第九章代理服务.pptVIP

第九章代理服务 学习目标： 1. 了解局域网和Internet连接时的问题 2. 知道网络地址转换的原理 3. 知道代理服务的工作原理 4. 了解代理服务的类型 5. 从网络体系结构角度了解网络安全。 6. 了解两类常见防火墙的原理 7. 了解常见的防火墙配置方案 8. 掌握使用Wingate实现连接共享和包过滤 9.1 代理服务基础知识 9.2 Winroute网络代理软件的安装与设置 9.3 构建代理服务的其他方案 本章小结 9.1 代理服务基础知识 9.1.1 网络地址转换NAT 9.1.2 代理服务器 9.1.3防火墙 9.1.1 网络地址转换NAT 所谓NAT其实就是Network Address Translation的缩写，它的中文含义是网络地址转换，这种功能就是指在一个网络内部，根据需要可以随意使用合法的保留IP地址，而不需要经过申请。图9-1 NAT的工作过程 NAT的工作过程如图9-1所示： 保留IP地址 这些地址包括：A类地址位-55。B类地址为－55。C类地址为-55。 9.1.2 代理服务器 所谓代理服务器，是指代表客户处理在服务器连接请求的程序。代理是处于客户机与服务器之间，对于服务器来说，代理是客户机，代理提出请求，服务器响应；对于客户机来说，代理是服务器，它接受客户机的请求，并将服务器上传来的数据转给客户机，它的作用很像现实生活中的代理服务商，如图9-2所示。 9.1.2 代理服务器 1. 代理服务的工作原理 代理服务的工作原理是：当客户在浏览器中设置好代理服务后，使用浏览器访问所有WWW站点的请求先发给代理服务器，并经过特定的安全化的Proxy应用程序处理连接请求，将处理后的请求传递到真实的服务器上，然后接受服务器应答，并接受目的主机的数据，然后再由代理服务器将客户要求的数据发给客户。 9.1.2 代理服务器 2. 代理服务器的作用 （1）使用代理服务器可以解决对IP地址的需求 （2）通过代理方式上网可以大大降低网络使用费用 （3）提高访问速度 （4）访问一些不能直接访问的网站 （5）安全性得到提高 3. 代理服务器的类型 （1）应用代理服务器 （2）回路级代理服务器 4. 代理服务器的实现 9.1.3 防火墙 1. 从网络的结构解析网络安全问题如表9-1所示。 2. 实现防火墙的技术如图9-3所示。 （1）报文过滤（包过滤防火墙） 物理层 连接网络每个设备的物理设备（如以太网卡或Modem）及特征构成了OSI模型中的物理层。 由于TCP/IP结构中每一层的独立性，上层并不依靠任何特定的传输介质，因此这层的安全问题主要是物理线路及设备的安全保护，防止他人从线路接头上安装设备进行偷听，并对线路上的数据进行加密。 数据链路层 解决网络适配器驱动程序与操作系统之间的连接，并将网络请求转换为设备的专用术语并传输。PPP点对点协议是一个通过串行连接支持的链路层协议， 黑客可以通过将设备调到混杂模式，在该模式下可以简单地将所有包（不管它们的目标地址是什么）传输给那些监视局域网数据的程序。应该通过防火墙策略监视网络上的计算机不让它们更换驱动程序。目前的拨号连接基本上都在PPP协议支持下工作。 网络层 这是TCP/IP协议中最关键的一层（IP层）。它规定一个局域网上的计算机如何与另一个完全不同的局域网上的计算机如何交换数据。 这是目前黑客攻击较多的一层。此层协议的最小数据传输单位是包，典型的IP包的包头部分含有32位源IP地址、32位目标IP地址、8位协议编号、16位身份识别等信息。防火墙中的地址转换功能NAT及一些IP地址过滤功能就是在这一层中进行的（如过滤目标地址是什么包）。 传输层 主要是为2台主机上的应用程序提供端到端的通讯，该层次中有两个非常著名的协议TCP和UDP（用户数据报协议） 用户的网络应用程序中使用的应用层协议大都通过TCP及UDP协议和端口配合进行的。所有的黑客应用程序均和它们有关。防火墙中的包过滤策略要根据用户的需要逐个考虑每一个应用使用的协议与端口，将不使用的端口关闭。 应用层 负责处理特定的应用程序细节， 计算机网络常用的协议包括FTP、HTTP、Telnet、SMTP等，在这一层上会出现非常多的安全问题。 9.1.3 防火墙 静态包过滤。这种类型的防火墙根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤规则匹配。过滤规则是基于数据包的报头信息进行制订。静态包过滤防火墙仅仅检查每个包的包头部分的信息来决定是否让数据包通过，它们不是检查包的数据部分，也不维持连接状态，因此也称为无状态检查的包过滤器。如图9-4所示。 9.1.3 防火墙 动态包过滤。这种类型的防火墙采用动态设置包过滤规则的方法，避免了静态图9-4 包过滤防