防火墻技術(shù)及應(yīng)用ppt-wenkub.com
2025-02-18 23:07 本頁(yè)面
【正文】 這樣內(nèi)網(wǎng)用戶(hù)將可以利用 21號(hào)端口來(lái)訪問(wèn)外網(wǎng)的 FTP資源。 ?Pix525(config)conduit permit icmp any any 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?例 12 通過(guò) static和 conduit命令，實(shí)現(xiàn)外網(wǎng)的所有用戶(hù)能夠通過(guò)防火墻訪問(wèn) Web服務(wù)器（內(nèi)部 IP地址為 ，外部 IP地址為）。如果 foreign_ip是一臺(tái)主機(jī)，就用 host命令參數(shù)。我們可以通過(guò)服務(wù)名稱(chēng)或端口號(hào)來(lái)指定端口。 ?Pix525(config)static (inside, outside) ?Static命令也可以理解為建立內(nèi)部 IP地址（如例 7的 ）與外部 IP地址（如例 7的）之間的靜態(tài)映射。 [metric]表示到 gateway_ip的跳數(shù)，通常缺省是 1。 ?Pix525(config)global (outside) 1 ?當(dāng)要取消配置時(shí)，像 Cisco路由器和交換機(jī)的配置一樣，只需要在命令行前面加 no即可，如例 5所示。 global命令的配置格式為： ?global (interface_name) nat_id ip_addressip_address [mark global_mask] ?其中，（ interface_name）表示外網(wǎng)接口名字，一般為 outside； nat_id用來(lái)標(biāo)識(shí)全局地址池，使它與其相應(yīng)的 nat命令相匹配；ip_addressip_address表示轉(zhuǎn)換后的單個(gè) IP地址或一段 IP地址； [mark global_mask]表示全局 IP地址的網(wǎng)絡(luò)掩碼。 nat_id用來(lái)標(biāo)識(shí)全局地址池，使它與其相應(yīng)的 global命令相匹配， local_ip表示內(nèi)網(wǎng)被分配的 IP地址， 所有主機(jī)可以對(duì)外訪問(wèn)。 ?Pix525(config)nameif ether0 outside security 0 （將外網(wǎng)接口 ether 0的安全等級(jí)設(shè)置為 0） ?Pix525(config)nameif ether1 inside security 100 （將內(nèi)網(wǎng)接口 ether 1的安全等級(jí)設(shè)置為 100） ?Pix525(config)nameif dmz security 50 （將 DMZ接口的安全等級(jí)設(shè)置為 50） 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?2. 配置以太網(wǎng)接口參數(shù)（ interface） ?下面，我們將 PIX防火墻上的快速以太網(wǎng)接口 0（ ether 0）配置為自適應(yīng)，將快速以太網(wǎng)接口 1（ fastether 1）配置為全雙工。 PIX防火墻在開(kāi)機(jī)或重啟過(guò)程中，按住管理機(jī)上的 Escape鍵或發(fā)送一個(gè)“Break”字符，將進(jìn)入監(jiān)視模式。在特權(quán)模式下輸入 configure terminal命令將進(jìn)入配置模式，絕大部分的系統(tǒng)配置都在配置模式下進(jìn)行。在特權(quán)模式下可以改變當(dāng)前配置。系統(tǒng)顯示為 pixfirewall（其中 pixfirewall為防火墻的名稱(chēng)）。 ? 具體配置方法見(jiàn)教材。 ?（ 2）未知木馬掃描技術(shù)。這一思想其實(shí)就是將個(gè)人防火墻作為分布式防火墻中的主機(jī)防火墻來(lái)存在。可將個(gè)人防火墻功能集成到 Modem、 xDSL、 Cable Modem、無(wú)線 AP等設(shè)備中，使個(gè)人防火墻成為這些網(wǎng)絡(luò)設(shè)備的組成模塊。 防火墻本身應(yīng)該具有良好的容錯(cuò)性； ? 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?3． 