網(wǎng)絡(luò)管理與安全技術(shù)-資料下載頁
2025-02-08 21:34本頁面
【正文】 NTERNET包過濾路由器內(nèi)部網(wǎng)絡(luò)屏蔽子網(wǎng)防火墻信息服務(wù)器堡壘主機包過濾路由器屏蔽子網(wǎng)屏蔽子網(wǎng)?對于進(jìn)來的信息，外面的路由器用于防范通常的外部攻擊，并管理 Inter到 DMZ網(wǎng)絡(luò)的訪問。它只允許外部系統(tǒng)訪問堡壘主機和信息服務(wù)器 。?里面的路由器提供第二層防御，只接受源于堡壘主機的數(shù)據(jù)包，負(fù)責(zé)的是管理 DMZ到內(nèi)部網(wǎng)絡(luò)的訪問。?對于出來的信息，里面的路由器管理內(nèi)部網(wǎng)絡(luò)到 DMZ的訪問。它允許內(nèi)部系統(tǒng)只訪問堡壘主機和信息服務(wù)器。?外面的路由器上的過濾規(guī)則要求使用代理服務(wù)，即只接受來自堡壘主機的去往 Inter的數(shù)據(jù)包。 屏蔽子網(wǎng)屏蔽子網(wǎng)屏蔽子網(wǎng)防火墻系統(tǒng)有以下幾個優(yōu)點：屏蔽子網(wǎng)防火墻系統(tǒng)有以下幾個優(yōu)點： 1. 入侵者必須攻克三個不同的設(shè)備且不被發(fā)現(xiàn)才入侵者必須攻克三個不同的設(shè)備且不被發(fā)現(xiàn)才能侵襲內(nèi)部網(wǎng)絡(luò)。能侵襲內(nèi)部網(wǎng)絡(luò)。2. 內(nèi)部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)對 Inter來說是不可見的，因為所有來說是不可見的，因為所有進(jìn)出的數(shù)據(jù)包都會直接送到進(jìn)出的數(shù)據(jù)包都會直接送到 DMZ。并且只有在。并且只有在 DMZ網(wǎng)絡(luò)上選定的系統(tǒng)才對網(wǎng)絡(luò)上選定的系統(tǒng)才對 Inter開放。這使黑客開放。這使黑客想得到內(nèi)部系統(tǒng)的信息幾乎不太可能的。想得到內(nèi)部系統(tǒng)的信息幾乎不太可能的。3. 由于內(nèi)部路由器只向內(nèi)部網(wǎng)絡(luò)通告由于內(nèi)部路由器只向內(nèi)部網(wǎng)絡(luò)通告 DMZ的存在，內(nèi)的存在，內(nèi)部網(wǎng)絡(luò)上的系統(tǒng)不能直接通往部網(wǎng)絡(luò)上的系統(tǒng)不能直接通往 Inter，這樣就，這樣就保證了內(nèi)部網(wǎng)絡(luò)上的用戶必須通過駐留在堡壘主保證了內(nèi)部網(wǎng)絡(luò)上的用戶必須通過駐留在堡壘主機上的代理服務(wù)才能訪問機上的代理服務(wù)才能訪問 Inter。這種配置避。這種配置避免了內(nèi)部用戶繞過內(nèi)網(wǎng)的安全機制。免了內(nèi)部用戶繞過內(nèi)網(wǎng)的安全機制。 屏蔽子網(wǎng)屏蔽子網(wǎng)4. 外部路由器直接將數(shù)據(jù)引向 DMZ網(wǎng)絡(luò)上所指定的系統(tǒng)，無必要設(shè)置雙宿堡壘主機。5. 內(nèi)部路由器作為內(nèi)部網(wǎng)絡(luò)與公網(wǎng)之間的防火墻系統(tǒng)并支持比雙宿堡壘主機更大的數(shù)據(jù)包吞吐量。6. 在 DMZ網(wǎng)絡(luò)上可以安裝 NAT于堡壘主機上，從而避免在內(nèi)部網(wǎng)絡(luò)上重新編址或重新劃分子網(wǎng)。 ? 在實際應(yīng)用中，具體采用哪一種防火墻主要取決于網(wǎng)絡(luò)向用戶提供什么樣的服務(wù)及網(wǎng)絡(luò)所接受的風(fēng)險等級。還要取決于經(jīng)費和技術(shù)人員的技術(shù)及時間等因素。 防火墻的類型 n 大多數(shù)防火墻都可以實現(xiàn)上述所討論的功能，在實際使用中的防火墻以其實現(xiàn)形式可以分為以下四種類型： l 嵌入式防火墻l 軟件防火墻l 硬件防火墻l 應(yīng)用程序防火墻 嵌入式防火墻 n 當(dāng)防火墻功能被集成到路由器或者交換機上時，這種防火墻稱為嵌入式（ embedded）防火墻。n 其通常只對分組信息進(jìn)行 IP級的檢查，可獲得較高的性能，易于實現(xiàn)并有較好的性價比。 