第二节第三节防火墙的体系结构防火墙的创建.docx

百度文库 百度文库 PAGE PAGE # 防火墙的体系结构 2、防火墙的体系结构 屏蔽路由器 双重宿主主机体系结构 屏蔽主机体系结构 屏蔽子网体系结构 其它的防火墙结构 屏蔽路由器 屏蔽路由器(Screening Router ) 这是防火墙最基本的构件。 它可以由厂家专门生产的路由器实现， 也可以用主机来实现。 屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。 路由器上可以装基于IP层的报文过滤软件，实现报文过滤功能。许多路由器本身带有报文 过滤配置选项，但一般比较简单。 单纯由屏蔽路由器构成的防火墙的危险带包括路由器本身及路由器允许访问 的主机。它的缺点是一旦被攻陷后很难发现，而且不能识别不同的用户。 双重宿主主机体系结构(Dual Homed) 双重宿主主机至少有两个网络接口， 它位于内部网络和外部网络之间， 这样的主机 可以充当与这些接口相连的网络之间的路由器，它能从一个网络接收 IP数据包并将之发往 另一网络。然而实现双重宿主主机的防火墙体系结构禁止这种发送功能， 完全阻止了内外网 络之间的IP通信。 两个网络之间的通信可通过用户直接登录和应用层代理服务的方法实现。 用户直接 登录需要用户先登入双重宿主主机， 在以此为起点访问外部服务， 因用户帐号易被攻破， 所 以不推荐使用。一般情况下采用代理服务的方法。 双重宿主主机体系结构(Dual Homed) Internet —— 柄 部网络 一I——I 1 3 1 1 I asm? ■ ? ■ 双重宿主主机的特性与缺点 用户口令控制安全是关键； 必须支持很多用户的访问(中转站)，其性能非常重要。 缺点：双重宿主主机是隔开内外网络的唯一屏障， 一旦它被入侵，内部网络便向入侵者 敞开大门。 屏蔽主机体系结构 屏蔽主机体系结构(Scree ned Host ) 屏蔽主机体系结构由防火墙和内部网络的堡垒主机承担安全 责任； 典型构成：包过滤路由器+堡垒主机。 包过滤路由器配置在内部网和外部网之间， 保证外部系统对内部网络的操作只能经 过堡垒主机； 堡垒主机配置在内部网络上， 是外部网络主机连接到内部网络主机的桥梁， 它需要 拥有高等级的安全。 优点： 安全性更高，双重保护：实现了网络层安全（包过滤）和应用层安全（代理服务）。 缺点：过滤路由器能否正确配置是安全与否的关键。 如果路由器被损害，堡垒主机 将被穿过，整个网络对侵袭者是开放的。 屏蔽主机体系结构 Internet 内部网塔 B 團… H !■ W S 尸 屏蔽子网体系结构 本质上与屏蔽主机体系结构一样， 但添加了额外的一层保护体系——周边网络。 堡垒主 机位于周边网络上，周边网络和内部网络被内部路由器分开。 堡垒主机是用户网络上最容易受侵袭的机器。 通过在周边网络上隔离堡垒主机， 能 减少在堡垒主机被侵入的影响。 屏蔽子网体系结构 Internet 一个堡垒主机和一个非军事区 Internet 两个堡垒王机和两个非军事区 ⑵ 俪河』 周边网涪（DH2） 其它的防火墙结构 nnoc ocfjopo 夕口 d□口 gg8 DMZ 3E AAU 3E AAU ■- IP和MAC地址绑定 丨Eg Lifil L2 Tis Q 諮S3~ ：1*齬 J j BIS i 妙 i^L l. 4 Tc Avfi C L , f同.t,3 1W. SMil.i 】如.f IW 5 NAT地址转换 吕坦址；202.102.93 .M 202 102 OJ .M ItaErrilrl ⑹丄m_2 Host C Hc^t D IO2JC8.L.25 zifio： 101 ?] I.S3 隐藏了内部网络的结构 内部网络可以使用私有 IP地址 公开地址不足的网络可以使用这种方式提供 IP复用功 反向地址映射 ??杷|3★卫—fcht 防火墙划分VLAN Vlanl Vlan2 Vlan3 业务部 技术部 销售部 小结 小结 防火墙是使用最广泛的网络安全工具， 是网络安全的第一道防线， 用以防止外部网 络的未授权访问； 防火墙具有副作用，使内部网络与外部网络的信息系统交流受到阻碍， 增大了网络 管理开销，而且减慢了信息传递速率； 防火墙不是解决网络安全问题的万能药方， 它只是网络安全政策和策略的一个组成 部分。