第5章防火墙与VPN技术讲解.ppt

第5章 防火墙与VPN技术 第5章 防火墙与VPN技术 5.1 防火墙 5.2 VPN技术 5.1 防火墙 什么是防火墙？ 防火墙是一类防范措施的总称，它使得内部网络与Internet之间或者与其它外部网络互相隔离、限制网络互访，用来保护内部网络。 设置防火墙的目的： 在内部网和外部网之间设立唯一通道 提供内、外两个网络间的访问控制 通过一定的安全策略防止发生网络安全事件引起的危害 5.1 防火墙 5.1 防火墙 5.1 防火墙 防火墙具备的功能： 针对个人终端和端口提供信息流过滤 对网络信息流进行稽核和监控 Who do What? Why? Where? When and How? 5.1 防火墙 (1)外网：一般为Internet，非受信网络 (2)内网：一般为Intranet，受信网络 (3)非军事化区：DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。 5.1 防火墙 5.1 防火墙 5.1 防火墙 防火墙的作用 保护主系统的安全 过滤不安全的、易受攻击的服务，如NFS、ICMP 控制对网点系统的访问 集中身份认证、安全访问等软件，降低成本 提供网络使用率的统计数字，可供分析或告警 提供实施和执行网络访问安全策略 5.1 防火墙 防火墙的设计原则 由内到外和由外到内的业务流必须经过防火墙 只允许本地安全政策认可的业务流通过防火墙 尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网 具有足够的透明性，保证正常业务的流通 具有抗穿透攻击能力、强化记录、审计和告警 5.1 防火墙 防火墙的基本组成：安全操作系统、过滤器、网关、域名服务、Email处理。 5.1 防火墙 防火墙的分类 包过滤型： 检查进出防火墙的IP包标头内容，如来源及目的IP地址、控制协议TCP或UDP、访问端口Port等信息。缺点是无法控制“连线”能力。 包检验型： 包过滤型的加强版，增加了控制“连线”能力。缺点是无法识别“IP欺骗”。 5.1 防火墙 5.1 防火墙 防火墙的分类 应用层网关型：分析连线内容是否符合应用协定的标准。 5.1 防火墙 防火墙的分类 状态监测防火墙：使用一个在网关上执行网络安全策略的软件模块，称为监测引擎，是第三代防火墙技术 原理：监测引擎软件在不影响网络正常运行的前提下，采用抽取有关数据的方法对网络通信的各层实施监测，抽取状态信息，并动态的保存起来，作为执行安全策略的参考，根据这些状态信息，可对防火墙外界用户的访问操作进行“行为分析”，对“正常行为”放过，拦截“不正常行为”。 5.1 防火墙 “行为分析”：鉴别行为是否正常。 计算机世界是现实世界的映射或反映！ 现实世界、现实生活中的“行为分析” 以“资本的行为分析”为例 5.1 防火墙 资本的本性： 英国工会活动家、政治家邓格宁说：“资本害怕没有利润或利润太少，就像自然害怕真空一样。一旦资本有了适当的利润，资本就胆大起来，如果有10%的利润，它就保证到处被使用；有20%的利润，它就活跃起来；有50%的利润，它就铤而走险；为了100%的利润，它就敢践踏一切人间法律；有300%的利润，它就敢犯任何罪，甚至冒绞首的危险。” 5.1 防火墙 蔬菜快要“烂在地里”为何卖不出去？ 2011年4月?CCTV《经济半小时》近一段时间以来，各地频频爆出菜价下跌的消息。山东、河南、湖北等地的蔬菜价格竟然降到只卖几分钱都无人问津。菜农们只能眼睁睁地看着辛辛苦苦种出来的蔬菜烂在地里。但与此同时，我们看到城市里超市的菜价却没有相应地下降。究竟是什么原因导致了今年蔬菜种植环节价格大跌？ 近来在CPI高企的背景下，“买菜贵”让城市居民生活成本陡增。然而另一方面，却出现了农民“卖菜难”的状况，菜价屡创新低却无人收购，蔬菜甚至面临“烂在地里”的局面。强烈的反差背后，问题究竟出在哪里？ 5.1 防火墙 廉价药厂商不生产 心脏病手术中常用廉价药鱼精蛋白的断货似乎并不是个例，一位市民近日跑遍烟台全城都买不到治疗皮肤病的廉价老药。2011年9月，记者调查了解到，有的廉价老药断了货，有的价格猛涨变得不再廉价，这让老百姓很不习惯。不过药店和厂家说，他们也有苦衷。知情人士指出，目前医药供销上下游链条里已没有廉价老药生存的空间。 从治疗白血病的复方磺胺甲噁唑注射针剂、环磷酰胺针剂，到缓解胃病的复方胃友、双层胃友等，这些应急救命或者日常必备的药物，因为价格“过于”低廉，而没有厂家愿意生产，在广