分布式网络安全研究及关键模块设计与实现.docVIP

东北大学 硕士学位论文 分布式网络安全研究及关键模块设计与实现 姓名:梁大功 申请学位级别:硕士 专业:计算机系统结构 指导教师:高福祥 的服务可自由地通过。即:没有明确禁止的行为都是允许的。 (2缺省拒绝策略 阻断所有进出于一个边界出入点的业务流(虽然一般情况下它们仅仅阻断入站,而不是出站的业务流,仅有指定的服务被允许通过防火墙。即:没有明确允许的行为都是禁止的。为保证最大安全,通常建议运行缺省拒绝模式。对于运行缺省允许策略防火墙来说,这可以提高网络的性能,但它的问题是当新的安全攻击出现时,防火墙管理员将不得不化费很多时间来应付攻击者,这将加大安全风险。 2.2.2传统防火墙技术分类 防火墙的主要作用是过滤出入内部网的包,以达到访问控制的目的。对包的过滤或屏蔽的方法主要有以下两种17】, 第一种方法是在出入口处设置包过滤器来过滤包,其示意图参见图2.2。包过滤器既可以用硬件实现,也可以用软件实现,一般工作在网络层。它根据一系列的过滤规则来做出是否允许IP协议包在网络问通过的判定。通信主机的IP连接依赖于一个唯一的源和目标IP地址。对于网络层防火墙来说,传输层端口号也是常常用到的。基于IP协议和端口号等属性,防火墙能够做出过滤的判定。包过滤器具有成本较低,比较灵活且对用户透明的优点。因此,它可以设置比较复杂的过滤策略。 图2.2包过滤不意图 Fig.2.2