【正文】 38 防火墻的選擇原則 ? 三、可管理性和可擴(kuò)展性 ? 防火墻產(chǎn)品的方便易用性對(duì)一個(gè)網(wǎng)絡(luò)安全系統(tǒng)來(lái)說(shuō)也是極為重要的，它可以大大減輕系統(tǒng)管理人員的工作強(qiáng)度。 30 包過(guò)濾型防火墻 優(yōu)點(diǎn)： ? 廉價(jià) ? 邏輯簡(jiǎn)單，易于安裝和使用 31 包過(guò)濾型防火墻 缺點(diǎn)： ? 安全控制層次在網(wǎng)絡(luò)層，只能根據(jù)數(shù)據(jù)包的 源地址、目標(biāo)地址和端口號(hào)等信息進(jìn)行判斷，不能判斷高級(jí)協(xié)議里的數(shù)據(jù)是否有害，無(wú)法識(shí)別基于應(yīng)用層的惡意入侵，例如 惡意的 Java小程序 以及現(xiàn)在比較流行的通過(guò)電子郵件中附帶病毒等。IP是 TCP/IP協(xié)議族中網(wǎng)絡(luò)層的協(xié)議，是 TCP/IP協(xié)議族的核心協(xié)議。防火墻必須只允許授權(quán)的數(shù)據(jù)通過(guò)，而且防火墻本身也必須能夠免于滲透。由于人們?nèi)魏螘r(shí)候都可能訪(fǎng)問(wèn)它，因此作為主機(jī)必須每時(shí)每刻都連接在 Inter上，擁有自己永久的 IP地址。這里的專(zhuān)線(xiàn)是指所有能夠連接 Inter的連接線(xiàn)路方式，包括 DDN專(zhuān)線(xiàn)、幀中繼 FR、光纖等形式。 ? 客戶(hù)機(jī)是訪(fǎng)問(wèn)別人信息的機(jī)器。 16 主要內(nèi)容： ? 網(wǎng)絡(luò)設(shè)施 ? 電子商務(wù)系統(tǒng)與 Inter的連接方式 ? 防火墻 17 防火墻 ? 防火墻的基本概念 ? 防火墻的功能 ? 防火墻的分類(lèi) ? 防火墻的選擇原則 18 防火墻的基本概念 ? 防火墻是一組軟、硬件設(shè)備的組合，它在內(nèi)部網(wǎng)絡(luò)（專(zhuān)用網(wǎng)絡(luò)）與外部網(wǎng)絡(luò)（公用網(wǎng)絡(luò)）之間形成一道安全保護(hù)屏障，以防止非法用戶(hù)訪(fǎng)問(wèn)內(nèi)部網(wǎng)絡(luò)上的資源和非法向外傳遞內(nèi)部信息，同時(shí)也防止這類(lèi)非法和惡意的網(wǎng)絡(luò)行為導(dǎo)致內(nèi)部網(wǎng)絡(luò)的運(yùn)行遭到破壞。 ? 通過(guò)在內(nèi)部使用非注冊(cè)的 IP 地址，并將它們轉(zhuǎn)換為一小部分外部注冊(cè)的 IP 地址，從而減少 IP 地址注冊(cè)的費(fèi)用，也可以有效解決目前網(wǎng)絡(luò)環(huán)境中 IP地址短缺的問(wèn)題，節(jié)省目前越來(lái)越缺乏的地址空間（ IPv4）。 28 防火墻的分類(lèi) ? 包過(guò)濾型 ? 代理服務(wù)器型 29 包過(guò)濾型防火墻 ? 包過(guò)濾型的技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)。 36 防火墻的選擇原則 ? 一、購(gòu)買(mǎi)成本 ? 其總擁有成本不應(yīng)該超過(guò)受保護(hù)的網(wǎng)絡(luò)系統(tǒng)可能遭受的最大損失。如果早期購(gòu)置的防火墻沒(méi)有可擴(kuò)充性或擴(kuò)充性不強(qiáng)的話(huà)，將造成投資的極大浪費(fèi)。 32 代理服務(wù)器型防火墻 ? 代理服務(wù)器作為一個(gè)為用戶(hù)保密或者突破訪(fǎng)問(wèn)限制的數(shù)據(jù)轉(zhuǎn)發(fā)通道，在網(wǎng)絡(luò)上應(yīng)用廣泛。地址不足，嚴(yán)重地制約了我國(guó)及其他國(guó)家互聯(lián)網(wǎng)的應(yīng)用和發(fā)展。允許網(wǎng)絡(luò)管理員定義一個(gè)中心點(diǎn)來(lái)防止非法用戶(hù)進(jìn)入內(nèi)部網(wǎng)絡(luò)。由于多臺(tái)虛擬主機(jī)共享一臺(tái)真實(shí)主機(jī)的資源，每個(gè)虛擬主機(jī)用戶(hù)承受的硬件費(fèi)用、網(wǎng)絡(luò)維護(hù)費(fèi)用、線(xiàn)路通信費(fèi)用均大幅度降低。 6 專(zhuān)線(xiàn)接入 ? 優(yōu)點(diǎn)：服務(wù)器在自己企業(yè)的工作環(huán)境中，所以開(kāi)發(fā)和維護(hù)非常方便，同時(shí)，一條專(zhuān)線(xiàn)可以連接多種服務(wù)，也就是說(shuō)可以同時(shí)擁有自己的 Email服務(wù)器、 SSH服務(wù)器以及代理服務(wù)器等，整個(gè)企業(yè)的計(jì)算機(jī)都可以通過(guò)一條專(zhuān)線(xiàn)上網(wǎng)，所以對(duì)于某些內(nèi)部上網(wǎng)需求量大的單位，專(zhuān)線(xiàn)接入應(yīng)該是一種最節(jié)約的方式。 ? 優(yōu)點(diǎn)：可以省去自己購(gòu)買(mǎi)服務(wù)器的開(kāi)支，并且同樣可以獲得較高