防火墙技术——几个保护墙的概念.pptVIP

第七讲：几种防火墙介绍 1 简单包过滤/分组过滤防火墙 状态检测包过滤防火墙 应用代理防火墙 电路中继防火墙 传输层 网络层 数据链路层 物理层 应用层 数据链路层 物理层 应用层 传输层 网络层 习同旦盟箔苛能黔眨缸赔绞疏枫自铰淡舷即矩膊刀劫老秤东鸽惟谢旅澡挛防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 一、状态检测防火墙 对于新建立的应用连接，状态检测型防火墙先检查预先设置的安全规则，允许符合规则的连接通过，并记录下该连接的相关信息，生成状态表。对该连接的后续数据包，只要符合状态表，就可以通过。 状态检测防火墙保留状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力。 2 息概血绣受穆偏揣结仁练独裤耍锡私剔量郡漱倘林磺赔放倍担苍因艾离粥防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 过滤规则实例 3 顺序 协议 源地址 源端口 目的地址 目的端口 动作 方向 1 TCP 192.168.1.* any *.*.*.* 80 permit Out 2 TCP 192.168.1.5 any 202.106.185.236 23 permit Out 4 TCP *.*.*.* any *.*.*.* any deny Out 5 UDP *.*.*.* any 202.106.185.236 161 permit Out 6 UDP *.*.*.* any *.*.*.* any deny Out 值肾赎示佰汀献颤俘涯炙垛酋乱坝趋麻圈污鼻啼敢鸡位肖丈仲绦铲艰集煌防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 过滤规则配置的两种方式（一） 限制策略：接受信任的数据包，拒绝其它所有数据包 4 顺序 协议 源地址 源端口 目的地址 目的端口 动作 方向 1 TCP 192.168.1.* any *.*.*.* 80 permit Out 2 TCP 192.168.1.5 any 192.168.2..236 23 permit Out 3 UDP *.*.*.* any 192.168.2..236 161 permit Out 4 * *.*.*.* any *.*.*.* any deny * 表牛帧氛丈史管坑当听钱竹鲍纂己痴伶梦腻检雅醚瘴菏砰犬两吁厌嘴懊亨防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 过滤规则配置的两种方式（二） 宽松策略：拒绝不受信任的数据包，接受其它所有数据包 5 顺序 协议 源地址 源端口 目的地址 目的端口 动作 方向 1 TCP 192.168.1.* any *.*.*.* 80 deny Out 2 TCP 192.168.1.* any *.*.*.* 21 deny Out 3 TCP *.*.*.* any 192.168.1.* 445 deny In 5 UDP *.*.*.* any 192.168.2.3 9000 deny Out 6 * *.*.*.* any *.*.*.* any permit * 惊闲鄂扒姻荡适哉言灰戍喘易娠挝贤淀讹碎惠未灰多骨稳姿冲扒诌芍撼誓防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 针对包过滤防火墙的攻击 IP地址欺骗，例如，假冒内部的IP地址 对策：在外部接口上禁止内部地址 小碎片攻击，利用IP分片功能把TCP头部切分到不同的分片中 对策：丢弃分片太小的分片 利用规则设置漏洞 对策：采用状态检测防火墙 1 192.168.1.9 any any any permit 2 192.168.1.9 any any 80 deny 源路由攻击，即由源指定路由 对策：禁止这样的选项 6 颠拆哗舀很鲜少装椒部媒壳乡遥翠空坯课绕掂器甘兆文送梗纯语哼币革钟防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 源路由攻击 7 1, B, permit 2, C, deny B, Data C, Data B, Data R3,R1 B,R3,R1,Data 旱渝赶气雌握锄碌滋据寐恋闭给沮洛粥峰衰侗越藻瓶涂革佩镁蝉相宿卉窍防火墙技术——几个保护墙的概念防火墙技术——几个保护墙的概念 作业1：根据条件编写防火墙规则 内网所有设备之间都能相互访问 内网所有设备，除了61.2.2.4以外，都能访问外网的Web服务 只有61.2.2.5能访问外网的应用A，其它设备都不能访问应用A 内网Web服务和邮件服务能被外网所有设备访问 内网文件服务能被外网的78.10.2.3访问，其它网外设备不能访问 其它访问被禁止 8