網(wǎng)絡(luò)安全第4講防火墻-文庫吧在線文庫
【正文】 于單一協(xié)議。 應(yīng)用級代理 proxy (2) Tel代理服務(wù)器應(yīng)用級代理 proxy (4) ）應(yīng)用層代理的優(yōu)點應(yīng)用層代理能夠讓網(wǎng)絡(luò)管理員對服務(wù)進行全面的控制，因為代理應(yīng)用限制了命令集并決定哪些內(nèi)部主機可以被該服務(wù)訪問。不過，特殊的端系統(tǒng)軟件可以讓用戶在 Tel命令中指定目標主機而不是應(yīng)用層代理來使應(yīng)用層代理透明 。狀態(tài)檢測技術(shù)（ 1）狀態(tài)檢測的特點是監(jiān)測一個有效連接的狀態(tài)，在抓獲信息包后對其進行分析并將數(shù)據(jù)包的狀態(tài)信息與前一時刻的狀態(tài)進行比較，在此基礎(chǔ)上決定是否允許該數(shù)據(jù)包通過或丟棄。n 必須支持很多用戶的訪問（中轉(zhuǎn)站），其性能非常重要。n 不允許所有來自外部主機的直接連接。 Inter周邊網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)……外部路由器堡壘主機內(nèi)部路由器屏蔽子網(wǎng)體系結(jié)構(gòu)屏蔽子網(wǎng)體系結(jié)構(gòu)（ 2）周邊網(wǎng)絡(luò)是一個防護層，在其上可放置一些信息服務(wù)器，它們是犧牲主機，可能會受到攻擊，因此又被稱為非軍事區(qū)（ DMZ）。內(nèi)部路由器（阻塞路由器）n 作用：保護內(nèi)部網(wǎng)絡(luò)不受外部網(wǎng)絡(luò)和周邊網(wǎng)絡(luò)的侵害，它執(zhí)行大部分過濾工作。安全策略應(yīng)該盡可能明確，避免模棱兩可和容易誤解的內(nèi)容。 這種方案的最大特點就是靈活，能夠為用戶提供更多的選擇和網(wǎng)絡(luò)服務(wù)。防火墻阻斷所有不安全的信息，而經(jīng)過嚴格配置并被證明安全的服務(wù)和網(wǎng)絡(luò)訪問是被允許的。安全策略是一個正式的規(guī)則聲明，獲準訪問組織的技術(shù)和信息資產(chǎn)的人必須遵守這些規(guī)則。n 對于出站服務(wù)不一定要求所有的服務(wù)經(jīng)過堡壘主機代理，但對于入站服務(wù)應(yīng)要求所有服務(wù)都通過堡壘主機。屏蔽子網(wǎng)體系結(jié)構(gòu)（ 1）屏蔽子網(wǎng)體系結(jié)構(gòu)在本質(zhì)上與屏蔽主機體系結(jié)構(gòu)一樣，但添加了額外的一層保護體系 ——周邊網(wǎng)絡(luò)。典型構(gòu)成：包過濾路由器＋堡壘主機。然而實現(xiàn)雙重宿主主機的防火墻體系結(jié)構(gòu)禁止這種發(fā)送功能，完全阻止了內(nèi)外網(wǎng)絡(luò)之間的IP通信。一旦兩個連接建立起來，網(wǎng)關(guān)從一個連接向另一個連接轉(zhuǎn)發(fā) TCP報文段，而不檢查其內(nèi)容。另外，用于應(yīng)用層的過濾規(guī)則相對于包過濾防火墻來說更容易配置和測試。不允許直接在外部網(wǎng)和內(nèi)部網(wǎng)之間建立通信。例如，Tel服務(wù)器在 TCP的 23號端口上監(jiān)聽遠地連接，而 SMTP服務(wù)器在 TCP的 25號端口上監(jiān)聽人連接。防火墻實現(xiàn)層次防火墻功能（ 1） 基本功能模塊應(yīng)用程序代理包過濾 狀態(tài)檢測用戶認證NATVPN日志IDS與報警內(nèi)容過濾防火墻的功能過濾進出網(wǎng)絡(luò)的數(shù)據(jù)管理進出網(wǎng)絡(luò)的訪問行為封堵某些禁止的業(yè)務(wù)記錄進出網(wǎng)絡(luò)的信息和活動對網(wǎng)絡(luò)攻擊進行檢測和告警防火墻功能（ 2）爭議及不足使用不便，認為防火墻給人虛假的安全感對用戶不完全透明，可能帶來傳輸延遲、瓶頸及單點失效不能替代墻內(nèi)的安全措施n 不能防范惡意的知情者 n 不能防范不通過它的連接 n 不能防范全新的威
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1