信息安全(防火墙).docVIP

LiJT

LiJT

LiJT

信息安全

防火墙

授课计划

密码学

密码学

（第

8

章）

网络安全

协议基础

（

2

章）

？

公钥技术的应用

PKI,CA,

数字证书等

网络安全的攻击技术

网络安全的防御技术

信息安全

/

网络安全

的概述

（第

1

章）

网络安全综合解决方案

内容

?TCP/IP基础

?防火墙

防火墙的基本介绍

几种防火墙的类型

防火墙的配置

防火墙技术的发展

TCP/IPoverview

?协议栈?一些数据包的格式

IP数据包

TCP/UDP数据包

?常用的上层协议?几个常用工具

TCP/IP协议栈

协议栈各层数据包的结构

IP数据包格式

UDP数据包格式

TCP数据包格式

TCP连接的建立和终止时序图

常用的上层协议

?DNS:53/tcp,udp?FTP:20,21/tcp,udp?telnet:23/tcp,udp?HTTP:80/tcp,udp?NNTP:119/tcp,udp?SMTP:25/tcp,udp?POP3:110/tcp,udp?参考：IANA提供的port-numbers.txt

常用的网络工具

?Netstat?Ipconfig/ifconfig?Ping?Tracert?……

内容

?TCP/IP基础

?防火墙

–防火墙的基本介绍

几种防火墙的类型

防火墙的配置

防火墙技术的发展

防火墙

防火墙：截断燃烧体或难燃烧体的屋顶结构，应高出燃烧体或难燃烧体的屋面不小于500mm

防火墙

?互联网、内部网和外部网

??Internet,intranet,Extranet

互联网、内部网和外部网

??内部网是应用于组织内部，使用Internet技术的专用网络。

o实现信息在组织内部及分支机构间的传播。

??外部网是内部网的扩展，它将组织的内部网连入其业务伙伴、顾客或供应商的网络

外部网是组织间主要的沟通方式o类型

公共网络o安全（专用）网络o虚拟专用网络（VPN）

防火墙(Firewall)

防火墙的基本设计目标

对于一个网络来说，所有通过“内部”和“外部”的网络流量都要经过防火墙

通过一些安全策略，来保证只有经过授权的流量才可以通过防火墙

防火墙本身必须建立在安全操作系统的基础上

防火墙的控制能力

服务控制，确定哪些服务可以被访问

方向控制，对于特定的服务，可以确定允许哪个方向能够通过防火墙

用户控制，根据用户来控制对服务的访问

行为控制，控制一个特定的服务的行为

防火墙能为我们做什么

?定义一个必经之点

挡住未经授权的访问流量

禁止具有脆弱性的服务带来危害

实施保护，以避免各种IP欺骗和路由攻击

防火墙提供了一个监视各种安全事件的位置。因此对于有些Internet功能来说，防火墙也可以是一个理想的平台，比如：

–地址转换，日志、审计，甚至计费等功能

防火墙可以作为IPSec的实现平台

防火墙本身的一些局限性

?对于绕过防火墙的攻击，它无能为力，例如，在防火墙内部通过拨号出去?防火墙不能防止内部的攻击，以及内部人员与外部人员的联合攻击(比如，通过tunnel进入)?防火墙不能防止被病毒感染的程序或者文件、邮件等?防火墙的性能要求

内容

?TCP/IP基础

?防火墙

–防火墙的基本介绍

–几种防火墙的类型

防火墙的配置

防火墙技术的发展

防火墙的类型

包过滤路由器

应用层网关

包过滤路由器

基本的思想很简单

对于每个通过的包，匹配一组规则，然后决定转发或者丢弃该包

往往配置成双向的

如何过滤

过滤的规则以IP和传输层的头中的域(字段)为基础，

包括源和目标IP地址、IP协议域、源和目标端口、标志位

过滤器往往建立一组规则，根据IP包是否匹配规则中指定的条件来作出决定。

如果匹配到一条规则，则根据此规则决定转发或者丢弃

如果所有规则都不匹配，则根据缺省策略

安全缺省策略

?两种基本策略，或缺省策略

没有被拒绝的流量都可以通过?管理员必须针对每一种新出现的攻击，制定新的规则

没有被允许的流量都要拒绝

比较保守

根据需要，逐渐开放

包过滤路由器示意图

网络层

网络层

链路层

物理层

外部网络

内部网络

例子：包过滤防火墙的设置(1)

clientserver外部内部往外包的特性(用户操作信息)

client

server

外部

内部

往外包的特性

(

用户操作信息

)

往内包的特性

(

显示信息

)

IP源是内部地址目标地址为server

TCP协议，目标端口23

源端口1023连接的第一个包ACK=0，其他包ACK=1

IP源是server目标地址为内部地址TCP协议，源端口23目标端口1023所有往内的包都是

包过滤防火墙的设置(2