計算機網(wǎng)絡(luò)安全研究畢業(yè)設(shè)計(doc畢業(yè)設(shè)計論文)(文件)
【正文】 們不想讓用戶采用 telnet的方式連到系統(tǒng)，但這絕不等于我們非得同時禁止他們使用SMTP/POP郵件服務(wù)器吧？所以說，在地址之外我們還要對服務(wù)器的TCP/ UDP端口進行過濾。 客戶機也有TCP/UDP端口 TCP/IP是一種端對端協(xié)議，每個網(wǎng)絡(luò)節(jié)點都具有唯一的地址。同時telnet客戶機也有一個端口號，否則客戶機 的IP棧怎么知道某個數(shù)據(jù)包是屬于哪個應(yīng)用程序的呢？ 由于歷史的原因，幾乎所有的TCP/IP客戶程序都使用大于1023的隨機分配端口號。因為服務(wù)器發(fā)出響應(yīng)外部連接請求的入站（就是進入防火墻的意思）數(shù)據(jù)包都沒法經(jīng)過防火墻的入站過濾。 OK，咱們換個思路。如果你這樣設(shè)置防火墻，你就沒法訪問哪些沒采用標(biāo)準(zhǔn)端口號的的網(wǎng)絡(luò)站點了！反過來，你也沒法保證進入網(wǎng)絡(luò)的數(shù)據(jù)包中具有端口號80的就一定來自Web服務(wù)器。了。一般情況下都是單網(wǎng)卡，所以使用缺省的就可以了Limitpackets是否打開混雜模式。只抓取滿足過濾規(guī)則的包（可暫時略過）buffer：如果使用了循環(huán)緩沖，還需要設(shè)置文件的數(shù)目，文件多大時回卷 ethereal的抓包過濾器過濾器語言，在tcpdump[and|or 在ethereal協(xié)議為例，首先下載ethereal解壓到ethereal2)菜單EditPreference并單擊5)確保Desegment....7)確保Allow....TCP和Use....sequencesegments和ethreal，它確定用戶賬戶密碼設(shè)置，例如：密碼復(fù)雜度、密碼歷史等設(shè)置。 18 頁 共 20 頁。它確定用戶身份權(quán)限設(shè)置，例如：能訪問服務(wù)器的那個磁盤，此用戶身份能運行那個業(yè)務(wù)程序等設(shè)置。的版本中安裝新的插件來支持新的協(xié)議插件。然后點擊OK9)單擊TPKT是選中的8)確保沒有選中Check....TCPsegments前面的+號，展開Protocols目錄下面，插件，etherealprimitive[not]缺省情況下不使用，即一直抓包。use一般情況下只需要監(jiān)聽本機收到或者發(fā)出的包，因此應(yīng)該關(guān)閉這個選項。promiscuouspacket:抓的包就會顯示在面板中，并且已經(jīng)分析好了nterface:以后，選擇菜單CapatureStart比如，如果你知道用戶要訪問web服務(wù)器，那就只讓具有源端口號80的數(shù)據(jù)包進入網(wǎng)絡(luò)： 不過新問題又出現(xiàn)了。由于很多服務(wù)使用的端口都大于1023，比如X client、基于RPC的NFS服務(wù)以及為數(shù)眾多的非UNIX IP產(chǎn)品等（NetWare/IP）就是這樣的。所以，除非我們讓所有具有大于1023端口號的數(shù)據(jù)包進入網(wǎng)絡(luò)，否則各種網(wǎng)絡(luò)連接都沒法正常工作。地址和端口都具備了才能建立客戶機和服務(wù)器的各種應(yīng)用之間的有效通信聯(lián)系。假如我們不許PC客戶機建立對UNIX計算機（在這時我們當(dāng)它是服務(wù)器）的telnet連接，那么我們只需命令防火墻檢查發(fā)送目標(biāo)是UNIX服務(wù)器的數(shù)據(jù)包，把其中具有23目標(biāo)端口號的包過濾就行了。這正是防火墻最基本的功能：根據(jù)IP地址做轉(zhuǎn)發(fā)判斷。接下來，協(xié)議棧將這個TCP包“塞”到一個IP包里，然后通過PC機的TCP/IP棧所定義的路徑將它發(fā)送給UNIX計算機。 所有的防火墻都具有IP地址過濾功能。這些防火墻的形式多種多樣：有的取代系統(tǒng)上已經(jīng)裝備的TCP/IP協(xié)議棧；有的在已有的協(xié)議棧上建立自己的軟件模塊；有的干脆就是獨立的 一套操作系統(tǒng)。直接說就是接受或者拒絕。 因小差錯可使防火墻不能作為安全工具。 防火墻經(jīng)常有網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT) 的功能, 并且主機被保護在防火墻之后共同地使用所謂的“私人地址空間”, 依照被定義在[RFC 1918] 。 代理由外在網(wǎng)絡(luò)使竄改一個內(nèi)部系統(tǒng)更加困難, 并且一個內(nèi)部系統(tǒng)誤用不一定會導(dǎo)致一個安全漏洞可開采從防火墻外面(只要應(yīng)用代理剩下的原封和適當(dāng)?shù)乇慌渲? 。 防火墻借由監(jiān)測所有的封包并找出不符規(guī)則的內(nèi)容，可以防范電腦蠕蟲或是木馬程序的快速蔓延。也能經(jīng)由通信協(xié)議、TTL 值、來源的網(wǎng)域名稱或網(wǎng)段...等屬性來進行過濾。這些規(guī)則通常可以經(jīng)由管理員定義或修改，不過某些防火墻設(shè)備可能只能套用內(nèi)置的規(guī)則。 這兩類型防火墻也許重疊。一臺電腦和一個傳統(tǒng)防火墻通常跑
高考資料相關(guān)推薦
鄂ICP備17016276號-1