网络安全架构设计剖析.pdf

安全网络架构设计 崔宝江 北京邮电大学信息安全中心 北邮• 信息安全中心• 崔宝江 目录 一. 防火墙 二. IDS 三. IPS 四. VPN 五. 安全的网络架构设计 北邮• 信息安全中心• 崔宝江 防火墙分类 • 根据保护对象分为： 网络防火墙 主机防火墙 • 根据防范技术分为： 包过滤防火墙 应用层代理 全状态检测防火墙 地址翻译防火墙 北邮• 信息安全中心• 崔宝江 包过滤检查内容 •Source •Destination •Permit •Protocol 控制策略 •Host A •Host C •Pass •TCP •Host B •Host C •Block •UDP 查找对应的 控制策略 安全网域 根据策略决定如 何处理该数据包 Host C Host D 包 据 数 拆开数据包 数据包 数据包 数据包 包 据 数 •IP报 •TCP报 •数据 头 头 包 分组过滤判断信息 据 数 过滤依据主要是TCP/IP报头里面的 北邮• 信息安全中心• 崔宝江 信息，不能对应用层数据进行处理 包过滤检查内容 • 数据包过滤一般要检查网络层的IP头和传输层的 头： IP源地址 IP 目标地址 协议类型（TCP包、UDP包和ICMP包） TCP或UDP包的目的端口 TCP或UDP包的源端口 ICMP消息类型 TCP包头的ACK位 TCP包的序列号、IP校验和等 北邮• 信息安全中心• 崔宝江 包过滤防火墙 北邮• 信息安全中心• 崔宝江 包过滤防火墙优缺点 优点： 应用层 应用层 • 速度快，性能高 表示层