第九章-防火墙技术.pptVIP

防火墙技术介绍严峻的网络安全形势，促进了防火墙技术的不断发展。防火墙是一种综合性的科学技术，涉及网络通信、数据加密、安全决策、信息安全、硬件研制、软件开发等综合性课题。防火墙的定义防火墙是设置在被保护网络和外部网络之间的一道屏障,实现网络的安全保护,以防止发生不可预测的、潜在破坏性的侵入。防火墙本身具有较强的抗攻击能力,它是提供信息安全服务、实现网络和信息安全的基础设施。图8.1为防火墙示意图。防火墙的基本概念图1防火墙示意图返回本节防火墙的发展简史 第一代防火墙:采用了包过滤（PacketFilter）技术。第二、三代防火墙:1989年，推出了电路层防火墙，和应用层防火墙的初步结构。第四代防火墙:1992年，开发出了基于动态包过滤技术的第四代防火墙。第五代防火墙:1998年，NAI公司推出了一种自适应代理技术，可以称之为第五代防火墙。图2防火墙技术的简单发展历史返回本节设置防火墙的目的和功能 （1）防火墙是网络安全的屏障（2）防火墙可以强化网络安全策略（3）对网络存取和访问进行监控审计（4）防止内部信息的外泄返回本节防火墙的局限性 （1）防火墙防外不防内。（2）防火墙难于管理和配置,易造成安全漏洞。（3）很难为用户在防火墙内外提供一致的安全策略。（4）防火墙只实现了粗粒度的访问控制。返回本节防火墙技术发展动态和趋势 （1）优良的性能（2）可扩展的结构和功能（3）简化的安装与管理（4）主动过滤（5）防病毒与防黑客返回本节防火墙的技术种类 1.包过滤防火墙2.代理防火墙3.状态监视器防火墙4.复合式防火墙防火墙技术 包过滤防火墙包过滤防火墙的工作原理采用这种技术的防火墙产品,通过在网络中的适当位置对数据包进行过滤,根据检查数据流中每个数据包的源地址、目的地址、所有的TCP端口号和TCP链路状态等要素,然后依据一组预定义的规则,以允许合乎逻辑的数据包通过防火墙进入到内部网络,而将不合乎逻辑的数据包加以删除。包过滤防火墙（1）数据包过滤技术的发展:静态包过滤、动态包过滤。（2）包过滤的优点:不用改动应用程序、一个过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高。（3）包过滤的缺点:不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤（如UDP协议）；正常的数据包过滤路由器无法执行某些安全策略；安全性较差；数据包工具存在很多局限性。图3包过滤处理图4静态包过滤防火墙图5动态包过滤防火墙（1）代理防火墙的原理:代理防火墙运行在两个网络之间，它对于客户来说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。当代理服务器接收到用户的请求后，会检查用户请求的站点是否符合公司的要求，如果公司允许用户访问该站点的话，代理服务器会像一个客户一样，去那个站点取回所需信息再转发给客户。代理防火墙代理技术的优点1）代理易于配置。2）代理能生成各项记录。3）代理能灵活、完全地控制进出流量、内容。4）代理能过滤数据内容。5）代理能为用户提供透明的加密机制。6）代理可以方便地与其他安全手段集成。代理技术的缺点1）代理速度较路由器慢。2）代理对用户不透明。3）对于每项服务代理可能要求不同的服务器。4）代理服务不能保证免受所有协议弱点的限制。5）代理不能改进底层协议的安全性。代理的工作方式两种防火墙技术返回本节状态监视器防火墙（1）状态监视器防火墙的工作原理这种防火墙安全特性非常好,它采用了一个在网关上执行网络安全策略的软件引擎,称之为检测模块。检测模块在不影响网络正常工作的前提下,采用抽取相关数据的方法对网络通信的各层实施监测,抽取部分数据,即状态信息,并动态地保存起来作为以后指定安全决策的参考。（2）状态监视器防火墙的优缺点状态监视器的优点:检测模块支持多种协议和应用程序，并可以很容易地实现应用和服务的扩充。它会监测RPC和UDP之类的端口信息，而包过滤和代理网关都不支持此类端口。性能坚固状态监视器的缺点:配置非常复杂。会降低网络的速度。4.复合式防火墙常见是代理服务器和状态分析技术的组合具有对一切连接尝试进行过滤的功能；提取和管理多种状态信息的功能；智能化做出安全控制和流量控制的决策；提供高性能的服务和灵活的适应性；具有网络内外完全透明的特性。防火墙的优缺点优点：1、保护网络中脆弱的服务2、实现网络安全性监视和实时报警3、增强保密性和强化私有权4、实现网络地址转换