軟件防火墻 n 軟件防火墻又分有兩種類型 :1. 一是企業(yè)級軟件防火墻，其用于大型網(wǎng)絡(luò)上并執(zhí)行路由選擇功能。2. 另一種是 SOHO(Small Office Home Office)級。軟件防火墻通常會提供全面的防火墻功能 .n 基于服務(wù)器的防火墻實際上是在操作系統(tǒng)之上運行的應(yīng)用程序。其系統(tǒng)平臺有 Unix、Linux以及 Windows NT、 202 XP和 .NET等。 硬件防火墻 n 因為硬件路由器也要使用軟件，所以將硬件防火墻又稱為設(shè)備防火墻。其設(shè)計成一種總體系統(tǒng)，不需要復(fù)雜的安裝或配置就可以提供防火墻功能。硬件防火墻與軟件防火墻相似，可以針對企業(yè)應(yīng)用市場來設(shè)計，也可以針對 SOHO環(huán)境。n 基于設(shè)備的防火墻也為集成解決方案，是指運行在專用的硬件和軟件上的防火墻產(chǎn)品。如 Cisco PIX防火墻就屬于這種集成設(shè)備，其整個系統(tǒng)不能實現(xiàn)除防火墻之外的其他任何功能，并且也沒有硬盤或服務(wù)器的其他常規(guī)組件。由于它的集成性和專用性，其速度、穩(wěn)定性和安全性方面都比基于服務(wù)器的防火墻更好。但基于服務(wù)器的防火墻會提供一些額外的配置和支持選項，并且價格比集成解決方案要便宜。 應(yīng)用程序防火墻 n 應(yīng)用程序防火墻經(jīng)常是作為現(xiàn)有硬件或軟件防火墻的組件實現(xiàn)的。它們的主要目的是提供一種復(fù)雜的內(nèi)容過濾層次，用來對應(yīng)用層傳輸?shù)臄?shù)據(jù)進(jìn)行過濾。n 隨著防火墻功能的提高，對于數(shù)據(jù)的過濾已經(jīng)越來越多地集中到了應(yīng)用層，應(yīng)用程序防火墻的針對性也越來越強。 1. 防火墻管理的難易度n 一般企業(yè)很少以現(xiàn)有的網(wǎng)絡(luò)設(shè)備直接當(dāng)作防火墻，如包過濾可直接放在路由器上，但其并不能達(dá)到完全的控制。n 設(shè)定工作困難、須要具備完整的知識。n 嵌入式防火墻不易排錯，是一般企業(yè)不愿意使用的主要原因。 2. 防火墻自身的安全性n 大多數(shù)人在選擇防火墻時都將注意力放在防火墻如何控制連接以及防火墻支持多少種服務(wù)，但往往忽略了一點，防火墻也是網(wǎng)絡(luò)上的主機之一，也可能存在安全問題，防火墻如果不能確保自身安全，則防火墻的控制功能再強，也終究不能完全保護(hù)內(nèi)部網(wǎng)絡(luò)。 n 在防火墻上除了執(zhí)行防火墻軟件外，所有的程序、系統(tǒng)核心，也大多來自于操作系統(tǒng)本身的原有程序。n 當(dāng)防火墻所執(zhí)行的軟件出現(xiàn)安全漏洞時，防火墻本身也將受到威脅。此時，任何的防火墻控制機制都可能失效。n 當(dāng)黑客取得了防火墻上的控制權(quán)以后，其可為所欲為地修改防火墻上的訪問規(guī)則，進(jìn)而侵入更多的系統(tǒng)。因此防火墻自身應(yīng)有相當(dāng)高的安全保護(hù)。 3. 防火墻應(yīng)該是企業(yè)整體網(wǎng)絡(luò)的保護(hù)者，并能彌補其它操作系統(tǒng)的不足，使操作系統(tǒng)的安全性不會對企業(yè)網(wǎng)絡(luò)的整體安全造成影響。4. 防火墻應(yīng)該能夠支持多種平臺。5. 防火墻應(yīng)向使用者提供完整的安全檢查功能，但防火墻并不能有效地杜絕所有的惡意封包，想要達(dá)到真正的安全仍然需要內(nèi)部人員不斷記錄、改進(jìn)、追蹤。6. 防火墻不但應(yīng)該具備包括檢查、認(rèn)證、警告、記錄的功能，并且能夠為使用者可能遇到的困境，事先提出解決方案，如 IP不足形成的 IP轉(zhuǎn)換的問題，信息加密 /解密的問題，大企業(yè)要求能夠透過 Inter集中管理的問題等，這也是選擇防火墻時必須考慮的問題。 7. 沒有一個防火墻的設(shè)計能夠適用于所有的環(huán)境，所以建議選擇防火墻時，還應(yīng)根據(jù)站點的特點來選擇合適的防火墻。 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1