端口 “隱蔽 ”功能 ? 端口 “隱蔽 ”會(huì)將主機(jī)上的端口完全隱藏起來(lái)，而不返回任何拒絕響應(yīng)的報(bào)文。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?2． 個(gè)人防火墻的概念 ? 個(gè)人防火墻是一套安裝在個(gè)人計(jì)算機(jī)上的軟件系統(tǒng)，它能夠監(jiān)視計(jì)算機(jī)的通信狀況，一旦發(fā)現(xiàn)有對(duì)計(jì)算機(jī)產(chǎn)生危險(xiǎn)的通信就會(huì)報(bào)警通知管理員或立即中斷網(wǎng)絡(luò)連接，以此實(shí)現(xiàn)對(duì)個(gè)人計(jì)算機(jī)上重要數(shù)據(jù)的安全保護(hù)。 ?（ 3） 與網(wǎng)絡(luò)的物理?yè)渫亟Y(jié)構(gòu)無(wú)關(guān)，支持VPN和移動(dòng)計(jì)算等應(yīng)用，應(yīng)用更加廣泛。而安全策略的執(zhí)行則由相關(guān)主機(jī)節(jié)點(diǎn)獨(dú)立實(shí)施，由各主機(jī)產(chǎn)生的安全日志集中保存在中心管理服務(wù)器上。根據(jù)DFW所需要完成的功能，分布式防火墻系統(tǒng)由以下 3部分組成： ?（ 1）網(wǎng)絡(luò)防火墻。 ?（ 4） 故障問(wèn)題。 ?（ 4）狀態(tài)檢測(cè)防火墻的不足主要表現(xiàn)為：對(duì)防火墻 CPU、內(nèi)存等硬件要求較高、安全性主要依賴(lài)于防火墻操作系統(tǒng)的安全性、安全性不如代理防火墻。 ?（ 2） UDP數(shù)據(jù)包 。狀態(tài)檢測(cè)防火墻的工作過(guò)程是：首先利用規(guī)則表進(jìn)行數(shù)據(jù)包的過(guò)濾，此過(guò)程與靜態(tài)包過(guò)濾防火墻基本相同。 ?2． 狀態(tài)檢測(cè)技術(shù)及優(yōu)勢(shì) ? 狀態(tài)檢測(cè)技術(shù)即動(dòng)態(tài)包過(guò)濾技術(shù)。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? （ 3） 代理服務(wù)器通常擁有高速緩存，緩存中保存了用戶(hù)最近訪問(wèn)過(guò)的站點(diǎn)內(nèi)容。從客戶(hù)機(jī)來(lái)看，代理服務(wù)器相當(dāng)于一臺(tái)真正的服務(wù)器；而從服務(wù)器來(lái)看，代理服務(wù)器僅是一臺(tái)客戶(hù)機(jī)。 ? （ 2） 防火墻在進(jìn)行檢查時(shí)，首先從過(guò)濾規(guī)則表中的第 1個(gè)條目開(kāi)始逐條進(jìn)行，所以過(guò)濾規(guī)則表中條目的先后順序非常重要。 ?1． IP分組的組成 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?2． 包過(guò)濾防火墻的工作原理 ? 包過(guò)濾（ Packet Filter）是在網(wǎng)絡(luò)層中根據(jù)事先設(shè)置的安全訪問(wèn)策略（過(guò)濾規(guī)則），檢查每一個(gè)數(shù)據(jù)包的源 IP地址、目的 IP地址以及 IP分組頭部的其他各種標(biāo)志信息（如協(xié)議、服務(wù)類(lèi)型等），確定是否允許該數(shù)據(jù)包通過(guò)防火墻。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?4．防火墻不能防范內(nèi)部用戶(hù)的惡意破壞 ? 據(jù)相關(guān)資料統(tǒng)計(jì)，目前局域網(wǎng)中有 80%以上的網(wǎng)絡(luò)破壞行為是由內(nèi)部用戶(hù)所為，如在局域網(wǎng)中竊取其他主機(jī)上的數(shù)據(jù)、對(duì)其他主機(jī)進(jìn)行網(wǎng)絡(luò)攻擊、散布計(jì)算機(jī)病毒等。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 防火墻應(yīng)用的局限性 ?1． 防火墻不能防范未通過(guò)自身的網(wǎng)絡(luò)連接 ? 對(duì)于有線網(wǎng)絡(luò)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1