防火墻原理-體系結(jié)構(gòu)-系統(tǒng)設(shè)計(jì)(編輯修改稿)
2025-05-08 22:12 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 堡壘主機(jī)被繞過(guò) 36 屏蔽主機(jī)防火墻 ?堡壘主機(jī) (Bastion Host) ?位于內(nèi)部網(wǎng)絡(luò) ，是一臺(tái)安全性很高的主機(jī)，其上沒(méi)有任何入侵者可以利用的工具，不能作為黑客進(jìn)一步入侵的基地 ?堡壘主機(jī)上一般安裝的是代理服務(wù)器程序，即外部網(wǎng)絡(luò)訪問(wèn)內(nèi)部網(wǎng)絡(luò)的時(shí)候，首先經(jīng)過(guò)外部路由器的過(guò)濾，然后通過(guò)代理服務(wù)器代理后才能進(jìn)入內(nèi)部網(wǎng)絡(luò) ?堡壘主機(jī)在應(yīng)用層對(duì)客戶的請(qǐng)求做判斷，允許或禁止某種服務(wù)。如果該請(qǐng)求被允許，堡壘主機(jī)就把數(shù)據(jù)包發(fā)送到某一內(nèi)部主機(jī)或屏蔽路由器上，否則拋棄該數(shù)據(jù)包 37 屏蔽主機(jī)防火墻 ?對(duì)于入站連接，根據(jù) 安全策略 ，屏蔽路由器可以： ?允許某種服務(wù)的數(shù)據(jù)包先到達(dá)堡壘主機(jī)，然后與內(nèi)部主機(jī)連接 ?直接禁止某種服務(wù)的數(shù)據(jù)包入站連接 ?對(duì)于出站連接，根據(jù) 安全策略 ： ?對(duì)于一些服務(wù) (Tel)，可以允許它直接通過(guò)屏蔽路由器連接到外部網(wǎng)絡(luò)，而不通過(guò)堡壘主機(jī) ?其它服務(wù) (WWW和 SMTP等 )，必須經(jīng)過(guò)堡壘主機(jī)才能連接到 Inter，并在堡壘主機(jī)上運(yùn)行該服務(wù)的代理服務(wù)器 38 屏蔽主機(jī)防火墻 ?屏蔽主機(jī)防火墻轉(zhuǎn)發(fā)數(shù)據(jù)包的過(guò)程 表 示 層I P 包 過(guò) 濾應(yīng) 用 層 代 理物 理 層數(shù) 據(jù) 鏈 路 層網(wǎng) 絡(luò) 層傳 輸 層會(huì) 話 層內(nèi) 部 堡 壘 主 機(jī)過(guò) 濾 路 由 器物 理 層數(shù) 據(jù) 鏈 路 層I n t e r n e t內(nèi) 部 網(wǎng)39 屏蔽主機(jī)防火墻 ?與包過(guò)濾型防火墻的比較： ?其提供的安全等級(jí)比包過(guò)濾防火墻系統(tǒng)要高，實(shí)現(xiàn)了 網(wǎng)絡(luò)層安全 (包過(guò)濾 )和 應(yīng)用層安全 (代理服務(wù) ) ?入侵者在破壞內(nèi)部網(wǎng)絡(luò)的安全性之前，必須首先滲透兩種不同的安全系統(tǒng) ?即使入侵者進(jìn)入了內(nèi)部網(wǎng)絡(luò)，也必須和堡壘主機(jī)競(jìng)爭(zhēng)，堡壘主機(jī)是一臺(tái)安全性很高的主機(jī) 40 屏蔽主機(jī)防火墻 ?路由器不被正常路由的例子： ?正常路由情況： ?內(nèi)部網(wǎng)絡(luò)地址： ?堡壘主機(jī)地址： ?路由表內(nèi)容 ?所有流量發(fā)到堡壘主機(jī)上 I n t e r n e t堡 壘 主 機(jī)2 0 2 . 1 1 2 . 1 0 8 . 8過(guò) 濾 路 由 器主 機(jī)2 0 2 . 1 1 2 . 1 0 8 . 7內(nèi) 部 網(wǎng) 絡(luò)2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉(zhuǎn) 發(fā) 至2 0 2 . 1 1 2 . 1 0 8 . 0 2 0 2 . 1 1 2 . 1 0 8 . 841 屏蔽主機(jī)防火墻 ?路由表被破壞的情況： ?堡壘主機(jī)的路由項(xiàng)目被從路由表中刪除 ?進(jìn)入屏蔽路由器的流量不會(huì)被轉(zhuǎn)發(fā)到堡壘主機(jī)上，可能被轉(zhuǎn)發(fā)到另一主機(jī)上，外部主機(jī)直接訪問(wèn)了內(nèi)部主機(jī)，繞過(guò)了防火墻 ?過(guò)濾路由器成為唯一一道防線，入侵者很容易突破屏蔽路由器，內(nèi)部網(wǎng)絡(luò)不再安全 I n t e r n e t堡 壘 主 機(jī)2 0 2 . 