《Linux网络操作系统》课件_项目16 部署防火墙.pptx

项目16部署防火墙

内容项目引入1需求分析2知识准备3项目实施4小结6反思与进阶5

项目引入随着计算机网络的飞速发展和广泛应用，各行各业对网络的依赖程度越来越高，但是网络攻击和入侵工具却更容易获取，实施攻击的技术成本越来越低。一台计算机如果要连接网络，就必须做好足够的安全防护措施。网络中数据通信一般都是通过控制和检测网络之间的信息和信息的交换，来实施安全管理。为了采用这种访问控制技术来规范网络行为，防火墙技术随之诞生。据统计，全球大约有一半的用户都在防火墙的保护之下，所以防火墙技术在网络安全中是不可缺少的项技术。

需求分析在之前的服务部署中，为了加快工作进度，IT协会总是禁用防火墙来避免遇到一些异常问题。但是对于一台服务器来说，没有防火墙的保护，服务器很有可能会被黑客人侵，以致中断服务，甚至破坏重要的数据。为了保护系统免受侵害，IT协会需要为学院网络部署防火墙。了解防火墙的工作原理；掌握防火墙工具的使用；能按要求部署防火墙；生产实际中防火墙的应用方式。

知识准备一、防火墙概述防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙允许授权的数据通过，而拒绝未经授权的数据通信，并记录访问报告等。由于使用防火墙能增强内部网络的安全性，因此防火墙技术的研究已经成为网络信息安全技术的主导研究方向。必要时，可以提供NAT、VPN功能。

知识准备其功能为：(1) 提供边界防护。控制内外网之间的所有网络数据流都必须经过防火墙，控制内外网之间网络系统的访问，提高内部网络的保密性和私有性。(2) 提供网络服务访问限制功能。只有符合安全策略的数据流才能通过防火墙，保护易受攻击的服务。(3) 提供审计和监控功能。记录网络的使用状态，可以实现对异常行为的报警。集中管理内网的安全性，降低管理成本。(4) 对网络渗透的自身免疫。保证防火墙自身的安全性。一、防火墙概述

知识准备二、防火墙的分类1. 按照是否使用专用设备(1) 硬件防火墙指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。硬件防火墙通常放置在连接两个或多个网络区域的边界位置，对网络区域之间的数据实施一系列的安全策略。硬件防火墙通常执行路由、数据包过滤、网络地址转换以及入侵防御等功能。

知识准备二、防火墙的分类(2) 软件防火墙单独使用软件系统来完成防火墙功能，将软件部署在系统主机上，其安全性较硬件防火墙差，同时占用系统资源，在一定程度上影响系统性能。其一般用于单机系统或是极少数的个人计算机，很少用于计算机网络中。软件防火墙主要用于保护主机不被外部网络人侵，阻挡外界对主机的非法访问。如天网防火墙，以及Windows防火墙，都是软件防火墙。软件防火墙的可以对进、出主机的数据包实施检查及过滤操作。

知识准备二、防火墙的分类2. 按照防火墙的工作原理(1) 包过滤防火墙包过滤(PacketFilter)是所有防火墙中最核心的功能，用以过滤用户定义的内容，如IP地址。包过滤防火墙的工作原理是：系统在网络层检查数据包。这样系统就具有很好的传输性能，可扩展能力强。但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容，所以可能被黑客所攻破。

知识准备二、防火墙的分类包过滤是通过对数据包的IP头和TCP或UDP头的检查来实现的。包过滤器并不检查数据包的所有内容，通常只检查如IP地址，协议类型(如TCP包、UDP包或ICMP包)，TCP或UDP包的端口，ICMP消息类型等信息如图16-2所示。图16?2ACL对数据包的过滤

知识准备二、防火墙的分类(2) 代理服务型防火墙主要在应用层实现。当代理服务器收到一个客户的连接请求时，先核实该请求，然后将处理后的请求转发给真实服务器，在接受真实服务器应答并做进一步处理后，再将回复交给发出请求的客户。代理服务器在外部网络和内部网络之间，发挥了中间转接的作用。所以，代理服务器有时也称作应用层网关。

知识准备二、防火墙的分类(3) 状态检测防火墙状态检测防火墙基本保持了简单包过滤防火墙的优点，性能比较好，同时对应用是透明的，在此基础上，对于安全性有了大幅提升。这种防火墙摒弃了简单包过滤防火墙仅仅考察进出网络的数据包，不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，维护了连接，将进出网络的数据当成一个个的事件来处理。可以这样说，状态检测包过滤防火墙规范了网络层和传输层行为，而代理型防火墙则是规范了特定的应用协议上的行为。

知识准备二、防火墙的分类(4) 复合型防火墙复合型防火墙是指综合了状态检测与透明代理的新一代的防火墙，进一步基于ASIC架构，把防病毒、内容过滤整合到防火墙里，其中还包括VPN、IDS功能，多单元融为一体，是一种