計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-防火墻基礎(chǔ)(編輯修改稿)
2024-11-22 04:56 本頁面
【文章內(nèi)容簡介】 限制到內(nèi)部的數(shù)臺機(jī)器上，防火墻必須拒絕所有TCP端口號等于23并且目標(biāo)IP地址不等于允許主機(jī)的IP地址的數(shù)據(jù)包。,包過濾檢查內(nèi)容,數(shù)據(jù)包過濾一般要檢查網(wǎng)絡(luò)層的IP頭和傳輸層的頭： IP源地址 IP目標(biāo)地址 協(xié)議類型（TCP包、UDP包和ICMP包） TCP或UDP包的目的端口 TCP或UDP包的源端口 ICMP消息類型 TCP包頭的ACK位 TCP包的序列號、IP校驗(yàn)和等,優(yōu)點(diǎn)： 速度快，性能高 對用戶透明,缺點(diǎn)： 維護(hù)比較困難(需要對TCP/IP了解） 安全性低（IP欺騙等） 不提供有用的日志，或根本就不提供 不防范數(shù)據(jù)驅(qū)動型攻擊 不能根據(jù)狀態(tài)信息進(jìn)行控制 不能處理網(wǎng)絡(luò)層以上的信息 無法對網(wǎng)絡(luò)上流動的信息提供全面的控制,包過濾防火墻優(yōu)缺點(diǎn),透明模式包過濾,NAT模式,NAT (MAP IP),NAT Sample (PAT),虛擬IP,路由模式,代理服務(wù)器,代理服務(wù)是運(yùn)行在防火墻主機(jī)上的專門的應(yīng)用程序或者服務(wù)器程序。不允許通信直接經(jīng)過外部網(wǎng)和內(nèi)部網(wǎng)。 將所有跨越防火墻的網(wǎng)絡(luò)通信鏈路分為兩段。 防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的“ 鏈接”，由兩個(gè)終止代理服務(wù)器上的“ 鏈接”來實(shí)現(xiàn) 外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代理服務(wù)器，從而起到了隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用。,代理服務(wù)器示意圖,Telnet代理服務(wù)器,代理服務(wù)的分類,代理服務(wù)分類：代理服務(wù)可分為應(yīng)用級代理與電路級代理： 應(yīng)用級代理是已知代理服務(wù)向哪一應(yīng)用提供的代理，它在應(yīng)用協(xié)議中理解并解釋命令。應(yīng)用級代理的優(yōu)點(diǎn)為它能解釋應(yīng)用協(xié)議從而獲得更多的信息，缺點(diǎn)為只適用于單一協(xié)議。 電路級代理是在客戶和服務(wù)器之間不解釋應(yīng)用協(xié)議即建立回路。電路級代理的優(yōu)點(diǎn)在于它能對各種不同的協(xié)議提供服務(wù)，缺點(diǎn)在于它對因代理而發(fā)生的情況幾乎不加控制。,應(yīng)用層代理的優(yōu)點(diǎn),應(yīng)用層代理能夠讓網(wǎng)絡(luò)管理員對服務(wù)進(jìn)行全面的控制，因?yàn)榇響?yīng)用限制了命令集并決定哪些內(nèi)部主機(jī)可以被該服務(wù)訪問。 網(wǎng)絡(luò)管理員可以完全控制提供哪些服務(wù)，因?yàn)闆]有特定服務(wù)的代理就表示該服務(wù)不提供。 防火墻可以被配置成唯一的可被外部看見的主機(jī)，這樣可以保護(hù)內(nèi)部主機(jī)免受外部主機(jī)的進(jìn)攻。 應(yīng)用層代理有能力支持可靠的用戶認(rèn)證并提供詳細(xì)的注冊信息。另外，用于應(yīng)用層的過濾規(guī)則相對于包過濾防火墻來說更容易配置和測試。 代理工作在客戶機(jī)和真實(shí)服務(wù)器之間，完全控制會話，所以可以提供很詳細(xì)的日志和安全審計(jì)功能。,應(yīng)用層代理的缺點(diǎn),應(yīng)用層代理的最大缺點(diǎn)是要求用戶改變自己的行為，或者在訪問代理服務(wù)的每個(gè)系統(tǒng)上安裝特殊的軟件。