網(wǎng)絡(luò)安全第二章ppt課件-wenkub
2023-01-23 22:05:37 本頁面
【正文】 基礎(chǔ) 2 防火墻技術(shù)展望 TCP/IP基礎(chǔ) 1 基本概念 2 包與協(xié)議 3 TCP和 UDP常用端口 4 TCP/IP協(xié)議歷史 5 常用網(wǎng)絡(luò)命令 TCP/IP協(xié)議歷史 ? TCP/IP起源于 20世紀 70年代中期， ARPA資助網(wǎng)間網(wǎng)技術(shù)的研究開發(fā)，并于 1977～ 1979年間推出了與目前形式一樣的TCP/IP體系結(jié)構(gòu)和協(xié)議規(guī)范； ? 1980年前后， TCP/IP應(yīng)用在 ARPANET上； ? 1983年加州 Berkeley大學推出了內(nèi)含 TCP/IP的 BSD NUIX； ? 1985年 NSF采用 TCP/IP建設(shè) NSFNET； ? TCP/IP成為 20世紀 90年代因特網(wǎng)的主要協(xié)議。 基本概念 ? Inter地址：計算機在 IPv4網(wǎng)絡(luò)中擁有的每一個接口都被唯一地賦予一個 32位地址。 通過 IP層收發(fā) ICMP報文，用于報告在傳輸報文的過程中發(fā)生的各種情況。它是 “ 有連接 ”的協(xié)議，包含了超時和重發(fā)機制，以實現(xiàn)信息的可靠傳輸。 該協(xié)議用于控制多播（或稱為組播） —— 有目的地直接向一臺或多臺主機發(fā)送包的過程。 ? Ipconfig典型應(yīng)用 （ 3） stat指令 ? stat指令顯示活動的連接、計 算機監(jiān)聽的端口、以太網(wǎng)統(tǒng)計信息、IP 路由表、 IP統(tǒng)計信息（ IP、 ICMP、TCP和 UDP協(xié)議）。 什么是防火墻 ? 防火墻可在鏈路層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層上實現(xiàn)； ? 其功能的本質(zhì)特征是隔離內(nèi)外網(wǎng)絡(luò)和對進出信息流實施訪問控制。 防火墻的分類 ? 是在操作系統(tǒng)上運行的軟件，可為個人計算機提供簡單的防火墻功能； ? 大家常用的個人防火墻有： Norton Personal Firewall、天網(wǎng)個人防火墻、瑞星個人防火墻等； ? 安裝在個人 PC上，而不是放置在網(wǎng)絡(luò)邊界，因此，個人防火墻關(guān)心的不是一個網(wǎng)絡(luò)到另外一個網(wǎng)絡(luò)的安全，而是單個主機和與之相連接的主機或網(wǎng)絡(luò)之間的安全。 防火墻的分類 ? 不等同于采用專用芯片的純硬件防火墻，但和純軟件防火墻有很大差異 ； ? 一般由小型的防火墻廠商開發(fā)，或者是大型廠商開發(fā)的中低端產(chǎn)品，應(yīng)用于中小型企業(yè)，功能比較全，但性能一般； ? 一般都采用 PC架構(gòu)（就是一臺嵌入式主機），但使用的各個配件都量身定制 。（專用集成電路（ ASIC）芯片或者網(wǎng)絡(luò)處理器（ NP）芯片）； ? 最大的亮點：高性能，非常高的并發(fā)連接數(shù)和吞吐量； ? 采用 ASIC芯片的方法在國外比較流行，技術(shù)也比較成熟，如美國 NetScreen公司的高端防火墻產(chǎn)品；國內(nèi)芯片級防火墻大多還處于開發(fā)發(fā)展的階段，采用的是 NP技術(shù)。 ? 防火墻的使用也會削弱網(wǎng)絡(luò)的功能： ① 由于防火墻的隔離作用，在保護內(nèi)部網(wǎng)絡(luò)的同時使它與外部網(wǎng)絡(luò)的信息交流受到阻礙； ② 由于在防火墻上附加各種信息服務(wù)的代理軟件，增大了網(wǎng)絡(luò)管理開銷，還減慢了信息傳輸速率，在大量使用分布式應(yīng)用的情況下，使用防火墻是不切實際的。 分組過濾路由器 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t由 策 略 來 決 定 轉(zhuǎn) 發(fā)或 阻 止 數(shù) 據(jù) 包分 組 過 濾路 由 器分組過濾路由器 ? 作為內(nèi)外網(wǎng)連接的唯一通道，要求所有的報文都必須在此通過檢查。 雙宿主機 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t雙 宿 主 機防 火 墻雙宿主機 ? 在被保護網(wǎng)絡(luò)和 Inter之間設(shè)置一個具有雙網(wǎng)卡的堡壘主機， IP層的通信完全被阻止，兩個網(wǎng)絡(luò)之間的通信可以通過應(yīng)用層數(shù)據(jù)共享或應(yīng)用層代理服務(wù)來完成 ? 通常采用代理服務(wù)的方法 ? 堡壘主機上運行著防火墻軟件，可以轉(zhuǎn)發(fā)應(yīng)用程序和提供服務(wù)等 優(yōu)缺點： ? 堡壘主機的系統(tǒng)軟件可用于身份認證和維護系統(tǒng)日志，有利于進行安全審計 ? 該方式的防火墻仍是網(wǎng)絡(luò)的 “ 單失效點 ” 。 ? 過濾路由器是否正確配置是這種防火墻安全與否的關(guān)鍵。 ? 依據(jù)在系統(tǒng)內(nèi)設(shè)置的過濾規(guī)則（通常稱為訪問控制表 ——Access Control List）對數(shù)據(jù)流中每個數(shù)據(jù)包 包頭 中的參數(shù)或它們的組合進行檢查，以確定是否允許該數(shù)據(jù)包進出內(nèi)部網(wǎng)絡(luò)。 主要缺點： ① 安全控制的力度只限于源地址、目的地址和端口號等，不能保存與傳輸或與應(yīng)用相關(guān)的狀態(tài)信息，因而只能進行較為初步的安全控制，安全性較低； ② 數(shù)據(jù)包的源地址、目的地址以及端口號等都在數(shù)據(jù)包的頭部，很有可能被竊聽或假冒。當此連接請求得到回應(yīng)并建立起連接之后，內(nèi)部主機同外部主機之間的通信將通過代理程序把相應(yīng)連接進行映射來實現(xiàn)。 代理服務(wù)（ 4/4） 狀態(tài)檢測（ 1/5） 物理層 引擎 檢測 動態(tài)狀態(tài)表 應(yīng)用層 表示層 會話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 應(yīng)用層 表示層 會話層
試題試卷相關(guān)推薦
鄂ICP備17016276號-1