第5章防火墙技术(免费阅读).pptVIP

第5章 防火墙技术 学习要点 防火墙的概念、功能及其局限性 防火墙的分类 防火墙的使用技术 怎样选择防火墙 天网防火墙的使用 5.1 .1防火墙概述 防火墙是一个或一组实施访问控制策略的系统，在内部网络（专用网络）与外部网络（公用网络）之间形成一道安全保护屏障，以防止非法用户访问内部网络上的资源和非法向外传递内部消息，同时也防止这类非法和恶意的网络行为导致内部网络的运行遭到破坏。 5.1.1 防火墙概述 防火墙可以看成是安装在两个网络之间的一道栅栏，根据安全计划和安全策略中的定义来保护其后面的网络。它应该满足以下条件： （1）所有进出网络的通信流都应该通过防火墙。 （2）所有穿过防火墙的通信流都必须有安全策略和计划的确认和授权。 （3）理论上说，防火墙是穿不透的。 各站点的防火墙的构造是不同的，通常一个防火墙由一套硬件 (如一个路由器，或其他设备的组合，一台堡垒主机)和适当的软件组成。组成的方式可以有很多种，这要取决于站点的保护要求、经费的多少以及其他的综合因素。但是防火墙也不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。 防火墙的不足之处 （1）防火墙不能防范不通过它的连接 如果网络具有其他联接方式，比如一台Windows PC 使用一台调制解调器通过I S P 联到Internet 上，因为连接不经过防火墙，因此绕过了防火墙提供的安全控制。 （2）防火墙不能防备全部的威胁 防火墙不能防止许多常见的Internet 问题，如病毒和特洛伊木马。 5.1.2 防火墙的功能 防火墙的功能 过滤出入网络的数据 强化网络安全策略 对网络存取和访问进行监控审计 控制不安全的服务 对站点的访问控制 防火墙支持具有 Internet 服务特性的企业内部网络技术体系 VPN 。 防火墙是阻止外面的用户对你的网络进行访问的系统，此系统根据网络管理员的一些规则和策略来保护内部网络的计算机。 5.1.3 防火墙的局限性 防火墙主要是保护网络系统的可用性，不能保护数据的安全，缺乏一整套身份认证和授权管理系统。 防火墙不能防范不经过它本身的攻击。 防火墙只是实现粗粒度的访问控制，不能防备全部的威胁 。 防火墙难于管理和配置。 5.2 防火墙的分类 从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙。 从防火墙使用技术的角度出发,分为包过滤防火墙(IP Filting Firewall)、代理服务器(Proxy Server)和状态监视器(State fulInspection) 包过滤技术 数据包过滤技术是防火墙为系统提供安全保障的主要技术，包过滤技术是防火墙的初级产品,其技术依据是网络中的分包传输技术。 包过滤器 包过滤器基于包的基础上进行网络流量的处理。它们只在OSI参考模型的网络层工作,因此,它们能够准许或阻止IP地址和端口，并且能够在标准的路由器上以及专门的防火墙设备上执行。一个纯包过滤器只关注下列信息:源IP地址 、目标IP地址、源端口、目标端口、包类型 包过滤器的一个基本例子就是位于Internet 和内部网络之间的路由器，它根据数据包的来源、目的地址和端口来过滤。这样的路由器被称为筛分路由器(screening router)。 标准路由器和筛分路由器的不同之处在于二者检查报文的方式。普通路由器只是查看IP地址并把报文发送到至目的地的正确路径上。筛分路由器检查报文头，不仅要决定怎样对其进行路由，还要基于一些规则决定是否应对其进行路由。 包过滤的优点 包过滤方式有许多优点，而其主要优点之一是仅用一个放置在重要位置上的包过滤路由器就可保护整个网络。如果我们的站点与因特网间只有一台路由器，那么不管站点规模有多大，只要在这台路由器上设置合适的包过滤，我们的站点就可获得很好的网络安全保护。 包过滤的缺点 （1）在机器中配置包过滤规则比较困难； （2）对系统中的包过滤规则的配置进行测试也较麻烦； （3）许多产品的包过滤功能有这样或那样的局限性，要找一个比较完整的包过滤产品比较困难。 包过滤器操作 （l）由于包过滤器是一台按照预先设定的内容对每一个包进行检查的设备，因此，必须告诉包过滤器阻塞什么,准许什么。这些包过滤标准必须由包过滤设备端口存储起来，叫做包过滤规则。 （2）包过滤器规则以特定的方式存储，比如包过滤器使用由安全管理员已经建立好的文本文件。这个文本文件由逐行顺序读取的一些规则组成。每一个规则包含明确的条目来帮助决定流入的包将如何被处理。 （3）当包到达端口时，对包的报头进行语法分析，大多数包过滤设备只检查IP、TCP或UDP报头中的字段，不检查包体的内容。 （4）如果一条规则阻