第6章防火墙技术选编.pptVIP

计算机信息安全技术;目录;6.1 防火墙概述;6.1 防火墙概述;6.1 防火墙概述;6.1 防火墙概述;6.2 防火墙的分类;6.2 防火墙的分类;6.2 防火墙的分类;6.2 防火墙的分类;优点： 速度快、效率高，对流量的管理较出色；由于所有的通信必须通过防火墙，所以想绕过防火墙是困难的；同时对用户和应用是透明的。 缺点： 允许外部网络直接连接到内部网络主机，网络边界的端口是静态、持续地打开； 只要数据包符合ACL规则都可以通过，无法区分数据包的真实意图。 不能为挂起的通信维持一个记录，无法识别UDP数据包和ICMP包的状态，所以必须根据数据包的格式来判断该数据包是否属于先前所允许的对话，可能导致基于IP源地址欺骗的网络攻击。 不支持用户身份认证，不提供日志功能，虽然可以过滤端口，但是不能过滤服务。;6.2 防火墙的分类;;6.2 防火墙的分类;*;;;;;;6.2 防火墙的分类; 代理服务（Proxy Service）是指运行于内部网络与外网之间的主机(堡垒主机)上的一种应用。 当用户需要访问代理服务器另一侧主机时，代理服务器对于符合安全规则的连接，会代替主机响应访问请求，并重新向主机发出一个相同的请求。 当此连接请求得到回应并建立起连接之后，内部主机同外部主机之间的通信将通过代理程序的相应连接映射来实现。代理既是客户端（Client），也是服务器端（Server）。;6.2 防火墙的分类;6.2 防火墙的分类;6.2 防火墙的分类;6.2 防火墙的分类;6.3 防火墙的体系结构;6.3 防火墙的体系结构;（1）两个端口之间不能直接进行IP数据包的转发。 （2）防火墙内部的系统可以与双宿主主机进行通信，同时防火墙外部的系统也可以与双宿主主机进行通信，但二者之间不能直接进行通信。 （3）双宿主主机的防火墙体系结构相对简单，双宿主主机位于外部网和内部网之间，起到隔离和安全访问控制的作用。;6.3 防火墙的体系结构;6.3 防火墙的体系结构;（1）屏蔽主机结构中提供安全保护的主机仅仅与内部网相连。此外还有一台单独的包过滤路由器，它的作用是避免用户直接与内部网络相连。 （2）过滤路由器按如下规则过滤数据??：任何外部网的主机都只能与内部网的堡垒主机建立连接，甚至只有提供某些类型服务的外部网的主机才被允许与堡垒主机建立连接。 （3）任何外部系统对内部网络的操作都必须经过堡垒主机，同时堡垒主机本身具有较全面的安全维护。 （4）在一台路由器上施加安全保护，比在一台主机上施加保护更便于管理，具有可操作性。 （5）只要黑客设法通过了堡垒主机，那么整个内部网与堡垒主机之间就不再有任何阻碍；同样，路由器的保护也存在相同的缺陷，若黑客闯过路由器，那么整个内部网便会完全暴露。;6.3 防火墙的体系结构;6.3 防火墙的体系结构;6.3 防火墙的体系结构;6.4 防火墙的部署（自学）;6.4 防火墙的部署（自学）;6.5 防火墙技术的发展趋势（自学）;分布式防火墙体系结构包含如下部分：;6.6 分布式防火墙技术(自学);6.6 分布式防火墙技术(自学);6.6 分布式防火墙技术(自学);6.6 分布式防火墙技术(自学)