防火墻技術(shù)ppt課件(2)(更新版)
【正文】 器決定讓數(shù)據(jù)包通過時(shí) ， 它與普通路由器沒什么區(qū)別 ， 用戶感覺不到它的存在 。 同樣的道理 ， 代理服務(wù)器在外網(wǎng)向內(nèi)網(wǎng)申請服務(wù)時(shí)也發(fā)揮了中間轉(zhuǎn)接的作用 。 內(nèi)部用戶可以不經(jīng)過防火墻竊取數(shù)據(jù) 、 破壞硬件和軟件 ， 這類攻擊占了全部攻擊的一半以上 。 這是一個(gè)最安全的方法 ， 但從用戶的角度來看 ，這樣可能會(huì)有很多限制 ， 不是很方便 。 216。 防火墻及相關(guān)概念 216。 非軍事化區(qū) （ DMZ） ：為了配置管理方便 ， 內(nèi)網(wǎng)中需要向外網(wǎng)提供服務(wù)的服務(wù)器 （ 如 WWW、 FTP、 SMTP、 DNS等 ） 往往放在 Inter與內(nèi)部網(wǎng)絡(luò)之間一個(gè)單獨(dú)的網(wǎng)段 ， 這個(gè)網(wǎng)段便是非軍事化區(qū) 。 因此 ， 每一個(gè)不信任或有潛在危害的服務(wù)和應(yīng)用程序都應(yīng)該逐個(gè)拒絕 。 （ 3） 不能防范全部的威脅 防火墻被用來防范已知的威脅 ， 一個(gè)很好的防火墻設(shè)計(jì)方案可以防范某些新的威脅 ， 但沒有一個(gè)防火墻能自動(dòng)防御所有的新的威脅 。 包過濾防火墻一般由屏蔽路由器 （ Screening Router， 也稱為過濾路由器 ） 來實(shí)現(xiàn) ， 這種路由器是在普通路由器基礎(chǔ)上加入 IP過濾功能而實(shí)現(xiàn)的 ，這是防火墻最基本的構(gòu)件 。 3. 包過濾防火墻的缺點(diǎn) 屏蔽路由器的缺點(diǎn)也是很明顯的 ， 通常它沒有用戶的使用記錄 ， 這樣就不能從訪問記錄中發(fā)現(xiàn)黑客的攻擊記錄 。 代理服務(wù)器的基本工作過程是：當(dāng)客戶機(jī)需要使用外網(wǎng)服務(wù)器上的數(shù)據(jù)時(shí) ， 首先將請求發(fā)給代理服務(wù)器 ， 代理服務(wù)器再根據(jù)這一請求向服務(wù)器索取數(shù)據(jù) ， 然后再由代理服務(wù)器將數(shù)據(jù)傳輸給客戶機(jī) 。 3. 代理的缺點(diǎn) （ 1） 代理速度比路由器慢 （ 2） 代理對用戶不透明 （ 3） 對于每項(xiàng)服務(wù) ， 代理可能要求不同的服務(wù)器 （ 4） 代理服務(wù)通常要求對客戶或過程進(jìn)行限制 （ 5） 代理服務(wù)受協(xié)議弱點(diǎn)的限制 （ 6） 代理不能改進(jìn)底層協(xié)議的安全性 4． 代理防火墻的發(fā)展階段 （ 1） 應(yīng)用層代理 （ Application Proxy） 代理服務(wù)是運(yùn)行在防火墻主機(jī)上的專門的應(yīng)用程序或者服務(wù)器程序 。 它適用于多個(gè)協(xié)議 ， 但無法解釋應(yīng)用協(xié)議 ， 需要通過其他方式來獲得信息 。 自適應(yīng)代理可以和安全脆弱性掃描器、病毒安全掃描器和入侵檢測系統(tǒng)之間實(shí)現(xiàn)更加靈活的集成。 屏蔽主機(jī)結(jié)構(gòu)需要配備一臺堡壘主機(jī)和一個(gè)有過濾功能的屏蔽路由器，如圖 53所示，屏蔽路由器連接外部網(wǎng)絡(luò)，堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上。 內(nèi)部網(wǎng)服務(wù)器工作站 工作站 工作站Int erne t. . . . . .內(nèi)部路由器防火墻外部路由器 堡壘主機(jī)周邊網(wǎng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1