安全連入internet防火墻(完整版)
【正文】 五層：會話 Session第六層：表示層 Presentation第七層：應用層 Application網(wǎng)絡中的數(shù)據(jù)傳送物理層鏈路層網(wǎng)絡層傳輸層會話層表示層應用層物理層鏈路層網(wǎng)絡層TCP/IP協(xié)議層次結構物理 /數(shù)據(jù)鏈路層 (Ether)網(wǎng)絡層 Network (IP, ICMP)傳輸層 Transport (TCP, UDP)應用層 Application (FTP, Tel, DNS, NFS, PING)ARP： Address Resolution Protocol地址解析協(xié)議w IP數(shù)據(jù)包發(fā)送前w 查找對應 IP地址主機的物理地址w 在網(wǎng)絡上廣播 ARP請求w 緩存已經找到的硬件地址w 參見 RFC826ICMP互連網(wǎng)控制報文協(xié)議Inter Control Message Protocolw 用于傳送錯誤和控制報文，控制 IP協(xié)議w 主機關閉 /網(wǎng)關阻塞或不通 /其他故障w PING是一個著名的應用w RFC792IP (Inter Protocol)協(xié)議w 接收物理層（ Ether）發(fā)來的數(shù)據(jù)w 將數(shù)據(jù)傳送到高層協(xié)議，如 TCP、 UDPw 不可靠的數(shù)據(jù)報協(xié)議170。弱口令、口令破解程序、 NFS協(xié)議不能認證用戶w 管理人員的變動和水平一些安全問題：竊聽、假冒w IP假冒，同一網(wǎng)段內，改就行w 原路徑問題（ source route）170。協(xié)議本身，服務，配置以及系統(tǒng)本身防火墻的基本知識w 防火墻的主要目標是控制對一個受保護網(wǎng)絡的訪問，強迫所有連接都接受防火墻的檢查和評估。新的攻擊，數(shù)據(jù)驅動的攻擊，新的病毒，通信瓶頸，依賴（ all eggs in single basket）防火墻運行的網(wǎng)絡層次２數(shù)據(jù)鏈路層 (Ether)３網(wǎng)絡層 Network (IP, ICMP)４傳輸層 Transport (TCP, UDP)７應用層 Application (FTP, Tel, DNS, NFS, PING)w 簡單防火墻運行的層次少，而復雜防火墻運行的層次就多防火墻的功能分類w 包過濾防火墻w 狀態(tài)檢查機制防火墻w 應用代理網(wǎng)關防火墻w 專用代理防火墻w 混合型防火墻w 網(wǎng)絡地址轉換w 基于主機的防火墻w 個人防火墻／個人防火墻設備包過濾防火墻w 最基本的防火墻功能w 包含有許多過濾規(guī)則w 最基本的工作模式是工作在第二，第三層w 存取控制一般基于以下參數(shù)170。無法防止高級攻擊，如 IP地址假冒w 目前，很難找到只有包過濾功能的防火墻170。外出通信和進入通信同等重要狀態(tài)檢查防火墻Stateful Inspection Firewallsw 工作在 2， 3， 4層w 不是簡單開放大于 1023的端口而是記住每個 TCP連接或 UDP通信的狀態(tài) 1098 80 Established 1046 25 Established 1356 80 Established應用代理網(wǎng)關防火墻ApplicationProxy Gateway Firewallsw 代理網(wǎng)關防火墻主要工作在應用層 (2,3,4,7)w 部分語義的檢查w 可以進行用戶認證170。端口地址轉換 (Port Address Translation)防火墻功能總結w 包過濾防火墻w 狀態(tài)檢查機制防火墻w 應用代理網(wǎng)關防火墻w 專用代理防火墻w 混合型防火墻w 網(wǎng)絡地址轉換w 基于主機的防火墻w 個人防火墻／個人防火墻設備防火墻的布置與環(huán)境w 布置防火墻及環(huán)境的四條建議w 非軍事區(qū) (DMZ)w VPN及其的布置w IDSw DNSw 一個服務器布放的例子布置防火墻的建議（ NIST Guidelines）w 越簡單越好 (Keep It Simple)170。在防火墻設計時牢記w 各自的系統(tǒng)有各自的需求，應該具針對具體應用設計有針對性的防火
教學課件相關推薦
鄂ICP備17016276號-1