防火墙概述教材_课件.pptVIP

第3章 防火墙概述;3.1防火墙的概念及作用;防火墙逻辑位置示意图 :;防火墙（FireWall）的定义: ;3.2 防火墙的分类与技术;防火的墙技术 ：;1、包过滤技术 ;2、 应用代理技术 ;3.状态监视技术：;3.3防火墙的功能;支持的最大LAN接口数：指防火墙所支持的局域网络接口数目，也是其能够保护的不同内网数目。 服务器平台：防火墙所运行的操作系统平台（如Linux、UNIX、WinNT、专用安全操作系统等）。 协议支持 支持的非IP协议：除支持IP协议之外，又支持AppleTalk、DECnet、IPX及NETBEUI等协议。 建立VPN通道的协议：构建VPN通道所使用的协议，如密钥分配等，主要分为IPSec，PPTP、专用协议等。 可以在VPN中使用的协议：在VPN中使用的协议，一般是指TCP/IP协议。 加密支持;支持的VPN加密标准：VPN中支持的加密算法,?例如数据加密标准DES、3DES、RC4以及国内专用的加密算法。 除了VPN之外，加密的其他用途：?加密除用于保护传输数据以外，还应用于其他领域，如身份认证、报文完整性认证，密钥分配等。 提供基于硬件的加密：?是否提供硬件加密方法，硬件加密可以提供更快的加密速度和更高的加密强度。 认证支持 支持的认证类型：?是指防火墙支持的身份认证协议，一般情况下具有一个或多个认证方案，如RADIUS、Kerberos、TACACS/TACACS＋、?口令方式、数字证书等。防火墙能够为本地或远程用户提供经过认证与授权的对网络资源的访问，防火墙管理员必须决定客户以何种方式通过认证。 列出支持的认证标准和CA互操作性：厂商可以选择自己的认证方案，但应符合相应的国际标准，该项指所支持的标准认证协议，以及实现的认证协议是否与其他CA产品兼容互通。 支持数字证书：是否支持数字证书。 访问控制 通过防火墙的包内容设置：包过滤防火墙的过滤规则集由若干条规则组成，它应涵盖对所有出入防火墙的数据包的处理方法，对于没有明确定义的数据包，应该有一个缺省处理方法；过滤规则应易于理解，易于编辑修改；同时应具备一致性检测机制，防止冲突。IP包过滤的依据主要是根据IP包头部信息如源地址和目的地址进行过滤，如果IP头中的协议字段表明封装协议为ICMP、TCP或UDP，那么再根据ICMP头信息（类型和代码值）、TCP头信息（源端口和目的端口）或UDP头信息（源端口和目的端口）执行过滤，其他的还有MAC地址过滤。应用层协议过滤要求主要包括FTP过滤、基于RPC的应用服务过滤、基于UDP的应用服务过滤要求以及动态包过滤技术等。;在应用层提供代理支持：指防火墙是否支持应用层代理，如HTTP、FTP、TELNET、SNMP等。代理服务在确认客户端连接请求有效后接管连接，代为向服务器发出连接请求，代理服务器应根据服务器的应答，决定如何响应客户端请求，代理服务进程应当连接两个连接（客户端与代理服务进程间的连接、代理服务进程与服务器端的连接）。为确认连接的唯一性与时效性，代理进程应当维护代理连接表或相关数据库（最小字段集合），为提供认证和授权，代理进程应当维护一个扩展字段集合。在传输层提供代理支持：指防火墙是否支持传输层代理服务。 允许FTP命令防止某些类型文件通过防火墙：指是否支持FTP文件类型过滤。 用户操作的代理类型：应用层高级代理功能，如HTTP、POP3。 支持网络地址转换(NAT)：NAT指将一个IP地址域映射到另一个IP地址域，从而为终端主机提供透明路由的方法。NAT常用于私有地址域与公有地址域的转换以解决IP地址匮乏问题。在防火墙上实现NAT后，可以隐藏受保护网络的内部结构，在一定程度上提高了网络的安全性。 支持硬件口令、智能卡：?是否支持硬件口令、智能卡等，这是一种比较安全的身份认证技术。;防御功能 支持病毒扫描：?是否支持防病毒功能，如扫描电子邮件附件中的DOC和ZIP文件，FTP中的下载或上载文件内容，以发现其中包含的危险信息。 提供内容过滤：?是否支持内容过滤，信息内容过滤指防火墙在HTTP、FTP、SMTP等协议层，根据过滤条件，对信息流进行控制，防火墙控制的结果是：允许通过、修改后允许通过、禁止通过、记录日志、报警等。?过滤内容主要指URL、HTTP携带的信息：Java Applet、 javascript、ActiveX和电子邮件中的Subject、To、From域等。 能防御的DoS攻击类型：拒绝服务攻击(DoS)就是攻击者过多地占用共享资源，导致服务器超载或系统资源耗尽，而使其他用户无法享有服务或没有资源可用。防火墙通过控制、检测与报警等机制，可在一定程度上防止或减轻DoS黑客攻击。 阻止ActiveX、Java、Cookies、javascript侵入：属于HTT