網(wǎng)絡安全07-防火墻(參考版)
2025-01-27 12:58本頁面
【正文】 實施中的其他問題 ? 服務最小特權原則 ? 使用多堡壘主機 ? 合并內(nèi)部路由器與外部路由器 ? 合并堡壘主機與外部路由器 ? 合并堡壘主機與內(nèi)部路由器 ? 使用多臺內(nèi)部路由器 ? 使用多臺外部路由器 ? 使用多個周邊網(wǎng)絡 ? 使用雙重宿主主機與屏蔽子網(wǎng) 謝謝！ 演講完畢，謝謝觀看！ 。 內(nèi)部網(wǎng)絡和外部網(wǎng)絡均可訪問屏蔽子網(wǎng)，但禁止它們穿過屏蔽子網(wǎng)通信。 ? 屏蔽主機防火墻實現(xiàn)了網(wǎng)絡層（包過濾路由器）和應用層（堡壘主機）的安全，因而比單獨的包過濾或應用網(wǎng)關代理更安全。 屏蔽主機模式 ? 堡壘主機安裝在內(nèi)部網(wǎng)絡上，在包過濾路由器上設立過濾規(guī)則，使堡壘主機成為從外部網(wǎng)絡唯一可直接到達的主機，這確保了內(nèi)部網(wǎng)絡不受非授權外部用戶的攻擊。兩個網(wǎng)絡之間的通信通過應用層代理服務 來完成。 應用層網(wǎng)關的協(xié)議棧結構 HTTP FTP Tel Smtp 傳輸層 網(wǎng)絡層 鏈路層 應用層網(wǎng)關的優(yōu)缺點 ? 優(yōu)點 ? 允許用戶“直接”訪問 Inter； ? 易于記錄日志； ? 缺點 ? 新的服務不能及時地被代理 ? 每個被代理的服務都要求專門的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務要求建立直接連接，無法使用代理 ?比如聊天服務、或者即時消息服務 ? 代理服務不能避免協(xié)議本身的缺陷或者限制 應用層網(wǎng)關實現(xiàn) ? 編寫代理軟件 ? 代理軟件一方面是服務器軟件 ? 但是它所提供的服務可以是簡單的轉發(fā)功能 ? 另一方面也是客戶軟件 ? 對于外面真正的服務器來說，是客戶軟件 ? 針對每一個服務都需要編寫模塊或者單獨的程序 ? 實現(xiàn)一個標準的框架，以容納各種不同類型的服務 ? 軟件實現(xiàn)的可擴展性和可重用性 ? 客戶軟件 ? 軟件需要定制或者改寫 ? 對于最終用戶的透明性？ ? 協(xié)議對于應用層網(wǎng)關的處理 ? 協(xié)議設計時考慮到中間代理的存在，特別是在考慮安全性，比如數(shù)據(jù)完整性的時候 電路層網(wǎng)關 ? 電路層網(wǎng)關是一個通用代理服務器，工作 TCP/IP協(xié)議的 TCP層 ? 將所有跨越防火墻的網(wǎng)絡通信分為兩段 ? 建立兩個 TCP連接，一個是內(nèi)主機與防火墻，另一個是防火墻與外主機 ? 電路層網(wǎng)關只是在內(nèi)部連接和外部連接之間來回拷貝字節(jié)，并不進行任何附加的包處理或過濾 ? 通過電路層網(wǎng)關傳遞的數(shù)據(jù)似乎起源于網(wǎng)關，隱藏了被保護網(wǎng)絡的信息 ? 電路層網(wǎng)關常用于向外連接，對于要訪問互聯(lián)網(wǎng)服務的內(nèi)部用戶來說使用起來很方便 電路層網(wǎng)關示意圖
教學課件相關推薦
鄂ICP備17016276號-1