第11章防火墙-精品·公开课件.ppt

主要内容 11.1 防火墙的原理 11.2 防火墙的分类 11.3 防火墙技术 11.4 防火墙的体系结构 11.5 防火墙的局限性 什么是防火墙 古代修筑在房屋之间的一道墙,用于防止火势蔓延 Rich Kosinski(Internet Security公司总裁）： 防火墙是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问。换句话说，防火墙是一道门槛，控制进/出两个方向的通信。 11.1 防火墙的原理 Willam Cheswick和 steven Beellovin：防火墙是位于两个（或多个）网络间，实施网间访问控制的一组组件的集合，它满足以下条件： 内部和外部之间的所有网络数据流必须经过防火墙； 有符合安全政策的数据流才能通过防火墙； 防火墙自身能抗攻击。 防火墙可以是在可信任网络和不可信任网络之间的一个缓冲系统，它可以是一台有访问控制策略的路由器，或者一台多个网络接口的计算机、也可以是安装在某台特定机器上的软件。它被配置成保护指定网络，使其免受来自于非信任网络区域的某些协议与服务的影响。 一个典型的防火墙使用形态 防火墙示意图 防火墙的概念是广义的 在逻辑上，防火墙是分离器，限制器，也是一个分析器，有效地监控了内部网和外部网之间的任何活动，保证了内部网络的安全。 在物理上，防火墙通常是一组硬件设备——路由器、主计算机，或者是路由器、计算机和配有软件的网络的组合。 防火墙一般可分为多个部分，某些部分除了执行防火墙功能外还执行其它功能。如：加密和解密——VPN。 防火墙的作用 确保一个单位内的网络与因特网的通信符合该单位的安全方针，为管理人员提供下列问题的答案: – 谁在使用网络 – 他们在网络上做什么 – 他们什么时间使用了网络 – 他们上网去了何处 – 谁要上网没有成功 防火墙的实施策略 一切未被禁止的就是允许的（Yes规则） 确定那些被认为是不安全的服务，禁止其访问；而其他服务则被认为是安全的，允许访问。 一切未被允许的就是禁止的（No规则） 确定所有可以被提供的服务以及它们的安全性，然后开放这些服务，并将所有其他未被列入的服务排除在外，禁止访问。 11.2 防火墙的分类 根据防火墙形式分类 根据实现原理分类 根据防火墙结构分类 按照防火墙应用部署分类 根据防火墙形式分类 软件防火墙 软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称“个人防火墙”。 硬件防火墙 基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。 由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。 芯片级防火墙 基于专门的硬件平台，速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统）,因此防火墙本身的漏洞比较少，不过价格相对比较高昂。 根据实现原理分类 包过滤(Packet Filtering)型 工作在OSI网络参考模型的网络层和传输层，根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许通过。 以色列的Checkpoint防火墙和Cisco公司的PIX防火墙为代表 应用代理(Application Proxy)型 工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。 以美国NAI公司的Gauntlet防火墙为代表。 根据防火墙结构分类 单一主机防火墙 最为传统的防火墙，独立于其它网络设备，位于网络边界。一般都集成了两个以上的以太网卡，连接一个以上的内、外部网络。 路由器集成式防火墙 在许多中、高档路由器中集成了防火墙功能。如Cisco IOS防火墙系列。但这种防火墙通常是较低级的包过滤型。这样企业就不用再同时购买路由器和防火墙 分布式防火墙 由多个软、硬件组成的系统。渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡 ，一块防火墙卡同时兼有网卡和防火墙的双重功能。这样一个防火墙系统就可以彻底保护内部网络。 按照防火墙应用部署分类 边界防火墙 位于内、外部网络的边界，所起的作用的对内、外部网络实施隔离，保护边界内部网络。一般都是硬件类型 个人防火墙 安装于单台主机中。应用于广大的个人用户，通常为软件防火墙，价格最便宜，在功能上有很大的