：ACL匹配学生网段；策略路由把匹配流量的下一跳指向10.1.2.2审计设备；策略路由应用在流量的入接口GE1/0/0上，而不是出接口。GE1/0/2连接审计链路，把流量交出去；审计设备再转发给服务器区。PC2所在的其他网段因为没有匹配ACL，会走普通路由，直接到达服务器区。这样就能对比“走策略”和“不走策略”的差异。

参数说明：10.1.2.2是审计设备接口，必须可达且能转发数据。新增策略路由前，先确认普通路由已经能ping通服务器，再启PBR，否则会把“策略路由写错”和“路由不通”两个问题搅在一起。

验证方法用两条命令：

• display ip policy-based-route pbr1查看策略命中次数。
• 在PC1上执行tracert 10.1.1.100，路径中会出现10.1.2.2这个审计设备地址。

这个步骤能让“策略路由”从概念变成实证。

4.3 入侵检测策略与日志采集

光有访问控制和路由调度还不够，论文里最好再加一条入侵检测策略。用Snort这类轻量IDS做实验最合适，因为规则可读性强，能直接展示“检测规则-参数-效果”的对应关系。下面是一条检测SSH暴力破解的规则：

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:"SSH brute force"; flow:to_server; detection_filter:track by_src, count 5, seconds 60; sid:1000001;)

逻辑说明：在60秒内，同一个源IP对目标22端口的SSH连接超过5次，就触发报警。detection_filter是Snort里做频率统计的机制，比单独写多条规则更节省性能。

参数说明：count 5是阈值，seconds 60是时间窗口。这两个值需要按实验调整：如果内网有大量自动部署脚本，5次/分钟会误报，可以调到10次/分钟；反之，针对核心服务器要下调到3次/分钟。这就是配置调整策略的直接体现。

报警日志会持续写入alert文件。论文里不要只贴原始日志，要按小时统计条数，再对比“策略开启前”和“策略开启后”的异常流量。Snort的日志格式是文本，可以用一条简单的shell命令抽取：

grep "SSH brute force" /var/log/snort/alert | wc -l

4.4 结果数据怎么导出成论文图表

文本日志没法直接贴进论文，我一般用Python把统计结果画成折线图或柱状图。一个最朴素的画图脚本：

import pandas as pd import matplotlib.pyplot as plt data = pd.read_csv("ids_alerts.csv", parse_dates=["time"]) data["hour"] = data["time"].dt.hour grouped = data.groupby("hour")["alert"].sum() plt.plot(grouped.index, grouped.values, marker="o") plt.xlabel("Hour") plt.ylabel("Alert Count") plt.title("Alert Count per Hour before Strategy") plt.grid(True, linestyle="--", alpha=0.5) plt.savefig("alerts_before.png", dpi=300)

逻辑说明：读入包含time和alert两列的CSV，按小时分组求和，画折线图并保存。dpi=300是输出分辨率，直接满足论文印刷要求。

参数说明：如果没有alert列，可以先聚合计数；marker="o"是为了在答辩PPT上看清节点。对比图需要跑两组数据：一组是关闭策略时的报警曲线，一组是开启策略后的报警曲线，两张图上下放，坐标范围要一致，否则“下降”是视觉错觉。

图表生成后，记得把CSV文件也放进论文附录的“实验数据”里。考官要复现时有原始数据，比只有图片可靠得多。

5. 避坑手册：论文终稿前最容易翻车的5个策略问题

实验做完了，离终稿只差一步。这一步里翻车的案例最多，以下五条我几乎每届都能见到。

5.1 现象：策略配置“能通”但论文写不出依据

有学生把ACL、密码策略、策略路由全配上，拓扑也通了，但问“为什么这里要拒绝Telnet”答不上来。原因就是策略没和风险评估关联。解决：在论文里加一张“风险-策略映射表”，表格三列：风险记录编号、对应策略编号、参数依据。比如“R-02（数据库弱口令风险）→ P-02（密码长度≥15）”。这张表放在实验章节开头，后面所有命令都能找到被引用的风险编号。

