cisp-2-防火墻技術-資料下載頁
2025-02-13 07:13本頁面
【正文】 ? 例如，利用 ftp協(xié)議對內部進行探查 銀長城 CISP培訓系列 應用層網(wǎng)關 ?也稱為代理服務器 ?特點 ? 所有的連接都通過防火墻，防火墻作為網(wǎng)關 ? 在應用層上實現(xiàn) ? 可以監(jiān)視包的內容 ? 可以實現(xiàn)基于用戶的認證 ? 所有的應用需要單獨實現(xiàn) ? 可以提供理想的日志功能 ? 非常安全，但是開銷比較大 銀長城 CISP培訓系列 應用層網(wǎng)關的優(yōu)缺點 ?優(yōu)點 ? 允許用戶“直接”訪問 Inter ? 易于記錄日志 ?缺點 ? 新的服務不能及時地被代理 ? 每個被代理的服務都要求專門的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務要求建立直接連接，無法使用代理 ? 代理服務不能避免協(xié)議本身的缺陷或者限制 銀長城 CISP培訓系列 電路層網(wǎng)關 ?工作于 OSI/RM的會話層 ?充當屏蔽路由器，將內外網(wǎng)徹底隔離 銀長城 CISP培訓系列 防火墻的配置 ?幾個概念 ? 堡壘主機 (Bastion Host)：對外部網(wǎng)絡暴露，同時也是內部網(wǎng)絡用戶的主要連接點 ? 雙宿主主機 (dualhomed host)：至少有兩個網(wǎng)絡接口的通用計算機系統(tǒng) ? DMZ(Demilitarized Zone，非軍事區(qū)或者?；饏^(qū) )：在內部網(wǎng)絡和外部網(wǎng)絡之間增加的一個子網(wǎng) 銀長城 CISP培訓系列 配置方案一：雙宿主堡壘主機方案 ?所有的流量都通過堡壘主機 ?優(yōu)點：簡單 銀長城 CISP培訓系列 配置方案二：雙宿主堡壘主機方案 ?只允許堡壘主機可以與外界直接通訊 ?優(yōu)點：兩層保護：包過濾 +應用層網(wǎng)關；靈活配置 ?缺點：一旦包過濾路由器被攻破，則內部網(wǎng)絡被暴露 銀長城 CISP培訓系列 配置方案三 ：單宿主堡壘主機方案 ?從物理上把內部網(wǎng)絡和 Inter隔開，必須通過兩層屏障 ?優(yōu)點：兩層保護：包過濾 +應用層網(wǎng)關；配置靈活 銀長城 CISP培訓系列 配置方案四：屏蔽子網(wǎng)防火墻 ?三層防護，用來阻止入侵者 ?外面的 router只向 Inter暴露屏蔽子網(wǎng)中的主機 ?內部的 router只向內部私有網(wǎng)暴露屏蔽子網(wǎng)中的主機 銀長城 CISP培訓系列 防火墻設計規(guī)則 ?保持設計的簡單性 ?計劃好防火墻被攻破時的應急響應 ?考慮以下問題 ? 雙機熱備 ? 安全的遠程管理 ? 入侵監(jiān)測的集成 ? 數(shù)據(jù)保護功能 銀長城 CISP培訓系列 雙機熱備 內部網(wǎng) 外網(wǎng)或者不信任域 Eth 0 Eth 0 Eth1 Eth1 Eth2 Eth2 心跳線 Active Firewall Standby Firewall 檢測 Active Firewall的狀態(tài) 發(fā)現(xiàn)出故障，立即接管其工作 正常情況下由主防火墻工作 主防火墻出故障以后，接管它的工作 銀長城 CISP培訓系列 安全遠程管理 安全網(wǎng)域 Host C Host D Inter 管理員 黑客 如何實現(xiàn) 安全管理呢 采用一次性口令認證來實 現(xiàn)安全管理 用戶名，口令 銀長城 CISP培訓系列 數(shù)據(jù)機密性保護 撥號服務器 PSTN Inter 區(qū)域 Inter 邊界路由器 內部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內部 WWW 重點子網(wǎng) 下屬機構 DDN/FR DMZ區(qū)域 WWW Mail DNS 密文 傳輸 明文傳輸 明文傳輸 銀長城 CISP培訓系列 數(shù)據(jù)完整性保護 內部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內部 WWW 重點子網(wǎng) 下屬機構 DDN/FR 原始數(shù)據(jù)包 對原始數(shù)據(jù)包進行 Hash 加密后的數(shù)據(jù)包 摘要 Hash 摘要 對原始數(shù)據(jù)包進行加密 加密后的數(shù)據(jù)包 加密 加密后的數(shù)據(jù)包 摘要 加密后的數(shù)據(jù)包 摘要 摘要 解密 原始數(shù)據(jù)包 Hash 原始數(shù)據(jù)包 與原摘要進行比較 ， 驗證數(shù)據(jù)的完整性 —— 堅韌不拔、追求卓越
教學課件相關推薦
鄂ICP備17016276號-1