網(wǎng)絡(luò)安全07-防火墻-文庫吧
2025-01-15 12:58 本頁面
【正文】 過濾掉未經(jīng)授權(quán)的網(wǎng)絡(luò)流量； ? 代理 防火墻能做什么 2 ? 審計 ? 報警 ? NAT ? 解決 IP地址不足的問題 ? 保護內(nèi)部網(wǎng)絡(luò)地址配置 ? 隱藏網(wǎng)絡(luò)服務(wù)的真實地址 ? 計費 ? VPN(IPSec) 防火墻技術(shù)帶來的好處 ? 強化安全策略 ? 有效地記錄 Inter上的活動 ? 隔離不同網(wǎng)絡(luò)，限制安全問題擴散 ? 是一個安全策略的檢查站 防火墻的不足 ? 使用不便，有些人認為防火墻給人虛假的安全感 ? 對用戶不完全透明，可能帶來傳輸延遲瓶頸及單點失效 ? 不能替代墻內(nèi)的安全措施 ? 不能防范惡意的知情者 ? 不能防范不通過它的連接，如撥號 ? 不能防范全新的威脅 ? 不能有效地防范數(shù)據(jù)驅(qū)動式的攻擊，如病毒 ? 當使用端 端加密時其作用會受到很大的限制 關(guān)于防火墻的爭議 ? 防火墻破壞了 Inter端到端的特性，阻礙了新的應(yīng)用的發(fā)展 ? 防火墻沒有解決主要的安全問題，即網(wǎng)絡(luò)內(nèi)部的安全問題 ? 防火墻給人一種誤解，降低了人們對主機安全的意識 防火墻的類型 防火墻的類型 ? 包過濾路由器 ? 應(yīng)用層網(wǎng)關(guān) ? 電路層網(wǎng)關(guān) 包過濾路由器 ? 基本的思想 ? 在 網(wǎng)絡(luò)層 對數(shù)據(jù)包進行選擇 ? 對于每個進來的包，適用一組規(guī)則，然后決定轉(zhuǎn)發(fā)或者丟棄該包 ? 判斷依據(jù)有 (只考慮 IP包 )： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項：源路由、記錄路由等 ? TCP選項： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過濾路由器示意圖 網(wǎng)絡(luò)層 鏈路層 物理層 外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò) 包過濾防火墻的特點 ? 在 網(wǎng)絡(luò)層 上進行監(jiān)測 ? 并沒有考慮連接狀態(tài)信息 ? 通常在路由器上實現(xiàn) ? 實際上是一種網(wǎng)絡(luò)的訪問控制機制 ? 優(yōu)點： ? 實現(xiàn)簡單 ? 對用戶透明 ? 一個包過濾路由器即可保護整個網(wǎng)絡(luò) ? 缺點： ? 正確制定規(guī)則并不容易 ? 不可能引入認證機制 ? 包過濾防火墻只通過簡單的規(guī)則控制數(shù)據(jù)流的進出，沒考慮高層的上下文信息 過濾規(guī)則舉例 ?第一條規(guī)則：主機 口，基于 TCP協(xié)議的數(shù)
教學課件相關(guān)推薦
鄂ICP備17016276號-1