第7章計(jì)算機(jī)網(wǎng)絡(luò)安全-資料下載頁
2025-09-30 15:16本頁面
【正文】 。 防火墻在互聯(lián)的網(wǎng)絡(luò)中的位置 ? 防火墻的基本規(guī)則 配置防火墻有兩種基本規(guī)則： （ 1）一切未被允許的就是禁止的（ No規(guī)則）：在該規(guī)則下，防火墻封鎖所有的信息流，只允許符合開發(fā)規(guī)則的信息進(jìn)出。這種方法可以形成一種比較安全的網(wǎng)絡(luò)環(huán)境，但這是以犧牲用戶使用的方便為代價(jià)的，用戶需要的新服務(wù)必須通過防火墻管理員逐步添加。 （ 2）一切未被禁止的就是允許的（ Yes規(guī)則） : 在該規(guī)則下，防火墻只禁止符合屏蔽規(guī)則的信息進(jìn)出，而轉(zhuǎn)發(fā)所有其他的信息流。這種方法提供了一種更為靈活的應(yīng)用環(huán)境，但很難提供可靠的安全防護(hù)。 具體選用那種規(guī)則，要根據(jù)實(shí)際情況決定，如果出于安全考慮就選擇第一條規(guī)則，如果出于應(yīng)用的便捷性考慮就選用第二條規(guī)則。 ?防火墻技術(shù) 防火墻不是一個(gè)單獨(dú)的計(jì)算機(jī)程序或設(shè)備。在理論上，防火墻是由軟件和硬件兩部分組成。 實(shí)現(xiàn)防火墻的主要技術(shù)有 : 數(shù)據(jù)包過濾 , 應(yīng)用網(wǎng)關(guān)和代理服務(wù)等。 包過濾 (Packet Filtering)技術(shù)是在網(wǎng)絡(luò)層對數(shù)據(jù)包進(jìn)行選擇，選擇的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾邏輯，被稱為訪問控制表 (Access Control Table)。通過檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包的源地址、目的地址、所用的端口號(hào)、協(xié)議狀態(tài)等因素，或它們的組合來確定是否允許該數(shù)據(jù)包通過。工作在網(wǎng)絡(luò)層和傳輸層 。 數(shù)據(jù)包頭部大致包含以下信息： ◆ IP源地址和目標(biāo)地址 ◆協(xié)議（ TCP、 UDP或 ICMP包） ◆ TCP/UDP源和目的端口 ◆ TCP頭中的 ACK位 ◆ ICMP信息類型 ◆數(shù)據(jù)包要到達(dá)的端口和要出去的端口 包過濾的優(yōu)點(diǎn)： ◆一個(gè)包過濾路由器即可保護(hù)整個(gè)網(wǎng)絡(luò) ◆不需要用戶軟件支撐，不需要對用戶作特別培訓(xùn) ◆包過濾產(chǎn)品比較容易獲得 包過濾的缺點(diǎn)： ◆包過濾規(guī)則配置比較困難 ◆對包過濾規(guī)則配置的測試比較麻煩 ◆包過濾功能有種種局限性 包過濾技術(shù)作為防火墻的應(yīng)用有三類：一是路由設(shè)備在完成路由選擇和數(shù)據(jù)轉(zhuǎn)發(fā)之外 , 同時(shí)進(jìn)行包過濾 , 這是目前較常用的方式；二是在工作站上使用軟件進(jìn)行包過濾 , 這種方式價(jià)格較貴 。 三是在一種稱為屏蔽路由器的路由設(shè)備上啟動(dòng)包過濾功能。 應(yīng)用網(wǎng)關(guān) (Application Gateway)技術(shù)是建立在網(wǎng)絡(luò)應(yīng)用層上的協(xié)議過濾，它針對特別的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議即數(shù)據(jù)過濾協(xié)議，并且能夠?qū)?shù)據(jù)包分析并形成相關(guān)的報(bào)告。應(yīng)用網(wǎng)關(guān)對某些易于登錄和控制所有輸出輸入的通信的環(huán)境給予嚴(yán)格的控制 , 以防有價(jià)值的程序和數(shù)據(jù)被竊取。它的另一個(gè)功能是對通過的信息進(jìn)行記錄，如什么樣的用戶在什么時(shí)間連接了什么站點(diǎn)。在實(shí)際工作中 , 應(yīng)用網(wǎng)關(guān)一般由專用工作站系統(tǒng)來完成。 ?代理服務(wù)技術(shù) 代理服務(wù) (Proxy Service)也稱電路級(jí)網(wǎng)關(guān)或 TCP通道(Circuit Level Gateways or TCP Tunnels)，也有人將它歸于應(yīng)用級(jí)網(wǎng)關(guān)一類。