網(wǎng)絡(luò)安全07-防火墻(完整版)
【正文】 關(guān)理解應(yīng)用協(xié)議，可以實(shí)施更細(xì)粒度的訪問(wèn)控制 ? 可以監(jiān)視包的內(nèi)容 ? 可以實(shí)現(xiàn)基于用戶的 認(rèn)證 ? 可以提供理想的日志功能 ? 對(duì)每一類應(yīng)用，都需要一個(gè)專門(mén)的代理，不夠靈活 ? 非常安全，但是開(kāi)銷比較大 應(yīng)用層網(wǎng)關(guān)的工作原理 客 戶 網(wǎng) 關(guān) 服務(wù)器 發(fā)送請(qǐng)求 轉(zhuǎn)發(fā)請(qǐng)求 請(qǐng)求響應(yīng) 轉(zhuǎn)發(fā)響應(yīng) 應(yīng)用層網(wǎng)關(guān)不依賴包過(guò)濾工具來(lái)管理 Inter服務(wù)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝代理服務(wù)的方式來(lái)管理 Inter服務(wù)。如果網(wǎng)絡(luò)管理員沒(méi)有為某種應(yīng)用安裝代理編碼，那么該項(xiàng)服務(wù)就不被支持并不能通過(guò)防火墻系統(tǒng)來(lái)轉(zhuǎn)發(fā)。 ? 屏蔽主機(jī)防火墻實(shí)現(xiàn)了網(wǎng)絡(luò)層（包過(guò)濾路由器）和應(yīng)用層（堡壘主機(jī)）的安全，因而比單獨(dú)的包過(guò)濾或應(yīng)用網(wǎng)關(guān)代理更安全。 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問(wèn)屏蔽子網(wǎng)，但禁止它們穿過(guò)屏蔽子網(wǎng)通信。 應(yīng)用層網(wǎng)關(guān)的協(xié)議棧結(jié)構(gòu) HTTP FTP Tel Smtp 傳輸層 網(wǎng)絡(luò)層 鏈路層 應(yīng)用層網(wǎng)關(guān)的優(yōu)缺點(diǎn) ? 優(yōu)點(diǎn) ? 允許用戶“直接”訪問(wèn) Inter； ? 易于記錄日志； ? 缺點(diǎn) ? 新的服務(wù)不能及時(shí)地被代理 ? 每個(gè)被代理的服務(wù)都要求專門(mén)的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務(wù)要求建立直接連接，無(wú)法使用代理 ?比如聊天服務(wù)、或者即時(shí)消息服務(wù) ? 代理服務(wù)不能避免協(xié)議本身的缺陷或者限制 應(yīng)用層網(wǎng)關(guān)實(shí)現(xiàn) ? 編寫(xiě)代理軟件 ? 代理軟件一方面是服務(wù)器軟件 ? 但是它所提供的服務(wù)可以是簡(jiǎn)單的轉(zhuǎn)發(fā)功能 ? 另一方面也是客戶軟件 ? 對(duì)于外面真正的服務(wù)器來(lái)說(shuō)，是客戶軟件 ? 針對(duì)每一個(gè)服務(wù)都需要編寫(xiě)模塊或者單獨(dú)的程序 ? 實(shí)現(xiàn)一個(gè)標(biāo)準(zhǔn)的框架，以容納各種不同類型的服務(wù) ? 軟件實(shí)現(xiàn)的可擴(kuò)展性和可重用性 ? 客戶軟件 ? 軟件需要定制或者改寫(xiě) ? 對(duì)于最終用戶的透明性？ ? 協(xié)議對(duì)于應(yīng)用層網(wǎng)關(guān)的處理 ? 協(xié)議設(shè)計(jì)時(shí)考慮到中間代理的存在，特別是在考慮安全性，比如數(shù)據(jù)完整性的時(shí)候 電路層網(wǎng)關(guān) ? 電路層網(wǎng)關(guān)是一個(gè)通用代理服務(wù)器，工作 TCP/IP協(xié)議的 TCP層 ? 將所有跨越防火墻的網(wǎng)絡(luò)通信分為兩段 ? 建立兩個(gè) TCP連接，一個(gè)是內(nèi)主機(jī)與防火墻，另一個(gè)是防火墻與外主機(jī) ? 電路層網(wǎng)關(guān)只是在內(nèi)部連接和外部連接之間來(lái)回拷貝字節(jié)，并不進(jìn)行任何附加的包處理或過(guò)濾 ? 通過(guò)電路層網(wǎng)關(guān)傳遞的數(shù)據(jù)似乎起源于網(wǎng)關(guān)，隱藏了被保護(hù)網(wǎng)絡(luò)的信息 ? 電路層網(wǎng)關(guān)常用于向外連接，對(duì)于要訪問(wèn)互聯(lián)網(wǎng)服務(wù)的內(nèi)部用戶來(lái)說(shuō)使用起來(lái)很方便 電路層網(wǎng)關(guān)示意圖 ?不允許外部網(wǎng)與內(nèi)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1