17Firewall基本知识.pptVIP

什么是Firewall 简单的防火墙应用 防火墙的基本功能 包过滤 （Packet filtering） 代理服务 （Proxy service） 状态检测 （State inspection） 包过滤 （Packet filtering） 包过滤（续） 指的是对IP数据包的过滤。对路由器需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号，数据包的源地址、目的地址、源端口、目的端口等，然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。 代理服务 （Proxy service） 防火墙上基本都有代理功能，有的实现了应用层代理（类似web proxy），有的仅仅配置成简单的NAT或NAPT。 代理服务 （续） 虽然大多数防火墙都具备NAT或PAT的功能，但防火墙不一定要实现NAT功能，当我们说XX设备在防火墙后的时候，不一说明是经过NAT转换的。 状态检测 （State inspection） 状态检测是指防火墙不仅仅根据网络层的信息进行报文过滤，同时根据四层以上的协议进行过滤，各个厂家的叫法可能不同，ASPF（Application Specific Packet Filter）或CBAC（Context-Based Access Control）。 目前大多数防火墙都提供了基于状态检测的防火墙，如防火墙内有一个FTP Server，要对外提供服务，你只需要开放TCP 21端口即可，因为FTP会话过程中使用的其他端口防火墙会动态开放。 状态检测（续） 防火墙基本知识 华为公司多媒体 防火墙一方面阻止来自因特网的对受保护网络的未授权或未验证的访问，另一方面允许内部网络的用户对因特网进行Web访问或收发E-mail等。防火墙也可以作为一个访问因特网的权限控制关口，如允许组织内的特定的人可以访问因特网。现在的许多防火墙同时还具有一些其他特点，如进行身份鉴别，对信息进行安全（加密）处理等等。 防火墙不单用于对因特网的连接，也可以用来在组织内部保护大型机和重要的资源（数据）。对受保护数据的访问都必须经过防火墙的过滤，即使该访问是来自组织内部。 当外部网络的用户访问网内资源时，要经过防火墙；而内部网络的用户访问网外资源时，也会经过防火墙。这样，防火墙起了一个“警卫”的作用，可以将需要禁止的数据包在这里给丢掉。 包过滤是指针对IP包头进行过滤的方法，通过检测IP包头包括TCP或UDP包头的信息来决定是否允许报文通过，你可以定义允许或禁止源地址或目的地址为X的包通过，也可以允许或禁止某些端口的报文通过，或者将这些策略组合。 对于防火墙的配置中，最多的部分就是包过滤部分，各种防火墙的设置方法可能不同，有的是命令行，有的是图形界面。但是内容基本都是一致的，可以表达为： 允许/禁止 源地址 目的地址 协议（TCP/UDP） 端口（目的端口） permit host 2 udp 1719 在上例中，一个连接的四个要素（源地址、源端口、目的地址、目的端口）只出现了3个，因为在连接建立时源端口大多是随机的，因此防火墙一般是不会根据源端口进行过滤的。