第9章防火墻技術(shù)-wenkub.com
2024-09-24 15:35 本頁面
【正文】 （ 3） PPTP/L2TP 表 OSI模型相應(yīng)層次的安全技術(shù)和所用安全協(xié)議 OSI七層模型 安 全 技 術(shù) 安 全 協(xié) 議 應(yīng)用層 表示層 應(yīng)用代理 會話層 傳輸層 會話層代理 SOCK v5 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 包過濾 IPSec PPTP/L2TP 其他防火墻技術(shù) 除了上面介紹的防火墻技術(shù)外，一些新的技術(shù)正在防火墻產(chǎn)品中采用，主要有以下幾種。 （ 2） IPSec IPSec用密碼技術(shù)從三個方面來保證數(shù)據(jù)的安全。 ? 在公司與商業(yè)伙伴、顧客、供應(yīng)商和投資者之間建立 VPN，稱為“外聯(lián)網(wǎng) VPN”。 （ 3）提供訪問控制，不同的用戶有不同的訪問權(quán)限。 VPN技術(shù) 虛擬專用網(wǎng)被定義為通過一個公共網(wǎng)絡(luò) （Inter） 建立的一個臨時的和安全的連接 ， 是一條穿過混亂的公用網(wǎng)絡(luò)的安全與穩(wěn)定的隧道 ， 它是對企業(yè)內(nèi)部網(wǎng)的擴展 ， 如圖 。網(wǎng)絡(luò)管理員可以決定那些內(nèi)部的 IP地址需要隱藏，哪些地址需要映射成為一個對 Inter可見的 IP地址。 （ 2）內(nèi)部網(wǎng)絡(luò)的 IP地址是無效的 IP地址。 圖 狀態(tài)包檢查的邏輯流程 防火墻的能力 包 過 濾 器 代 理 狀 態(tài) 檢 查 傳輸?shù)男畔? 部分 部分 能 傳輸狀態(tài) 不能 部分 能 應(yīng)用的狀態(tài) 不能 能 能 信息處理 部分 能 能 表 防火墻技術(shù)比較表 狀態(tài)檢查防火墻有如下的優(yōu)點。在一個要求用戶接口和用戶體系結(jié)構(gòu)友好易操作的今天，這種“不友好”性顯得不合時宜。 （ 5）應(yīng)用層網(wǎng)關(guān)要求用戶改變自己的行為，或者在訪問代理服務(wù)的每個系統(tǒng)上安裝特殊的軟件。應(yīng)用層網(wǎng)關(guān)不能為 RPC、 Talk和其他一些基于通用協(xié)議簇的服務(wù)提供代理。 （ 5） 通過代理訪問 Inter， 可以解決合法的IP地址不夠用的問題 。 （ 1） 應(yīng)用層網(wǎng)關(guān)有能力支持可靠的用戶認證并提供詳細的注冊信息 。 1．應(yīng)用級代理 應(yīng)用級代理有兩種情況，一種是內(nèi)部網(wǎng)通過代理訪問外部網(wǎng)。 ③ 包過濾是無狀態(tài)的，因為包過濾不能保持與傳輸相關(guān)的狀態(tài)信息或與應(yīng)用相關(guān)的狀態(tài)信息。 包過濾最明顯的缺陷是即使是最基本的網(wǎng)絡(luò)服務(wù)和協(xié)議，它也不能提供足夠的安全保護，包過濾是不夠安全的。 ② 是否負擔得起生成和返回錯誤代碼的高額費用。 1． 包過濾的模型 圖 包過濾模型 包過濾一般要檢查下面幾項： （ 1） IP源地址； （ 2） IP目的地址； （ 3） 協(xié)議類型 （ TCP包 、 UDP包和 ICMP包 ） ； （ 4） TCP或 UDP的源端口； （ 5） TCP或 UDP的目的端口； （ 6） ICMP消息類型； （ 7） TCP報頭中的 ACK位 。 （ 4）在網(wǎng)絡(luò)上，堡壘主機應(yīng)位于 DMZ內(nèi)沒有機密信息流或信息流不太敏感的部分。 （ 1）無路由雙宿主主機 （ 2）犧牲主機 （ 3）內(nèi)部堡壘主機 2．堡壘主機的選擇 （ 1）選擇主機時，應(yīng)選擇一個可以支持多個網(wǎng)絡(luò)接口同時處于活躍狀態(tài)，從而能夠向內(nèi)部網(wǎng)用戶提供多個網(wǎng)絡(luò)服務(wù)的機器。 圖 兩個堡壘主機和兩個 “ 非軍事區(qū) ” 圖 犧牲主機結(jié)構(gòu) （ 4） 使用多臺外部路由器的體系結(jié)構(gòu) ， 如圖 。 圖 被屏蔽主機結(jié)構(gòu) 圖 堡壘主機轉(zhuǎn)發(fā)數(shù)據(jù)包 屏蔽子網(wǎng)型防火 圖 被屏蔽子網(wǎng)防火墻系統(tǒng)（ DMZ） 墻 根據(jù)堡壘主機和包過濾器的各種組合，基于屏蔽子網(wǎng)的防火墻系統(tǒng)衍生出了一
教學課件相關(guān)推薦
鄂ICP備17016276號-1