它是針對數(shù)據(jù)包過濾和應(yīng)用網(wǎng)關(guān)技術(shù)存在的缺點(diǎn)而引入的防火墻技術(shù)，其特點(diǎn)是將所有跨越防火墻的網(wǎng)絡(luò)通信分為兩段。代理服務(wù)作用在應(yīng)用層，它用來提供應(yīng)用層服務(wù)的控制，起到內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)申請服務(wù)時(shí)中間轉(zhuǎn)接作用。內(nèi)部網(wǎng)絡(luò)只接受代理提出的服務(wù)請求，拒絕外部網(wǎng)絡(luò)其它接點(diǎn)的直接請求。 ?防火墻的體系結(jié)構(gòu) 常見的防火墻的體系結(jié)構(gòu)有三種：雙宿主機(jī)體系結(jié)構(gòu)、屏蔽主機(jī)體系結(jié)構(gòu)、屏蔽子網(wǎng)體系結(jié)構(gòu)。 雙宿主機(jī)體系結(jié)構(gòu)圍繞雙宿主機(jī)構(gòu)筑。雙宿主機(jī)至少有兩個(gè)網(wǎng)絡(luò)接口。這樣的主機(jī)可以充當(dāng)與這些接口相連的網(wǎng)絡(luò)之間的路由器；它能夠從一個(gè)網(wǎng)絡(luò)到另外一個(gè)網(wǎng)絡(luò)發(fā)送IP數(shù)據(jù)包。然而雙宿主機(jī)的防火墻體系結(jié)構(gòu)禁止這種發(fā)送。因此 IP數(shù)據(jù)包并不是從一個(gè)網(wǎng)絡(luò)（如外部網(wǎng)絡(luò)）直接發(fā)送到另一個(gè)網(wǎng)絡(luò)（如內(nèi)部網(wǎng)絡(luò)）。外部網(wǎng)絡(luò)能與雙宿主機(jī)通信，內(nèi)部網(wǎng)絡(luò)也能與雙宿主機(jī)通信。但是外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)不能直接通信，它們之間的通信必須經(jīng)過雙宿主機(jī)的過濾和控制。 雙宿主機(jī)體系結(jié)構(gòu)中，堡壘主機(jī)可以采用包過濾技術(shù)，也可采用代理服務(wù)技術(shù)。在使用代理服務(wù)技術(shù)的雙重宿主機(jī)中，主機(jī)的路由功能應(yīng)當(dāng)被禁止，兩個(gè)網(wǎng)絡(luò)之間的通信通過應(yīng)用層代理服務(wù)來完成。 雙宿主機(jī)體系結(jié)構(gòu) ? 雙宿主機(jī)體系結(jié)構(gòu)防火墻沒有使用路由器。而屏蔽主機(jī)防火墻則使用一個(gè)路由器把內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)隔離開，堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上。 在這種體系結(jié)構(gòu)中，包過濾路由器配置是否正確是這種防火墻安全與否的關(guān)鍵，如果路由表遭到破壞，堡壘主機(jī)能夠被繞過，是內(nèi)部網(wǎng)絡(luò)完全暴露。屏蔽主機(jī)防火墻實(shí)現(xiàn)了網(wǎng)絡(luò)層和應(yīng)用層的安全。 屏蔽子網(wǎng)體系結(jié)構(gòu)是在屏蔽主機(jī)結(jié)構(gòu)中增加一層 (DMZ)或稱周邊網(wǎng)的安全機(jī)制，使內(nèi)部網(wǎng)與外部網(wǎng)之間有兩層隔斷。 屏蔽子網(wǎng)體系結(jié)構(gòu)的最簡單的形式為，兩個(gè)包過濾路由器，每一個(gè)都連接到非軍事區(qū)網(wǎng)絡(luò)中。一個(gè)位于非軍事區(qū)與內(nèi)部網(wǎng)絡(luò)之間，另一個(gè)位于非軍事區(qū)與外部網(wǎng)絡(luò)之間。這樣就在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間形成了一個(gè) “ 隔離帶 ” 。管理員可以將 Web服務(wù)器、 Mail服務(wù)器放在非軍事區(qū)網(wǎng)絡(luò)中。為了侵入用這種體系結(jié)構(gòu)構(gòu)筑的內(nèi)部網(wǎng)絡(luò)，侵襲者必須通過兩個(gè)路由器。即使侵襲者侵入堡壘主機(jī)，他將仍然必須通過內(nèi) 部路由器。 屏蔽子網(wǎng)體系結(jié)構(gòu)
外語相關(guān)推薦
鄂ICP備17016276號(hào)-1