防火墻參數(shù)詳解-資料下載頁
2025-08-16 00:29本頁面
【正文】 部網(wǎng)絡(luò)中 定義了一系列的合法地址，采用動態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò)。 NAPT則是把內(nèi)部地址映射到外部網(wǎng)絡(luò)的一個 IP地址的不同端口上。根據(jù)不同的需要，三種 NAT方案各有利弊。 動態(tài)地址 NAT只是轉(zhuǎn)換 IP地址，它為每一個內(nèi)部的 IP地址分配一個臨時的外部 IP地址，主要應(yīng)用于撥號，對于頻繁的遠(yuǎn)程聯(lián)接也可以采用動態(tài) NAT。當(dāng)遠(yuǎn) 程用戶聯(lián)接上之后，動態(tài)地址 NAT就會分配給他一個 IP地址，用戶斷開時，這個 IP地址就會被釋放而留待以后使用。 網(wǎng)絡(luò)地址端口轉(zhuǎn)換 NAPT（ Network Address Port Translation）是人們比較熟悉的一種轉(zhuǎn)換方式。 NAPT普遍應(yīng)用于接入設(shè)備中，它可以將中小型的網(wǎng)絡(luò)隱藏在一個合法的 IP地址后面。NAPT與 動態(tài)地址 NAT不同，它將內(nèi)部連接映射到外部網(wǎng)絡(luò)中的一個單獨的 IP地址上，同時在該地址上加上一個由 NAT設(shè)備選定的 TCP端口號。 在 Inter中使用 NAPT時，所有不同的信息流看起來好像來源于同一個 IP地址。這個優(yōu)點在小型辦公室內(nèi)非常實用，通過從 ISP處申請的一個 IP 地址，將多個連接通過 NAPT接入Inter。實際上，許多 SOHO遠(yuǎn)程訪問設(shè)備支持基于 PPP的動態(tài) IP地址。這樣， ISP甚至不需要支持 NAPT，就可以做到多個內(nèi)部 IP地址共用一個外部 IP地址上 Inter，雖然這樣會導(dǎo)致信道的一定擁塞，但考慮到節(jié)省的 ISP上網(wǎng)費用和易管理的 特點，用 NAPT還是很值得的 返回 DOS DoS是英文“ Denial of service”的縮寫，中文意思是“拒絕服務(wù)”。 DoS攻擊專門設(shè)計用來阻止授權(quán)用戶對系統(tǒng)以及系統(tǒng)數(shù)據(jù)進(jìn)行訪問，通常采用的攻擊方式是讓系統(tǒng)服務(wù)器超 載或者讓系統(tǒng)死機。類似于幾百個人同時撥一個電話，導(dǎo)致電話繁忙和不可用。 DoS攻擊可能涉及到通過國際互聯(lián)網(wǎng)發(fā)送大量的錯誤網(wǎng)絡(luò)信息包。如果 DoS攻擊 來源于單點進(jìn)攻，那么可以采用簡單的交通控制系統(tǒng)來探測到電腦黑客。較為復(fù)雜的 DoS攻擊可以包含多種結(jié)構(gòu)和大量的攻擊點。電腦黑客經(jīng)常操縱其它計算機和 網(wǎng)絡(luò)服務(wù)器并且使用它們的地址進(jìn)行 DoS攻擊，這樣就可以掩蓋他們自己的真實身份。 與之緊密相關(guān)的另一個概念就是 DdoS ,DdoS是英文“ distribution Denial of service”的縮寫，中文意思是“分布式拒絕服務(wù)攻擊”，這種攻擊方法使用與普通的拒絕服務(wù)攻擊同樣的方法，但是發(fā)起攻擊的源是多個。通常，攻擊者使 用下載的工具滲透無保護的主機，當(dāng)獲得該主機的適當(dāng)?shù)脑L問權(quán)限后，攻擊者在主機中安裝軟件的服務(wù)或進(jìn)程（以下簡稱代理）。這些代理保持睡眠狀態(tài)，直到從它 們的主控端得到指令。主控端命令代理對指定的目標(biāo)發(fā)起拒絕服務(wù)攻擊。