《通信网络安全与防护》 教案 课次8-第五章 网络防护技术（上）-教案.doc

《通信网络安全与防护》课程教案

授课时间

2021年4月6日周二3-4节

课次

8

授课方式

（请打√）

理论课√讨论课□实验课□习题课□其他□

课时

安排

2

授课题目（教学章、节或主题）：

第五章网络防护技术（上）

教学目的、要求（分掌握、熟悉、了解三个层次）：

（1）掌握防火墙的基本概念、优缺点;

（2）重点掌握防火墙的三种实现技术，熟悉防火墙安全规则的配置;

（3）了解网络安全隔离的基本概念，熟悉网闸的工作原理。

教学重点及难点：

重点：防火墙的实现技术；

难点：防火墙规则的配置。

课堂教学设计（含思政）：

本次课教学中注重运用对比分析、实例讲解的教学方法，对比分析防火墙与网络隔离技术的异同，在防火墙规则设计时结合实例讲解，教学中突出防火墙实现技术及规则配置这一教学重点。教学中注重技术与应用结合，介绍军事网络中的防火墙与网络隔离系统装备及应用。教学中注重与学员的教学互动，引导学员结合自己平时的认知对照学习。

思政要素切入点：

通过防火墙技术的发展，使学生认识到网络攻防对抗的动态性，增强整体防护意识，养成日常管网用网严谨细致的工作习惯，促进职业素养提高。

教学基本内容

课堂教学设计（教学方法手段及时间设计等）

回顾与引入：

回顾第四章网络攻击技术的主要内容，通过三个测试题检验学员对知识点掌握情况；对网络防护的主要内容进行介绍，并明确本节课教学目标。

本节内容：（主要内容框架、要点、重点，建议不要写成讲稿）

5.1防火墙技术

5.1.1防火墙概述

1．防火墙基本概念

防火墙是在信任网络与非信任网络之间，通过预定义的安全策略，对内外网通信强制实施访问控制的安全应用设备。

2．防火墙的优点

采用防火墙保护内部网络有以下优点：

1）防火墙可以保护网络中脆弱的服务

2）防火墙允许网络管理员定义中心“扼制点”抵抗非法访问

3）防火墙可以增强保密性，强化私有权

4）采用NAT的防火墙可以节约地址资源

5）防火墙可以方便的进行审计和告警

3．防火墙的缺点

虽然防火墙可以提高内网的安全性，是网络安全体系中极为重要的一环，但不能因为有了防火墙就可以高枕无忧。因为防火墙也有一些缺陷和不足，主要体现在以下几点：

1）防火墙无法防护内部网用户的攻击

2）防火墙无法防护病毒，也无法抵御数据驱动型的攻击

3）防火墙不能防范不通过它的攻击

4）防火墙不能防备新的网络安全问题

5.1.2防火墙的常用技术

防火墙的主要技术包括包过滤、应用代理和状态检测技术。

1．包过滤技术

采用包过滤技术的防火墙称为包过滤型防火墙，因为它工作在网络层，又叫网络级防火墙。

包过滤防火墙可以通过检查每个包的源IP地址、目的IP地址、运输层端口等信息来决定是否允许此数据包通过。包过滤的工作过程如下。

2．应用代理

应用代理工作在网络的应用层，其实质是把内部网络和外部网络之间直接进行的业务由代理接管。

应用代理防火墙能够完全控制网络信息的交换，控制会话过程，具有较高的安全性。其缺点主要表现在：

1）软件实现限制了处理速度，易于遭受拒绝服务攻击；

2）需要针对每一种网络服务开发应用层代理，开发周期长，而且升级较困难。

3．状态检测技术

状态检测又称动态包过滤，是在传统包过滤上的功能扩展。状态检测技术采用的是一种基于连接的状态检测机制，将属于同一连接的所有包作为一个整体的数据流看待，构成连接状态表，通过规则表与状态表的共同配合，对表中的各个连接状态因素加以识别。

状态检测技术检查的项目除了传统的包过滤技术检查的IP地址与端口号以外，还需要检查连接状态与上下文信息。

5.1.3防火墙的功能性能分析

1．功能指标

衡量防火墙的基本功能指标包括防火墙提供的接入方式、安全区划分、访问控制功能。

支持不同接入方式

防火墙提供的接入方式包括透明接入、路由或NAT接入及混合接入三种接入方式。

2）安全区划分

3）访问控制功能

2．性能指标

防火墙的性能指标：并发连接数、吞吐量、时延等。

5.3安全隔离技术

实际工作中，我们经常会面临在不同安全等级网络间的数据交换需求，传统的做法是采用“人工拷盘”，这种解决方案可以实现网络的安全隔离，但数据交换通过人工来实现，工作效率低；且安全性完全依赖于人的因素，可靠性无法保证。

1．安全隔离的基本概念

安全隔离是指把两个或两个以上可路由的网络（如TCP/IP）通过不可路由的协议进行数据交换而达到隔离目的。

目前，在我国，网闸是一种广泛使用的安全隔离产品。不同生产厂商，又称之为安全隔离网闸、物理隔离网闸、安全隔离与信息交换系统等，这些产品都是为了在确保安全的前提下实现有限的数据交流。

2．网闸的工作原理

1）网闸的结构

通常，网闸内部采用“2+1”模块结构设计，即包括外网主机模块、内网主机模块和隔离交换模块。

2）网闸的工作过程

3