《第5章防火墙技术》.pptVIP

防火墙技术 ;　1 防火墙的定义 ;图 1　防火墙示意图 ;　防火墙的发展简史 ;图 2　防火墙技术的简单发展历史 ;　设置防火墙的目的和功能;　防火墙的局限性 ;　2 防火墙技术发展动态和趋势 ; 3 防火墙的体系结构;图 5 包过滤型防火墙 ;包过滤型防火墙具有以下优点。 （1）处理包的速度比代理服务器快，过滤路由器为用户提供了一种透明的服务，用户不用改变客户端程序或改变自己的行为。 （2）实现包过滤几乎不再需要费用（或极少的费用），因为这些特点都包含在标准的路由器软件中。 （3）包过滤路由器对用户和应用来讲是透明的。;包过滤型防火墙存在以下的缺点。 （1）防火墙的维护比较困难，定义数据包过滤器会比较复杂，因为网络管理员需要对各种Internet服务、包头格式以及每个域的意义有非常深入的理解，才能将过滤规则集尽量定义得完善。 （2）只能阻止一种类型的IP欺骗，即外部主机伪装内部主机的IP，对于外部主机伪装其他可信任的外部主机的IP却不可阻止。 （3）任何直接经过路由器的数据包都有被用做数据驱动攻击的潜在危险。 ;（4）一些包过滤网关不支持有效的用户认证。 （5）不可能提供有用的日志，或根本就不提供，这使用户发觉网络受攻击的难度加大，也就谈不上根据日志来进行网络的优化、完善以及追查责任。 （6）随着过滤器数目的增加，路由器的吞吐量会下降。 （7）IP包过滤器无法对网络上流动的信息提供全面的控制。 （8）允许外部网络直接连接到内部网络的主机上，易造成敏感数据的泄漏。;包过滤路由器常见的攻击有以下几种。 （1）源IP地址欺骗式攻击。 （2）源路由攻击。 （3）极小数据段式攻击。 ; 3.2 多宿主主机（多宿主网关）防火墙 多宿主主机拥有多个网络接口，每一个接口都连在物理上和逻辑上都分离的不同的网段上。每个不同的网络接口分别连接不同的子网，不同子网之间的相互访问实施不同的访问控制策略。 ;图 6 双宿主机防火墙; 双宿主主机防火墙采用主机取代路由器执行安全控制功能，故类似于包过滤防火墙，双宿主主机可以在内部网络和外部网络之间进行寻径。 双宿主主机防火墙的最大特点是IP层的通信被阻止，两个网络之间的通信可通过应用层数据共享或应用层代理服务来完成，而不能直接通信。 ;图 8 运行代理服务器的双宿主机; 3.3 屏蔽主机型防火墙 屏蔽主机型防火墙由堡垒主机和包过滤路由器组成，所有的外部主机与一个堡垒主机相连接而不让它们与内部主机直接相连。;图 10 被屏蔽主机结构 ;图 11 堡垒主机转发数据包 ; 3.4 屏蔽子网型防火墙; 3.5 堡垒主机 堡垒主机是一种被强化的可以防御进攻的计算机，是高度暴露于Internet中的，也是网络中最容易受到侵害的主机。 构筑堡垒主机的基本原则有以下两条。 （1）使堡垒主机尽可能简单 （2）做好备份工作以防堡垒主机受损;1．堡垒主机的主要结构 当前堡垒主机主要采用以下3种结构。 （1）无路由双宿主主机 （2）牺牲主机 （3）内部堡垒主机; 4 防火墙的主要技术;图 18 包过滤模型 ;包过滤一般要检查下面几项： （1）IP源地址； （2）IP目的地址； （3）协议类型（TCP包、UDP包和ICMP包）； （4）TCP或UDP的源端口； （5）TCP或UDP的目的端口； （6）ICMP消息类型； （7）TCP报头中的ACK位。 另外，TCP的序列号、确认号，IP校验以及分段偏移也往往是要检查的选项。 ;包过滤技术的优点 ① 帮助保护整个网络，减少暴露的风险； ② 对用户完全透明，不需要对客户端做任何改动，也不需要对用户做任何培训； ③ 很多路由器可以作数据包过滤，因此不需要专门添加设备。; 包过滤最明显的缺陷是即使是最基本的网络服务和协议，它也不能提供足够的安全保护，包过滤是不够安全的。 ① 包过滤规则难于配置。一旦配置，数据包过滤规则也难于检验。 ② 包过滤仅可以访问包头信息中的有限信息。 ③ 包过滤是无状态的，因为包过滤不能保持与传输相关的状态信息或与应用相关的状态信息。 ④ 包过滤对信息的处理能力非常有限。 ⑤ 一些协议不适合用数据包过滤，如基于RPC的应用的“r”命令等。; 4.2 代理技术 代理技术也称为应用层网关技术，代理技术与包过滤技术完全不同，包过滤技术是在网络层拦截所有的信息流，代理技术是针对每一个特定应用都有的一个程序。;1．应用级代理 应用级代理有两种情况，一种是内部网通过代理访问外部网。另一种情况是，外部网通过代理访问内部网。 代理使得网络管理员能够实现比包过滤路由器更严格的安全策略，它会对应用程序的数据进行校