網(wǎng)絡(luò)安全07-防火墻(文件)
【正文】 ? 不能有效地防范數(shù)據(jù)驅(qū)動(dòng)式的攻擊，如病毒 ? 當(dāng)使用端 端加密時(shí)其作用會(huì)受到很大的限制 關(guān)于防火墻的爭(zhēng)議 ? 防火墻破壞了 Inter端到端的特性，阻礙了新的應(yīng)用的發(fā)展 ? 防火墻沒(méi)有解決主要的安全問(wèn)題，即網(wǎng)絡(luò)內(nèi)部的安全問(wèn)題 ? 防火墻給人一種誤解，降低了人們對(duì)主機(jī)安全的意識(shí) 防火墻的類型 防火墻的類型 ? 包過(guò)濾路由器 ? 應(yīng)用層網(wǎng)關(guān) ? 電路層網(wǎng)關(guān) 包過(guò)濾路由器 ? 基本的思想 ? 在 網(wǎng)絡(luò)層 對(duì)數(shù)據(jù)包進(jìn)行選擇 ? 對(duì)于每個(gè)進(jìn)來(lái)的包，適用一組規(guī)則，然后決定轉(zhuǎn)發(fā)或者丟棄該包 ? 判斷依據(jù)有 (只考慮 IP包 )： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項(xiàng)：源路由、記錄路由等 ? TCP選項(xiàng)： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項(xiàng)： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過(guò)濾路由器示意圖 網(wǎng)絡(luò)層 鏈路層 物理層 外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò) 包過(guò)濾防火墻的特點(diǎn) ? 在 網(wǎng)絡(luò)層 上進(jìn)行監(jiān)測(cè) ? 并沒(méi)有考慮連接狀態(tài)信息 ? 通常在路由器上實(shí)現(xiàn) ? 實(shí)際上是一種網(wǎng)絡(luò)的訪問(wèn)控制機(jī)制 ? 優(yōu)點(diǎn)： ? 實(shí)現(xiàn)簡(jiǎn)單 ? 對(duì)用戶透明 ? 一個(gè)包過(guò)濾路由器即可保護(hù)整個(gè)網(wǎng)絡(luò) ? 缺點(diǎn)： ? 正確制定規(guī)則并不容易 ? 不可能引入認(rèn)證機(jī)制 ? 包過(guò)濾防火墻只通過(guò)簡(jiǎn)單的規(guī)則控制數(shù)據(jù)流的進(jìn)出，沒(méi)考慮高層的上下文信息 過(guò)濾規(guī)則舉例 ?第一條規(guī)則：主機(jī) 口，基于 TCP協(xié)議的數(shù)據(jù)包都允許通過(guò)。如果網(wǎng)絡(luò)管理員沒(méi)有為某種應(yīng)用安裝代理編碼，那么該項(xiàng)服務(wù)就不被支持并不能通過(guò)防火墻系統(tǒng)來(lái)轉(zhuǎn)發(fā)。兩個(gè)網(wǎng)絡(luò)之間的通信通過(guò)應(yīng)用層代理服務(wù) 來(lái)完成。 ? 屏蔽主機(jī)防火墻實(shí)現(xiàn)了網(wǎng)絡(luò)層（包過(guò)濾路由器）和應(yīng)用層（堡壘主機(jī)）的安全，因而比單獨(dú)的包過(guò)濾或應(yīng)用網(wǎng)關(guān)代理更安全。 實(shí)施中的其他問(wèn)題 ? 服務(wù)最小特權(quán)原則 ? 使用多堡壘主機(jī) ? 合并內(nèi)部路由器與外部路由器 ? 合并堡壘主機(jī)與外部路由器 ? 合并堡壘主機(jī)與內(nèi)部路由器 ? 使用多臺(tái)內(nèi)部路由器 ? 使用多臺(tái)外部路由器 ? 使用多個(gè)周邊網(wǎng)絡(luò) ? 使用雙重宿主主機(jī)與屏蔽子網(wǎng) 謝謝！ 演講完畢，謝謝觀看！ 。 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問(wèn)屏蔽子網(wǎng)，但禁止它們穿過(guò)屏
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1