第6章：防火墙安全配置.pptVIP

6.1 防火墙介绍 防火墙的概念 防火墙是一种高级访问控制设备，是置于不同网络安全域之间的一系列部件的组合，是不同网络安全域间通信流的唯一通道，能根据企业有关安全政策控制(允许、拒绝、监视、记录)进出网络的访问行为。 6.1 防火墙介绍 防火墙的作用 控制和管理网络访问 保护网络和系统资源 数据流量的深度检测 身份验证 扮演中间人角色 记录和报告事件 6.1 防火墙介绍 防火墙的分类 按照操作对象 主机防火墙 网络防火墙 按照实现方式 软件防火墙 硬件防火墙 按照过滤和检测方式 包过滤防火墙 状态防火墙 应用网关防火墙 地址转换防火墙 透明防火墙 混合防火墙 6.1 防火墙介绍 防火墙的基本特性 内部网络和外部网络之间的所有网络数据流都必须经过防火墙 只有符合安全策略的数据流才能通过防火墙 防火墙自身应具有非常强的抗攻击免疫力 防火墙的代理服务 代理服务设备(可能是一台专属的硬件，或只是普通机器上的一套软件)也能像应用程序一样回应输入数据包(例如连接要求)，同时封锁其他的数据包，达到类似于防火墙的效果。 代理使得由外部网络窜改一个内部系统更加困难, 并且一个内部系统误用不一定会导致一个安全漏洞可开采从防火墙外面(只要应用代理剩下的原封和适当地被配置) 。 相反地, 入侵者也许劫持一个公开可及的系统和使用它作为代理人为他们自己的目的; 代理人然后伪装作为那个系统对其它内部机器。 当对内部地址空间的用途加强安全, 破坏狂仍然可以使用IP欺骗方法对目标网络进行攻击。 防火墙经常有网络地址转换(NAT) 的功能, 并且主机被保护在防火墙之后共同地使用所谓的“私人地址空间”。 6.1 防火墙介绍 防火墙的优点 防火墙能强化安全策略。 防火墙能有效地记录Internet上的活动。 防火墙能隐藏用户点。防火墙能够用来隔开网络中一个网段与另一个网段。这样，能够防止影响一个网段的问题通过整个网络传播。 防火墙是一个安全策略的检查站。所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。 6.1 防火墙介绍 防火墙的功能 网络安全的屏障 一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。 强化网络安全策略 通过以防火墙为中心的安全方案配置，能将所有安全软件配置在防火墙上。 监控网络存取和访问 如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。 防止内部信息的外泄 通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。 其他功能 除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。 6.1 防火墙介绍 防火墙的架构 通用CPU架构 通用CPU架构最常见的是基于Intel X86架构的防火墙，在百兆防火墙中Intel X86架构的硬件以其高灵活性和扩展性一直受到防火墙厂商的青睐；由于采用了PCI总线接口，Intel X86架构的硬件虽然理论上能达到2Gbps的吞吐量甚至更高，但是在实际应用中，尤其是在小包情况下，远远达不到标称性能，通用CPU的处理能力也很有限。 ASIC架构 ASIC（Application Specific Integrated Circuit，专用集成电路）技术是国外高端网络设备几年前广泛采用的技术。由于采用了硬件转发模式、多总线技术、数据层面与控制层面分离等技术， ASIC架构防火墙解决了带宽容量和性能不足的问题，稳定性也得到了很好的保证。 ASIC技术的性能优势主要体现在网络层转发上，而对于需要强大计算能力的应用层数据的处理则不占优势，而且面对频繁变异的应用安全问题，其灵活性和扩展性也难以满足要求。 网络处理器架构 由于网络处理器所使用的微码编写有一定技术难度，难以实现产品的最优性能，因此网络处理器架构的防火墙产品难以占有大量的市场份额。 6.1 防火墙介绍 防火墙的三种配置 双宿主机 双宿主机方式最简单。双宿主机网关放置在两个网络之间，这个双宿主机网关又称为堡垒主机。这种结构成本低，但是它有单点失败的问题。这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。 6.1 防火墙介绍 防火墙的三种配置 屏蔽主机 屏蔽主机方式中的屏蔽路由器为保护堡垒主机的安全建立了一道屏障。它将所有进入的信息先送往堡垒主机，并且只接受来自堡垒主机的数据作为出去的数据。这种结构依赖屏蔽路由器和堡垒主机，只要有一个失败，整个网络就暴露了。 6.1 防火墙介绍 防火墙的三种配置 屏蔽子网