5.2 现象：截图一大堆，没有量化对比

“看着检测率提高了”这种话在答辩时没有分量。原因在于只做了单组实验，没有对照组。解决：把实验分成策略关闭和开启两组，分别记录1000次模拟请求的成功率、平均时延、报警数量。哪怕结果只是“报警从87条降到31条”，也比十张状态截图有说服力。注意两组实验的流量要尽量一致，否则对比不算数。

5.3 现象：把“安全策略”写成了“安全产品介绍”

很多论文在“策略”章节里大段写防火墙支持状态检测、IDS支持特征库升级，这是典型的把策略写成产品说明书。原因是没有明确“策略是参数，不是能力”。解决：凡是产品能力描述全部删掉，只保留“本实验在XX设备上启用了以下策略及参数”。比如“防火墙启用基于源地址的策略路由”是策略，“防火墙具备智能选路能力”是宣传词。论文终稿里，评委想看的是你设了什么值，不是设备有什么按钮。

5.4 现象：参考文献和参数表对不上

论文里写“密码长度≥12”，参考文献却是一篇讲访问控制的旧文，牛头不对马嘴。原因是参数来源没有标注。解决：给参数表加一列“依据”，标注标准或实验观测。例如“最小密码长度15，参照NIST SP 800-53中关于高强度口令的建议”。这个细节会在答辩时给考官留下“这学生看过标准”的印象。如果不想引入外部标准，也可以写“依据第2章风险评估中核心资产A=5，设定最高档参数”。

5.5 现象：查重率集中在策略定义部分

策略定义是重灾区，因为教科书里那几句“安全策略是……”早就被抄了无数遍。解决：用配置语言代替定义语言。不要写“访问控制策略是指对网络资源访问进行限制的策略”，要写“本设计中的访问控制策略表现为边界路由器的ACL规则序列，按源地址、目标地址和端口逐条匹配”。同样是解释，后者既避开查重，又把策略落到自己的实验里。终稿提交前，把绪论里的“策略概述”再读一遍，凡是可以配上具体参数的地方，都改成参数描述。

6. 让答辩考官觉得这稿子能落地的三个验证技巧

最后再补三个能立刻用上的技巧，都是我自己的习惯。

6.1 用“风险下降率”组织验证结果

不要只列“报警数从87降到31”，把风险公式也用上。策略开启后，脆弱性V降低了，新的风险值R'=A×V'×T，对比开启前的R，算出每个高风险项的风险下降率。例如数据库弱口令风险从80降到16，下降80%。这张表会让验证结果直接呼应第2章的风险评估，让整篇论文形成闭环。

6.2 给关键参数写边界

密码长度不是越长越好，策略路由也不是所有流量都该走审计链路。在论文里给每个关键参数标出边界：密码最小长度12-15，低于12安全性不足，高于15用户频繁找回密码；策略路由只匹配学生网段，匹配全公司流量会造成核心链路拥塞。这种边界描述能向考官证明你不是只会抄默认值，而是确实考虑过业务的承受能力。

6.3 把回滚步骤写进附录

我自己做配置调整有个铁律：改配置前先保存当前配置，并准备好一条回滚命令。论文里也可以加一个“异常回滚”小节，比如“若审计设备10.1.2.2不可达，移除GE1/0/0上的ip policy-based-route pbr1并恢复默认路由”。这个细节很便宜，但能明显拉高方案的可运维性。答辩时考官问“策略出错了怎么办”，你直接翻到那一页，比任何解释都管用。

这三个技巧都不需要额外实验，只是把已有的配置和验证结果重新组织一遍。整理完这些，那份“终稿”才算真正落地，答辩时心里也不慌。希望帮到你。

本文还有配套的精品资源，点击获取