【網(wǎng)絡(luò)通信安全管理員認(rèn)證－中級】防火墻補充(編輯修改稿)
2025-03-19 19:53 本頁面
【文章內(nèi)容簡介】 器應(yīng)用相同的規(guī)則。 其它的防火墻結(jié)構(gòu) 一個堡壘主機(jī)和一個非軍事區(qū)示意圖 …… DMZ 堡壘主機(jī) 內(nèi)部網(wǎng) 外部路由器 Inter 其它的防火墻結(jié)構(gòu) 兩個堡壘主機(jī)和兩個非軍事區(qū) 外部 DMZ 外部堡壘主機(jī) 內(nèi)部網(wǎng) 外部路由器 Inter …… 內(nèi)部堡壘主機(jī) 內(nèi)部 DMZ 防火墻的關(guān)鍵技術(shù) 包過濾 根據(jù)流經(jīng)該設(shè)備的數(shù)據(jù)包包頭信息，決定是否允許該數(shù)據(jù)包通過 判斷依據(jù)有： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項： 源路由、記錄路由等 ? TCP選項： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過濾示例 堡壘主機(jī) 內(nèi)部網(wǎng) 外 部 網(wǎng) 絡(luò) 包過濾示例 防火墻關(guān)鍵技術(shù) 應(yīng)用代理服務(wù) 客 戶 網(wǎng) 關(guān) 服務(wù)器 1. 網(wǎng)關(guān)理解應(yīng)用協(xié)議，可以實施更細(xì)粒度的訪問控制 2. 對每一類應(yīng)用，都需要一個專門的代理 3. 靈活性不夠 發(fā)送請求 轉(zhuǎn)發(fā)請求 請求響應(yīng) 轉(zhuǎn)發(fā)響應(yīng) 防火墻關(guān)鍵技術(shù) 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（ NAT） 解決方法：網(wǎng)絡(luò)地址轉(zhuǎn)換器就是在防火墻上裝一個合法 IP地址集。 ? 當(dāng)內(nèi)部某一用戶要訪問 Inter時，防火墻動態(tài)地從地址集中選一個未分配的地址分配給該用戶； ? 同時，對于內(nèi)部的某些服務(wù)器如 Web服務(wù)器，網(wǎng)絡(luò)地址轉(zhuǎn)換器允許為其分配一個固定的合法地址。 好處： ? 緩解 IP地址匱乏問題； ? 對外隱藏了內(nèi)部主機(jī)的 IP地址，提高了安全性。 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（ NAT） 源 IP 目的 IP . . 源 IP 目的 IP . . 源 IP 目的 IP . . 源 IP 目的 IP . . 防火墻網(wǎng)關(guān) NAT技術(shù)中將不合法 IP轉(zhuǎn)換為合法 IP 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（ NAT）例子 Inter Intra 防火墻 路由器 將內(nèi)部網(wǎng)地址轉(zhuǎn)換成網(wǎng)關(guān)地址 問題：所有返回數(shù)據(jù)包目的 IP都是 ，防火墻如
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1