網(wǎng)絡(luò)安全,防火墻-wenkub
2023-02-13 17:04:24 本頁面
【正文】 的檢查站 ? （ 1） 不能防范惡意的知情 者 ? （ 2） 不能防范不通過它的 連接 ? （ 3） 不能防備全部的 威脅 ? （ 4） 防火墻不能防范病毒 7 ? 包過濾型防火墻 (Package Filtering Firewall) ? 雙宿 /多宿主機(jī)防火墻 (DualHomed/MultiHomed Host Firewall) ? 屏蔽主機(jī)防火墻 (Screened Host Firewall) ? 屏蔽子網(wǎng)防火墻 (Screened Sub Firewall) ? 其它防火墻結(jié)構(gòu) 8 ? 包過濾型防火墻，往往可以用一臺過濾路由器(Screened Router)來實(shí)現(xiàn)，對所接收的每個(gè)數(shù)據(jù)包做允許 /拒絕的決定 ? 包過濾型防火墻一般作用在網(wǎng)絡(luò)層，故也稱網(wǎng)絡(luò)層防火墻或 IP過濾器 I n t e r n e t內(nèi) 部 網(wǎng)9 查找對應(yīng)的控制策略 根據(jù)策略決定如何處理該數(shù)據(jù)包 數(shù)據(jù)包 拆開數(shù)據(jù)包 數(shù)據(jù) TCP報(bào)頭 IP報(bào)頭 分組過濾判斷信息 企業(yè)內(nèi)部網(wǎng) UDP Discard Host C Host B TCP Pass Host C Host A Destination Protocol Permit Source 包過濾規(guī)則 Host C Host A 10 ? 路由器審查每個(gè)數(shù)據(jù)包 ， 確定其是否與某一條包過濾規(guī)則匹配 ? 過濾規(guī)則基于可以提供給 IP轉(zhuǎn)發(fā)過程的包頭信息 ， 包頭信息中包括： ? 源 IP地址 、 目標(biāo) IP地址 ? 協(xié)議類型 (TCP、 UDP、 ICMP等等 ) ?TCP/UDP源端口 、 目標(biāo)端口 ?ICMP消息類型 ?TCP包頭中的 ACK位等 11 ? 對到達(dá)包過濾防火墻的數(shù)據(jù)包： ? 規(guī)則允許該數(shù)據(jù)包通過，那么該數(shù)據(jù)包就會按照路由表中的信息被轉(zhuǎn)發(fā) ? 規(guī)則拒絕該數(shù)據(jù)包，那么該數(shù)據(jù)包就會被丟棄 ? 如果沒有匹配規(guī)則，根據(jù)系統(tǒng)的設(shè)計(jì)策略 (缺省禁止 /缺省允許 )決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包 12 ?優(yōu)點(diǎn)： ? 處理數(shù)據(jù)包的速度比較快 (與代理服務(wù)器相比 ) ?在流量適中并定義較少過濾規(guī)則時(shí)，路由器的性能幾乎不受影響 ? 實(shí)現(xiàn)包過濾幾乎不再需要費(fèi)用 ?標(biāo)準(zhǔn)的路由器軟件包含數(shù)據(jù)包過濾功能 ? 包過濾路由器對用戶和應(yīng)用來講是透明的 ?不必對用戶進(jìn)行特殊的培訓(xùn) ?不必在每臺主機(jī)上安裝特定的軟件 ?用戶不用改變客戶端程序或改變自己的行為 13 ? 缺點(diǎn)： ? 包過濾防火墻的維護(hù)比較困難 ? 定義數(shù)據(jù)包過濾器比較復(fù)雜，網(wǎng)絡(luò)管理員需要對各種 Inter服務(wù)、包頭格式、以及每個(gè)域的意義有非常深入的理解 ? 只能阻止一種類型的 IP欺騙 ? 即外部主機(jī)偽裝
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1