防火墻原理-體系結(jié)構(gòu)-系統(tǒng)設(shè)計(參考版)
2025-04-14 22:12本頁面
【正文】 ?現(xiàn)有的防火墻系統(tǒng)已經(jīng)大都具有支持三個隔離網(wǎng)段的功能。 TCP 9： 10 20220207 寫入日志 寫入日志 一旦出現(xiàn)安全事故 可以查詢此日志 身份鑒別 Host C Host D Host B Host A 受保護網(wǎng)絡(luò) Inter 日志 Host A Host B Host C Host D Inter 安全網(wǎng)域 Host G Host H Permit Password Username 預(yù)先可在防火墻上設(shè)定用戶 root 123 root 123 Yes admin 883 No 不管那臺電腦都可以用相同的用戶名來登陸防火墻 只需在防火墻設(shè)置該用戶的規(guī)則即可 高層協(xié)議控制 ? 應(yīng)用控制可以對常用的高層應(yīng)用做更細(xì)的控制 ? 如 HTTP的 GET、 POST、 HEAD ? 如 FTP的 GET、 PUT等 物理層 鏈路層 網(wǎng)絡(luò)層 傳輸層 會話層 表示層 應(yīng)用層 物理層 鏈路層 網(wǎng)絡(luò)層 傳輸層 會話層 表示層 應(yīng)用層 內(nèi)部網(wǎng)絡(luò) 外部網(wǎng)絡(luò) 防火墻 內(nèi)部接口 外部接口 根據(jù)策略檢查應(yīng)用層的數(shù)據(jù) 符合策略 應(yīng)用層 應(yīng)用層應(yīng)用層 IP與 MAC綁定 Inter Host A Host B Host C Host D 005004BB71A6 005004BB71BC Bind To 005004BB71A6 Bind To 005004BB71BC IP與 MAC地址綁定后，不允許Host B假冒 Host A的 IP地址上網(wǎng) 防火墻允許 Host A上網(wǎng) NAT轉(zhuǎn)換 amp。 而且內(nèi)部網(wǎng)對堡壘主機是完全公開的，入侵者只要破壞了這一層的保護，那么入侵也就大功告成了 ?屏蔽子網(wǎng)結(jié)構(gòu)就是在屏蔽主機結(jié)構(gòu)中再增加一臺路由器的安全機制，這臺路由器的意義就在于它能夠在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)筑出一個安全子網(wǎng)，從而使得內(nèi)部網(wǎng)與外部網(wǎng)之間有兩層隔斷。如果該請求被允許，堡壘主機就把數(shù)據(jù)包發(fā)送到某一內(nèi)部主機或屏蔽路由器上，否則拋棄該數(shù)據(jù)包 37 屏蔽主機防火墻 ?對于入站連接，根據(jù) 安全策略 ，屏蔽路由器可以： ?允許某種服務(wù)的數(shù)據(jù)包先到達堡壘主機，然后與內(nèi)部主機連接 ?直接禁止某種服務(wù)的數(shù)據(jù)包入站連接 ?對于出站連接，根據(jù) 安全策略 ： ?對于一些服務(wù) (Tel)，可以允許它直接通過屏蔽路由器連接到外部網(wǎng)絡(luò)，而不通過堡壘主機 ?其它服務(wù) (WWW和 SMTP等 )，必須經(jīng)過堡壘主機才能連接到 Inter，并在堡壘主機上運行該服務(wù)的代理服務(wù)器 38 屏蔽主機防火墻 ?屏蔽主機防火墻轉(zhuǎn)發(fā)數(shù)據(jù)包的過程 表 示 層I P 包 過 濾應(yīng) 用 層 代 理物 理 層數(shù) 據(jù) 鏈 路 層網(wǎng) 絡(luò) 層傳 輸 層會 話 層內(nèi) 部 堡 壘 主 機過 濾 路 由 器物 理 層數(shù) 據(jù) 鏈 路 層I n t e r n e t內(nèi) 部 網(wǎng)39 屏蔽主機防火墻 ?與包過濾型防火墻的比較： ?其提供的安全等級比包過濾防火墻系統(tǒng)要高，實現(xiàn)了 網(wǎng)絡(luò)層安全 (包過濾 )和 應(yīng)用層安全 (代理服務(wù) ) ?入侵者在破壞內(nèi)部網(wǎng)絡(luò)的安全性之前，必須首先滲透兩種不同的安全系統(tǒng) ?即使入侵者進入了內(nèi)部網(wǎng)絡(luò)，也必須和堡壘主機競爭，堡壘主機是一臺安全性很高的主機 40 屏蔽主機防火墻 ?路由器不被正常路由的例子： ?正常路由情況： ?內(nèi)部網(wǎng)絡(luò)地址： ?堡壘主機地址： ?路由表內(nèi)容 ?所有流量發(fā)到堡壘主機上 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路 由 器主 機2 0 2 . 1 1 2 . 1 0 8 . 7內(nèi) 部 網(wǎng) 絡(luò)2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉(zhuǎn) 發(fā) 至2 0 2 . 1 1 2 . 1 0 8 . 0 2 0 2 . 1 1 2 . 1 0 8 . 841 屏蔽主機防火墻 ?路由表被破壞的情況： ?堡壘主機的路由項目被從路由表中刪除 ?進入屏蔽路由器的流量不會被轉(zhuǎn)發(fā)到堡壘主機上，可能被轉(zhuǎn)發(fā)到另一主機上，外部主機直接訪問了內(nèi)部主機，繞過了防火墻 ?過濾路由器成為唯一一道防線，入侵者很容易突破屏蔽路由器，內(nèi)部網(wǎng)絡(luò)不再安全 I n t e r n e t堡 壘 主 機2 0 2 . 1 1 2 . 1 0 8 . 8過 濾 路 由 器主 機2 0 2 . 1 1 2 . 1 0 8 . 7內(nèi) 部 網(wǎng) 絡(luò)2 0 2 . 1 1 2 . 1 0 8 . 0目 的 轉(zhuǎn) 發(fā) 至 . . .路 由 信 息 被 刪 除堡 壘 主 機被 越 過42 屏蔽子網(wǎng)防火墻 ?本質(zhì)上同屏蔽主機防火墻一樣，但增加了一層保護體系 —— 周邊網(wǎng)絡(luò) (DMZ)。 例如，員工接收了一封包含木馬的郵件，木馬是以普通程序的形式放在了附件里，防火墻不能避免該情況的發(fā)生。 例如，防火墻的NAT功能可以隱藏內(nèi)部的 IP地址； 代理服
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1