防火墻原理-體系結(jié)構(gòu)-系統(tǒng)設(shè)計-wenkub
2023-04-26 22:12:13 本頁面
【正文】 ? 基于源 MAC地址 ? 基于目的 MAC地址 ? 基于源 IP地址 ? 基于目的 IP地址 ? 基于源端口 ? 基于目的端口 ? 基于方向 ? 基于時間 ? 基于用戶 ? 基于流量 ? 基于內(nèi)容 防火墻的功能 ?路由功能 ?NAT功能 ?VPN功能 ?用戶認(rèn)證 防火墻的 擴展功能 ： ?帶寬控制 ?日志審計 ?流量分析 防火墻的功能 ? 1. 防火墻能做什么？ ? 2. 防火墻不能防范什么？ 防火墻能做什么 防火墻并不能為網(wǎng)絡(luò)防范一切，也不應(yīng)該把它作為對所有安全問題的一個最終解決方案，所以懂得哪些工作是防火墻能做的非常重要： （ 1）實現(xiàn)安全策略 （ 2）創(chuàng)建一個阻塞點 （ 3）記錄網(wǎng)絡(luò)活動 （ 4）限制網(wǎng)絡(luò)暴露 安全策略對哪些人和哪些行為被允許做出規(guī)定。這種實現(xiàn)要求所有的流量都要通過這個檢查點。 通過防火墻記錄的數(shù)據(jù)，管理員可以發(fā)現(xiàn)網(wǎng)絡(luò)中的各種問題。當(dāng)遠(yuǎn)程節(jié)點偵測你的網(wǎng)絡(luò)時，他們僅僅能看到防火墻。 例如，員工接收了一封包含木馬的郵件，木馬是以普通程序的形式放在了附件里，防火墻不能避免該情況的發(fā)生。而且內(nèi)部網(wǎng)對堡壘主機是完全公開的，入侵者只要破壞了這一層的保護，那么入侵也就大功告成了 ?屏蔽子網(wǎng)結(jié)構(gòu)就是在屏蔽主機結(jié)構(gòu)中再增加一臺路由器的安全機制，這臺路由器的意義就在于它能夠在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)筑出一個安全子網(wǎng)，從而使得內(nèi)部網(wǎng)與外部網(wǎng)之間有兩層隔斷。 日志 Host A Host B Host C Host D Inter 安全網(wǎng)域 Host G Host H ?現(xiàn)有的防火墻系統(tǒng)已經(jīng)大都具有支持三個隔離網(wǎng)段的功能。 TCP 9： 10 20220207 寫入日志 寫入日志 一旦出現(xiàn)安全事故 可以查詢此日志 身份鑒別 Host C Host D Host B Host A 受保護網(wǎng)絡(luò) Inter Permit Password Username 預(yù)先可在防火墻上設(shè)定用戶 root 123 root 123 Yes admin 883 No 不管那臺電腦都可以用相同的用戶名來登陸防火墻 只需在防火墻設(shè)置該用戶的規(guī)則即可 高層協(xié)議控制 ? 應(yīng)用控制可以對常用的高層應(yīng)用做更細(xì)的控制 ? 如 HTTP的 GET、 POST、 HEAD ? 如 FTP的 GET、 PUT等 物理層 鏈路層 網(wǎng)絡(luò)層 傳輸層 會話層 表示層 應(yīng)用層 物理層 鏈路層 網(wǎng)絡(luò)層 傳輸層 會話層 表示層 應(yīng)用層 內(nèi)部網(wǎng)絡(luò) 外部網(wǎng)絡(luò) 防火墻 內(nèi)部接口 外部接口 根據(jù)策略檢查應(yīng)用層的數(shù)據(jù) 符合策略 應(yīng)用層 應(yīng)用層應(yīng)用層 IP與 MAC綁定 Inter Host A Host B Host C Host D 005004BB71A6 005004BB71BC Bind To 005004BB71A6 Bind To 005004BB71BC IP與 MAC地址綁定后，不允許Host B假冒 Host A的 IP地址上網(wǎng) 防火墻允許 Host A上網(wǎng) NAT轉(zhuǎn)換 amp。 如果該請求被允許，堡壘主機就把數(shù)據(jù)包發(fā)送到某一內(nèi)部主機或屏蔽路由器上，否則拋棄該數(shù)據(jù)包 37 屏蔽主機防火墻 ?對于入站連接，根據(jù) 安全策略 ，屏蔽路由器可以： ?允許某種服務(wù)的數(shù)據(jù)包先到達堡壘主機，然后與內(nèi)部主機連接 ?直接禁止某種服務(wù)的數(shù)據(jù)包入站連接 ?對于出站連接，根據(jù) 安全策略 ： ?對于一些服務(wù) (Tel)，可以允許它直接通過屏蔽路由器連接到外部網(wǎng)絡(luò)，而不通過堡壘主機 ?其它服務(wù) (WWW和 SMTP等 )，必須經(jīng)過堡壘主機才能連接到 Inter，并在堡壘主機上運行該服務(wù)的代理服務(wù)器 38 屏蔽主機防火墻 ?屏蔽主機防火墻轉(zhuǎn)發(fā)數(shù)據(jù)包的過程 表 示 層I P 包 過 濾應(yīng) 用 層 代 理物 理 層數(shù) 據(jù) 鏈 路 層網(wǎng) 絡(luò) 層傳 輸 層會 話 層內(nèi) 部 堡 壘 主 機過 濾 路 由 器物 理 層數(shù) 據(jù) 鏈 路 層I n t e r n e t內(nèi) 部 網(wǎng)39 屏蔽主機防火墻 ?與包過濾型防火墻的比較： ?其提供的安全等級比包過濾防火墻系統(tǒng)要高，實現(xiàn)了 網(wǎng)絡(luò)層安全 (包過濾 )和 應(yīng)用層安全 (代理服務(wù) ) ?入侵者在破壞內(nèi)部網(wǎng)絡(luò)的安全性之前，必須首先滲透兩種不同的安全系統(tǒng) ?即使入侵者進入了內(nèi)部網(wǎng)絡(luò)，也必須和堡壘主機競爭，堡壘主機是一臺安全性很高的主機 40 屏蔽主機防火墻 ?路由器不被正常路由的例子： ?正常路由情況： ?內(nèi)部網(wǎng)絡(luò)地址： ?堡壘主機地址： ?路由表內(nèi)容 ?所有流量發(fā)到堡壘主機上 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1