[計算機(jī)硬件及網(wǎng)絡(luò)]第九章防火墻-資料下載頁
2025-01-21 23:08本頁面
【正文】 32bit)確認(rèn)號 Acknowledgment Number (32bit)DataOffset(4bit)Reserved(6bit)URGACKPSHRSTSYNFIN窗口大小 Window size(16bit)校驗和 Checksum(16bit) 緊急指針 Urgent Pointer (16bit)選項 Options (0 或多個 32bit 字 )數(shù)據(jù) Data (可選 )2022/11/5Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 75狀態(tài)檢測? TCP數(shù)據(jù)包的狀態(tài)? SYN：初始化? ACK：確認(rèn)? RST 連接復(fù)位? FIN ：關(guān)閉連接? STN：同步序列號? URG:緊急數(shù)據(jù)? ......2022/11/5Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 76狀態(tài)檢測? UDP協(xié)議 ? 超時檢測? 是否有以前的 UDP數(shù)據(jù)包77UDP頭部UDP源端口 UDP宿端口UDP長度 UDP校驗和16bit 16bit最小值為 8 全 “0”：不選；全 “1”：校驗和為 0。2022/11/5Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 78狀態(tài)監(jiān)測? 應(yīng)用層? FTP? HTTP? 用戶認(rèn)證等2022/11/5 Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 79狀態(tài)檢測? 數(shù)據(jù)包過濾規(guī)則行為 源地址 目的地址 協(xié)議 源端口 目的端口 碼子位允許允許拒絕內(nèi)部網(wǎng)絡(luò)地址外部網(wǎng)絡(luò)地址所有外部網(wǎng)絡(luò)地址內(nèi)部網(wǎng)絡(luò)地址所有TCPTCP所有任意80所有801023所有任意ACK所有2022/11/5 Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 80狀態(tài)檢測? 狀態(tài)數(shù)據(jù)包過濾規(guī)則行為 規(guī)則允許允許拒絕數(shù)據(jù)包是先前連接的一部分先前有出站數(shù)據(jù)包其他2022/11/5 Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 81狀態(tài)檢測狀態(tài)表示例： 源地址 目的地址 協(xié)議 源端口 目的端口 超時（秒） 碼字位TCPTCPUDP2341321413322280802160202022/11/5Copyright169。電子科技大學(xué)計算機(jī)學(xué)院 82狀態(tài)監(jiān)測? 優(yōu)點(diǎn)? 安全強(qiáng)度高? 配置靈活? 缺點(diǎn)：? 速度慢? 管理復(fù)雜? 連接狀態(tài)表可以使用 hash算法加速搜索。83防火墻體系結(jié)構(gòu)? 防火墻的體系結(jié)構(gòu)一般有? 屏蔽路由器結(jié)構(gòu)? 雙重宿主主機(jī)體系結(jié)構(gòu)；? 屏蔽主機(jī)體系結(jié)構(gòu)；? 屏蔽子網(wǎng)體系結(jié)構(gòu)。84屏蔽路由器結(jié)構(gòu)雙重宿主主機(jī)體系結(jié)構(gòu)85? 雙宿主主機(jī)網(wǎng)關(guān)堡壘主機(jī)的系統(tǒng)軟件可用于維護(hù)護(hù)系統(tǒng)日志、硬件拷貝日志或遠(yuǎn)程日志。? 但弱點(diǎn)也比較突出，一旦攻擊者侵入堡壘主機(jī)并使其只具有路由功能，任何網(wǎng)上用戶均可以隨便訪問內(nèi)部網(wǎng)。? 此外，雙宿主主機(jī)結(jié)構(gòu)的安全性也受到堡壘主機(jī)本身的安全性的限制，堡壘主機(jī)本身的任何安全缺陷，都直接影響到防火墻的安全性。