隨著 cable modems, DSL和危害力及強的黑客工具的廣泛傳播使用，有越來越多的可以被訪問的主機。分布式拒絕服務(wù)攻擊是指主控端可以同時對一個目標(biāo)發(fā)起幾千個攻擊。單個的拒 絕服務(wù)攻擊的威力也許對帶寬較寬的站點沒有影響，而分布于全球的幾千個攻擊將會產(chǎn)生致命的效果。 返回 DMZ DMZ是英文“ demilitarized zone”的縮寫，中文名稱為“隔離區(qū)”，也稱“非軍事化區(qū)”。它是為了解決安裝防火墻后外部網(wǎng)絡(luò)不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題，而設(shè)立的一個非安全系統(tǒng) 與安全系統(tǒng)之間的緩沖區(qū)，這個緩沖區(qū)位于企業(yè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的小網(wǎng)絡(luò)區(qū)域內(nèi)，在這個小網(wǎng)絡(luò)區(qū)域內(nèi)可以放置一些必須公開的服務(wù)器設(shè)施，如企業(yè) Web 服務(wù)器、 FTP服務(wù)器和論壇等。另一方面，通過這樣一個 DMZ區(qū)域，更加有效地保護了內(nèi)部網(wǎng)絡(luò)，因為這種網(wǎng)絡(luò)部署，比起一般的防火墻方案，對攻擊者來說又 多了一道關(guān)卡。網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示。 下一張 網(wǎng)絡(luò) 設(shè)備開發(fā)商，利用這一技術(shù)，開發(fā)出了相應(yīng)的防火墻解決方案。稱“非軍事區(qū)結(jié)構(gòu)模式”。 DMZ通常是一個過濾的子網(wǎng)， DMZ在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間構(gòu)造了一個安全地帶。網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示。 DMZ防火墻方案為要保護的內(nèi)部網(wǎng)絡(luò)增加了一道安全防線，通常認(rèn)為是非常安全的。同時它提供了一個區(qū)域放置公共服務(wù)器，從而又能有效地避免一些互聯(lián)應(yīng)用需 要公開，而與內(nèi)部安全策略相矛盾的情況發(fā)生。在 DMZ區(qū)域中通常包括堡壘主機、 Modem池，以及所有的公共服務(wù)器，但要注意的是電子商務(wù)服務(wù)器只能用作 用戶連接，真正的電子商務(wù)后臺數(shù)據(jù)需要放在內(nèi)部網(wǎng)絡(luò)中。 在這個防火墻方案中，包括兩個防火墻，外部防火墻抵擋外部網(wǎng)絡(luò)的攻擊，并管理所有內(nèi)部網(wǎng)絡(luò)對 DMZ的訪問。內(nèi)部防火墻管理 DMZ對于內(nèi)部網(wǎng)絡(luò)的訪問。內(nèi)部 防火墻是內(nèi)部網(wǎng)絡(luò)的第三道安全防線 (前面有了外部防火墻和堡壘主機 )，當(dāng)外部防火墻失效的時候，它還可以起到保護內(nèi)部網(wǎng)絡(luò)的功能。而局域網(wǎng)內(nèi)部，對于 Inter的訪問由內(nèi)部防火墻和位于 DMZ的堡壘主機控制。在這樣的結(jié)構(gòu)里，一個黑客必須通過三個獨立的區(qū)域(外部防火墻、內(nèi)部防火墻和堡壘主機 ) 才能夠到達(dá)局域網(wǎng)。攻擊難度大大加強，相應(yīng)內(nèi)部網(wǎng)絡(luò)的安全性也就大大加強，但投資成本也是最高的。 返回
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1