防火墻原理-體系結(jié)構(gòu)-系統(tǒng)設(shè)計(存儲版)
【正文】 Inter 區(qū)域 Inter 邊界路由器 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點子網(wǎng) 下屬機構(gòu) DDN/FR DMZ區(qū)域 WWW Mail DNS FW+VPN FW+VPN 進行規(guī)則檢查 將訪問記錄寫進日志文件 防火墻在此處的功能： 將內(nèi)部子網(wǎng)與連接下屬機構(gòu)的公網(wǎng)隔離開 控制下屬機構(gòu)子網(wǎng)用戶對總部內(nèi)網(wǎng)的訪問 對下屬機構(gòu)網(wǎng)絡(luò)與總部子網(wǎng)之間的通訊做日志和審計 Host C Host D 數(shù)據(jù)包 數(shù)據(jù)包 數(shù)據(jù)包 查找對應(yīng)的控制策略 拆開數(shù)據(jù)包 進行分析 根據(jù)策略決定如何處理該數(shù)據(jù)包 數(shù)據(jù)包 控制策略 ? 基于源 IP地址 ? 基于目的 IP地址 ? 基于源端口 ? 基于目的端口 ? 基于時間 ?基于用戶 ? 基于流量 可以靈活的制定 的控制策略 包過濾 基于時間的訪問控制 Host C Host D 在防火墻上制定基于時間的訪問控制策略 上班時間不允許訪問 Inter 上班時間可以訪問公司的網(wǎng)絡(luò) Inter 用戶級權(quán)限控制 Host C Host D Host B Host A 受保護網(wǎng)絡(luò) Inter 遠程設(shè)備將不會知道你內(nèi)部網(wǎng)絡(luò)的布局以及都有些什么。在該檢查點防火墻設(shè)備就可以監(jiān)視，過濾和檢查所有進來和出去的流量。 3）允許內(nèi)部網(wǎng)絡(luò)中的用戶訪問外部網(wǎng)絡(luò)的服務(wù)和資源而不泄漏內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)和資源。防火墻的英文名為“ FireWall”，它是最重要的網(wǎng)絡(luò)防護設(shè)備之一。 一般采用 Linux、 UNIX或 FreeBSD系統(tǒng) 作為支撐其工作的操作系統(tǒng)。 允許瀏覽網(wǎng)站不允許遠程登錄 防火墻可以使用的兩種基本的安全策略： ?規(guī)則規(guī)定拒絕哪些訪問，允許其余沒規(guī)定的訪問 ?規(guī)則規(guī)定允許哪些訪問，拒絕其余沒規(guī)定的訪問 為了得到較高的安全性，一般采用第 2個策略。 防火墻在你的網(wǎng)絡(luò)周圍創(chuàng)建了一個保護的邊界。如果該請求被允許，堡壘主機就把數(shù)據(jù)包發(fā)送到某一內(nèi)部主機或屏蔽路由器上，否則拋棄該數(shù)據(jù)包 37 屏蔽主機防火墻 ?對于入站連接，根據(jù) 安全策略 ，屏蔽路由器可以： ?允許某種服務(wù)的數(shù)據(jù)包先到達堡壘主機，然后與內(nèi)部主機連接 ?直接禁止某種服務(wù)的數(shù)據(jù)包入站連接 ?對于出站連接，根據(jù) 安全策略 ： ?對于一些服務(wù) (Tel)，可以允許它直接通過屏蔽路由器連接到外部網(wǎng)絡(luò)，而不通過堡壘主機 ?其它服務(wù) (WWW和 SMTP等 )，必須經(jīng)過堡壘主機才能連接到 Inter，并在堡壘主機上運行該服務(wù)的代理服務(wù)器 38 屏蔽主機防火墻 ?屏蔽主機防火墻轉(zhuǎn)發(fā)數(shù)據(jù)包的過程 表 示 層I P 包 過 濾應(yīng) 用 層 代 理物 理 層數(shù) 據(jù) 鏈 路 層網(wǎng) 絡(luò) 層傳 輸 層會 話 層內(nèi) 部 堡 壘 主 機過 濾 路 由 器物 理 層數(shù) 據(jù) 鏈 路 層I n t e r n e t內(nèi) 部 網(wǎng)39 屏蔽主機防火墻 ?與包過濾型防火墻的比較： ?其提供的安全等級比包過濾防火墻系統(tǒng)要高，實現(xiàn)了 網(wǎng)絡(luò)層安全 (包過濾 )和 應(yīng)用層安全 (代理服務(wù) ) ?入侵者在破壞內(nèi)部網(wǎng)絡(luò)的安全性之前，必須首先滲透兩種不同的安全系統(tǒng) ?即使入侵者進入了內(nèi)部網(wǎng)絡(luò)，也必須和堡壘主機競爭，堡壘主機是一臺安全性很高的主機 40 屏蔽主機防火墻 ?路由器不被正常路由的例子： ?正常路由情況： ?內(nèi)部網(wǎng)絡(luò)地址： ?堡壘主機地址： ?路由表內(nèi)容 ?所有流量發(fā)到堡壘主機上 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路 由 器主 機2 0 2 . 1 1 2 . 1 0 8 . 7內(nèi) 部 網(wǎng) 絡(luò)2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉(zhuǎn) 發(fā) 至2 0 2 . 1 1 2 . 1 0 8 . 0 2 0 2 . 1 1 2 . 1 0 8 . 841 屏蔽主機防火墻 ?路由表被破壞的情況： ?堡壘主機的路由項目被從路由表中刪除 ?進入屏蔽路由器的流量不會被轉(zhuǎn)發(fā)到堡壘主機上，可能被轉(zhuǎn)發(fā)到另一主機上，外部主機直接訪問了內(nèi)部主機，繞過了防火墻 ?過濾路由器成為唯一一道防線，入侵者很容易突破屏蔽路由器，內(nèi)部網(wǎng)絡(luò)不再安全 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路 由 器主 機2 0 2 . 1 1 2 . 1 0 8 . 7內(nèi) 部 網(wǎng) 絡(luò)2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉(zhuǎn) 發(fā) 至 . . .路 由 信 息 被 刪 除堡 壘 主 機被 越 過42 屏蔽子網(wǎng)防火墻 ?本質(zhì)上同屏蔽主機防火墻一樣，但增加了一層保護體系 —— 周邊網(wǎng)絡(luò) (DMZ)。 Permit Password Username 預(yù)先可在防火墻上設(shè)定用戶 root 123 root 123 Yes admin 883 No 不管那臺電腦
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1