重庆科创职业学院资库网络管理与维护第5章.pptVIP

第5章 防火墙技术 本章要点 防火墙的概念、类型与作用 防火墙的主要技术 基于防火墙的安全网络结构 常用防火墙的选择 5.1 防火墙的基本概念与分类 在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通信时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。 5.1.1 防火墙的基本概念 防火墙是设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。 5.1.2 防火墙的作用 1. 保护脆弱的服务 2. 控制对系统的访问 3. 集中的安全管理 4. 增强的保密性 5. 对网络存取和访问进行统计和记录 6. 策略执行 5.1.3 防火墙的优缺点 防火墙能有效地防止外来的入侵，它在网络系统中的优点如下。 控制进出网络的信息流向和信息包。 提供使用和流量的日志和审计。 隐藏内部IP地址及网络结构的细节。 很多缺点是防火墙所不能防护的。 1. 限制某些合乎需要的服务 2. 后门访问的广泛可能性 3. 几乎不能防护内部人员的攻击 4. 其他问题 (1) 新的信息服务器和客户机，如World Wide Web(WWW)、Gopher、WAIS等，不宜实施防火墙政策，它们很有可能遭到数据驱动的攻击。 (2) MBONE (3) 病毒 (4) 吞吐量 (5) 集中性 5.1.4 防火墙的分类 1. 包过滤防火墙(IP Filting Firewall) 2. 代理服务器(Proxy Server) 3. 状态监视器(State fulInspection) 5.2 防火墙技术 5.2.1 包过滤技术 包过滤技术的原理在于监视并过滤网络上流入流出的IP包，拒绝发送可疑的包。 包过滤规则允许路由器取舍以一个特殊服务为基础的信息流，因为大多数服务检测器驻留于众所周知的TCP/UDP端口。 1．典型的过滤规则 典型的过滤规则有以下几种。 (1) 允许特定名单内的内部主机进行Telnet输入会话。 (2) 只允许特定名单内的内部主机进行FTP输入会话。 (3) 只允许所有Telnet 输出会话。 (4) 只允许所有FTP 输出会话。 (5) 拒绝来自一些特定外部网络的所有输入信息。 5.2.1 包过滤技术 2．独立于服务的攻击类型的几种情况 (1) 源IP地址欺骗攻击 (2) 源路由攻击 (3) 残片攻击 3．过滤规则的表示以及一种高层保护的过滤规则 (1) 任何进入内部网络的数据包不能把网络内部的地址作为源地址。 (2) 任何进入内部网络的数据包必须把网络内部的地址作为目的地址。 (3) 任何离开内部网络的数据包必须把网络内部的地址作为源地址。 (4) 任何离开内部网络的数据包不能把网络内部的地址作为目的地址。 (5) 任何进入或离开内部网络的数据包不能把一个私有地址(private address)或在RFC1918中 /8.)的地址作为源或目的地址。 (6) 阻塞任意源路由包或任何设置了IP选项的包。 (7) 保留、DHCP自动配置和多播地址也需要被阻塞 5.2.2 应用代理技术 应用代理技术又称代理服务器(Proxy Service)技术，代理服务器的实质就是代理网络用户去取得网络信息。 代理服务器系统工作在应用层，它是客户机和真实服务器之间的中介，代理系统完全控制客户机和真实服务器之间的流量，并对流量情况加以记录。 代理服务器是介于浏览器和Web服务器之间的另一台服务器，有了它之后，浏览器不是直接到Web服务器去取回网页而是向代理服务器发出请求，信号会先送到代理服务器，由代理服务器来取回浏览器所需要的信息并传送给你的浏览器。 5.2.3 状态检测技术 先进的状态检测防火墙读取、分析和利用了全面的网络通信信息和状态，包括以下几个方面。 1. 通信信息 2. 通信状态 3. 应用状态 4. 操作信息 5.2.4 技术展望 1. 防火墙包过滤技术发展趋势 1) 用户认证技术 2) 多级过滤技术 3) 使防火墙具有病毒防护功能 2. 防火墙的体系结构发展趋势 3. 防火墙的系统管理发展趋势 1) 集中式管理 2) 强大的审计功能和自动日志分析功能 3) 网络安全产品的系统化 5.3 防火墙的体系结构 目前，防火墙的体系结构一般有双重宿主主机体系结构、屏蔽主机体系结构和屏蔽子网体系结构几种。 5.3.1 双重宿主主机结构 双