計算機(jī)系統(tǒng)安全 防火墻-文庫吧
2024-12-22 12:10 本頁面
【正文】 或許只許可訪問經(jīng)過選擇的系統(tǒng) ，如 Web服務(wù)器和電子郵件服務(wù)器 。 14 允許 拒絕 防火墻設(shè)計政策 防火墻一般實施兩個基本設(shè)計方針之一 : 1. “ 沒有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。 2. “ 沒有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 15 六、防火墻的體系結(jié)構(gòu) 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機(jī)網(wǎng)關(guān)； Dual Homed Host Gateway 3） 屏蔽主機(jī)防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 Screened Sub 16 （ Screened Router） 包過濾路由器： 路由 + 過濾 這是最簡單的防火墻。 缺點： ? 日志沒有或很少，難以判斷是否被入侵 ? 規(guī)則表會隨著應(yīng)用變得很復(fù)雜 ? 單一的部件保護(hù)，脆弱 17 防火墻體系結(jié)構(gòu) 18 防火墻體系結(jié)構(gòu) 用一臺裝有兩塊網(wǎng)卡的計算機(jī)作為堡壘主機(jī)（ Bastion host） ， 兩塊網(wǎng)卡分別與內(nèi)部網(wǎng)和外部網(wǎng) （ 或屏蔽路由器 ） 相連 ， 每塊網(wǎng)卡有各自的 IP地址 。 堡壘主機(jī)上運(yùn)行防火墻軟件 —— 代理服務(wù) （ 應(yīng)用層網(wǎng)關(guān) ） 。 在建立雙宿主機(jī)時 ，應(yīng)關(guān)閉操作系統(tǒng)的路由功能 （ IP轉(zhuǎn)發(fā) ） ， 否則兩塊網(wǎng)卡間的通信會繞過代理服務(wù)器軟件 。 優(yōu)點：與屏蔽路由器相比 ， 提供日志以備檢查 缺點： 雙宿主機(jī)易受攻擊 19 防火墻體系結(jié)構(gòu) 20 屏蔽主機(jī)體系結(jié)構(gòu) 21 防火墻體系結(jié)構(gòu) 由屏蔽路由器和應(yīng)用網(wǎng)關(guān)組成。 兩道屏障：網(wǎng)絡(luò)層的包過濾；應(yīng)用層代理服務(wù) 注：與雙宿主機(jī)網(wǎng)關(guān)不同，這里的應(yīng)用網(wǎng)關(guān)只有一塊網(wǎng)卡。 優(yōu)點：雙重保護(hù)，安全性更高。 實施策略：針對不同的服務(wù)，選擇其中的一種或兩種保護(hù)措施。 22 防火墻體系結(jié)構(gòu) 組成：一個包含堡壘主機(jī)的周邊子網(wǎng)、兩臺屏蔽路由器。 23 屏蔽子網(wǎng)體系結(jié)構(gòu) 24 防火墻體系結(jié)構(gòu) 屏蔽子網(wǎng)防火墻中 ， 添加周邊網(wǎng)絡(luò)進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與 Inter隔離開 。 通過在周邊網(wǎng)絡(luò)上隔離堡壘主機(jī) ， 能減少在堡壘主機(jī)上侵入的影響 。 要想侵入用這種類型的體系結(jié)構(gòu)構(gòu)筑的內(nèi)部網(wǎng)絡(luò) ， 侵襲者必須通過外部路由器 ， 堡壘主機(jī) ，內(nèi)部路由器三道關(guān)口 。 1） 周邊網(wǎng)絡(luò) ：非軍事化區(qū) 、 ?；饏^(qū) （ DMZ） 周邊網(wǎng)絡(luò)是另一個安全層 ,是在外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間的附加的網(wǎng)絡(luò) 。 25 防火墻體系結(jié)構(gòu) 周邊網(wǎng)絡(luò)的作用 對于周邊網(wǎng)絡(luò) ， 如果某人侵入周邊網(wǎng)上的堡壘主機(jī) ， 他僅能探聽到周邊網(wǎng)上的通信 。 因為所有周邊網(wǎng)上的通信來自或者通往堡壘主機(jī)或Inter。 因為沒有嚴(yán)格的內(nèi)部通信 (即在兩臺內(nèi)部主機(jī)之間的通信 ， 這通常是敏感的或者專有的 )能越過周邊網(wǎng) 。 所以 ， 如果堡壘主機(jī)被損害 ， 內(nèi)部的通信仍將是安全的 。 26 防火墻體系結(jié)構(gòu) 2） 堡壘主機(jī) 接受來自外界連接的主要入口： 1對于進(jìn)來的電子郵件 （ SMTP） 會話 ， 傳送電子郵件到站點； 2對于進(jìn)來的 FTP連接 ， 轉(zhuǎn)接到站點的匿名 FTP服務(wù)器； 3對于進(jìn)來的域名服務(wù) （ DNS） 站點查詢等 。 27 防火墻體系結(jié)構(gòu) 出站服務(wù)按如下任一方法處理： 允許內(nèi)部的客戶端直接訪問外部的服務(wù)器 。 （ 如果用戶的防火墻使用代理軟件 ） 來允許內(nèi)部的客戶端間接地訪問外部的服務(wù)器 。 用戶也可以設(shè)置數(shù)據(jù)包過濾來允許內(nèi)部的客戶端在堡壘主機(jī)上同代理服務(wù)器交談 。 但是禁止內(nèi)部的客戶端與外部世界之間直接通信 (如撥號上網(wǎng) )。 28 防火墻體系結(jié)構(gòu) 3） 內(nèi)部路由器 內(nèi)部路由器 （ 阻塞路由器 ） ：保護(hù)內(nèi)部的網(wǎng)絡(luò)使之免受 Inter和周邊子網(wǎng)的侵犯 。 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作 。 它允許從內(nèi)部網(wǎng)到 Inter的有選擇的出站服務(wù) 。這些服務(wù)是用戶使用數(shù)據(jù)包過濾而不是通過代理服務(wù)提供 。 內(nèi)部路由器所允許的在周邊網(wǎng)和內(nèi)部網(wǎng)之間服務(wù)可不同于內(nèi)部路由器所允許的在外部和內(nèi)部網(wǎng)之間的服務(wù) 。 限制堡壘主機(jī)與內(nèi)部網(wǎng)之間的通信可減少堡壘機(jī)被攻破時對內(nèi)部網(wǎng)的危害 。 29 防火墻體系結(jié)構(gòu) 4） 外部路由器 在理論上 ， 外部路由器保護(hù)周邊網(wǎng)和內(nèi)部網(wǎng)使之免受來自 Inter的侵犯 。 實際上 ， 外部路由器傾向于允許幾乎任何東西從周邊網(wǎng)出站 ， 并且它們通常只執(zhí)行非常少的數(shù)據(jù)包過濾 。 外部路由器安全任務(wù)之一是：阻止從 Inter上偽造源地址進(jìn)來的任何數(shù)據(jù)包 。 30 內(nèi)部防火墻問題 防火墻體系結(jié)構(gòu) 在大部分討論中 ,都假定建立防火墻的目的在于保護(hù)內(nèi)部網(wǎng)免受外部網(wǎng)的侵?jǐn)_ 。 但有時為
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1