- 1、本文档共32页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
chap4-01-防火墙技术
学习目标主要内容 学习目标: 了解防火墙的基本概念,特性与局限性。 掌握包过滤防火墙和和代理防火墙的实现原理、技术特点和实现方式;熟悉防火墙的常见配置。 了解DMZ的概念 主要内容: 防火墙的概念 防火墙的特性 防火墙的分类 防火墙的体系结构 非军事区(DMZ)网络 防火墙的局限 防火墙的概念 防火墙是一个或一组实施访问控制策略的系统,在内部网络(专用网络)与外部网络(公用网络)之间形成一道安全保护屏障,以防止非法用户访问内部网络上的资源和非法向外传递内部消息,同时也防止这类非法和恶意的网络行为导致内部网络的运行遭到破坏。 防火墙的特性 从内到外和从外到内的所有通信流都要经过。为此,首先要防止对本地网的所有访问,只允许通过防火墙访问。 只允许本地安全策略授权的通信流经过。 防火墙本身对于渗透是免疫的。 防火墙的访问控制能力 服务控制,确定哪些服务可以被访问 方向控制,对于特定的服务,可以确定允许哪个方向能够通过防火墙 用户控制,根据用户来控制对服务的访问 行为控制,控制一个特定的服务的行为 防火墙的作用 确保一个单位内的网络与因特网的通信符合该单位的安全方针,为管理人员提供下列问题的答案: 谁在使用网络 他们在网络上做什么 他们什么时间使用了网络 他们上网去了何处 谁要上网没有成功 防火墙的分类 从防火墙的软、硬件形式来分的话,防火墙可以分为软件防火墙和硬件防火墙。 根据防火墙应用在网络中的层次不同进行划分,从总体来讲可分为:网络层防火墙、应用层防火墙。 网络层防火墙又称包过滤防火墙,数据包过滤技术是防火墙为系统提供安全保障的主要技术,其技术依据是网络中的分包传输技术。 应用层防火墙也称为应用层网关 数据包过滤技术——静态包过滤 根据流经该设备的数据包头信息,决定是否允许该数据包通过 创建包过滤规则 打算提供何种网络服务,并以何种方向提供这些服务? 需要限制任何内部主机与因特网连接的能力吗? 因特网上是否有可信任的主机,可以某种形式访问内部网络吗? 静态包过滤防火墙工作示意图 针对包过滤防火墙的攻击 IP地址欺骗,例如,假冒内部的IP地址 对策:在外部接口上禁止内部地址 源路由攻击,即由源指定路由 对策:禁止这样的选项 小碎片攻击,利用IP分片功能把TCP头部切分到不同的分片中 对策:丢弃分片太小的分片 利用复杂协议和管理员的配置失误进入防火墙 例如,利用ftp协议对内部进行探查 静态包过滤特点 包过滤防火墙的优点是逻辑简单,价格便宜,对网络性能的影响较小,有较强的透明性。并且它的工作与应用层无关,无须改动任何客户机和主机上的应用程序,易于安装和使用。 他的弱点是:配置基于包过滤方式的防火墙,需要对IP、TCP、UDP、ICMP等各种协议有深入的了解,否则容易出现因配置不当带来的问题;据以过滤判别的只有网络层和传输层的有限信息,因而各种安全要求不能得到充分满足;由于数据包的地址及端口号都在数据包的头部,不能彻底防止地址欺骗;允许外部客户和内部主机的直接连接;不提供用户的鉴别机制。 数据包过滤技术——动态包过滤 Check point一项称为“Stateful Inspection”的技术 防火墙跟踪客户端口,而不是打开全部高编号端口给外部访问,因而更安全。 状态检测防火墙建立连接状态表,记录外出的TCP连接及相应的高编号客户端口,以验证任何进入的通信是否合法。可动态生成/删除规则 目前的状态检测技术仅可用于TCP/IP网络。 分析高层协议 状态监测防火墙工作示意图 状态监测防火墙工作原理图 数据包在数据链路层和网络层操作系统核心中被检查 创建通信状态表保存每一连接状态内容 动态包过滤(状态检查防火墙)实例 动态包过滤特点 这种防火墙采用了一个在网关上执行网络安全策略的软件引擎,称之为监测模块。对网络通信的各层实施监测分析,提取相关的通信和状态信息,并在动态连接表中进行状态及上下文信息的存储和更新,这些表被持续更新,为下一个通信检查提供累积的数据。状态监视器的 另一个优点是:能够提供对基于无连接的协议(UDP)的应用(DNS、WAIS、etc)及基于端口动态分配的协议(RPC)的应用(如NFS、NIS)的安全支持,静态的包过滤和代理网关都不支持此类应用。 总之,这类防火墙减少了端口的开放时间,提供了对几乎所有服务的支持 缺点是它也允许外部客户和内部主机的直接连接;不提供用户的鉴别机制。 应用层网关(代理服务器) 代理服务器象一堵墙一样挡在内部网络和外部网络之间,扮演者一个消息传递着的角色,从外部只能看到该代理服务器而无法获知任何内部资源。 优点;比单一的包过滤防火墙可靠,且可以详细记录所有访问状态信息。 缺点:执行速度慢,在每次连接过程中有多余的处理开销,且安装代理服务器的操作系统本身
您可能关注的文档
- pep_五年级上册_期末总复习习题.doc
- 如何查询论文是否被EI.doc
- SPS 原理5.doc
- U形管式换热器.ppt
- “村比西棘荡,书记学钟佰均”集中培训周学习心得体会.doc
- 槐芽镇绿化美化设计方案.doc
- 1. 泊船瓜洲.ppt
- 七年级英语Go_for_it!下册句型和短语总结.doc
- 昆虫—人类未来的食物.ppt
- 1.4 常见的碱(第二课时).ppt
- 浙江省临海市白云高级中学2025届高三历史3月月考试题.doc
- 云南拾谷县第一中学2024_2025学年高二物理上学期10月月考试题.doc
- 2025版高考生物总复习第13讲基因的分离定律教案苏教版.doc
- 湖北省黄石实验高中2024_2025学年高一历史下学期期末考试模拟卷.doc
- 通史版2025版高考历史大一轮复习专题七近代化的曲折发展__中日甲午战争至五四运动前4第4讲从维新思想到新文化运动课后达标检测含解析新人教版.doc
- 2024年高考数学考试大纲解读专题04导数及其应用含解析文.doc
- 河南省许汝平九校联盟2024_2025学年高一语文上学期期末考试试题扫描版无答案.doc
- 江西省吉安市吉水县第二中学2024_2025学年高一历史上学期第二次月考试题.doc
- 北京市平谷区2025届高三政治一模考试试题含解析.doc
- 2025届中考物理第四讲物态变化专项复习测试无答案新人教版.docx
文档评论(0)