防火墻原理-體系結構-系統設計(編輯修改稿)
2025-05-08 22:12 本頁面
【文章內容簡介】 堡壘主機被繞過 36 屏蔽主機防火墻 ?堡壘主機 (Bastion Host) ?位于內部網絡 ，是一臺安全性很高的主機，其上沒有任何入侵者可以利用的工具，不能作為黑客進一步入侵的基地 ?堡壘主機上一般安裝的是代理服務器程序，即外部網絡訪問內部網絡的時候，首先經過外部路由器的過濾，然后通過代理服務器代理后才能進入內部網絡 ?堡壘主機在應用層對客戶的請求做判斷，允許或禁止某種服務。如果該請求被允許，堡壘主機就把數據包發(fā)送到某一內部主機或屏蔽路由器上，否則拋棄該數據包 37 屏蔽主機防火墻 ?對于入站連接，根據 安全策略 ，屏蔽路由器可以： ?允許某種服務的數據包先到達堡壘主機，然后與內部主機連接 ?直接禁止某種服務的數據包入站連接 ?對于出站連接，根據 安全策略 ： ?對于一些服務 (Tel)，可以允許它直接通過屏蔽路由器連接到外部網絡，而不通過堡壘主機 ?其它服務 (WWW和 SMTP等 )，必須經過堡壘主機才能連接到 Inter，并在堡壘主機上運行該服務的代理服務器 38 屏蔽主機防火墻 ?屏蔽主機防火墻轉發(fā)數據包的過程 表 示 層I P 包 過 濾應 用 層 代 理物 理 層數 據 鏈 路 層網 絡 層傳 輸 層會 話 層內 部 堡 壘 主 機過 濾 路 由 器物 理 層數 據 鏈 路 層I n t e r n e t內 部 網39 屏蔽主機防火墻 ?與包過濾型防火墻的比較： ?其提供的安全等級比包過濾防火墻系統要高，實現了 網絡層安全 (包過濾 )和 應用層安全 (代理服務 ) ?入侵者在破壞內部網絡的安全性之前，必須首先滲透兩種不同的安全系統 ?即使入侵者進入了內部網絡，也必須和堡壘主機競爭，堡壘主機是一臺安全性很高的主機 40 屏蔽主機防火墻 ?路由器不被正常路由的例子： ?正常路由情況： ?內部網絡地址： ?堡壘主機地址： ?路由表內容 ?所有流量發(fā)到堡壘主機上 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路 由 器主 機2 0 2 . 1 1 2 . 1 0 8 . 7內 部 網 絡2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉 發(fā) 至2 0 2 . 1 1 2 . 1 0 8 . 0 2 0 2 . 1 1 2 . 1 0 8 . 841 屏蔽主機防火墻 ?路由表被破壞的情況： ?堡壘主機的路由項目被從路由表中刪除 ?進入屏蔽路由器的流量不會被轉發(fā)到堡壘主機上，可能被轉發(fā)到另一主機上，外部主機直接訪問了內部主機，繞過了防火墻 ?過濾路由器成為唯一一道防線，入侵者很容易突破屏蔽路由器，內部網絡不再安全 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路 由 器主 機2 0 2 . 1 1 2 . 1 0 8 . 7內 部 網 絡2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉 發(fā) 至 . . .路 由 信 息 被 刪 除堡 壘 主 機被 越 過42 屏蔽子網防火墻 ?本質上同屏蔽主機防火墻一樣，但增加了一層保護體系 —— 周邊網絡 (DMZ)。堡壘主機位于周邊網絡上，周邊網絡和內部網絡被內部屏蔽路由器分開 屏 蔽 子 網內 部 網外 部 網過 濾 路 由 器過 濾 路 由 器應 用 級 網 關 堡 壘 主 機D M Z43 屏蔽子網防火墻 ?為什么使用周邊網絡 ?在屏蔽主機結構中，堡壘主機最容易受到攻擊。而且內部網對堡壘主機是完全公開的，入侵者只要破壞了這一層的保護，那么入侵也就大功告成了 ?屏蔽子網結構就是在屏蔽主機結構中再增加一臺路由器的安全機制，這臺路由器的意義就在于它能夠在內部網和外部網之間構筑出一個安全子網，從而使得內部網與外部網之間有兩層隔斷。要想侵入用這種體系結構構筑的內部網絡，侵襲者必須通過兩個路由器，即使侵襲者已設法侵入堡壘主機，他將仍然必須通過內部路由器 44 屏蔽子網防火墻 ?周邊網絡 ?也稱為 ?；饏^(qū) 或 非軍事區(qū) (DeMilitarised Zone，DMZ) ?處于 Inter和內部網絡之間 ?包含兩個包過濾路由器和一個 /多個堡壘主機 ?可以放置一些信息和服務器，如 WWW和 FTP服務器，以便于公眾訪問，這些服務器可能會受到攻擊，因為它們是犧牲服務器，但內部網絡還被保護著 ?通過 DMZ網絡直接進行信息傳輸是嚴格禁止的 ?是最安全的防火墻系統，因為在定義了“非軍事區(qū) 網絡后，它支持網絡層和應用層安全功能 45 屏蔽子網防火墻 ?周邊網絡的作用 ?堡壘主機位于周邊網絡，即使被控制，入侵者仍然不能直接侵襲內部網絡，內部網絡仍受到內部過濾路由器的保護 ?原因： ?大部分局域網采用以太網，以太網的特點是廣播，一臺位于網絡上的機器可以監(jiān)聽網絡上的所有信息 ?如果沒有周邊網絡，一旦堡壘主機被攻破，入侵者可以監(jiān)聽整個網絡的對話，獲得 ?用戶的口令和帳號 ?私人的敏感文件 (等 ) 46 屏蔽子網防火墻 ?如果堡壘主機位于周邊網絡上，即使入侵者控制了堡壘主機，也只能偵聽到 ?Inter和堡壘主機之間的會話 ?內部主機和堡壘主機之間的會話 ?內部網絡之間的通信仍然是安全的，因為內部網絡
環(huán)評公示相關推薦
鄂ICP備17016276號-1