计算机网络技术2016新版第11章网络管理与安全.pptVIP

高级认证机制 采用如智能卡、认证令牌和基于软件的机制等克服传统口令的缺陷。 产生的口令不能被监视一次连接的攻击者再使用 数据包过滤 过滤可基于源IP地址、目标IP地址、TCP/UDP源端口或目的端口 11.9 防火墙 应用网关：使用软件为服务转发及过滤连接 只允许那些有“代理”的服务通过 协议可能被过滤，如有些防火墙可以过滤FTP连接并拒绝FTP “put”命令的使用，这样就确保了匿名FTP服务器不被用户写入 11.9 防火墙 数据包过滤防火墙 可以决定对它所收到的每个数据包的取舍。 逐一审查每份数据包以及它是否与某个包过滤规则相匹配。 过滤规则以IP数据包中的信息为基础： IP源地址、IP目的地址、封装协议（TCP、UDP、ICMP等）、TCP/UDP源端口、TCP/UDP目的端口、ICMP报文类型、包输入接口和包输出接口等。 如果找到一个匹配，且规则允许该数据包通过，则该数据包根据路由表中的信息向前转发。 如果找到一个匹配，且规则拒绝此数据包，则该数据包将被舍弃 11.9 防火墙 - 类型 双宿网关防火墙 由一个带两块网络接口卡的主机系统组成，并使主机的IP转发功能禁用（即在缺省条件下主机不再为两个相连网络的数据包寻径） 完全阻塞Internet和被保护站点间的通信。服务和访问由网关上的“代理服务器”来提供，只有存在“代理”的服务才被允许