cisp-2-防火墻技術(shù)-資料下載頁
2025-02-13 07:13本頁面
【正文】 ? 例如，利用 ftp協(xié)議對內(nèi)部進行探查 銀長城 CISP培訓(xùn)系列 應(yīng)用層網(wǎng)關(guān) ?也稱為代理服務(wù)器 ?特點 ? 所有的連接都通過防火墻，防火墻作為網(wǎng)關(guān) ? 在應(yīng)用層上實現(xiàn) ? 可以監(jiān)視包的內(nèi)容 ? 可以實現(xiàn)基于用戶的認證 ? 所有的應(yīng)用需要單獨實現(xiàn) ? 可以提供理想的日志功能 ? 非常安全，但是開銷比較大 銀長城 CISP培訓(xùn)系列 應(yīng)用層網(wǎng)關(guān)的優(yōu)缺點 ?優(yōu)點 ? 允許用戶“直接”訪問 Inter ? 易于記錄日志 ?缺點 ? 新的服務(wù)不能及時地被代理 ? 每個被代理的服務(wù)都要求專門的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務(wù)要求建立直接連接，無法使用代理 ? 代理服務(wù)不能避免協(xié)議本身的缺陷或者限制 銀長城 CISP培訓(xùn)系列 電路層網(wǎng)關(guān) ?工作于 OSI/RM的會話層 ?充當(dāng)屏蔽路由器，將內(nèi)外網(wǎng)徹底隔離 銀長城 CISP培訓(xùn)系列 防火墻的配置 ?幾個概念 ? 堡壘主機 (Bastion Host)：對外部網(wǎng)絡(luò)暴露，同時也是內(nèi)部網(wǎng)絡(luò)用戶的主要連接點 ? 雙宿主主機 (dualhomed host)：至少有兩個網(wǎng)絡(luò)接口的通用計算機系統(tǒng) ? DMZ(Demilitarized Zone，非軍事區(qū)或者停火區(qū) )：在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間增加的一個子網(wǎng) 銀長城 CISP培訓(xùn)系列 配置方案一：雙宿主堡壘主機方案 ?所有的流量都通過堡壘主機 ?優(yōu)點：簡單 銀長城 CISP培訓(xùn)系列 配置方案二：雙宿主堡壘主機方案 ?只允許堡壘主機可以與外界直接通訊 ?優(yōu)點：兩層保護：包過濾 +應(yīng)用層網(wǎng)關(guān)；靈活配置 ?缺點：一旦包過濾路由器被攻破，則內(nèi)部網(wǎng)絡(luò)被暴露 銀長城 CISP培訓(xùn)系列 配置方案三 ：單宿主堡壘主機方案 ?從物理上把內(nèi)部網(wǎng)絡(luò)和 Inter隔開，必須通過兩層屏障 ?優(yōu)點：兩層保護：包過濾 +應(yīng)用層網(wǎng)關(guān)；配置靈活 銀長城 CISP培訓(xùn)系列 配置方案四：屏蔽子網(wǎng)防火墻 ?三層防護，用來阻止入侵者 ?外面的 router只向 Inter暴露屏蔽子網(wǎng)中的主機 ?內(nèi)部的 router只向內(nèi)部私有網(wǎng)暴露屏蔽子網(wǎng)中的主機 銀長城 CISP培訓(xùn)系列 防火墻設(shè)計規(guī)則 ?保持設(shè)計的簡單性 ?計劃好防火墻被攻破時的應(yīng)急響應(yīng) ?考慮以下問題 ? 雙機熱備 ? 安全的遠程管理 ? 入侵監(jiān)測的集成 ? 數(shù)據(jù)保護功能 銀長城 CISP培訓(xùn)系列 雙機熱備 內(nèi)部網(wǎng) 外網(wǎng)或者不信任域 Eth 0 Eth 0 Eth1 Eth1 Eth2 Eth2 心跳線 Active Firewall Standby Firewall 檢測 Active Firewall的狀態(tài) 發(fā)現(xiàn)出故障，立即接管其工作 正常情況下由主防火墻工作 主防火墻出故障以后，接管它的工作 銀長城 CISP培訓(xùn)系列 安全遠程管理 安全網(wǎng)域 Host C Host D Inter 管理員 黑客 如何實現(xiàn) 安全管理呢 采用一次性口令認證來實 現(xiàn)安全管理 用戶名，口令 銀長城 CISP培訓(xùn)系列 數(shù)據(jù)機密性保護 撥號服務(wù)器 PSTN Inter 區(qū)域 Inter 邊界路由器 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點子網(wǎng) 下屬機構(gòu) DDN/FR DMZ區(qū)域 WWW Mail DNS 密文 傳輸 明文傳輸 明文傳輸 銀長城 CISP培訓(xùn)系列 數(shù)據(jù)完整性保護 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點子網(wǎng) 下屬機構(gòu) DDN/FR 原始數(shù)據(jù)包 對原始數(shù)據(jù)包進行 Hash 加密后的數(shù)據(jù)包 摘要 Hash 摘要 對原始數(shù)據(jù)包進行加密 加密后的數(shù)據(jù)包 加密 加密后的數(shù)據(jù)包 摘要 加密后的數(shù)據(jù)包 摘要 摘要 解密 原始數(shù)據(jù)包 Hash 原始數(shù)據(jù)包 與原摘要進行比較 ， 驗證數(shù)據(jù)的完整性 —— 堅韌不拔、追求卓越
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1