包過濾防火墻和靈巧網(wǎng)關(guān)設(shè)置(文件)
【正文】 y 53 NEW 34 地址轉(zhuǎn)換 ? NAT Network Address Translation ? 對通過防火墻的數(shù)據(jù)包 IP地址進(jìn)行改變 ? 隱藏內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)，提高安全性 ? 解決 IPv4地址不足 – 將正式地址和內(nèi)部保留地址進(jìn)行互相翻譯 – 10.*.*.* – .*.* – .*.* – .*.* ? 比代理效率高 35 地址轉(zhuǎn)換 ? NAT Network Address Translation – 適應(yīng)所有 IP通信 – 重寫 IP地址 – 1： 1的映射 – 類似直撥電話 ? NAPT Network Address Port Translation – 只能處理 TCP、 UDP、 ICMP通信 – 重寫 IP地址和端口信息 – 1:M的映射 – 類似電話分機(jī)概念 36 37 20 38 NAT amp。 option domainnameservers , 。 option biosnodetype 8。 } 。 option submask 。 option biosnameservers 。 SG 39。通過攔截安全策略不允許的數(shù)據(jù)包，保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。 ? 包過濾型防火墻對經(jīng)過它的數(shù)據(jù)包進(jìn)行處理，僅僅允許安全策略允許的數(shù)據(jù)包通過。 – 外在表現(xiàn)：路由型 、 透明網(wǎng)橋型 、 混合型 – 優(yōu)點：性能高 ， 對應(yīng)用透明 ， 使用方便 – 缺點：安全控制粒度不夠細(xì) 11 防火墻分類 ? 應(yīng)用層代理 – 對不同的應(yīng)用進(jìn)行相關(guān)的特殊處理，一般具有身份認(rèn)證、訪問控制、日志等功能。 8 防火墻基本概念 防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中的位置 從邏輯上講 ， 防火墻是一個控制器 ， 控制內(nèi)外網(wǎng)之間的通信 。 7 防火墻基本概念 ?由軟件和硬件組成的防火墻應(yīng)該具有以下功能： – 所有進(jìn)出網(wǎng)絡(luò)的通信流都應(yīng)該通過防火墻。 5 防火墻技術(shù) 主要介紹： 1. 防火墻基本概念 2. 防火墻的分類 3. 包過濾 4. 代理服務(wù) 6 防火墻基本概念 ?防火墻是在兩個網(wǎng)絡(luò)之間執(zhí)行訪問控制策略的一個或一組系統(tǒng)，包括硬件和軟件，目的是保護(hù)網(wǎng)絡(luò)不被他人侵?jǐn)_。 ?萬一某一部分或單元失火時，火災(zāi)被限制在一個局部范圍內(nèi)，其它部分不會受到損害。根據(jù)預(yù)先定義的策略控制穿過防火墻的信息流通。被策略禁止的通信不能通過被防火墻。 9 防火墻基本概念 ? 防火墻的基本功能 – 防火墻能夠強(qiáng)化安全策略 – 防火墻能有效地記錄因特網(wǎng)上的活動 – 防火墻限制暴露用戶點 – 防火墻是一個安全策略的檢查站 ? 防火墻的不足之處 – 不能防范惡意的知情者 – 防火墻不能防范不通過它的連接 – 防火墻不能防備全部的威脅 – 防火墻不能防范病毒 10 防火墻分類 ? 包過濾型 – 根據(jù)數(shù)據(jù)包的源地址 、 目的地址 、 協(xié)議 、 端口 、 協(xié)議內(nèi)部數(shù)據(jù) 、 時間 、 物理接口來判斷是否允許數(shù)據(jù)包通過 。 ? 包是網(wǎng)絡(luò)上信息流動的單位。 ? 包過濾一直是一種簡單而有效的方法。 NAPT ?地址足夠多時，使用 NAT ? IP地址不足時，往往要用到 NAPT 39 數(shù)據(jù)包內(nèi)數(shù)據(jù)的處理 ? NAT僅僅處理數(shù)據(jù)包頭的信息有時不能有效工作 ? 數(shù)據(jù)包中包含的 IP地址、端口信息需要同時修改 – DNS中的 A和 PTR查詢 /應(yīng)答 – Netmeeting中的 IP地址信息 – FTP PORT命令 – SIP協(xié)議等 ? 只有完全處理了這些信息，應(yīng)用才能正確工作 40 NAT的分類 ?不同的產(chǎn)品的術(shù)語不同 ? Linux下的 NAT有兩種實現(xiàn) – 在路由處理時修改 IP地址，只能實現(xiàn) 1:1的翻譯
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1