第十二章防火墙技术forstudent.ppt

第三部分 安全技术与产品 第十二章 防火墙技术 防火墙应满足的条件 内部和外部之间的所有网络数据流必须经过防火墙； 只有符合安全策略的数据流才能通过防火墙； 防火墙自身具有高可靠性，应对渗透(penetration)免疫。 防火墙的功能 隔离不同网络，限制安全问题扩散。它作为一个中心“遏制点”，将局域网的安全管理集中起来，简化了安全管理。 有效地记录网络上的活动，可以实现审计和报警 提供了一些附加功能，比如网络地址转换等 防火墙也可以作为IPSec的平台。 防火墙的不足之处 不能对绕过防火墙的攻击提供保护 不能防范内部的攻击 不能对病毒感染的程序和文件的传输提供保护 不能防范全新的威胁 当使用端加密时其作用会受到很大的限制 对用户不完全透明，可能带来传输延迟、瓶颈及单点失效。 类型 分组过滤路由器 应用级网关 电路级网关 防火墙的体系结构 双宿/ 多宿主机模式(dual-homed/ multi-homed) 屏蔽主机（screened host）模式 屏蔽子网（screened subnet）模式 防火墙的基本技术与附加功能 基本技术 包过滤技术：静态包过滤和动态包过滤 代理服务技术 附加功能 审计和报警机制 NAT VPN等 动态包过滤 Check point 一项称为“Stateful Inspection” 的技术 可动态生成/ 删除规则 分析高层协议 网络地址翻译 (NAT) 目的 解决IP 地址空间不足问题 向外界隐藏内部网结构 方式 M- 1 多个内部网地址翻译到1 个IP 地址 1- 1 简单的地址翻译 M- N 多个内部网地址翻译到N 个IP 地址池 其他附加功能 路由安全管理 远程管理 流量控制（带宽管理）和统计分析 流量计费 URL级信息过滤 扫毒 … * 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY “PORT 5151” ? ? “OK” ? DATA CHANNEL ? TCP ACK FTP Client FTP Server 20 Data 21 Command 5150 5151 ? Client opens command channel to server; tells server second port number. ? Server acknowleges. ? Server opens data channel to client’s second port. ? Client Acknowledges. FTP 研究生课程 研究生课程 NiEC FUDAN UNIVERSITY 研究生课程 NiEC FUDAN UNIVERSITY