《防火墻技術(shù)》ppt課件 (2)(文件)
【正文】 （ Packet filter），因?yàn)樗ぷ髟诰W(wǎng)絡(luò)層，又叫網(wǎng)絡(luò)層防火墻（ Network level firewall）。 2. 包過濾防火墻的優(yōu)點(diǎn) 包過濾防火墻具有明顯的優(yōu)點(diǎn)： （ 1） 一個(gè)屏蔽路由器能保護(hù)整個(gè)網(wǎng)絡(luò) 一個(gè)恰當(dāng)配置的屏蔽路由器連接內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò) ，進(jìn)行數(shù)據(jù)包過濾 ， 就可以取得較好的網(wǎng)絡(luò)安全效果 。 （ 3） 屏蔽路由器速度快 、 效率高 屏蔽路由器只檢查包頭信息 ， 一般不查看數(shù)據(jù)部分 ， 而且某些核心部分是由專用硬件實(shí)現(xiàn)的 ， 故其轉(zhuǎn)發(fā)速度快 、 效率較高 ， 通常作為網(wǎng)絡(luò)安全的第一道防線 。 有的時(shí)候 ， 因?yàn)榕渲缅e(cuò)誤 ， 防火墻根本就不起作用 。 代理服務(wù)器運(yùn)行在兩個(gè)網(wǎng)絡(luò)之間 ， 它對(duì)于客戶機(jī)來說像是一臺(tái)真的服務(wù)器 ， 而對(duì)于外網(wǎng)的服務(wù)器來說 ， 它又是一臺(tái)客戶機(jī) 。 如果代理實(shí)現(xiàn)得好 ， 可以對(duì)配置協(xié)議要求較低 ， 從而避免了配置錯(cuò)誤 。 （ 4） 代理能過濾數(shù)據(jù)內(nèi)容 可以把一些過濾規(guī)則應(yīng)用于代理 ， 讓它在應(yīng)用層實(shí)現(xiàn)過濾功能 。 應(yīng)用層代理的優(yōu)點(diǎn)是能解釋應(yīng)用協(xié)議 ， 支持用戶認(rèn)證 ， 從而能對(duì)應(yīng)用層的數(shù)據(jù)進(jìn)行更細(xì)粒度的控制 。 電路層網(wǎng)關(guān)用來在兩個(gè)通信的終點(diǎn)之間轉(zhuǎn)換包 。 對(duì)用戶來說 ， 內(nèi)網(wǎng)與外網(wǎng)的信息交換是透明的 ， 感覺不到防火墻的存在 ， 那是因?yàn)橐蛱鼐W(wǎng)絡(luò)用戶不需要登錄到防火墻上 。 而一旦代理明確了會(huì)話的所有細(xì)節(jié) ， 其后的數(shù)據(jù)包就可以直接經(jīng)過速度更快的網(wǎng)絡(luò)層 。 （ 2）與入侵檢測(cè)技術(shù)和攻擊防御技術(shù)的融合 （ 3）提供對(duì)應(yīng)用層攻擊行為的檢測(cè)和對(duì)應(yīng)用層內(nèi)容的過濾功能。 一般情況下雙宿主機(jī)的路由功能是被禁止的 ， 這樣可以隔離內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的直接通信 ， 從而達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)的作用 。 內(nèi)部網(wǎng)堡壘主機(jī)工作站 工作站 工作站Int erne t. . . . . .路由器防火墻 屏蔽子網(wǎng)結(jié)構(gòu) 屏蔽子網(wǎng)結(jié)構(gòu)它是在屏蔽主機(jī)結(jié)構(gòu)的基礎(chǔ)上添加額外的安全層 ， 即通過添加周邊網(wǎng)絡(luò) （ 即屏蔽子網(wǎng) ） 更進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔離開 。 這種配置的危險(xiǎn)地帶僅包括堡壘主機(jī) 、 子網(wǎng)主機(jī)及所有連接內(nèi)網(wǎng) 、 外網(wǎng)和屏蔽子網(wǎng)的路由器 。 兩個(gè)屏蔽路由器放在子網(wǎng)的兩端 ， 在子網(wǎng)內(nèi)構(gòu)成一個(gè) “ 非軍事區(qū) ” DMZ。通常在路由器上設(shè)立過濾規(guī)則，并使這個(gè)堡壘主機(jī)成為從外部網(wǎng)絡(luò)唯一可直接到達(dá)的主機(jī)。 2．集成化管理 3．分布式體系結(jié)構(gòu) 防火墻體系結(jié)構(gòu) （ 1） 雙重宿主主機(jī)結(jié)構(gòu)； （ 2） 被屏蔽主機(jī)結(jié)構(gòu)； （ 3） 被屏蔽子網(wǎng)結(jié)構(gòu) 。作為自適應(yīng)安全計(jì)劃的一部分，自適應(yīng)代理將允許經(jīng)過正確驗(yàn)證的設(shè)備在安全傳感器和掃描儀發(fā)現(xiàn)重要的網(wǎng)絡(luò)威脅時(shí)，根據(jù)防火墻管理員事先確定的安全策略
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1