55典型防火墻產(chǎn)品與防火墻技術發(fā)展(編輯修改稿)
2025-10-24 19:32 本頁面
【文章內(nèi)容簡介】 經(jīng)請求的通訊，防止像端口掃描這樣的常見黑客襲擊。ICF和個人主機或小型辦公室通訊不應該在所有沒有直接連接到Internet的連接上啟用Internet連接防火墻。如果在ICS客戶計算機的網(wǎng)絡適配器上啟用防火墻，則將干擾該主機和網(wǎng)絡上的所有其他主機之間的某些通訊。ICF也具有日志功能能夠記錄被許可的和被拒絕的通信。,（1）配置防火墻 1.啟用或禁用Internet連接防火墻。 圖5.38網(wǎng)絡鄰居屬性窗口,方法：打開“網(wǎng)絡連接”，單擊要保護的撥號、LAN或高速Internet連接，然后在“本地連接屬性”→ “高級”→“設置”下，選擇下面的一項：,圖5.39防火墻設置窗口,若要啟用Internet連接防火墻，選中“通過限制或阻止來自Internet的對此計算機的訪問來保護我的計算機和網(wǎng)絡”復選框。若要禁用Internet連接防火墻，請清除此復選框。 2）安全日志的設置,當選擇“登錄放棄的數(shù)據(jù)包”復選框時，每次通信嘗試通過防火墻卻被檢測和拒絕的信息都被ICF收集。例如，如果Internet控制消息協(xié)議沒有設置成允許傳入的回顯請求，如Ping和Tracert命令發(fā)出的請求，防火墻將接收到來自外部網(wǎng)絡的回顯請求，但防火墻會根據(jù)用戶設置的規(guī)則放棄回顯的數(shù)據(jù)并記錄日志。Ping和Tracert都采用的是網(wǎng)際消息協(xié)議（ICMP）。 通過ICMP協(xié)議，可以使采用IP通訊的主機和路由器報告通信錯誤并交換受限控制和狀態(tài)信息。在下列情況中通常自動發(fā)送ICM消息：IP數(shù)據(jù)報無法訪問目標、IP路由器（網(wǎng)關）無法按當前的傳輸速率轉(zhuǎn)發(fā)數(shù)據(jù)報、IP路由器將發(fā)送主機重定向為使用更好的到達目標的路由。啟用或禁用Internet控制消息協(xié)議：打開“網(wǎng)絡連接”。 單擊已啟用Internet連接防火墻的連接，然后在“本地連接屬性”→“高級”→ “設置”→“高級”→→“ICMP 設置”選項卡上，選中希望響應的請求信息類型旁邊的復選框。,圖5.41 ICMP設置窗口,當你選擇“登錄成功的外傳連接”復選框時，將收集每個成功通過防火墻的連接信息。例如，當網(wǎng)絡上的任何人使用Internet Explorer成功實現(xiàn)與某個網(wǎng)站的連接時，將記入日志。生成的安全日志使用的是W3C擴展日志文件格式。 啟用或禁用安全日志記錄選項：打開“網(wǎng)絡連接”，單擊要在其上啟用Internet連接防火墻（ICF）的連接，然后在“網(wǎng)絡任務”→“更改該連接的設置”→“高級”→“設置”→“安全日志記錄”→“記錄選項”下，選擇下面的一項或兩項：,圖5.42安全日志設置窗口,若要啟用對不成功的入站連接嘗試的記錄，請選中“記錄丟棄的數(shù)據(jù)包”復選框，否則禁用。 更改安全日志文件的路徑和文件名的方法：打開“網(wǎng)絡連接”，選擇要在其上啟用Internet連接防火墻的連接，然后在“本地連接屬性”→“高級”→ “設置”→“高級”→“安全記錄設置”→“日志文件選項”中，瀏覽要放置日志文件的位置。,圖5.43 修改安全日志窗口,更改安全日志文件大小需要用戶打開已啟用Internet連接防火墻的連接，然后在“本地連接屬性”→“高級”→ “設置”→“高級”→“安全記錄設置”→“日志文件選項”“大小限制”中，使用箭頭按鈕調(diào)整大小限制。,1）屏蔽內(nèi)部網(wǎng)絡拓撲結構 為了防止黑客的侵入，應采用動態(tài)地址映射隔離內(nèi)部網(wǎng)絡，屏蔽內(nèi)部網(wǎng)絡拓撲結構。對PIX Firewall做如下配置: nat 1 0 0 global (outside) 1 220.294.204.179–220.194.104.191 global (outside) 1 220.194.104.178,4）防范內(nèi)部網(wǎng)絡的非法IP和MAC地址 由于采用盜用他人的IP地址和MAC地址的方法，可以達到隱藏非法訪問的目的。使用PIX Firewall的ARP命令可以將內(nèi)部主機的IP和它的MAC地址綁定，來防止篡改和盜用IP地址現(xiàn)象。例如，我們要將主機的IP地址192.168.3.200與它的MAC地址00a8.3e41.2bc7綁定，可進行如下配置： arp inside 192.168.3.200 00a8.3e41.2bc7 alias 結合以上四種配置，Cisco PIX Firewall可以實現(xiàn)對IP包過濾，屏蔽內(nèi)部網(wǎng)絡和對網(wǎng)絡資源加以的控制，并有效地防范IP地址的盜用和篡改。從而較好地實現(xiàn)了一個完整的防火墻系統(tǒng)。,國外著名防火墻產(chǎn)品CheckPoint公司的FireWall1網(wǎng)絡安全防火墻 據(jù)IDC的最近統(tǒng)計，CheckPoint公司的FireWall1防火墻在市場占有率上已超過32%。CheckPoint FireWall1產(chǎn)品包括以下模塊： 狀態(tài)檢測模塊（Inspection Module）：提供訪問控制、客戶機認證、會話認證、地址翻譯和審計功能； 防火墻模塊（FireWall Module）：包含一個狀態(tài)檢測模塊，另外提供用戶認證、內(nèi)容安全和多防火墻同步功能；,管理模塊（Management Module）：對一個或多個安全策略執(zhí)行點（安裝了FireWall1的某個模塊，如狀態(tài)檢測模塊、防火墻模塊或路由器安全管理模塊等的系統(tǒng)）提供集中的、圖形化的安全管理功能； 連接控制（Connect Contr
畢業(yè)設計相關推薦
鄂ICP備17016276號-1