防火墻技術(shù)ppt課件(2)(參考版)
2025-05-10 06:14本頁面
【正文】 這種配置的危險地帶僅包括堡壘主機 、 子網(wǎng)主機及所有連接內(nèi)網(wǎng) 、 外網(wǎng)和屏蔽子網(wǎng)的路由器 。 兩個屏蔽路由器放在子網(wǎng)的兩端 ， 在子網(wǎng)內(nèi)構(gòu)成一個 “ 非軍事區(qū) ” DMZ。 內(nèi)部網(wǎng)堡壘主機工作站 工作站 工作站Int erne t. . . . . .路由器防火墻 屏蔽子網(wǎng)結(jié)構(gòu) 屏蔽子網(wǎng)結(jié)構(gòu)它是在屏蔽主機結(jié)構(gòu)的基礎(chǔ)上添加額外的安全層 ， 即通過添加周邊網(wǎng)絡(luò) （ 即屏蔽子網(wǎng) ） 更進一步地把內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔離開 。通常在路由器上設(shè)立過濾規(guī)則，并使這個堡壘主機成為從外部網(wǎng)絡(luò)唯一可直接到達的主機。 一般情況下雙宿主機的路由功能是被禁止的 ， 這樣可以隔離內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的直接通信 ， 從而達到保護內(nèi)部網(wǎng)絡(luò)的作用 。 2．集成化管理 3．分布式體系結(jié)構(gòu) 防火墻體系結(jié)構(gòu) （ 1） 雙重宿主主機結(jié)構(gòu)； （ 2） 被屏蔽主機結(jié)構(gòu)； （ 3） 被屏蔽子網(wǎng)結(jié)構(gòu) 。 （ 2）與入侵檢測技術(shù)和攻擊防御技術(shù)的融合 （ 3）提供對應(yīng)用層攻擊行為的檢測和對應(yīng)用層內(nèi)容的過濾功能。作為自適應(yīng)安全計劃的一部分，自適應(yīng)代理將允許經(jīng)過正確驗證的設(shè)備在安全傳感器和掃描儀發(fā)現(xiàn)重要的網(wǎng)絡(luò)威脅時，根據(jù)防火墻管理員事先確定的安全策略，自動 “ 適應(yīng) ” 防火墻級別 。 而一旦代理明確了會話的所有細節(jié) ， 其后的數(shù)據(jù)包就可以直接經(jīng)過速度更快的網(wǎng)絡(luò)層 。 （ 3） 自適應(yīng)代理 （ Adaptive Proxy） 自適應(yīng)代理防火墻允許用戶根據(jù)具體需求 ， 定義防火墻策略 ，而不會犧牲速度或安全性 。 對用戶來說 ， 內(nèi)網(wǎng)與外網(wǎng)的信息交換是透明的 ， 感覺不到防火墻的存在 ， 那是因為因特網(wǎng)絡(luò)用戶不需要登錄到防火墻上 。 所以 ， 電路級代理服務(wù)器通常要求修改過的用戶程序 。 電路層網(wǎng)關(guān)用來在兩個通信的終點之間轉(zhuǎn)換包 。 （ 2） 電路層代理 （ Circuit Proxy） 也稱為電路級代理服務(wù)器 。 應(yīng)用層代理的優(yōu)點是能解釋應(yīng)用協(xié)議 ， 支持用戶認(rèn)證 ， 從而能對應(yīng)用層的數(shù)據(jù)進行更細粒度的控制 。 應(yīng)用層代理為某個特定應(yīng)用服務(wù)提供代理 ，它對應(yīng)用協(xié)議進行解析并解釋應(yīng)用協(xié)議的命令 。 （ 4） 代理能過濾數(shù)據(jù)內(nèi)容 可以把一些過濾規(guī)則應(yīng)用于代理 ， 讓它在應(yīng)用層實現(xiàn)過濾功能 。 這些日志 、 記錄對于流量分析 、 安全檢驗是十分重要和寶貴的 。 如果代理實現(xiàn)得好 ， 可以對配置協(xié)議要求較低 ， 從而避免了配置錯誤 。 同樣的道理 ， 代理服務(wù)器在外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請服務(wù)時也發(fā)揮了中間轉(zhuǎn)接的作用 。 代理服務(wù)器運行在兩個網(wǎng)絡(luò)之間 ， 它對于客戶機來說像是一臺真的服務(wù)器 ， 而對于外網(wǎng)的服務(wù)器來說 ， 它又是一臺客戶機 。 此外 ， 單純由屏
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1