防火墙工作原理及应用.pptVIP

DMZ置于防火墙之外不在公网和防火墙之间的通道上 信息安全技术与应用 两个防火墙一个DMZ 信息安全技术与应用 “脏”DMZ 信息安全技术与应用 分组过滤路由器体系结构 分组过滤路由器（packet filtering router）又称屏蔽路由器（screening router）或筛选路由器，是最简单、最常见的防火墙。 工作模式 分组过滤路由器通过在Internet和内部网之间放置一个路由器。 在路由器上安装分组过滤软件，实现分组过滤功能。 分组过滤路由器可以由厂家专门生产的路由器实现，也可以用主机来实现。 信息安全技术与应用 双宿主主机体系结构 双宿主主机体系结构（dual homed host）又称双重宿主主机体系结构，是围绕双宿主的堡垒主机构筑的，其双宿主主机至少有两个网络接口。 工作模式 用一台装有两块网卡的堡垒主机做防火墙，两块网卡各自与内部网和Internet相连； 内、外部网之间的通信必须经过堡垒主机； 必须禁用路由选择功能，这样防火墙两边的网络才可以只与双宿主主机通信； 内外网之间不能直接通信； 信息安全技术与应用 双宿主主机体系结构优缺点 优点 网络结构简单，由于内、外网络之间没有直接的数据通信，网络较为安全； 双宿主主机体系结构相对于分组过滤路由器来说，堡垒主机的系统软件可用于维护系统日志、硬件拷贝日志或远程管理日志； 采用应用层代理机制，可以方便形成应用层的数据与信息过滤； 由于存在内部用户账号，可以保证对外资源进行有效控制； 信息安全技术与应用 堡垒主机过滤体系结构 堡垒主机过滤（screened host）体系结构也称作屏蔽主机体系结构或者筛选主机体系结构，由一个单独屏蔽路由器和内部网络上的堡垒主机共同构筑防火墙，主要通过数据分组过滤技术实现内、外网的隔离和对内部网络的保护。 信息安全技术与应用 堡垒主机过滤体系结构 工作模式 使用一个路由器把内部网和外部网隔离，其有两道防线，一道是屏蔽路由器，另一道是堡垒主机； 屏蔽路由器位于网络的最边缘，负责与外网进行连接，并参与外网的的路由计算，仅提供路由和数据分组过滤功能，不提供任何服务，本身比较安全； 堡垒主机安置在内部网络中，是内部网络系统连接到外部网络系统主机的唯一通道，同时也是外部用户访问内部网络资源必须经过的主机设备； 内部用户只能通过应用层代理来访问外部网络，堡垒主机就成为外部用户唯一可以访问内部的主机； 信息安全技术与应用 信息安全技术与应用 信息安全技术与应用 1 防火墙工作原理及应用 * 生产计划部 防火墙的概念 防火墙（firewall）这个术语来自建筑结构的安全技术。 在网络系统中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术，起到内部网与Internet之间的一道防御屏障。 信息安全技术与应用 网络防火墙 信息安全技术与应用 防火墙的功能 访问控制 防止外部攻击 进行网络地址转换 提供日志与报警 对用户身份认证 信息安全技术与应用 防火墙的历史 最早的防火墙技术几乎与路由器同时出现，采用了分组过滤（packet filter）技术； 1989年，贝尔实验室的Dave.Presotto和Howard.Trickey推出了第2代防火墙，即电路级防火墙，同时提出了第3代防火墙——应用层防火墙（代理防火墙）的初步结构； 1992年，南加洲大学（University of Southern California，USC）信息科学院的Bob.Braden开发出了基于动态分组过滤（dynamic packet filter）技术的第4代防火墙，后来演变为状态监视（stateful inspection）技术。1994年，以色列的CheckPoint公司开发出了第一个采用这种技术的商业化的产品。 1998年，美国的网络联盟公司（network associates inc，NAI）推出了一种自适应代理（adaptive proxy）技术，并在其产品Gauntlet Firewall for NT中实现，给代理类型的防火墙赋予了全新的意义，可以称之为第5代防火墙。 信息安全技术与应用 防火墙的原理 防火墙的主要目的是为了隔离外部网（Internet）和内部网（Extranet），以保护网络的安全； 从TCP/IP参考模型的网络结构来看，防火墙是建立在不同分层结构上的、具有一定安全级别和执行效率的安全通信技术； 按照网络分层结构的实现思想，若防火墙所采用的通信协议栈其层次越低，所能检测到的通信资源越少，其安全级别也就越低，但其执行效率却较好。反之，如果防火墙所采用的通信协议栈其层次越高，所能检测到的通信资源越多，其安全