網(wǎng)絡(luò)管理與安全技術(shù)-資料下載頁(yè)
2025-02-08 21:34本頁(yè)面
【正文】 NTERNET包過(guò)濾路由器內(nèi)部網(wǎng)絡(luò)屏蔽子網(wǎng)防火墻信息服務(wù)器堡壘主機(jī)包過(guò)濾路由器屏蔽子網(wǎng)屏蔽子網(wǎng)?對(duì)于進(jìn)來(lái)的信息，外面的路由器用于防范通常的外部攻擊，并管理 Inter到 DMZ網(wǎng)絡(luò)的訪問(wèn)。它只允許外部系統(tǒng)訪問(wèn)堡壘主機(jī)和信息服務(wù)器 。?里面的路由器提供第二層防御，只接受源于堡壘主機(jī)的數(shù)據(jù)包，負(fù)責(zé)的是管理 DMZ到內(nèi)部網(wǎng)絡(luò)的訪問(wèn)。?對(duì)于出來(lái)的信息，里面的路由器管理內(nèi)部網(wǎng)絡(luò)到 DMZ的訪問(wèn)。它允許內(nèi)部系統(tǒng)只訪問(wèn)堡壘主機(jī)和信息服務(wù)器。?外面的路由器上的過(guò)濾規(guī)則要求使用代理服務(wù)，即只接受來(lái)自堡壘主機(jī)的去往 Inter的數(shù)據(jù)包。 屏蔽子網(wǎng)屏蔽子網(wǎng)屏蔽子網(wǎng)防火墻系統(tǒng)有以下幾個(gè)優(yōu)點(diǎn)：屏蔽子網(wǎng)防火墻系統(tǒng)有以下幾個(gè)優(yōu)點(diǎn)： 1. 入侵者必須攻克三個(gè)不同的設(shè)備且不被發(fā)現(xiàn)才入侵者必須攻克三個(gè)不同的設(shè)備且不被發(fā)現(xiàn)才能侵襲內(nèi)部網(wǎng)絡(luò)。能侵襲內(nèi)部網(wǎng)絡(luò)。2. 內(nèi)部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)對(duì) Inter來(lái)說(shuō)是不可見(jiàn)的，因?yàn)樗衼?lái)說(shuō)是不可見(jiàn)的，因?yàn)樗羞M(jìn)出的數(shù)據(jù)包都會(huì)直接送到進(jìn)出的數(shù)據(jù)包都會(huì)直接送到 DMZ。并且只有在。并且只有在 DMZ網(wǎng)絡(luò)上選定的系統(tǒng)才對(duì)網(wǎng)絡(luò)上選定的系統(tǒng)才對(duì) Inter開(kāi)放。這使黑客開(kāi)放。這使黑客想得到內(nèi)部系統(tǒng)的信息幾乎不太可能的。想得到內(nèi)部系統(tǒng)的信息幾乎不太可能的。3. 由于內(nèi)部路由器只向內(nèi)部網(wǎng)絡(luò)通告由于內(nèi)部路由器只向內(nèi)部網(wǎng)絡(luò)通告 DMZ的存在，內(nèi)的存在，內(nèi)部網(wǎng)絡(luò)上的系統(tǒng)不能直接通往部網(wǎng)絡(luò)上的系統(tǒng)不能直接通往 Inter，這樣就，這樣就保證了內(nèi)部網(wǎng)絡(luò)上的用戶(hù)必須通過(guò)駐留在堡壘主保證了內(nèi)部網(wǎng)絡(luò)上的用戶(hù)必須通過(guò)駐留在堡壘主機(jī)上的代理服務(wù)才能訪問(wèn)機(jī)上的代理服務(wù)才能訪問(wèn) Inter。這種配置避。這種配置避免了內(nèi)部用戶(hù)繞過(guò)內(nèi)網(wǎng)的安全機(jī)制。免了內(nèi)部用戶(hù)繞過(guò)內(nèi)網(wǎng)的安全機(jī)制。 屏蔽子網(wǎng)屏蔽子網(wǎng)4. 外部路由器直接將數(shù)據(jù)引向 DMZ網(wǎng)絡(luò)上所指定的系統(tǒng)，無(wú)必要設(shè)置雙宿堡壘主機(jī)。5. 內(nèi)部路由器作為內(nèi)部網(wǎng)絡(luò)與公網(wǎng)之間的防火墻系統(tǒng)并支持比雙宿堡壘主機(jī)更大的數(shù)據(jù)包吞吐量。6. 在 DMZ網(wǎng)絡(luò)上可以安裝 NAT于堡壘主機(jī)上，從而避免在內(nèi)部網(wǎng)絡(luò)上重新編址或重新劃分子網(wǎng)。 ? 在實(shí)際應(yīng)用中，具體采用哪一種防火墻主要取決于網(wǎng)絡(luò)向用戶(hù)提供什么樣的服務(wù)及網(wǎng)絡(luò)所接受的風(fēng)險(xiǎn)等級(jí)。還要取決于經(jīng)費(fèi)和技術(shù)人員的技術(shù)及時(shí)間等因素。 防火墻的類(lèi)型 n 大多數(shù)防火墻都可以實(shí)現(xiàn)上述所討論的功能，在實(shí)際使用中的防火墻以其實(shí)現(xiàn)形式可以分為以下四種類(lèi)型： l 嵌入式防火墻l 軟件防火墻l 硬件防火墻l 應(yīng)用程序防火墻 嵌入式防火墻 n 當(dāng)防火墻功能被集成到路由器或者交換機(jī)上時(shí)，這種防火墻稱(chēng)為嵌入式（ embedded）防火墻。n 其通常只對(duì)分組信息進(jìn)行 IP級(jí)的檢查，可獲得較高的性能，易于實(shí)現(xiàn)并有較好的性?xún)r(jià)比。 