防火墙的基本功能.docVIP

2、防火墙的基本功能 访问控制： ■ 限制未经授权的用户访问本企业的网络和信息资源的措施，访问者必需要能适用现行所有的服务和应用。网络卫士防火墙支持多种应用、服务和协议，支持所有的internet服务，包括安全的web浏览器、电子邮件、ftp、telnet及rpc和udp等，还支持如oracle、sybase、sql服务器数据库访问和real audio, vodlive、netmeeting和internet phone等这样的多媒体应用及internet广播服务。 ■ 提供基于状态检测技术的ip地址、端口、用户和时间的管理控制； ■ 访问控制对象的多种定义方式支持多种方式定义访问控制对象: ip/mask(如/24)，ip区间(如-54)，ip/mask与通配符，ip区间与通配符等，使配置防火墙的安全策略极为方便。 ■ 高效的url和文件级细粒度应用层管理控制；应用层安全控制策略主要针对常用的网络应用协议http和ftp，控制策略可以实现定义访问源对象到目标对象间的常用协议命令通过防火墙的权限，源对象可以是网段、主机。http和ftp的协议端口用户可根据实际情况在策略中定义，协议命令为http和ftp的主要常用命令。通过应用层策略实现了url和文件级的访问控制。 ■ 双向nat，提供ip地址转换和ip及tcp/udp端口映射，实现ip复用和隐藏网络结构：nat在ip层上通过地址转换提供ip复用功能，解决ip地址不足的问题，同时隐藏了内部网的结构，强化了内部网的安全。网络卫士防火墙提供了nat功能，并可根据用户需要灵活配置。当内部网用户需要对外访问时，防火墙系统将访问主体转化为自己，并将结果透明地返回用户，相当于一个ip层代理。防火墙的地址转换是基于安全控制策略的转换，可以针对具体的通信事件进行地址转换。internet用户访问对内部网络中具有保留ip主机的访问，可以利用反向nat实现，即为内部网络主机在防火墙上映射一注册ip地址，这样internet 用户就可以通过防火墙系统访问主机了。映射类型可以为ip级和端口级。端口映射可以通过一个注册ip地址的不同tcp/udp端口映射到多个保留的ip主机。 ■ 用户策略:可以根据企业安全策略，将一次性口令认证与防火墙其它安全机制结合使用，实现对用户访问权限的控制。用户控制策略可以实现用户之间、用户与ip网段或主机间的访问行为，如协议类型、访问时间等，策略控制对象十分灵活。一次性口令认证方式用于控制内部网与外部网之间的高安全级访问行为。 ■ 接口策略:防止外部机器盗用内部机器的ip地址，这通过防火墙的接口策略实现。网络卫士防火墙将接口策略加在相应的接口上，以防止其它接口区域的ip被此接口区域内的主机冒用。如在正常情况下，内部ip不可能在防火墙的外部接口作为通信源地址出现，因此可以在外部接口上禁止所有的内部ip作为源地址的通信行为。 ■ ip与mac地址绑定：防止防火墙广播域内主机的ip地址不被另一台机器盗用。也就是说，如果要保护的主机与防火墙直接相连，可以将此机器的ip与其物理网卡地址捆绑，这样其他内部机器就不可能使用这个ip通过防火墙。 ■ ip与用户绑定：绑定一次性口令用户到定义ip列表上，防止绑定用户的从非许可区域通过防火墙。 ■ 支持流量管理：流量管理与控制. ■ 可扩展支持计费功能：计费功能可以定义内部网络ip，记录内部网络与外部网络的方向性通信流量，并可依据ip及用户统计查询计费信息。计费模块还可以提供用户化计 费信息接口，将计费信息导出到用户自的计费处理软件中。 ■ 基于优先级的带宽管理：用户带宽最大用量限制，用户带宽用量保障，多级用户优先级设置流量控制功能为用户提供全部监测和管理网络的信息。 防御功能 ■ 防tcp、udp等端口扫描：网络卫士防火墙可以检测到对网络或内部主机的所有tcp/udp扫描。 ■ 抗dos/ddos攻击：拒绝服务攻击(dos)就是攻击者过多的占用共享资源，导致服务器超载或系统崩溃，而使正常用户无法享有服务或没有资源可用。防火墙通过控制、检测与报警机制，阻止dos黑客攻击。 ■ 可防御源路由攻击、ip碎片包攻击、dns/rip/icmp攻击、syn等多种攻击：网络卫士防火墙系统可以检测对网络或内部主机的多种拒绝服务攻击。 ■阻止activex、java、javascript等侵入：属于http内容过滤，防火墙能够从http页面剥离activex、javaapplet等小程序及从script、php和asp等代码检测出危险的代码，同时，能够过滤用户上载的cgi、asp等程序。 ■ 提供实时监控、审计和告警功能：网络卫士防火墙提供对网络的实时监控，当发现攻击和危险行为时，防火墙提供告警等功能。 ■ 可扩展支持第三方