1 1 2 . 1 0 8 . 8過(guò) 濾 路 由 器主 機(jī)2 0 2 . 1 1 2 . 1 0 8 . 7內(nèi) 部 網(wǎng) 絡(luò)2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉(zhuǎn) 發(fā) 至 . . .路 由 信 息 被 刪 除堡 壘 主 機(jī)被 越 過(guò)42 屏蔽子網(wǎng)防火墻 ?本質(zhì)上同屏蔽主機(jī)防火墻一樣，但增加了一層保護(hù)體系 —— 周邊網(wǎng)絡(luò) (DMZ)。堡壘主機(jī)位于周邊網(wǎng)絡(luò)上，周邊網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)被內(nèi)部屏蔽路由器分開(kāi) 屏 蔽 子 網(wǎng)內(nèi) 部 網(wǎng)外 部 網(wǎng)過(guò) 濾 路 由 器過(guò) 濾 路 由 器應(yīng) 用 級(jí) 網(wǎng) 關(guān) 堡 壘 主 機(jī)D M Z43 屏蔽子網(wǎng)防火墻 ?為什么使用周邊網(wǎng)絡(luò) ?在屏蔽主機(jī)結(jié)構(gòu)中，堡壘主機(jī)最容易受到攻擊。而且內(nèi)部網(wǎng)對(duì)堡壘主機(jī)是完全公開(kāi)的，入侵者只要破壞了這一層的保護(hù)，那么入侵也就大功告成了 ?屏蔽子網(wǎng)結(jié)構(gòu)就是在屏蔽主機(jī)結(jié)構(gòu)中再增加一臺(tái)路由器的安全機(jī)制，這臺(tái)路由器的意義就在于它能夠在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)筑出一個(gè)安全子網(wǎng)，從而使得內(nèi)部網(wǎng)與外部網(wǎng)之間有兩層隔斷。要想侵入用這種體系結(jié)構(gòu)構(gòu)筑的內(nèi)部網(wǎng)絡(luò)，侵襲者必須通過(guò)兩個(gè)路由器，即使侵襲者已設(shè)法侵入堡壘主機(jī)，他將仍然必須通過(guò)內(nèi)部路由器 44 屏蔽子網(wǎng)防火墻 ?周邊網(wǎng)絡(luò) ?也稱(chēng)為 ?；饏^(qū) 或 非軍事區(qū) (DeMilitarised Zone，DMZ) ?處于 Inter和內(nèi)部網(wǎng)絡(luò)之間 ?包含兩個(gè)包過(guò)濾路由器和一個(gè) /多個(gè)堡壘主機(jī) ?可以放置一些信息和服務(wù)器，如 WWW和 FTP服務(wù)器，以便于公眾訪問(wèn)，這些服務(wù)器可能會(huì)受到攻擊，因?yàn)樗鼈兪菭奚?wù)器，但內(nèi)部網(wǎng)絡(luò)還被保護(hù)著 ?通過(guò) DMZ網(wǎng)絡(luò)直接進(jìn)行信息傳輸是嚴(yán)格禁止的 ?是最安全的防火墻系統(tǒng)，因?yàn)樵诙x了“非軍事區(qū) 網(wǎng)絡(luò)后，它支持網(wǎng)絡(luò)層和應(yīng)用層安全功能 45 屏蔽子網(wǎng)防火墻 ?周邊網(wǎng)絡(luò)的作用 ?堡壘主機(jī)位于周邊網(wǎng)絡(luò)，即使被控制，入侵者仍然不能直接侵襲內(nèi)部網(wǎng)絡(luò)，內(nèi)部網(wǎng)絡(luò)仍受到內(nèi)部過(guò)濾路由器的保護(hù) ?原因： ?大部分局域網(wǎng)采用以太網(wǎng)，以太網(wǎng)的特點(diǎn)是廣播，一臺(tái)位于網(wǎng)絡(luò)上的機(jī)器可以監(jiān)聽(tīng)網(wǎng)絡(luò)上的所有信息 ?如果沒(méi)有周邊網(wǎng)絡(luò)，一旦堡壘主機(jī)被攻破，入侵者可以監(jiān)聽(tīng)整個(gè)網(wǎng)絡(luò)的對(duì)話，獲得 ?用戶的口令和帳號(hào) ?私人的敏感文件 (等 ) 46 屏蔽子網(wǎng)防火墻 ?如果堡壘主機(jī)位于周邊網(wǎng)絡(luò)上，即使入侵者控制了堡壘主機(jī)，也只能偵聽(tīng)到 ?Inter和堡壘主機(jī)之間的會(huì)話 ?內(nèi)部主機(jī)和堡壘主機(jī)之間的會(huì)話 ?內(nèi)部網(wǎng)絡(luò)之間的通信仍然是安全的，因?yàn)閮?nèi)部網(wǎng)絡(luò)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1