防火墙产品配置模型9.pptVIP

Internet/ 公网 内部网 路由器 NEsec300 FW 2 0 3 5 9 6 8 ? 告 警 内网接口 外网接口 电 源 控制台 服务器 服务器 服务器 主机 主机 内外网络隔离 ? 截取IP包，根据安全策略控制其进/出 ? 双向网络地址转换（NAT） ? 基于一次性口令对移动访问进行身份识别和控制 ? IPMAC捆绑，防止IP地址的滥用 安全记录 ? 通信事件记录 ? 操作事件记录 ? 违规事件记录 ? 异常情况告警 移动用户 拨号用户 局域网用户 防火墙 （内部地址） （内部地址） 路由器 HTTP服务器 DNS服务器 Email服务器 防火墙 DMZ区 内部专用网络 Internet DDN PSTN ATM ISDN X.25 帧中继 防火墙管理器 外部网络 安装方式之一 防火墙 防火墙管理工作站 分支机构 受保护局域网 防火墙 防火墙 资源子网 路由器 路由器 路由器 分支机构 受保护局域网 公共网络 总部 路由器 路由器 安装方式之二 隔离内外网络通信 控制外部用户进入内部专网 限制内部用户出访 鉴别移动或异地办公用户的网络访问 支持内部网络主机和服务器采用私有地址，对外界隐藏内部网络拓扑 防止内部主机IP地址的滥用和误用 对来自外部、内部的网络违规和入侵行为进行检测和集中监控 系统安全审计对违规通信、安全事件进行实时报警和处置 统计网络通信流量，并根据策略进行流量控制 采用基于策略的方式对防火墙设备进行配置 产品应用功能 安全公理/定理/推理 公理：所有的程序都有缺陷（摩菲定理） 大程序定律：大程序的缺陷甚至比它包含的内容还多 推理：一个安全相关程序有安全性缺陷 定理：只要不运行这个程序，那么这个程序有缺陷，也无关紧要 推理：只要不运行这个程序，那么这个程序有安全性漏洞，也无关紧要 定理：对外暴露的计算机，应尽可能少地运行程序，且运行的程序也尽可能地小 推论：防火墙基本法则：防火墙必须配置得尽可能地小，才能降低风险。 防火墙配置策略的基本准则 一切未被允许的就是禁止的。 防火墙缺省封锁所有的信息流，然后对希望提供的服务逐项开放。 优点 : 实用,安全，可靠性高。 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 从头到尾的匹配方式 匹配成功马上停止 立刻使用该规则的”接受、禁止、拒绝……” 防火墙 网络地址转换 6 内部网络地址 192.168.0.x 外部网络/Internet地址 网络地址转换 Internet 0 1 内部网 / WWW Server E_Mail Server FTP Server 2 3/24 SFH02 FW Alarm 2 0 3 5 9 6 8 ? E1 E0 Power 防火墙 6/24 重定向（反向NAT） /24 /24 /24 88 00:88:CC:A0:2C:4D 88 88:88:88:88:88:88 PASS NO IP包 IP包 IP / MAC 地址对应