网络安全10-防火墙技术.pptVIP

网络安全 罗 敏 武汉大学计算机学院 第9章 访问控制技术 重点回顾 访问控制技术概述 入网认证 物理隔离措施 自主访问控制 强制访问控制 新型访问控制技术 第10章 防火墙技术 本章详细介绍防火墙技术，包括防火墙分类、体系结构，讲解如何根据实际的网络需求构建防火墙，最后介绍了两种典型防火墙产品的使用方法。 第10章 防火墙技术 10.1 防火墙技术概述 10.2 防火墙的结构 10.3 构建防火墙 10.4 防火墙产品 10.1 防火墙技术概述 在网络中防火墙主要用于逻辑隔离外部网络与受保护的内部网络 10.1 防火墙技术概述 防火墙技术属于典型的静态安全技术，该类技术用于逻辑隔离内部网络与外部网络 通过数据包过滤与应用层代理等方法实现内外网络之间信息的受控传递，从而达到保护内部网络的目的 10.1 防火墙技术概述 经典安全模型 防火墙规则 匹配条件 防火墙分类 10.1 防火墙技术概述 经典安全模型 10.1 防火墙技术概述 防火墙规则 防火墙的基本原理是对内部网络与外部网络之间的信息流传递进行控制 控制的功能是通过在防火墙中预先设定一定的安全规则（也称为安全策略）实现的 10.1 防火墙技术概述 防火墙规则 防火墙的安全规则由匹配条件与处理方式两个部分共同构成 其中匹配条件是一些逻辑表达式，根据信息中的特定值域可以计算出逻辑表达式的值为真（True）或假（False） 如果信息使匹配条件的逻辑表达式为真，则说明该信息与当前规则匹配 10.1 防火墙技术概述 防火墙规则 信息一旦与规则匹配，就必须采用规则中的处理方式进行处理 处理方式主要包括 Accept：允许数据包或信息通过 Reject：拒绝数据包或信息通过，并且通知信息源该信息被禁止 Drop：直接将数据包或信息丢弃，并且不通知信息源 10.1 防火墙技术概述 防火墙规则 基本原则 “默认拒绝”原则 “默认允许”原则 现有的防火墙产品大多基于第一种规则 10.1 防火墙技术概述 匹配条件 网络层 IP源地址、IP目的地址、协议 传输层 源端口 、目的端口 应用层 根据各种具体应用而定 基于信息流向的匹配条件 向内、向外 10.1 防火墙技术概述 防火墙分类 按防范领域分类 个人防火墙 禁止Internet文件共享 、隐藏端口 、过滤IP信息流 、控制Internet应用程序 、警告和日志 、漏洞检查 网络防火墙 对网络数据流进行分析，并按照规则进行过滤。 10.1 防火墙技术概述 防火墙分类 按实现的方式分类 软件防火墙 硬件防火墙 10.1 防火墙技术概述 防火墙分类 按实现技术分类 数据包过滤 在系统进行IP数据包转发时设置访问控制列表，访问控制列表主要由各种规则组成。 数据包过滤的规则主要采用网络层与传输层匹配条件 应用层代理 应用层代理是指运行在防火墙主机上的特殊应用程序或者服务器程序 这些程序根据安全策略接受用户对网络的请求，并在用户访问应用信息时依据预先设定的应用协议安全规则进行信息过滤 10.1 防火墙技术概述 应用层代理示意图 10.1 防火墙技术概述 技术方案对比 数据包过滤 服务无关、对用户透明 过滤规则复杂 、正确性难以检测、容易形成瓶颈 应用层代理 内网安全性较高 、Cache机制可以提高信息访问效率、支持用户认证 、支持基于内容的信息过滤 必须对每种应用提供代理服务和代理客户端、实时性差 10.2 防火墙的结构 经典防火墙体系结构 双重宿主主机体系结构 被屏蔽主机体系结构 被屏蔽子网体系结构 10.2 防火墙的结构 双重宿主主机体系结构 10.2 防火墙的结构 被屏蔽主机体系结构 10.2 防火墙的结构 被屏蔽子网体系结构 10.2 防火墙的结构 其他体系结构 合并内部和外部路由器 合并堡垒主机和外部路由器 合并堡垒主机和内部路由器 多台内部路由器 多台外部路由器 多个周边网络 10.2 防火墙的结构 其他体系结构 合并内部和外部路由器 10.2 防火墙的结构 其他体系结构 合并堡垒主机和外部路由器 10.2 防火墙的结构 其他体系结构 合并堡垒主机和内部路由器 10.2 防火墙的结构 其他体系结构 多台内部路由器 10.2 防火墙的结构 其他体系结构 多台外部路由器 10.2 防火墙的结构 其他体系结构 多个周边网络 10.3 构建防火墙 选择防火墙体系结构 安装外部路由器 安装内部路由器 安装堡垒主机 设置数据包过滤规则 设置代理系统 检查防火墙运行效果 10.3 构建防火墙 选择防火墙体系结构 小型网络 中型网络 大型网络 10.3 构建防火墙 选择防火墙体系结构 小型网络 透明代理 10.3 构建防火墙 选择防