網(wǎng)絡(luò)安全07-防火墻-文庫吧在線文庫
【正文】 的思想 ? 在 網(wǎng)絡(luò)層 對數(shù)據(jù)包進行選擇 ? 對于每個進來的包，適用一組規(guī)則，然后決定轉(zhuǎn)發(fā)或者丟棄該包 ? 判斷依據(jù)有 (只考慮 IP包 )： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項：源路由、記錄路由等 ? TCP選項： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過濾路由器示意圖 網(wǎng)絡(luò)層 鏈路層 物理層 外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò) 包過濾防火墻的特點 ? 在 網(wǎng)絡(luò)層 上進行監(jiān)測 ? 并沒有考慮連接狀態(tài)信息 ? 通常在路由器上實現(xiàn) ? 實際上是一種網(wǎng)絡(luò)的訪問控制機制 ? 優(yōu)點： ? 實現(xiàn)簡單 ? 對用戶透明 ? 一個包過濾路由器即可保護整個網(wǎng)絡(luò) ? 缺點： ? 正確制定規(guī)則并不容易 ? 不可能引入認(rèn)證機制 ? 包過濾防火墻只通過簡單的規(guī)則控制數(shù)據(jù)流的進出，沒考慮高層的上下文信息 過濾規(guī)則舉例 ?第一條規(guī)則：主機 口，基于 TCP協(xié)議的數(shù)據(jù)包都允許通過。 ? 這種防火墻的特點是主機的路由功能是被禁止的，即主機在兩個端口之間直接轉(zhuǎn)發(fā)信息的功能被關(guān)掉。在這一配置中，即使堡壘主機被入侵者控制，內(nèi)部網(wǎng)仍受到內(nèi)部包過濾路由器的保護。堡壘主機可以充當(dāng) 應(yīng)用層網(wǎng)關(guān)和電路級網(wǎng)關(guān) 。 組序號 動作 源 IP 目的 IP 源端口 目的端口 協(xié)議類型 1 允許 * * * TCP 2 允許 * 20 * TCP 3 禁止 * 20 1024 TCP 針對包過濾防火墻的攻擊 ? IP地址欺騙，例如，假冒內(nèi)部的 IP地址 ? 對策：在外部接口上禁止內(nèi)部地址 ? 源路由攻擊，即由源指定路由從而旁路安全措施 ? 對策：禁止這樣的選項 ? 小碎片攻擊，利用 IP分片功能把 TCP頭部切分到不同的分片中，以繞過用戶定義的過濾規(guī)則 ? 對策：丟棄分片太小的分片 ? 利用復(fù)雜協(xié)議和管理員的配置失誤進入防火墻 ? 例如，利用 ftp協(xié)議對內(nèi)部進行探查 應(yīng)用層網(wǎng)關(guān) ? 應(yīng)用層網(wǎng)關(guān) ? 在 應(yīng)用層 上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能 ? 針對 特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議 使用指定的數(shù)據(jù) 過濾邏輯 ，并在過濾的同時，對數(shù)據(jù)包進行必要的分析、登記和統(tǒng)計，形成報告 ? 特點 ? 所有的連接都通過防火墻，防火墻作為網(wǎng)關(guān) ? 在 應(yīng)用層 上實現(xiàn)，網(wǎng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1