網(wǎng)絡(luò)安全07-防火墻-文庫吧
2025-01-15 12:58 本頁面
【正文】 過濾掉未經(jīng)授權(quán)的網(wǎng)絡(luò)流量； ? 代理 防火墻能做什么 2 ? 審計(jì) ? 報警 ? NAT ? 解決 IP地址不足的問題 ? 保護(hù)內(nèi)部網(wǎng)絡(luò)地址配置 ? 隱藏網(wǎng)絡(luò)服務(wù)的真實(shí)地址 ? 計(jì)費(fèi) ? VPN(IPSec) 防火墻技術(shù)帶來的好處 ? 強(qiáng)化安全策略 ? 有效地記錄 Inter上的活動 ? 隔離不同網(wǎng)絡(luò)，限制安全問題擴(kuò)散 ? 是一個安全策略的檢查站 防火墻的不足 ? 使用不便，有些人認(rèn)為防火墻給人虛假的安全感 ? 對用戶不完全透明，可能帶來傳輸延遲瓶頸及單點(diǎn)失效 ? 不能替代墻內(nèi)的安全措施 ? 不能防范惡意的知情者 ? 不能防范不通過它的連接，如撥號 ? 不能防范全新的威脅 ? 不能有效地防范數(shù)據(jù)驅(qū)動式的攻擊，如病毒 ? 當(dāng)使用端 端加密時其作用會受到很大的限制 關(guān)于防火墻的爭議 ? 防火墻破壞了 Inter端到端的特性，阻礙了新的應(yīng)用的發(fā)展 ? 防火墻沒有解決主要的安全問題，即網(wǎng)絡(luò)內(nèi)部的安全問題 ? 防火墻給人一種誤解，降低了人們對主機(jī)安全的意識 防火墻的類型 防火墻的類型 ? 包過濾路由器 ? 應(yīng)用層網(wǎng)關(guān) ? 電路層網(wǎng)關(guān) 包過濾路由器 ? 基本的思想 ? 在 網(wǎng)絡(luò)層 對數(shù)據(jù)包進(jìn)行選擇 ? 對于每個進(jìn)來的包，適用一組規(guī)則，然后決定轉(zhuǎn)發(fā)或者丟棄該包 ? 判斷依據(jù)有 (只考慮 IP包 )： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項(xiàng)：源路由、記錄路由等 ? TCP選項(xiàng)： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項(xiàng)： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過濾路由器示意圖 網(wǎng)絡(luò)層 鏈路層 物理層 外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò) 包過濾防火墻的特點(diǎn) ? 在 網(wǎng)絡(luò)層 上進(jìn)行監(jiān)測 ? 并沒有考慮連接狀態(tài)信息 ? 通常在路由器上實(shí)現(xiàn) ? 實(shí)際上是一種網(wǎng)絡(luò)的訪問控制機(jī)制 ? 優(yōu)點(diǎn)： ? 實(shí)現(xiàn)簡單 ? 對用戶透明 ? 一個包過濾路由器即可保護(hù)整個網(wǎng)絡(luò) ? 缺點(diǎn)： ? 正確制定規(guī)則并不容易 ? 不可能引入認(rèn)證機(jī)制 ? 包過濾防火墻只通過簡單的規(guī)則控制數(shù)據(jù)流的進(jìn)出，沒考慮高層的上下文信息 過濾規(guī)則舉例 ?第一條規(guī)則：主機(jī) 口，基于 TCP協(xié)議的數(shù)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1