防火墙(共57张课件).pptxVIP

防火墙;防火墙;本章要求;本节主要内容;建筑业中的防火墙;IT领域中的防火墙;防火墙功能示意;防火墙主要功能;防火墙不能防范的攻击;衡量防火墙三大要求;防火墙发展历程;防火墙基本结构;本节主要内容;防火墙分类;包过滤防火墙;;路由与包过滤;包过滤所检查的内容;包过滤配置;规则制定的策略;规则制定的策略;依赖于服务的过滤;按规则过滤;按规则过滤;推荐的规则;静态包过滤的优缺点;动态包过滤;;使用动态包过滤制定的规则;动态包过滤的优缺点;;代理服务技术;应用代理防火墙;应用代理防火墙;应用代理;应用代理防火墙;应用代理的优缺点;;电路级代理;应用代理;电路级代理优缺点;;NAT防火墙;NAT防火墙;NAT（网络地址翻译）;隐藏内部IP地址信息。

两个不同网络安全域间通信流的唯一通道，对流过的网络数据进行检查，阻止攻击数据包通过。

在决定能否及如何传送数据包之外，还根据其规则集，看是否应该传送该数据包

用防火墙支持的语法重写表达式

1）源IP地址欺骗攻击

攻击者为信息包指定一个穿越Internet的路由，这类攻击企图绕过安全措施，并使信息包沿一条意外(疏漏)的路径到达目的地。

多数电路级网关都是基于TCP端口配置，不对数据包检测，可能会有漏洞

TCP和UDP的源及目的端口

M-1，多个内部网地址翻译到1个IP地址

基于安全操作系统的防火墙

通过舍弃所有协议类型为TCP、IP报头中FragmentOffset=1的数据包，即可挫败残片的攻击。

NAT（NetworkAddressTransla-tion）网络地址翻译最初设计目的是用来增加私有组织的可用地址空间和解决将现有的私有TCP/IP网络连接到网上的IP地址编号问题

在网络安全领域中，防火墙用来指应用于内部网络（局域网）和外部网络（Internet）之间的，用来保护内部网络免受非法访问和破坏的网络安全系统。

通过舍弃所有协议类型为TCP、IP报头中FragmentOffset=1的数据包，即可挫败残片的攻击。

内部和外部间所有数据必须通过防火墙

任何进入内网的数据包必须将内部地址作为目标地址

建筑业中的防火墙用在建筑单位间，防止火势的蔓延。

典型的过滤规则有以下几种：;本节主要内容;防火墙布置;包过滤路由;双宿/多宿主机模式;双宿/多宿主机模???;;屏蔽主机;屏蔽主机;屏蔽子网;屏蔽子网;屏蔽子网