【網(wǎng)絡(luò)通信安全管理員認(rèn)證－中級】防火墻補(bǔ)充-文庫吧資料
2025-03-05 19:53本頁面
【正文】 的要求。 分布式防火墻 問題的提出：通常，高安全性的傳統(tǒng)防火墻是整個(gè)企業(yè)網(wǎng)的瓶頸所在。例如，在上述情況下，“自適應(yīng)代理”守衛(wèi)也許被告知檢查張師傅的 ID，檢查郵件投遞單，檢查郵件收件人，接著處理包。 自適應(yīng)的代理服務(wù)防火墻 采用新的自適應(yīng)代理機(jī)制，速度和安全的“粒度”可以由防火墻管理員設(shè)置。這種方法十分牢靠。原來的應(yīng)用級代理保安每一次都打開郵件檢查其是不是本大廈住戶的郵件。 從而使 “ 速度和安全 ” 的折衷處于最佳狀態(tài) 重要提示：防火墻技術(shù)領(lǐng)域中 ， 速度與安全是永恒的主題 。 基本的安全檢測仍在應(yīng)用層進(jìn)行，但一旦安全檢測代理明確了會(huì)話的所有細(xì)節(jié)，那么其后的數(shù)據(jù)包就可以直接經(jīng)過速度更快的網(wǎng)絡(luò)層。 好處： ? 緩解 IP地址匱乏問題； ? 對外隱藏了內(nèi)部主機(jī)的 IP地址，提高了安全性。 其它的防火墻結(jié)構(gòu) 一個(gè)堡壘主機(jī)和一個(gè)非軍事區(qū)示意圖 …… DMZ 堡壘主機(jī) 內(nèi)部網(wǎng) 外部路由器 Inter 其它的防火墻結(jié)構(gòu) 兩個(gè)堡壘主機(jī)和兩個(gè)非軍事區(qū) 外部 DMZ 外部堡壘主機(jī) 內(nèi)部網(wǎng) 外部路由器 Inter …… 內(nèi)部堡壘主機(jī) 內(nèi)部 DMZ 防火墻的關(guān)鍵技術(shù) 包過濾 根據(jù)流經(jīng)該設(shè)備的數(shù)據(jù)包包頭信息，決定是否允許該數(shù)據(jù)包通過 判斷依據(jù)有： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項(xiàng)： 源路由、記錄路由等 ? TCP選項(xiàng)： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項(xiàng)： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過濾示例 堡壘主機(jī) 內(nèi)部網(wǎng) 外 部 網(wǎng) 絡(luò) 包過濾示例 防火墻關(guān)鍵技術(shù) 應(yīng)用代理服務(wù) 客 戶 網(wǎng) 關(guān) 服務(wù)器 1. 網(wǎng)關(guān)理解應(yīng)用協(xié)議，可以實(shí)施更細(xì)粒度的訪問控制 2. 對每一類應(yīng)用，都需要一個(gè)專門的代理 3. 靈活性不夠 發(fā)送請求 轉(zhuǎn)發(fā)請求 請求響應(yīng) 轉(zhuǎn)發(fā)響應(yīng) 防火墻關(guān)鍵技術(shù) 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（ NAT） 解決方法：網(wǎng)絡(luò)地址轉(zhuǎn)換器就是在防火墻上裝一個(gè)合法 IP地址集。 內(nèi)部路由器（阻塞路由器） ? 作用：保護(hù)內(nèi)部網(wǎng)絡(luò)不受外部網(wǎng)絡(luò)和周邊網(wǎng)絡(luò)的侵害，它
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1