網(wǎng)絡(luò)安全07-防火墻-資料下載頁(yè)
2025-01-25 12:58本頁(yè)面
【正文】 要工作防護(hù)工作在主機(jī)端； ? 打破傳統(tǒng)防火墻的物理拓?fù)浣Y(jié)構(gòu)，不單純依靠物理位置來(lái)劃分內(nèi)外； ? 由安全策略來(lái)劃分內(nèi)外網(wǎng)； ? 具體方法： ? 策略描述語(yǔ)言：說(shuō)明什么連接允許，什么連接不允許； ? 一系列系統(tǒng)管理工具：用于將策略發(fā)布到每一主機(jī)處，以保證機(jī)構(gòu)的安全 防火墻的配置模式 防火墻簡(jiǎn)圖 Gateway(s) Filter Filter Inside Outside 防火墻的位置 默認(rèn)安全策略 ? 沒(méi)有明確禁止的行為都是允許的 ? 沒(méi)有明確允許的行為都是禁止的 防火墻體系結(jié)構(gòu) ? 雙宿 /多宿主機(jī)模式 (dualhomed / multihomed) ? 屏蔽主機(jī)模式 ? 屏蔽子網(wǎng)模式 雙宿 /多宿主機(jī)模式 ? 堡壘主機(jī)是一種配置了安全防范措施的網(wǎng)絡(luò)上的計(jì)算機(jī)，它為網(wǎng)絡(luò)之間的通信提供了一個(gè)阻塞點(diǎn)，也就是說(shuō)如果沒(méi)有堡壘主機(jī)，網(wǎng)絡(luò)之間將不能相互訪(fǎng)問(wèn)。 ? 這種防火墻的特點(diǎn)是主機(jī)的路由功能是被禁止的，即主機(jī)在兩個(gè)端口之間直接轉(zhuǎn)發(fā)信息的功能被關(guān)掉。兩個(gè)網(wǎng)絡(luò)之間的通信通過(guò)應(yīng)用層代理服務(wù) 來(lái)完成。如果一旦黑客侵入堡壘主機(jī)并使其具有路由功能，防火墻將變得無(wú)用。 屏蔽主機(jī)模式 ? 堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上，在包過(guò)濾路由器上設(shè)立過(guò)濾規(guī)則，使堡壘主機(jī)成為從外部網(wǎng)絡(luò)唯一可直接到達(dá)的主機(jī)，這確保了內(nèi)部網(wǎng)絡(luò)不受非授權(quán)外部用戶(hù)的攻擊。堡壘主機(jī)可以充當(dāng) 應(yīng)用層網(wǎng)關(guān)和電路級(jí)網(wǎng)關(guān) 。 ? 屏蔽主機(jī)防火墻實(shí)現(xiàn)了網(wǎng)絡(luò)層（包過(guò)濾路由器）和應(yīng)用層（堡壘主機(jī)）的安全，因而比單獨(dú)的包過(guò)濾或應(yīng)用網(wǎng)關(guān)代理更安全。 ? 在這一方式下，過(guò)濾路由器是否配置正確是這種防火墻安全與否的關(guān)鍵，如果路由表遭到破壞，堡壘主機(jī)就可能被越過(guò)，使內(nèi)部網(wǎng)完全暴露 屏蔽子網(wǎng)模式 屏蔽子網(wǎng)防火墻是目前較流行的一種結(jié)構(gòu)，采用了兩個(gè) 包過(guò)濾路由器 和一個(gè) 堡壘主機(jī) ，在內(nèi)外網(wǎng)絡(luò)之間建立了一個(gè)被隔離的子網(wǎng)，定義為“非軍事區(qū)”，有時(shí)也稱(chēng)作周邊網(wǎng)，用于放置堡壘主機(jī)， WEB服務(wù)器、 Mail服務(wù)器等公用服務(wù)器。 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪(fǎng)問(wèn)屏蔽子網(wǎng)，但禁止它們穿過(guò)屏蔽子網(wǎng)通信。在這一配置中，即使堡壘主機(jī)被入侵者控制，內(nèi)部網(wǎng)仍受到內(nèi)部包過(guò)濾路由器的保護(hù)。 實(shí)施中的其他問(wèn)題 ? 服務(wù)最小特權(quán)原則 ? 使用多堡壘主機(jī) ? 合并內(nèi)部路由器與外部路由器 ? 合并堡壘主機(jī)與外部路由器 ? 合并堡壘主機(jī)與內(nèi)部路由器 ? 使用多臺(tái)內(nèi)部路由器 ? 使用多臺(tái)外部路由器 ? 使用多個(gè)周邊網(wǎng)絡(luò) ? 使用雙重宿主主機(jī)與屏蔽子網(wǎng) 謝謝！ 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1