計算機安全技術第9章(編輯修改稿)
2025-03-03 19:41 本頁面
【文章內容簡介】 火墻技術的優(yōu)點主要有： （１）代理易于配置。 （２）代理能生成各項記錄。 （３）代理能靈活、完全地控制進出流量、內容。 （４）代理能過濾數據內容。 （５）代理能為用戶提供透明的加密機制。 （６）代理可以方便地與其它安全手段集成。 代理防火墻技術的缺點主要有： （１）代理速度較路由器慢。 （２） 代理對用戶不透明。 （３）對于每項服務代理可能要求不同的服務器。 （４）代理服務通常要求對客戶、過程之一或兩者進行限制。 （５）代理服務不能保證免受所有協議弱點的限制。 （６）代理不能改進底層協議的安全性。 在實際應用當中 ， 構筑防火墻的解決方案很少采用單一的技術， 大多數防火墻是將數據包過濾和代理服務器結合起來使用的 。 ９ .３ 防火墻的體系結構 出于對更高安全性的要求 ， 通常的防火墻體系是多種解決不同問題的技術的有機組合 。 例如 ， 把基于包過濾的方法與基于應用代理的方法結合起來 ， 就形成了復合型防火墻產品 。 目前常見的配置有以下幾種： （ １ ） 屏蔽路由器 （ Screening Router） 屏蔽路由器是防火墻最基本的構件，是最簡單也是最常見的防火墻。屏蔽路由器作為內外連接的唯一通道，要求所有的報文都必須在此通過檢查。路由器上可以安裝基于 IP層的報文過濾軟件，實現報文過濾功能。許多路由器本身帶有報文過濾配置選項，但一般比較簡單。 （ ２ ） 雙宿主主機網關 （ Dual Homed Gateway） 雙宿主主機是一臺安裝有兩塊網卡的計算機，每塊網卡有各自的 IP地址，并分別與受保護網和外部網相連。如果外部網絡上的計算機想與內部網絡上的計算機進行通信，它就必須與雙宿主主機上與外部網絡相連的 IP地址聯系，代理服務器軟件再通過另一塊網卡與內部網絡相連接。也就是說，外部網絡與內部網絡不能直接通信，它們之間的通信必須經過雙宿主主機的過濾和控制。如下圖所示： ９ .３ 防火墻的體系結構 （ ３ ） 屏蔽主機網關 （ Screened Host Gateway） 屏蔽主機網關由屏蔽路由器和應用網關組成 ， 屏蔽路由器的作用是包過濾 ，應用網關的作用是代理服務 。 這樣 ， 在內部網絡和外部網絡之間建立了兩道安全屏障 ， 既實現了網絡層安全 ， 有實現了應用層安全 。 來自外部網絡的所有通信都會連接到屏蔽路由器 ， 它根據所設置的規(guī)則過濾這些通信 。 如下圖所示： ９ .３ 防火墻的體系結構 （ ４ ） 屏蔽子網 （ Screened Sub） 屏蔽子網體系結構是在屏蔽主機網關的基礎上再添加一個屏蔽路由器，兩個路由器放在子網的兩端，三者形成了一個被稱為“非軍事區(qū)”的子網，如下圖所示 ： ９ .３ 防火墻的體系結構 這種方法在內部網絡和外部網絡之間建立了一個被隔離的子網。用兩臺屏蔽路由器將這一子網分別與內部網絡和外部網絡分開。內部網絡和外部網絡均可訪問被屏蔽子網，但禁止它們穿過被屏蔽子網通信。外部屏蔽路由器和應用網關與在屏蔽主機網關中的功能相同，內部屏蔽路由器在應用網關和受保護網絡之間提供附加保護。 防火墻的選購策略 防火墻作為網絡安全體系的基礎和核心控制設備 ， 它貫穿于整個網絡通信主干線 ， 對通過受控網絡的任何通信行為進行控制 、 審計 、 報警 、反應等安全處理 ， 同時防火墻還承擔著繁重的通信任務 。 由于其自身處于網絡系統(tǒng)中的敏感位置 ， 同時還要面對各種安全威脅 ， 因此 ， 選用一個安全 、 穩(wěn)定和可靠的防火墻產品 ， 是極其重要的 。 在防火墻的選購上， 應注意以下的一些策略： （ 1） 防火墻自身的安全性 （ 2） 防火墻系統(tǒng)的穩(wěn)定性 （ 3） 防火墻的性能 （ 4） 防火墻的可靠性 （ 5） 防火墻的靈活性 （ 6） 防火墻配置的方便性 （ 7） 防火墻管理的簡便性 （ 8） 防火墻抵抗拒絕服務攻擊的能力 （ 9） 防火墻對用戶身份的過濾能力 （10） 防火墻的可擴展性 、 可升級性
教學課件相關推薦
鄂ICP備17016276號-1