保衛(wèi)路由器比保衛(wèi)主機(jī)較易實現(xiàn)86屏蔽主機(jī)體系結(jié)構(gòu)87屏蔽主機(jī)體系結(jié)構(gòu)? 單地址堡壘主機(jī)屏蔽路由器InterWeb服務(wù)器堡壘主機(jī)PC PCPC88屏蔽主機(jī)體系結(jié)構(gòu)? 雙地址堡壘主機(jī)屏蔽路由器InterWeb服務(wù)器堡壘主機(jī)PC PCPC89屏蔽主機(jī)體系結(jié)構(gòu)? 堡壘主機(jī)是 Inter連接到內(nèi)部網(wǎng)絡(luò)的橋梁（例如，傳送進(jìn)來的電子郵件）。僅有某些確定類型的連接被允許。? 數(shù)據(jù)包過濾也允許堡壘主機(jī)開放可允許的連接到外部世界。90屏蔽主機(jī)體系結(jié)構(gòu)? 在屏蔽的路由器中數(shù)據(jù)包過濾配置可以按下列之一執(zhí)行：? （ 1）允許其它的內(nèi)部主機(jī)為了某些服務(wù)與Inter上的主機(jī)連接（即允許那些已經(jīng)由數(shù)據(jù)包過濾的服務(wù)）。? （ 2）不允許來自內(nèi)部主機(jī)的所有連接（強(qiáng)迫那些主機(jī)經(jīng)由堡壘主機(jī)使用代理服務(wù)）。91屏蔽子網(wǎng)體系結(jié)構(gòu)92屏蔽子網(wǎng)體系結(jié)構(gòu)? 屏蔽子網(wǎng)體系結(jié)構(gòu)通過添加周邊網(wǎng)絡(luò)更進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與 Inter隔離開。屏蔽路由器InterWeb服務(wù)器堡壘主機(jī)內(nèi)部路由器內(nèi)部網(wǎng)絡(luò)93屏蔽子網(wǎng)體系結(jié)構(gòu)? 堡壘主機(jī)是用戶的網(wǎng)絡(luò)上最容易受侵襲的機(jī)器。任憑用戶盡最大的力氣去保護(hù)它，它仍是最有可能被侵襲的機(jī)器，因為它本質(zhì)上是能夠被侵襲的機(jī)器。? 通過在周邊網(wǎng)絡(luò)上隔離堡壘主機(jī)，能減少在堡壘主機(jī)上侵入的影響。94屏蔽子網(wǎng)體系結(jié)構(gòu)? 周邊網(wǎng)絡(luò)? 如果攻擊者侵入周邊網(wǎng)絡(luò)上的堡壘主機(jī)，他也僅能探聽到周邊網(wǎng)上的通信，內(nèi)部網(wǎng)絡(luò)的通信仍是安全的? 堡壘主機(jī)? 堡壘主機(jī)是接受來自外界連接的主要入口? 內(nèi)部的客戶端的出站：在外部和內(nèi)部的路由器上設(shè)置數(shù)據(jù)包過濾來允許內(nèi)部的客戶端直接訪問外部的服務(wù)器；設(shè)置代理服務(wù)器在堡壘主機(jī)上運(yùn)行來允許內(nèi)部的客戶端間接地訪問外部的服務(wù)器。95屏蔽子網(wǎng)體系結(jié)構(gòu)? 內(nèi)部路由器? 內(nèi)部路由器有時被稱為阻塞路由器，它保護(hù)內(nèi)部的網(wǎng)絡(luò)使之免受 Inter和周邊網(wǎng)的侵犯。? 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作。它允許從內(nèi)部網(wǎng)到 Inter的有選擇的出站服務(wù)。? 內(nèi)部路由器所允許的在堡壘主機(jī)和用戶的內(nèi)部網(wǎng)之間服務(wù)可以不同于內(nèi)部路由器所允許的在Inter和用戶的內(nèi)部網(wǎng)之間的服務(wù)。96屏蔽子網(wǎng)體系結(jié)構(gòu)? 外部路由器? 外部路由器有時被稱為訪問路由器，保護(hù)周邊網(wǎng)和內(nèi)部網(wǎng)使之免受來自 Inter的侵犯。實際上，外部路由器傾向于允許幾乎任何東西從周邊網(wǎng)出站，并且它們通常只執(zhí)行非常少的數(shù)據(jù)包過濾。? 外部路由器能有效地執(zhí)行的安全任務(wù)之一是：阻止從 Inter上偽造源地址進(jìn)來的任何數(shù)據(jù)包。這樣的數(shù)據(jù)包自稱來自內(nèi)部的網(wǎng)絡(luò)，但實際上是來自 Inter。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1