防火墙原理与实践讲解.ppt

总 部 分支机构A 分支机构B 移动用户A 移动用户B 黑 客 防火墙典型案例（9） NGFW4000 ARES ARES Internet * * * * * * * * * * Trunk 口 Trunk 口 VLAN 1 VLAN 2 支持VLAN的交换机 Trunk 口 Trunk 口 VLAN 1 VLAN 2 Switch1 Switch 2 同一交换机的不同 VLAN 之间通讯 不同交换机的同一 VLAN 之间通讯 不支持TRUNK的防火墙无法在这种环境下工作 不支持TRUNK的防火墙无法在这种环境下工作 防火墙对TRUNK协议的支持 防火墙不禁支持TRUNK数据包穿过防火墙，并且防火墙的接口也可以封装TRUNK数据包。 防火墙对TRUNK协议的支持 防火墙不禁支持TRUNK数据包穿过防火墙，并且防火墙的接口也可以封装TRUNK数据包，即支持VLAN间路由。 Vlan20 Vlan30 Vlan10 TRUNK链路 高可用性的支持 二层环境？ 三层环境？ 抗DOS/DDOS攻击-----SYN代理 防火墙的SYN代理实现原理: 在服务器和外部网络之间部署防火墙系统; 防火墙在收到客户端的Syn包后，防火墙代替服务器向客户端发送Syn/Ack包; 如果防火墙收到客户端的Ack信息，表明访问正常,由防火墙向服务器发送Syn包并完成后续的TCP握手,建立客户端到服务器的连接。 通过这种Syn代理技术，保证每个Syn包源的真实有效性，确保虚假请求不被发往服务器，从而彻底防范对服务器的Syn-Flood攻击。 160万并发连接数 SYN SYN/ACK ACK SYN SYN/ACK ACK SYN SYN/ACK ACK Client Server 支持众多网络通信协议和应用协议：如DHCP 、 VLAN 、PPPOE、ISL 、802.1Q 、Spanning tree 、IPSEC 、H.323 、 RTSP 、MMS、IGMP、GRE 、ORACLE-SQLNET等,保证用户的网络应用，方便用户扩展IP宽带接入及IP电话、视频会议、VOD 点播等多媒体应用。 支持核心网络中生成树（STP）的计算：通过生成树计算，防火墙能够同核心交换机一起进行生成树计算，实现了核心网络的全连接拓扑结构，能够进行链路的自动切换，保证了整个网络的稳定。 支持交换机主干链路：防火墙的物理接口实现了D0t1q封装格式，能够同交换机的Trunk接口对接，实现了VLAN间路由的功能，保证了防火墙对于各种网络环境的易接入性。 支持动态路由协议，不但可以让动态路由协议穿过防火墙设备，并且防火墙的接口也可以参与动态路由协议的运算，目前支持OSFP/RIP2。 支持多种网络应用 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙核心技术 防火墙设计结构 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 常见防火墙性能指标 吞吐量 延时 丢包率 背靠背 最大并发连接数 最大并发连接建立速率 吞吐量 定义：在不丢包的情况下能够达到的最大速率 衡量标准：吞吐量作为衡量防 火墙性能的重要指标之一,吞吐量小就会造成网络新的瓶颈，以至影响到整个网络的性能 ~;%#@*$^*^#**( Smartbits 6000B 测试仪 101100101000011111001010010001001000 以最大速率发包 直到出现丢包时的最大值 防火墙吞吐量小就会成为网络的瓶颈 100M 60M 数据包首先排队待 防火墙检查后转发 延时 定义：入口处输入帧最后1个比特到达至出口处输出帧的第一个比特输出所用的时间间隔 衡量标准：防火墙的时延能够体现它处理数据的速度 10101001001001001010 Smartbits 6000B 测试仪 101100101000011111001010010001001000 最后1个比特到达 第一个比特输出 时间间隔 1010100111001110 1010100111001110 1010010010100100010100010 101010100100100100100100010 造成数据包延迟到达目标地 丢包率 定义：在连续负载的情况下，防火墙设备由于资源不足应转发但却未转发的帧百分比 衡量标准：防火墙的丢包率对其稳定性、可靠性有很大的影响 Smartbits 6000B 测试仪 发送了1000个包 防火墙由于资源不足只转发了800个包 丢包率=（1000-800）/1000=20% 10010101001010010001001001 10010101001010010001001001 背靠背 定义：从空闲状态开始，以达到传输介质最小合法间