網(wǎng)絡(luò)安全07-防火墻(完整版)
【正文】 關(guān)理解應(yīng)用協(xié)議，可以實施更細粒度的訪問控制 ? 可以監(jiān)視包的內(nèi)容 ? 可以實現(xiàn)基于用戶的 認證 ? 可以提供理想的日志功能 ? 對每一類應(yīng)用，都需要一個專門的代理，不夠靈活 ? 非常安全，但是開銷比較大 應(yīng)用層網(wǎng)關(guān)的工作原理 客 戶 網(wǎng) 關(guān) 服務(wù)器 發(fā)送請求 轉(zhuǎn)發(fā)請求 請求響應(yīng) 轉(zhuǎn)發(fā)響應(yīng) 應(yīng)用層網(wǎng)關(guān)不依賴包過濾工具來管理 Inter服務(wù)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝代理服務(wù)的方式來管理 Inter服務(wù)。如果網(wǎng)絡(luò)管理員沒有為某種應(yīng)用安裝代理編碼，那么該項服務(wù)就不被支持并不能通過防火墻系統(tǒng)來轉(zhuǎn)發(fā)。 ? 屏蔽主機防火墻實現(xiàn)了網(wǎng)絡(luò)層（包過濾路由器）和應(yīng)用層（堡壘主機）的安全，因而比單獨的包過濾或應(yīng)用網(wǎng)關(guān)代理更安全。 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問屏蔽子網(wǎng)，但禁止它們穿過屏蔽子網(wǎng)通信。 應(yīng)用層網(wǎng)關(guān)的協(xié)議棧結(jié)構(gòu) HTTP FTP Tel Smtp 傳輸層 網(wǎng)絡(luò)層 鏈路層 應(yīng)用層網(wǎng)關(guān)的優(yōu)缺點 ? 優(yōu)點 ? 允許用戶“直接”訪問 Inter； ? 易于記錄日志； ? 缺點 ? 新的服務(wù)不能及時地被代理 ? 每個被代理的服務(wù)都要求專門的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務(wù)要求建立直接連接，無法使用代理 ?比如聊天服務(wù)、或者即時消息服務(wù) ? 代理服務(wù)不能避免協(xié)議本身的缺陷或者限制 應(yīng)用層網(wǎng)關(guān)實現(xiàn) ? 編寫代理軟件 ? 代理軟件一方面是服務(wù)器軟件 ? 但是它所提供的服務(wù)可以是簡單的轉(zhuǎn)發(fā)功能 ? 另一方面也是客戶軟件 ? 對于外面真正的服務(wù)器來說，是客戶軟件 ? 針對每一個服務(wù)都需要編寫模塊或者單獨的程序 ? 實現(xiàn)一個標準的框架，以容納各種不同類型的服務(wù) ? 軟件實現(xiàn)的可擴展性和可重用性 ? 客戶軟件 ? 軟件需要定制或者改寫 ? 對于最終用戶的透明性？ ? 協(xié)議對于應(yīng)用層網(wǎng)關(guān)的處理 ? 協(xié)議設(shè)計時考慮到中間代理的存在，特別是在考慮安全性，比如數(shù)據(jù)完整性的時候 電路層網(wǎng)關(guān) ? 電路層網(wǎng)關(guān)是一個通用代理服務(wù)器，工作 TCP/IP協(xié)議的 TCP層 ? 將所有跨越防火墻的網(wǎng)絡(luò)通信分為兩段 ? 建立兩個 TCP連接，一個是內(nèi)主機與防火墻，另一個是防火墻與外主機 ? 電路層網(wǎng)關(guān)只是在內(nèi)部連接和外部連接之間來回拷貝字節(jié)，并不進行任何附加的包處理或過濾 ? 通過電路層網(wǎng)關(guān)傳遞的數(shù)據(jù)似乎起源于網(wǎng)關(guān)，隱藏了被保護網(wǎng)絡(luò)的信息 ? 電路層網(wǎng)關(guān)常用于向外連接，對于要訪問互聯(lián)網(wǎng)服務(wù)的內(nèi)部用戶來說使用起來很方便 電路層網(wǎng)關(guān)示意圖 ?不允許外部網(wǎng)與內(nèi)
教學課件相關(guān)推薦
鄂ICP備17016276號-1