网络安全(第二章).ppt

网 络 安 全 主 讲：马 进 2006年6月22日 第二讲 第二章 防火墙技术 TCP/IP基础 TCP/IP协议历史 TCP/IP起源于20世纪70年代中期，ARPA资助网间网技术的研究开发，并于1977～1979年间推出了与目前形式一样的TCP/IP体系结构和协议规范； 1980年前后， TCP/IP应用在ARPANET上； 1983年加州Berkeley大学推出了内含TCP/IP的BSD NUIX； 1985年NSF采用TCP/IP建设NSFNET； TCP/IP成为20世纪90年代因特网的主要协议。 基本概念 TCP/IP协议栈以及与OSI结构的对应关系（P8 图1-6） IP：网际协议 IP协议指定了计算机之间传送信息的方式，本质上定义了Internet中每台计算机使用的通用“语言”。 IPv4，IP协议的第四个版本，从1982年起用于Internet，现在仍广泛使用。 在Internet中，数据以字符块的形式被发送，称之为数据报（datagram），或更通俗地称之为包（package）。 基本概念 Internet地址：计算机在IPv4网络中拥有的每一个接口都被唯一地赋予一个32位地址。这些地址通常被表述为四组八位数。例如：。 地址分类：A～E类地址；子网划分 IPv4数据报格式（P17） TCP数据包格式（P23） UDP数据包格式（P26） TCP的三次握手过程（P25 图1-14） 包与协议 ICMP（Internet Control Message Protocol）——Internet控制报文协议。 通过IP层收发ICMP报文，用于报告在传输报文的过程中发生的各种情况。它包括很多子类型（P19 表1-3）。 例如：Ping命令使用ICMP的Echo包测试网络连接；对该包的响应通常是一个“ICMP Echo应答”或者“ICMP目标不可达”消息类型。 TCP（Transmission Control Protocol）——传输控制协议。 该协议用于创建两台计算机之间的双向数据流连接。它是“有连接”的协议，包含了超时和重发机制，以实现信息的可靠传输。 包与协议 UDP（User Datagram Protocol）——用户数据报协议。 该协议用于主机向主机发送数据报，它是无连接的。 IGMP（Internet Group Management Protocol）——Internet组管理协议。 该协议用于控制多播（或称为组播）——有目的地直接向一台或多台主机发送包的过程。 TCP和UDP常用端口 防火墙概述 什么是防火墙 什么是防火墙 什么是防火墙 防火墙可在链路层、网络层和应用层上实现； 其功能的本质特征是隔离内外网络和对进出信息流实施访问控制。隔离方法可以是基于物理的，也可以是基于逻辑的； 从网络防御体系上看，防火墙是一种被动防御的保护装置 。 防火墙的功能 ① 网络安全的屏障； ② 过滤不安全的服务；（两层含义） 内部提供的不安全服务和内部访问外部的不安全服务 ③ 阻断特定的网络攻击；（联动技术的产生） ④ 部署NAT机制； ⑤ 提供了监视局域网安全和预警的方便端点。 提供包括安全和统计数据在内的审计数据，好的防火墙还能灵活设置各种报警方式。 防火墙的分类 1.个人防火墙 是在操作系统上运行的软件，可为个人计算机提供简单的防火墙功能； 大家常用的个人防火墙有：Norton Personal Firewall、天网个人防火墙、瑞星个人防火墙等； 安装在个人PC上，而不是放置在网络边界，因此，个人防火墙关心的不是一个网络到另外一个网络的安全，而是单个主机和与之相连接的主机或网络之间的安全。 防火墙的分类 2.软件防火墙 个人防火墙也是一种纯软件防火墙，但其应用范围较小，且只支持Windows系统，功能相对来说要弱很多，并且安全性和并发连接处理能力较差； 作为网络防火墙的软件防火墙具有比个人防火墙更强的控制功能和更高的性能。不仅支持Windows系统，并且多数都支持Unix或Linux系统。如十分著名的Check Point FireWall-1，Microsoft ISA Server 2000等 。 防火墙的分类 3.一般硬件防火墙 不等同于采用专用芯片的纯硬件防火墙，但和纯软件防火墙有很大差异 ； 一般由小型的防火墙厂商开发，或者是大型厂商开发的中低端产品，应用于中小型企业，功能比较全，但性能一般； 一般都采用PC架构（就是一台嵌入式主机），但使用的各个配件都量身定制 。 防火墙的分类 其操作系统一般都采用经过精简和修改过内核的Linux或Unix，安全性比使用通用操作系统的纯软件防火墙要好很多，并且不会在上面运行不必要的服务