第4章_防火墙技术.pptVIP

防火墙技术 目录 4.1 概述 4.2 防火墙的种类 4.3 防火墙的体系结构 4.4 防火墙部署 4.5 防火墙的功能 防火墙的提出 2、 防火墙示意图 3、 防火墙是什么 在一个受保护的企业内部网络与互联网间,用来强制执行企业安全策略的一个或一组系统. 5、 防火墙特点 6、 防火墙概念 最初含义：当房屋还处于木制结构的时侯，人们将石块堆砌在房屋周围用来防止火灾的发生。这种墙被称之为防火墙。 Rich Kosinski(Internet Security公司总裁）： 防火墙是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问。换句话说，防火墙是一道门槛，用来控制进/出两个方向的通信。 网络安全的第一道防线 7、 防火墙实现层次 8、 防火墙的基本功能模块 9、 防火墙的主要功能 10、 Internet防火墙的作用(1) (1). Internet防火墙允许网络管理员定义一个中心“扼制点”来防止非法用户，如黑客、网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。Internet防火墙能够简化安全管理，网络安全性是在防火墙系统上得到加固，而不是分布在内部网络的所有主机上。 (2). 在防火墙上可以很方便的监视网络的安全性，并产生报警。应该注意的是：对一个内部网络已经连接到Internet上的机构来说，重要的问题并不是网络是否会受到攻击，而是何时会受到攻击。网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。 10、Internet防火墙的作用(2) (3). Internet防火墙可以作为部署NAT(Network Address Translator，网络地址变换）的逻辑地址。因此防火墙可以用来缓解地址空间短缺的问题，并消除机构在变换ISP时带来的重新编址的麻烦。 (4). Internet防火墙是审计和记录Internet使用量的一个最佳地方。网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈的位置，并能够根据机构的核算模式提供部门级的记费。 (5). Internet防火墙也可以成为向客户发布信息的地点。Internet防火墙作为部署WWW服务器和FTP服务器的地点非常理想。还可以对防火墙进行配置，允许Internet访问上述服务，而禁止外部对受保护的内部网络上其它系统的访问。 11、 对防火墙的评价 防火墙不可以防范什么? 防火墙不是解决所有网络安全问题的万能药方，只是网络安全政策和策略中的一个组成部分。 防火墙不能防范绕过防火墙的攻击，例:内部提供拨号服务。 防火墙不能防范来自内部人员恶意的攻击。 防火墙不能阻止被病毒感染的程序或文件的传递 。 防火墙不能防止数据驱动式攻击。例:特洛伊木马。 防火墙不可以防范什么? 4.2 防火墙的种类 防火墙的存在形式：软件、硬件。 根据防范方式和侧重点的不同可分为： 4.2.1 包过滤防火墙 4.2.2 代理服务器 4.2.3 状态检测防火墙 4.2.1 包过滤防火墙 按地址 规则 方向 源地址 目标地址 动作 A 出 内部网络 拒绝 B 入 内部网络 拒绝 示例： 包过滤技术的一些实现 商业版防火墙产品 个人防火墙 路由器 Open Source Software – Ipfilter (FreeBSD、OpenBSD、Solaris，…) – Ipfw (FreeBSD) – Ipchains (Linux 2.0.x/2.2.x) – Iptables (Linux 2.4.x) 代理服务是运行在防火墙主机上的专门的应用程序或者服务器程序。不允许通信直接经过外部网和内部网。 将所有跨越防火墙的网络通信链路分为两段。 防火墙内外计算机系统间应用层的“ 链接”，由两个终止代理服务器上的“ 链接”来实现. 外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。 代理服务器示意图 应用层代理的优点 1. 应用层代理能够让网络管理员对服务进行全面的控制，因为代理应用限制了命令集并决定哪些内部主机可以被该服务访问。 2. 网络管理员可以完全控制提供那些服务，因为没有特定服务的代理就表示该服务不提供。 3. 防火墙可以被配置成唯一的可被外部看见的主机，这样可以保护内部主机免受外部主机的进攻。 4. 应用层代理有