軟件防火墻 n 軟件防火墻又分有兩種類(lèi)型 :1. 一是企業(yè)級(jí)軟件防火墻，其用于大型網(wǎng)絡(luò)上并執(zhí)行路由選擇功能。2. 另一種是 SOHO(Small Office Home Office)級(jí)。軟件防火墻通常會(huì)提供全面的防火墻功能 .n 基于服務(wù)器的防火墻實(shí)際上是在操作系統(tǒng)之上運(yùn)行的應(yīng)用程序。其系統(tǒng)平臺(tái)有 Unix、Linux以及 Windows NT、 202 XP和 .NET等。 硬件防火墻 n 因?yàn)橛布酚善饕惨褂密浖?，所以將硬件防火墻又稱(chēng)為設(shè)備防火墻。其設(shè)計(jì)成一種總體系統(tǒng)，不需要復(fù)雜的安裝或配置就可以提供防火墻功能。硬件防火墻與軟件防火墻相似，可以針對(duì)企業(yè)應(yīng)用市場(chǎng)來(lái)設(shè)計(jì)，也可以針對(duì) SOHO環(huán)境。n 基于設(shè)備的防火墻也為集成解決方案，是指運(yùn)行在專(zhuān)用的硬件和軟件上的防火墻產(chǎn)品。如 Cisco PIX防火墻就屬于這種集成設(shè)備，其整個(gè)系統(tǒng)不能實(shí)現(xiàn)除防火墻之外的其他任何功能，并且也沒(méi)有硬盤(pán)或服務(wù)器的其他常規(guī)組件。由于它的集成性和專(zhuān)用性，其速度、穩(wěn)定性和安全性方面都比基于服務(wù)器的防火墻更好。但基于服務(wù)器的防火墻會(huì)提供一些額外的配置和支持選項(xiàng)，并且價(jià)格比集成解決方案要便宜。 應(yīng)用程序防火墻 n 應(yīng)用程序防火墻經(jīng)常是作為現(xiàn)有硬件或軟件防火墻的組件實(shí)現(xiàn)的。它們的主要目的是提供一種復(fù)雜的內(nèi)容過(guò)濾層次，用來(lái)對(duì)應(yīng)用層傳輸?shù)臄?shù)據(jù)進(jìn)行過(guò)濾。n 隨著防火墻功能的提高，對(duì)于數(shù)據(jù)的過(guò)濾已經(jīng)越來(lái)越多地集中到了應(yīng)用層，應(yīng)用程序防火墻的針對(duì)性也越來(lái)越強(qiáng)。 1. 防火墻管理的難易度n 一般企業(yè)很少以現(xiàn)有的網(wǎng)絡(luò)設(shè)備直接當(dāng)作防火墻，如包過(guò)濾可直接放在路由器上，但其并不能達(dá)到完全的控制。n 設(shè)定工作困難、須要具備完整的知識(shí)。n 嵌入式防火墻不易排錯(cuò)，是一般企業(yè)不愿意使用的主要原因。 2. 防火墻自身的安全性n 大多數(shù)人在選擇防火墻時(shí)都將注意力放在防火墻如何控制連接以及防火墻支持多少種服務(wù)，但往往忽略了一點(diǎn)，防火墻也是網(wǎng)絡(luò)上的主機(jī)之一，也可能存在安全問(wèn)題，防火墻如果不能確保自身安全，則防火墻的控制功能再?gòu)?qiáng)，也終究不能完全保護(hù)內(nèi)部網(wǎng)絡(luò)。 n 在防火墻上除了執(zhí)行防火墻軟件外，所有的程序、系統(tǒng)核心，也大多來(lái)自于操作系統(tǒng)本身的原有程序。n 當(dāng)防火墻所執(zhí)行的軟件出現(xiàn)安全漏洞時(shí)，防火墻本身也將受到威脅。此時(shí)，任何的防火墻控制機(jī)制都可能失效。n 當(dāng)黑客取得了防火墻上的控制權(quán)以后，其可為所欲為地修改防火墻上的訪問(wèn)規(guī)則，進(jìn)而侵入更多的系統(tǒng)。因此防火墻自身應(yīng)有相當(dāng)高的安全保護(hù)。 3. 防火墻應(yīng)該是企業(yè)整體網(wǎng)絡(luò)的保護(hù)者，并能彌補(bǔ)其它操作系統(tǒng)的不足，使操作系統(tǒng)的安全性不會(huì)對(duì)企業(yè)網(wǎng)絡(luò)的整體安全造成影響。4. 防火墻應(yīng)該能夠支持多種平臺(tái)。5. 防火墻應(yīng)向使用者提供完整的安全檢查功能，但防火墻并不能有效地杜絕所有的惡意封包，想要達(dá)到真正的安全仍然需要內(nèi)部人員不斷記錄、改進(jìn)、追蹤。6. 防火墻不但應(yīng)該具備包括檢查、認(rèn)證、警告、記錄的功能，并且能夠?yàn)槭褂谜呖赡苡龅降睦Ь常孪忍岢鼋鉀Q方案，如 IP不足形成的 IP轉(zhuǎn)換的問(wèn)題，信息加密 /解密的問(wèn)題，大企業(yè)要求能夠透過(guò) Inter集中管理的問(wèn)題等，這也是選擇防火墻時(shí)必須考慮的問(wèn)題。 7. 沒(méi)有一個(gè)防火墻的設(shè)計(jì)能夠適用于所有的環(huán)境，所以建議選擇防火墻時(shí)，還應(yīng)根據(jù)站點(diǎn)的特點(diǎn)來(lái)選擇合適的防火墻。 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1