第9章防火墻技術-資料下載頁
2025-09-19 15:35本頁面
【導讀】火墻的保護功能將大大降低。功能，為內部網提供更好的保護。采用防火墻保護內部網有以下優(yōu)點。保護網絡中脆弱的服務。在防火墻上可以很方便地監(jiān)視網絡的安全性，可以集中安全性。AddressTranslator，NAT）的邏輯地址。增強保密性和強化私有權。防火墻也可以成為向客戶發(fā)布信息的地點。防火墻有如下的缺陷和不足。限制有用的網絡服務。防火墻無法防范數據驅動型的攻擊。不能防備新的網絡安全問題。除非明確允許，否則將禁止某種服務。安全策略應包含以下主。數據加密策略；密鑰分配策略；包過濾操作過程；防止兩類不安全設計的措施；對特定協(xié)議包的過濾。墻和通過混合組合而衍生的其他結構的防火墻。解，才能將過濾規(guī)則集盡量定義得完善。外部主機的IP卻不可阻止。據驅動攻擊的潛在危險。一些包過濾網關不支持有效的用戶認證。上，易造成敏感數據的泄漏。行安全控制功能，故類似于包過濾防火墻，易受到侵害的主機。當前堡壘主機主要采用以下3種結構。
【正文】 地址翻譯（ Network Address Translation，NAT）就是將一個 IP地址用另一個 IP地址代替。地址翻譯主要用在以下兩個方面。 （ 1）網絡管理員希望隱藏內部網絡的 IP地址。 （ 2）內部網絡的 IP地址是無效的 IP地址。 應用層網關有如下的缺陷。 （ 1）要為每一種應用定制代理 （ 2）代理是不透明的 （ 3）應用層網關不能為基于 TCP以外的應用提供很好的提供代理。 地址翻譯可以提供一種透明而完善的解決方案。網絡管理員可以決定那些內部的 IP地址需要隱藏，哪些地址需要映射成為一個對 Inter可見的 IP地址。 圖 地址翻譯 圖 將內部地址翻譯成網關地址 地址翻譯可以有多種模式，主要有如下幾種。 （ 1）靜態(tài)翻譯 （ 2）動態(tài)翻譯 （ 3） 端口轉換 （ 4） 負載平衡翻譯 （ 5） 網絡冗余翻譯 內容檢查技術 內容檢查技術提供對高層服務協(xié)議數據的監(jiān)控能力，確保用戶的安全。包括計算機病毒、惡意的Java Applet和 ActiveX的攻擊、惡意電子郵件及不健康網頁內容的過濾防護。 VPN技術 虛擬專用網被定義為通過一個公共網絡 （Inter） 建立的一個臨時的和安全的連接 ， 是一條穿過混亂的公用網絡的安全與穩(wěn)定的隧道 ， 它是對企業(yè)內部網的擴展 ， 如圖 。 圖 VPN模型 不管怎樣，一個 VPN至少應該能提供如下功能。 （ 1）加密數據，以保證通過公網傳輸的信息即使被他人截獲也不會泄漏。 （ 2）信息認證和身分認證，保證信息的完整性、合法性，并能鑒別用戶的身份。 （ 3）提供訪問控制，不同的用戶有不同的訪問權限。 1．虛擬專用網的分類及用途 下面分 3種情況說明 VPN的用途。 ? 在公司總部和它的分支機構之間建立 VPN，稱為“內部網 VPN”。 ? 在公司總部和遠地雇員或旅行之中的雇員之間建立 VPN，稱為“遠程訪問 VPN”。 ? 在公司與商業(yè)伙伴、顧客、供應商和投資者之間建立 VPN，稱為“外聯(lián)網 VPN”。 （ 1）內部網 VPN 圖 內部網 VPN （ 2）遠程訪問 VPN 圖 遠程訪問 VPN （ 3）外聯(lián)網 VPN 圖 外聯(lián)網 VPN 2． VPN的主要安全協(xié)議 SOCK v IPSec、 PPTP和 L2TP四種協(xié)議是用在 VPN中的幾種主要協(xié)議。 （ 1） SOCK v5協(xié)議 當 SOCK協(xié)議同 SSL協(xié)議配合使用，可作為建立高度安全的 VPN的基礎。 SOCK協(xié)議的優(yōu)勢在訪問控制，因此適合用于安全性較高的 VPN。 （ 2） IPSec IPSec用密碼技術從三個方面來保證數據的安全。 ① 認證，用于對主機和端點進行身份鑒別。 ② 完整性檢查，用于保證數據在通過網絡傳輸時沒有被修改。 ③ 加密，用加密 IP地址和數據以保證私有性。 （ 3） PPTP/L2TP 表 OSI模型相應層次的安全技術和所用安全協(xié)議 OSI七層模型 安 全 技 術 安 全 協(xié) 議 應用層 表示層 應用代理 會話層 傳輸層 會話層代理 SOCK v5 網絡層 數據鏈路層 物理層 包過濾 IPSec PPTP/L2TP 其他防火墻技術 除了上面介紹的防火墻技術外，一些新的技術正在防火墻產品中采用，主要有以下幾種。 1．加密技術 2．安全審計 3．安全內核 4．身份認證 5．負載平衡（ Load Balance）
教學課件相關推薦
鄂ICP備17016276號-1