防火墙技技术详解.pptVIP

北京天和科瑞咨有限公司 仓作快锤 防火墙技术详解 北京天和利瑞咨询有限公司 北京邮电大学移动互联网与信息化实验室 2011年6月  防火墙技术详解 1.1防火墙简介 1.2防火墙的功能要求 1.3防火墙的安全配置 14防火墙的安全管理 不北你天咨面殿公司  简介——防火墙是什么? 过滤!过滤!过滤! forward 实现一个公司的安全策略 Input output 创建一个阻塞点 记录 NTERNET活动 限制网络暴露 output Input forward 北天图召公司  简介——防火墙的放在哪? 内部子网1 路由器 防火 内部子网2 企业内网量公  防火墙类型 包过滤防火墙 ■状态检测防火墙 ■代理防火墙 混合防火墙 ■个人防火墙 不北你天咨面殿公司  防火墙类型—包过滤(1) 任务:就是作为“通信警察”,指引包和截住 那些有危害的包。 包过滤防火墙检查每一个通过的网络包,或者 丢弃,或者放行,取决于所建立的一套规则; 本质上,包过滤防火墙是多址的,表明它有两 个或两个以上网络适配器或接口。例如,作为 防火墙的设备可能有两块网卡,一块连到内部 网络,一块连到公共的 Internet 不北你天咨面殿公司  防火墙类型—包过滤(2) 包过滤防火墙的工作原理: 防火墙可以提供内部信息以说明所通过的连接 状态和一些数据流的内容,把判断的信息同规 则表进行比较,在规则表中定义了各种规则来 表明是否同意或拒绝包的通过。包过滤防火墙 检查毎一条规则直至发现包中的信息与某规则 相符。如果没有一条规则能符合,防火墙就会 使用默认规则,一般情况下,默认规则就是要 求防火墙丢弃该包。其次,通过定义基于TCP或 公言  防火墙类型——包过滤(3) 建立包过滤防火墙规则的例子如下: 在公共网络,只允许目的地址为80端口的包通过。 这条规则只允许传入的连接为Web连接。这条规则 也允许与Web连接使用相同端口的连接,所以它并 不是十分安全。 丢弃从公共网络传入,但源地址为内部网络地址 的包,从而减少P欺骗性的攻击 丢弃包含源路由信息的包,以减少源路由攻击。 记住,在源路由攻击中,传入的包包含路由信 饱,它覆盖了包通过网络应采取得正常路,公  防火墙类型—包过滤(4) 使用包过滤防火墙的优点包括: 防火墙对每条传入和传出网络的包实行低水平控制 毎个P包的字段都被检查,例如源地址、目的地址、协议、端口等, 防火墙将基于这些信息应用过滤规则 防火墙可以识别和丢弃带欺骗性源地址的包; 包过滤防火墙是两个网络之间访问的唯一来源,因为所有的通信必须 通过防火墙,绕过是困难的; 包过滤通常被包含在路由器数据包中,所以不必额外的系统来处理这 个特征 使用包过滤防火墙的缺点包括: 配置困难:因为包过滤防火墙很复杂,人们经常会忽略建立一些必要 规则,或者错误配置了已有的规则,在防火墙上留下漏洞 定服务开放的端口存在着危险,可能会被用于其他值魏结公 灬:可能还有其他方法绕过防火墙进入网络,例如拨入连接,但这个并不山  防火墙类型状态检测(1) 状态检测又称动态包过滤,是在传统包过滤上的 功能扩展,包过滤防火墙中引入了状态检测表, 最早由 checkpo int提出。 不北你天咨面殿公司