防火墻原理-體系結(jié)構(gòu)-系統(tǒng)設(shè)計(jì)-wenkub
2023-04-26 22:12:13 本頁(yè)面
【正文】 ? 基于源 MAC地址 ? 基于目的 MAC地址 ? 基于源 IP地址 ? 基于目的 IP地址 ? 基于源端口 ? 基于目的端口 ? 基于方向 ? 基于時(shí)間 ? 基于用戶(hù) ? 基于流量 ? 基于內(nèi)容 防火墻的功能 ?路由功能 ?NAT功能 ?VPN功能 ?用戶(hù)認(rèn)證 防火墻的 擴(kuò)展功能 ： ?帶寬控制 ?日志審計(jì) ?流量分析 防火墻的功能 ? 1. 防火墻能做什么？ ? 2. 防火墻不能防范什么？ 防火墻能做什么 防火墻并不能為網(wǎng)絡(luò)防范一切，也不應(yīng)該把它作為對(duì)所有安全問(wèn)題的一個(gè)最終解決方案，所以懂得哪些工作是防火墻能做的非常重要： （ 1）實(shí)現(xiàn)安全策略 （ 2）創(chuàng)建一個(gè)阻塞點(diǎn) （ 3）記錄網(wǎng)絡(luò)活動(dòng) （ 4）限制網(wǎng)絡(luò)暴露 安全策略對(duì)哪些人和哪些行為被允許做出規(guī)定。這種實(shí)現(xiàn)要求所有的流量都要通過(guò)這個(gè)檢查點(diǎn)。 通過(guò)防火墻記錄的數(shù)據(jù)，管理員可以發(fā)現(xiàn)網(wǎng)絡(luò)中的各種問(wèn)題。當(dāng)遠(yuǎn)程節(jié)點(diǎn)偵測(cè)你的網(wǎng)絡(luò)時(shí)，他們僅僅能看到防火墻。 例如，員工接收了一封包含木馬的郵件，木馬是以普通程序的形式放在了附件里，防火墻不能避免該情況的發(fā)生。而且內(nèi)部網(wǎng)對(duì)堡壘主機(jī)是完全公開(kāi)的，入侵者只要破壞了這一層的保護(hù)，那么入侵也就大功告成了 ?屏蔽子網(wǎng)結(jié)構(gòu)就是在屏蔽主機(jī)結(jié)構(gòu)中再增加一臺(tái)路由器的安全機(jī)制，這臺(tái)路由器的意義就在于它能夠在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)筑出一個(gè)安全子網(wǎng)，從而使得內(nèi)部網(wǎng)與外部網(wǎng)之間有兩層隔斷。 日志 Host A Host B Host C Host D Inter 安全網(wǎng)域 Host G Host H ?現(xiàn)有的防火墻系統(tǒng)已經(jīng)大都具有支持三個(gè)隔離網(wǎng)段的功能。 TCP 9： 10 20220207 寫(xiě)入日志 寫(xiě)入日志 一旦出現(xiàn)安全事故 可以查詢(xún)此日志 身份鑒別 Host C Host D Host B Host A 受保護(hù)網(wǎng)絡(luò) Inter Permit Password Username 預(yù)先可在防火墻上設(shè)定用戶(hù) root 123 root 123 Yes admin 883 No 不管那臺(tái)電腦都可以用相同的用戶(hù)名來(lái)登陸防火墻 只需在防火墻設(shè)置該用戶(hù)的規(guī)則即可 高層協(xié)議控制 ? 應(yīng)用控制可以對(duì)常用的高層應(yīng)用做更細(xì)的控制 ? 如 HTTP的 GET、 POST、 HEAD ? 如 FTP的 GET、 PUT等 物理層 鏈路層 網(wǎng)絡(luò)層 傳輸層 會(huì)話(huà)層 表示層 應(yīng)用層 物理層 鏈路層 網(wǎng)絡(luò)層 傳輸層 會(huì)話(huà)層 表示層 應(yīng)用層 內(nèi)部網(wǎng)絡(luò) 外部網(wǎng)絡(luò) 防火墻 內(nèi)部接口 外部接口 根據(jù)策略檢查應(yīng)用層的數(shù)據(jù) 符合策略 應(yīng)用層 應(yīng)用層應(yīng)用層 IP與 MAC綁定 Inter Host A Host B Host C Host D 005004BB71A6 005004BB71BC Bind To 005004BB71A6 Bind To 005004BB71BC IP與 MAC地址綁定后，不允許Host B假冒 Host A的 IP地址上網(wǎng) 防火墻允許 Host A上網(wǎng) NAT轉(zhuǎn)換 amp。 如果該請(qǐng)求被允許，堡壘主機(jī)就把數(shù)據(jù)包發(fā)送到某一內(nèi)部主機(jī)或屏蔽路由器上，否則拋棄該數(shù)據(jù)包 37 屏蔽主機(jī)防火墻 ?對(duì)于入站連接，根據(jù) 安全策略 ，屏蔽路由器可以： ?允許某種服務(wù)的數(shù)據(jù)包先到達(dá)堡壘主機(jī)，然后與內(nèi)部主機(jī)連接 ?直接禁止某種服務(wù)的數(shù)據(jù)包入站連接 ?對(duì)于出站連接，根據(jù) 安全策略 ： ?對(duì)于一些服務(wù) (Tel)，可以允許它直接通過(guò)屏蔽路由器連接到外部網(wǎng)絡(luò)，而不通過(guò)堡壘主機(jī) ?其它服務(wù) (WWW和 SMTP等 )，必須經(jīng)過(guò)堡壘主機(jī)才能連接到 Inter，并在堡壘主機(jī)上運(yùn)行該服務(wù)的代理服務(wù)器 38 屏蔽主機(jī)防火墻 ?屏蔽主機(jī)防火墻轉(zhuǎn)發(fā)數(shù)據(jù)包的過(guò)程 表 示 層I P 包 過(guò) 濾應(yīng) 用 層 代 理物 理 層數(shù) 據(jù) 鏈 路 層網(wǎng) 絡(luò) 層傳 輸 層會(huì) 話(huà) 層內(nèi) 部 堡 壘 主 機(jī)過(guò) 濾 路 由 器物 理 層數(shù) 據(jù) 鏈 路 層I n t e r n e t內(nèi) 部 網(wǎng)39 屏蔽主機(jī)防火墻 ?與包過(guò)濾型防火墻的比較： ?其提供的安全等級(jí)比包過(guò)濾防火墻系統(tǒng)要高，實(shí)現(xiàn)了 網(wǎng)絡(luò)層安全 (包過(guò)濾 )和 應(yīng)用層安全 (代理服務(wù) ) ?入侵者在破壞內(nèi)部網(wǎng)絡(luò)的安全性之前，必須首先滲透兩種不同的安全系統(tǒng) ?即使入侵者進(jìn)入了內(nèi)部網(wǎng)絡(luò)，也必須和堡壘主機(jī)競(jìng)爭(zhēng)，堡壘主機(jī)是一臺(tái)安全性很高的主機(jī) 40 屏蔽主機(jī)防火墻 ?路由器不被正常路由的例子： ?正常路由情況： ?內(nèi)部網(wǎng)絡(luò)地址： ?堡壘主機(jī)地址： ?路由表內(nèi)容 ?所有流量發(fā)到堡壘主機(jī)上 I n t e r n e t堡 壘 主 機(jī)2 0 2 . 1 1 2 . 1 0 8 . 8過(guò) 濾 路
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1