計(jì)算機(jī)安全技術(shù)第9章(編輯修改稿)
2025-03-03 19:41 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 火墻技術(shù)的優(yōu)點(diǎn)主要有： （１）代理易于配置。 （２）代理能生成各項(xiàng)記錄。 （３）代理能靈活、完全地控制進(jìn)出流量、內(nèi)容。 （４）代理能過(guò)濾數(shù)據(jù)內(nèi)容。 （５）代理能為用戶提供透明的加密機(jī)制。 （６）代理可以方便地與其它安全手段集成。 代理防火墻技術(shù)的缺點(diǎn)主要有： （１）代理速度較路由器慢。 （２） 代理對(duì)用戶不透明。 （３）對(duì)于每項(xiàng)服務(wù)代理可能要求不同的服務(wù)器。 （４）代理服務(wù)通常要求對(duì)客戶、過(guò)程之一或兩者進(jìn)行限制。 （５）代理服務(wù)不能保證免受所有協(xié)議弱點(diǎn)的限制。 （６）代理不能改進(jìn)底層協(xié)議的安全性。 在實(shí)際應(yīng)用當(dāng)中 ， 構(gòu)筑防火墻的解決方案很少采用單一的技術(shù)， 大多數(shù)防火墻是將數(shù)據(jù)包過(guò)濾和代理服務(wù)器結(jié)合起來(lái)使用的 。 ９ .３ 防火墻的體系結(jié)構(gòu) 出于對(duì)更高安全性的要求 ， 通常的防火墻體系是多種解決不同問(wèn)題的技術(shù)的有機(jī)組合 。 例如 ， 把基于包過(guò)濾的方法與基于應(yīng)用代理的方法結(jié)合起來(lái) ， 就形成了復(fù)合型防火墻產(chǎn)品 。 目前常見(jiàn)的配置有以下幾種： （ １ ） 屏蔽路由器 （ Screening Router） 屏蔽路由器是防火墻最基本的構(gòu)件，是最簡(jiǎn)單也是最常見(jiàn)的防火墻。屏蔽路由器作為內(nèi)外連接的唯一通道，要求所有的報(bào)文都必須在此通過(guò)檢查。路由器上可以安裝基于 IP層的報(bào)文過(guò)濾軟件，實(shí)現(xiàn)報(bào)文過(guò)濾功能。許多路由器本身帶有報(bào)文過(guò)濾配置選項(xiàng)，但一般比較簡(jiǎn)單。 （ ２ ） 雙宿主主機(jī)網(wǎng)關(guān) （ Dual Homed Gateway） 雙宿主主機(jī)是一臺(tái)安裝有兩塊網(wǎng)卡的計(jì)算機(jī)，每塊網(wǎng)卡有各自的 IP地址，并分別與受保護(hù)網(wǎng)和外部網(wǎng)相連。如果外部網(wǎng)絡(luò)上的計(jì)算機(jī)想與內(nèi)部網(wǎng)絡(luò)上的計(jì)算機(jī)進(jìn)行通信，它就必須與雙宿主主機(jī)上與外部網(wǎng)絡(luò)相連的 IP地址聯(lián)系，代理服務(wù)器軟件再通過(guò)另一塊網(wǎng)卡與內(nèi)部網(wǎng)絡(luò)相連接。也就是說(shuō)，外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)不能直接通信，它們之間的通信必須經(jīng)過(guò)雙宿主主機(jī)的過(guò)濾和控制。如下圖所示： ９ .３ 防火墻的體系結(jié)構(gòu) （ ３ ） 屏蔽主機(jī)網(wǎng)關(guān) （ Screened Host Gateway） 屏蔽主機(jī)網(wǎng)關(guān)由屏蔽路由器和應(yīng)用網(wǎng)關(guān)組成 ， 屏蔽路由器的作用是包過(guò)濾 ，應(yīng)用網(wǎng)關(guān)的作用是代理服務(wù) 。 這樣 ， 在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立了兩道安全屏障 ， 既實(shí)現(xiàn)了網(wǎng)絡(luò)層安全 ， 有實(shí)現(xiàn)了應(yīng)用層安全 。 來(lái)自外部網(wǎng)絡(luò)的所有通信都會(huì)連接到屏蔽路由器 ， 它根據(jù)所設(shè)置的規(guī)則過(guò)濾這些通信 。 如下圖所示： ９ .３ 防火墻的體系結(jié)構(gòu) （ ４ ） 屏蔽子網(wǎng) （ Screened Sub） 屏蔽子網(wǎng)體系結(jié)構(gòu)是在屏蔽主機(jī)網(wǎng)關(guān)的基礎(chǔ)上再添加一個(gè)屏蔽路由器，兩個(gè)路由器放在子網(wǎng)的兩端，三者形成了一個(gè)被稱為“非軍事區(qū)”的子網(wǎng)，如下圖所示 ： ９ .３ 防火墻的體系結(jié)構(gòu) 這種方法在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立了一個(gè)被隔離的子網(wǎng)。用兩臺(tái)屏蔽路由器將這一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開(kāi)。內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問(wèn)被屏蔽子網(wǎng)，但禁止它們穿過(guò)被屏蔽子網(wǎng)通信。外部屏蔽路由器和應(yīng)用網(wǎng)關(guān)與在屏蔽主機(jī)網(wǎng)關(guān)中的功能相同，內(nèi)部屏蔽路由器在應(yīng)用網(wǎng)關(guān)和受保護(hù)網(wǎng)絡(luò)之間提供附加保護(hù)。 防火墻的選購(gòu)策略 防火墻作為網(wǎng)絡(luò)安全體系的基礎(chǔ)和核心控制設(shè)備 ， 它貫穿于整個(gè)網(wǎng)絡(luò)通信主干線 ， 對(duì)通過(guò)受控網(wǎng)絡(luò)的任何通信行為進(jìn)行控制 、 審計(jì) 、 報(bào)警 、反應(yīng)等安全處理 ， 同時(shí)防火墻還承擔(dān)著繁重的通信任務(wù) 。 由于其自身處于網(wǎng)絡(luò)系統(tǒng)中的敏感位置 ， 同時(shí)還要面對(duì)各種安全威脅 ， 因此 ， 選用一個(gè)安全 、 穩(wěn)定和可靠的防火墻產(chǎn)品 ， 是極其重要的 。 在防火墻的選購(gòu)上， 應(yīng)注意以下的一些策略： （ 1） 防火墻自身的安全性 （ 2） 防火墻系統(tǒng)的穩(wěn)定性 （ 3） 防火墻的性能 （ 4） 防火墻的可靠性 （ 5） 防火墻的靈活性 （ 6） 防火墻配置的方便性 （ 7） 防火墻管理的簡(jiǎn)便性 （ 8） 防火墻抵抗拒絕服務(wù)攻擊的能力 （ 9） 防火墻對(duì)用戶身份的過(guò)濾能力 （10） 防火墻的可擴(kuò)展性 、 可升級(jí)性
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1