防火墙的工作原理与布置.pptxVIP

安全连入Internet：防火墙防火墙的工作原理与布置

背景Internet的设计就是为资源共享为目标的用户数量的增加，恶劣的用户也在增加许多TCP/IP的服务有漏洞，特别网管服务窃听和假冒比较容易服务策略的缺乏导致许多不需要的服务开放存取控制设置复杂导致安全漏洞防火墙：一个经济的解决方案

本节内容Internet及其安全防火墙的基本知识防火墙的功能分类防火墙的布置与环境

Internet及其安全Internet的基本协议Internet的基本服务与安全相关的问题

以TCP/IP协议为基础初始目标是在研究人员之间进行通信（原型系统为ARPANET，DARPA资助）1980后迅速推广到教育、政府、商业与国际机构目前一般用户为商业用户成为了国家信息基础设施（NII）Internet

SMTP：简单邮件传送协议SimpleMailTransferProtocol1TELNET：对远地主机的基本的终端仿真2FTP：文件传送协议FileTransferProtocol3DNS：域名系统DomainNameService4信息提供服务Gopher、WAIS、WWW/http5进程调用服务6Internet提供的基本服务作系统的特点就是并行和共享Windows系统NT,XP,2000Unix系统Sun,IBM,LinuxVMS、AS400、其他系统OS/2，MacintoshInternet主机

02书信邮件的例子应用：信的内容与将来如何投递没有关系网络：加信封，信封及地址与如何投递没有关系物理：加邮包，运邮件的车跟具体信封地址没有关系两个人的合同谈判翻译秘书传真01网络分层的思路

邮件示意

合同谈判英语：Ilike…德语：Ilike…Faxto:德语：Ilike…Faxfrom:德语：Ilike…德语：Ilike…中文：Ilike…

合同谈判英语：Ilike…德语：Ilike…Faxto:德语：Ilike…Faxfrom:德语：Ilike…德语：Ilike…中文：Ilike…

第一层：物理层Physical第二层：数据链路DataLink第三层：网络层Network第四层：传输层Transport第五层：会话Session第六层：表示层Presentation第七层：应用层Application网络的视角-系统互连(OSI)

物理层链路层网络层传输层会话层表示层应用层物理层链路层网络层网络中的数据传送

物理/数据链路层(Ethernet)01网络层Network(IP,ICMP)02传输层Transport(TCP,UDP)03应用层Application(FTP,Telnet,DNS,NFS,PING)04TCP/IP协议层次结构

IP数据包发送前1查找对应IP地址主机的物理地址2在网络上广播ARP请求3缓存已经找到的硬件地址4参见RFC8265ARP：AddressResolutionProtocol

地址解析协议

ICMP互连网控制报文协议

InternetControlMessageProtoco于传送错误和控制报文，控制IP协议主机关闭/网关阻塞或不通/其他故障PING是一个著名的应用RFC792

IP(InternetProtocol)协议接收物理层（Ethernet）发来的数据将数据传送到高层协议，如TCP、UDP不可靠的数据报协议不保障报文顺序，不检查错误，不保证对方收到包含源IP地址和目的IP地址SourceAddressDestinationAddress上层协议（TCP、UDP）认为这些地址都是正确的，不对原IP地址进行认证。RFC760

ATCP协议BTransmissionControlProtocolCIP数据报包含了封装的TCP报文D通过连接建立和报文序号以及检错编码保证数据完整性ETCP协议将数据送往应用层处理FTELNET，FTP，XWindow，SMTP等都是基于有连接的TCP协议

与TCP在同一个层次，直接为应用服务不检错，不重发，不排序无连接的协议NTP,DNS使用UDPUDP协议

UserDatagramProtocol

源IP地址（32bits）源端口(16bits)目的IP地址目的端口TCP/UDP的地址结构

Telnet服务器运行在上，在端口23上听是否有连接请求当连接成功后，双方都记下自己以及对方的地址和端口。Telnet客户端在中申请了一个未用的端口，如3987，然后向服务器发连接请求:3987??:23一个连接的例子

服务安全问题/协议安全问题Sendmail、FreeFTP发现漏洞Te