网络信息对抗资源-肖军模 课件10 第6-2节 路由器.pptVIP

第6.2节 路由器 主要内容 安全策略与安全网络设计 路由器 防火墙 虚拟专用网（VPN） 蜜罐技术 入侵检测 snort系统介绍 路由器 路由器的包过滤功能 路由器访问表原理与配置 安全路由器原理 6.2 路由器 一般人认为，路由器主要任务是完成对网络中分组传输的路由进行控制，其实不然，现在网络中运行的路由器都具有报文过滤功能，简称包过滤。如果能够合理和充分地利用好路由器的这一功能，可以显著提高计算机网络的安全。因此，路由器事实上成为一个组织的网络边界最外层的防御关口，其安全作用是十分明显的。 6.2.1 路由器的包过滤功能 基于协议类型、某一特殊协议类型的源地址和目的地址字段以及作为协议部分的控制字段作为数据包取舍规则的路由器称为过滤路由器（Screening Router）。过滤路由器可以控制在任何网络段的网络流量类型和网络服务方式，对不符合网络安全规则的那些数据包和服务则加以丢掉或被严格限制。 基于协议特定的标准，过滤路由器在其端口能够区分包和限制包的能力称为包过滤（Packet Filtering），所以过滤路由器也称为包过滤路由器（Packet Filter Router）。例如，基于TCP/IP协议的过滤路由器可以基于如下项进行包过滤：源端口、目的端口和TCP标志（如SYN和ACK标志）。 过滤路由器主要工作在OSI模型的网络层和传输层，它也能够工作在数据连路层和物理层，这是因为大多数过滤系统都可以应用于接口类型和使用的网络介质，甚至MAC地址本身。 一、 包过滤路由器的操作方式与过滤规则 在实现包过滤时，大多数情况下要使用路由器将两个网络连接在一起。路由器通常由软件根据源或目的端口或者地址决定包的取舍。实际实施过滤规则时，既可以对发来包，也可以对发出的包或者两者都进行过滤。所定义的一系列过滤规则存放在一个文件中，而路由器就是根据文件中的这些规则决定数据包的取舍。 1、包过滤路由器操作方式 包过滤路由器按如下的方式完成包过滤过程： (1) 在包过滤设备端口设置包过滤标准，即包过滤规则； (2) 当数据包到达包过滤路由器的端口时，包过滤路由器对其报头进行语法分析； (3) 包过滤规则以特定方式存储。应用于数据包的规则与包过滤器规则存储的顺序相 同； (4) 如果一条规则阻止数据包传输或接收，此数据包便被禁止； (5) 如果一条规则允许数据包传输或接收，该数据包可以被继续处理； (6) 如果一个数据包不满足任何一条规则，该数据包被丢掉。 注意：将过滤规则以正确的顺序放置极为重要！如果包过滤规则以错误的顺序放置，则有效的服务可能被拒绝，而该拒绝的服务却被允许了 2、包过滤规则 表5-1是包过滤规则的示例。在该例子中，路由器根据第一条规则拒绝所有来自bad.host主机的数据包；而根据第二条规则允许our.host主机向外（任何目的主机）发送电子邮件。这里会出现一个有趣的问题：对于规则中没有描述的那些流量应该如何处理呢？路由器是应该接收呢还是应该丢弃呢？显然，最安全的是应丢弃所有那些在规则中没有规定的数据包。 表5-1 包过滤规则举例1 表5-2 包过滤规则举例2 在这种情况下，来自bad.host的所有数据包，除了来自它的25号端口到our.host的25号端口的电子邮件以外，都被拒绝接收。这在过滤规则中的第一条和第三条中体现。除此以外，所有到our.host的21号端口的FTP访问都被拒绝。这在第四条中体现出。系统管理员通常整个拒绝某类访问，因为这类访问从安全角度看来太危险了。例如，tftp、sunrpcr、login和rexec等。 二、 包过滤路由器的特点 1、包过滤器的优点 过滤路由器使用的包过滤技术提供了一个有效而通用的方法来控制网络流量，它是一个有效防止非法用户访问网络的办法之一。该技术的优点体现在以下几点上： (1) 不要求用户机器和主应用程序作出修改，因为过滤操作是在TCP/IP层次上，而TCP层和IP层与应用层问题没有相关。这使得这些安全策略不会对用户产生障碍。 (2) 因为过滤操作仅仅是对发送过来的数据包的IP源地址、端口号和协议等头部信息进行草草地检查，所以其工作速度很快。 (3) 过滤路由器的实现比较简单。首先应根据系统的安全策略要求，列出过滤路由器所允许和禁止通过的各种任务。例如，可以允许或者禁止像FTP、TELNET、RIP等应用协议数据包的如果；可以允许或者禁止来自某个范围源地址的数据包的通过等等。 (4) 利用商用过滤路由器本身提供的语法规则，可以将按用户要求的不同而将各种不同过滤任务重新设置，经过编译、调试正确后再应用于网络上。 2、包过滤器的缺点 过滤路由器虽然具有简单、工作对用户完全透明等优