DC050002 Eudemon防火墙基础ISSUE1.0.0.pptVIP

Eudemon防火墙基础 参考资料 什么叫防火墙 防火墙技术发展介绍－防火墙的分类 按照防火墙实现的方式，一般把防火墙分为如下几类： 包过滤防火墙(Packet Filtering) 代理型防火墙（application gateway） 状态检测防火墙 包过滤防火墙（Packet Filtering） 包过滤技术介绍 代理型防火墙（Application Gateway） 包过滤防火墙的困难 ACL静态配置，对于多通道的应用层协议，部分安全策略配置无法预知 例如文件传输协议FTP，初始连接为控制通道连接：这个连接通道用于FTP的命令和应答。控制连接遵循telnet协议建立连接。控制命令中包含了用于打开数据通道连接的命令。 数据连接通道：这个连接通道用于传输数据。文件仅通过数据通道在任意的方向上传输。数据通道连接由控制通道控制，数据通道无需在整个传输过程中出现，当控制通道连接关闭时，数据通道连接将自动关闭。 传统的包过滤防火墙只能预知控制通道的连接，而数据通道为动态协商，预先无法知晓，因此也无法制定安全策略。 无法检测某些来自于应用层的攻击行为(TCP SYN, Java applet) 状态检测防火墙 状态检测防火墙工作原理（单通道协议） 状态检测防火墙工作原理（多通道协议） 防火墙在安全体系中的作用 防火墙的功能 防火墙的局限性 防火墙主要规格介绍－性能衡量指标 Eudemon 系列设备 Eudemon设备性能介绍 防火墙基本概念——安全区域（Zone） 防火墙的内部划分为多个区域，所有的转发接口都唯一的属于某个区域 防火墙基本概念——安全区域（Zone）续 防火墙基本概念——安全区域（Zone）配置 防火墙基本概念－－域间（InterZone） 防火墙基本概念－－域间（InterZone配置） # 在Trust和Untrust区域间出方向（上图中箭头3所示）上应用安全策略（例如ACL3101规则）。 [Eudemon] firewall interzone untrust trust [Eudemon-interzone-trust-untrust] packet-filter 3101 outbound 注：在防火墙上包过滤规则，Nat outbound等只能配置在域间 ASPF技术 防火墙基本概念－－会话（Session） 防火墙基本概念－－会话（Session）相关命令 防火墙基本概念－－服务表项（ServerMap） 防火墙基本概念－－服务表项（ServerMap） 相关命令 查看ServerMap表项： [Eudemon] display firewall servermap 删除ServerMap表项（注：防火墙上没有单独的删除命令，在执行删除会话表的时候同时删除ServerMap表项）： Eudemon reset firewall session table 防火墙基本概念－－多通道协议 ASPF基本工作原理 主要技术 检测每一个应用层的会话，并创建一个状态表和一个临时访问控制表。一个会话可以认为是一个TCP连接。 状态表项维护了一次会话中某一时刻会话所处的状态，用于匹配后续的发送报文，并检测会话状态的转换是否正确。状态表在检测到第一个外发报文时创建（对于TCP，检测到SYN报文）。 临时访问控制表项在创建状态表项的时候同时创建，会话结束后删除，相当于一个扩展ACL的permit项。它用于匹配一个会话中的所有应答报文。 对于处于半开连接状态的会话（TCP SYN），还创建半开连接表项。 ASPF基本工作原理－－单通道协议 基于应用层连接状态的动态包过滤 ASPF基本工作原理－－单通道协议 单通道协议处理 标准的TCP应用：例如SMTP，HTTP。 C --------SYN------- S 创建Session/TACL C ------SYN/ACK----- S . C --------ACK------- S . ............ 更新Session/匹配TACL ............ 检测应用层状态转换 ............ . C -------FIN------ S . C -----FIN/ACK---- S 删除Session/TACL 对于UDP应用：检测到第一个报文认为发起连接，检测到第一个返回报文认为连接建立,Session/TACL的删除取决于空闲超时。