比如，透過應(yīng)用層代理Telnet訪問要求用戶通過兩步而不是一步來建立連接。不過，特殊的端系統(tǒng)軟件可以讓用戶在Telnet命令中指定目標(biāo)主機(jī)而不是應(yīng)用層代理來使應(yīng)用層代理透明。 每個(gè)應(yīng)用程序都必須有一個(gè)代理服務(wù)程序來進(jìn)行安全控制，每一種應(yīng)用升級時(shí)，一般代理服務(wù)程序也要升級。,全狀態(tài)檢查,狀態(tài)檢測技術(shù)：在包過濾的同時(shí)，檢察數(shù)據(jù)包之間的關(guān)聯(lián)性，數(shù)據(jù)包中動態(tài)變化的狀態(tài)碼。 監(jiān)測引擎：一個(gè)在網(wǎng)關(guān)上執(zhí)行網(wǎng)絡(luò)安全策略的軟件模塊 。 監(jiān)測引擎采用抽取有關(guān)數(shù)據(jù)的方法對網(wǎng)絡(luò)通信的各層實(shí)施監(jiān)測，抽取狀態(tài)信息，并動態(tài)地保存起來作為以后執(zhí)行安全策略的參考。 當(dāng)用戶訪問請求到達(dá)網(wǎng)關(guān)的操作系統(tǒng)前，狀態(tài)監(jiān)視器要抽取有關(guān)數(shù)據(jù)進(jìn)行分析，結(jié)合網(wǎng)絡(luò)配置和安全規(guī)定作出接納、拒絕、身份認(rèn)證、報(bào)警或給該通信加密等處理動作。,,,,監(jiān)測引擎,狀態(tài)檢測示意圖,狀態(tài)檢測的優(yōu)缺點(diǎn),優(yōu)點(diǎn)： 一旦某個(gè)訪問違反安全規(guī)定，就會拒絕該訪問，并報(bào)告有關(guān)狀態(tài)作日志記錄。 它會監(jiān)測無連接狀態(tài)的遠(yuǎn)程過程調(diào)用（RPC）和用戶數(shù)據(jù)報(bào)（UDP）之類的端口信息。 缺點(diǎn)： 降低網(wǎng)絡(luò)速度 配置比較復(fù)雜,防火墻的體系結(jié)構(gòu),防火墻的主要體系結(jié)構(gòu)： 雙重宿主主機(jī)體系結(jié)構(gòu) 屏蔽主機(jī)體系結(jié)構(gòu) 屏蔽子網(wǎng)體系結(jié)構(gòu) 其它的防火墻結(jié)構(gòu),雙重宿主主機(jī)體系結(jié)構(gòu)（1）,雙重宿主主機(jī)體系結(jié)構(gòu)是圍繞雙重宿主主機(jī)構(gòu)筑的。 雙重宿主主機(jī)至少有兩個(gè)網(wǎng)絡(luò)接口，它位于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間，這樣的主機(jī)可以充當(dāng)與這些接口相連的網(wǎng)絡(luò)之間的路由器，它能從一個(gè)網(wǎng)絡(luò)接收IP數(shù)據(jù)包并將之發(fā)往另一網(wǎng)絡(luò)。然而實(shí)現(xiàn)雙重宿主主機(jī)的防火墻體系結(jié)構(gòu)禁止這種發(fā)送功能，完全阻止了內(nèi)外網(wǎng)絡(luò)之間的IP通信。 兩個(gè)網(wǎng)絡(luò)之間的通信可通過應(yīng)用層數(shù)據(jù)共享和應(yīng)用層代理服務(wù)的方法實(shí)現(xiàn)。一般情況下采用代理服務(wù)的方法。,防火墻,雙重宿主主機(jī),內(nèi)部網(wǎng)絡(luò),,,……,雙重宿主主機(jī)體系結(jié)構(gòu),雙重宿主主機(jī)體系結(jié)構(gòu)（2）,雙重宿主主機(jī)的特性： 安全至關(guān)重要（唯一通道），其用戶口令控制安全是關(guān)鍵。 必須支持很多用戶的訪問（中轉(zhuǎn)站），其性能非常重要。 缺點(diǎn)：雙重宿主主機(jī)是隔開內(nèi)外網(wǎng)絡(luò)的唯一屏障，一旦它被入
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號-1