網(wǎng)絡(luò)安全07-防火墻(編輯修改稿)
2025-02-12 12:58 本頁面
【文章內(nèi)容簡介】 據(jù)包都允許通過。 ?第二條規(guī)則：任何主機的 20端口訪問主機 口，基于 TCP協(xié)議的數(shù)據(jù)包允許通過。 ?第三條規(guī)則：任何主機的 20端口訪問主機 1024的端口，如果基于 TCP協(xié)議的數(shù)據(jù)包都禁止通過。 組序號 動作 源 IP 目的 IP 源端口 目的端口 協(xié)議類型 1 允許 * * * TCP 2 允許 * 20 * TCP 3 禁止 * 20 1024 TCP 針對包過濾防火墻的攻擊 ? IP地址欺騙，例如，假冒內(nèi)部的 IP地址 ? 對策：在外部接口上禁止內(nèi)部地址 ? 源路由攻擊，即由源指定路由從而旁路安全措施 ? 對策：禁止這樣的選項 ? 小碎片攻擊，利用 IP分片功能把 TCP頭部切分到不同的分片中，以繞過用戶定義的過濾規(guī)則 ? 對策：丟棄分片太小的分片 ? 利用復(fù)雜協(xié)議和管理員的配置失誤進入防火墻 ? 例如，利用 ftp協(xié)議對內(nèi)部進行探查 應(yīng)用層網(wǎng)關(guān) ? 應(yīng)用層網(wǎng)關(guān) ? 在 應(yīng)用層 上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能 ? 針對 特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議 使用指定的數(shù)據(jù) 過濾邏輯 ，并在過濾的同時，對數(shù)據(jù)包進行必要的分析、登記和統(tǒng)計，形成報告 ? 特點 ? 所有的連接都通過防火墻，防火墻作為網(wǎng)關(guān) ? 在 應(yīng)用層 上實現(xiàn)，網(wǎng)關(guān)理解應(yīng)用協(xié)議，可以實施更細粒度的訪問控制 ? 可以監(jiān)視包的內(nèi)容 ? 可以實現(xiàn)基于用戶的 認證 ? 可以提供理想的日志功能 ? 對每一類應(yīng)用，都需要一個專門的代理，不夠靈活 ? 非常安全，但是開銷比較大 應(yīng)用層網(wǎng)關(guān)的工作原理 客 戶 網(wǎng) 關(guān) 服務(wù)器 發(fā)送請求 轉(zhuǎn)發(fā)請求 請求響應(yīng) 轉(zhuǎn)發(fā)響應(yīng) 應(yīng)用層網(wǎng)關(guān)不依賴包過濾工具來管理 Inter服務(wù)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝代理服務(wù)的方式來管理 Inter服務(wù)。如果網(wǎng)絡(luò)管理員沒有為某種應(yīng)用安裝代理編碼，那么該項服務(wù)就不被支持并不能通過防火墻系統(tǒng)來轉(zhuǎn)發(fā)。 可以完全控制提供哪些服務(wù)，因為沒有特定服務(wù)的代理就表示該服務(wù)不提供。 應(yīng)用層網(wǎng)關(guān)的協(xié)議棧結(jié)構(gòu) HTTP FTP Tel Smtp 傳輸層 網(wǎng)絡(luò)層 鏈路層 應(yīng)用層網(wǎng)關(guān)的優(yōu)缺點 ? 優(yōu)點 ? 允許用戶“直接”訪問 Inter； ? 易于記錄日志； ? 缺點 ? 新的服務(wù)不能及時地被代理 ? 每個被代理的服務(wù)都要求專門的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務(wù)要求建立直接連接，無法使用代理 ?比如聊天服務(wù)、或者即時消息服務(wù) ? 代理服務(wù)不能避免協(xié)議本身的缺陷或者限制 應(yīng)用層網(wǎng)關(guān)實現(xiàn) ? 編寫代
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1