計算機(jī)安全技術(shù)第9章(編輯修改稿)
2025-03-03 19:41 本頁面
【文章內(nèi)容簡介】 火墻技術(shù)的優(yōu)點(diǎn)主要有： （１）代理易于配置。 （２）代理能生成各項記錄。 （３）代理能靈活、完全地控制進(jìn)出流量、內(nèi)容。 （４）代理能過濾數(shù)據(jù)內(nèi)容。 （５）代理能為用戶提供透明的加密機(jī)制。 （６）代理可以方便地與其它安全手段集成。 代理防火墻技術(shù)的缺點(diǎn)主要有： （１）代理速度較路由器慢。 （２） 代理對用戶不透明。 （３）對于每項服務(wù)代理可能要求不同的服務(wù)器。 （４）代理服務(wù)通常要求對客戶、過程之一或兩者進(jìn)行限制。 （５）代理服務(wù)不能保證免受所有協(xié)議弱點(diǎn)的限制。 （６）代理不能改進(jìn)底層協(xié)議的安全性。 在實(shí)際應(yīng)用當(dāng)中 ， 構(gòu)筑防火墻的解決方案很少采用單一的技術(shù)， 大多數(shù)防火墻是將數(shù)據(jù)包過濾和代理服務(wù)器結(jié)合起來使用的 。 ９ .３ 防火墻的體系結(jié)構(gòu) 出于對更高安全性的要求 ， 通常的防火墻體系是多種解決不同問題的技術(shù)的有機(jī)組合 。 例如 ， 把基于包過濾的方法與基于應(yīng)用代理的方法結(jié)合起來 ， 就形成了復(fù)合型防火墻產(chǎn)品 。 目前常見的配置有以下幾種： （ １ ） 屏蔽路由器 （ Screening Router） 屏蔽路由器是防火墻最基本的構(gòu)件，是最簡單也是最常見的防火墻。屏蔽路由器作為內(nèi)外連接的唯一通道，要求所有的報文都必須在此通過檢查。路由器上可以安裝基于 IP層的報文過濾軟件，實(shí)現(xiàn)報文過濾功能。許多路由器本身帶有報文過濾配置選項，但一般比較簡單。 （ ２ ） 雙宿主主機(jī)網(wǎng)關(guān) （ Dual Homed Gateway） 雙宿主主機(jī)是一臺安裝有兩塊網(wǎng)卡的計算機(jī)，每塊網(wǎng)卡有各自的 IP地址，并分別與受保護(hù)網(wǎng)和外部網(wǎng)相連。如果外部網(wǎng)絡(luò)上的計算機(jī)想與內(nèi)部網(wǎng)絡(luò)上的計算機(jī)進(jìn)行通信，它就必須與雙宿主主機(jī)上與外部網(wǎng)絡(luò)相連的 IP地址聯(lián)系，代理服務(wù)器軟件再通過另一塊網(wǎng)卡與內(nèi)部網(wǎng)絡(luò)相連接。也就是說，外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)不能直接通信，它們之間的通信必須經(jīng)過雙宿主主機(jī)的過濾和控制。如下圖所示： ９ .３ 防火墻的體系結(jié)構(gòu) （ ３ ） 屏蔽主機(jī)網(wǎng)關(guān) （ Screened Host Gateway） 屏蔽主機(jī)網(wǎng)關(guān)由屏蔽路由器和應(yīng)用網(wǎng)關(guān)組成 ， 屏蔽路由器的作用是包過濾 ，應(yīng)用網(wǎng)關(guān)的作用是代理服務(wù) 。 這樣 ， 在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立了兩道安全屏障 ， 既實(shí)現(xiàn)了網(wǎng)絡(luò)層安全 ， 有實(shí)現(xiàn)了應(yīng)用層安全 。 來自外部網(wǎng)絡(luò)的所有通信都會連接到屏蔽路由器 ， 它根據(jù)所設(shè)置的規(guī)則過濾這些通信 。 如下圖所示： ９ .３ 防火墻的體系結(jié)構(gòu) （ ４ ） 屏蔽子網(wǎng) （ Screened Sub） 屏蔽子網(wǎng)體系結(jié)構(gòu)是在屏蔽主機(jī)網(wǎng)關(guān)的基礎(chǔ)上再添加一個屏蔽路由器，兩個路由器放在子網(wǎng)的兩端，三者形成了一個被稱為“非軍事區(qū)”的子網(wǎng)，如下圖所示 ： ９ .３ 防火墻的體系結(jié)構(gòu) 這種方法在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立了一個被隔離的子網(wǎng)。用兩臺屏蔽路由器將這一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開。內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問被屏蔽子網(wǎng)，但禁止它們穿過被屏蔽子網(wǎng)通信。外部屏蔽路由器和應(yīng)用網(wǎng)關(guān)與在屏蔽主機(jī)網(wǎng)關(guān)中的功能相同，內(nèi)部屏蔽路由器在應(yīng)用網(wǎng)關(guān)和受保護(hù)網(wǎng)絡(luò)之間提供附加保護(hù)。 防火墻的選購策略 防火墻作為網(wǎng)絡(luò)安全體系的基礎(chǔ)和核心控制設(shè)備 ， 它貫穿于整個網(wǎng)絡(luò)通信主干線 ， 對通過受控網(wǎng)絡(luò)的任何通信行為進(jìn)行控制 、 審計 、 報警 、反應(yīng)等安全處理 ， 同時防火墻還承擔(dān)著繁重的通信任務(wù) 。 由于其自身處于網(wǎng)絡(luò)系統(tǒng)中的敏感位置 ， 同時還要面對各種安全威脅 ， 因此 ， 選用一個安全 、 穩(wěn)定和可靠的防火墻產(chǎn)品 ， 是極其重要的 。 在防火墻的選購上， 應(yīng)注意以下的一些策略： （ 1） 防火墻自身的安全性 （ 2） 防火墻系統(tǒng)的穩(wěn)定性 （ 3） 防火墻的性能 （ 4） 防火墻的可靠性 （ 5） 防火墻的靈活性 （ 6） 防火墻配置的方便性 （ 7） 防火墻管理的簡便性 （ 8） 防火墻抵抗拒絕服務(wù)攻擊的能力 （ 9） 防火墻對用戶身份的過濾能力 （10） 防火墻的可擴(kuò)展性 、 可升級性
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1