changyou暢游-防火墻-展示頁
2024-10-11 22:10本頁面
【正文】 系統(tǒng)一般按照四種模型構(gòu)建 – 篩選路由器模型 – 單宿主堡壘主機(jī)（屏蔽主機(jī)防火墻）模型 – 雙宿主堡壘主機(jī)模型（屏蔽防火墻系統(tǒng)模型） – 屏蔽子網(wǎng)模型。 ? 通常情況下，如果規(guī)則中沒有明確允許指定數(shù)據(jù)包的出入，那么數(shù)據(jù)包將被丟棄 防火墻服務(wù)器工作站臺(tái)式PC 打印機(jī)服務(wù)器數(shù)據(jù)包安全區(qū)域數(shù)據(jù)包服務(wù)器控制策略查找對(duì)應(yīng)的策略 數(shù)據(jù)IP報(bào)頭 TCP報(bào)頭分組過濾判斷包過濾路由器示意圖 網(wǎng)絡(luò)層 鏈路層 物理層 外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò) 包過濾防火墻 (小結(jié) ) ? 在網(wǎng)絡(luò)層上進(jìn)行監(jiān)測(cè) – 并沒有考慮連接狀態(tài)信息 ? 通常在路由器上實(shí)現(xiàn) – 實(shí)際上是一種網(wǎng)絡(luò)的訪問控制機(jī)制 ? 優(yōu)點(diǎn) – 實(shí)現(xiàn)簡(jiǎn)單 – 對(duì)用戶透明 – 效率高 ? 缺點(diǎn) – 正確制定規(guī)則并不容易 – 不可能引入認(rèn)證機(jī)制 針對(duì)包過濾防火墻的攻擊 ? IP地址欺騙，例如，假冒內(nèi)部的 IP地址 – 對(duì)策：在外部接口上禁止內(nèi)部地址 ? 源路由攻擊，即由源指定路由 – 對(duì)策：禁止這樣的選項(xiàng) ? 小碎片攻擊，利用 IP分片功能把 TCP頭部切分到不同的分片中 – 對(duì)策：丟棄分片太小的分片 ? 利用復(fù)雜協(xié)議和管理員的配置失誤進(jìn)入防火墻 – 例如，利用 ftp協(xié)議對(duì)內(nèi)部進(jìn)行探查 應(yīng)用層網(wǎng)關(guān) ? 也稱為代理服務(wù)器 ? 特點(diǎn) – 所有的連接都通過防火墻，防火墻作為網(wǎng)關(guān) – 在應(yīng)用層上實(shí)現(xiàn) – 可以監(jiān)視包的內(nèi)容 – 可以實(shí)現(xiàn)基于用戶的認(rèn)證 – 所有的應(yīng)用需要單獨(dú)實(shí)現(xiàn) – 可以提供理想的日志功能 – 非常安全，但是開銷比較大 應(yīng)用層網(wǎng)關(guān) ? 應(yīng)用代理 （ Application Proxy） 是運(yùn)行在防火墻上的一種服務(wù)器程序，防火墻主機(jī)可以是一個(gè)具有兩個(gè)網(wǎng)絡(luò)接口的雙重宿主主機(jī)，也可以是一個(gè)堡壘主機(jī)。 ? 如果匹配到一條規(guī)則，則根據(jù)此規(guī)則決定轉(zhuǎn)發(fā)或者丟棄 ? 如果所有規(guī)則都不匹配，則根據(jù)缺省策略 安全缺省策略 ? 兩種基本策略，或缺省策略 – 沒有被拒絕的流量都可以通過 (默認(rèn)轉(zhuǎn)發(fā) ) ? 管理員必須針對(duì)每一種新出現(xiàn)的攻擊，制定新的規(guī)則 – 沒有被允許的流量都要拒絕（默認(rèn)丟棄） ? 比較保守 ? 根據(jù)需要，逐漸開放 包過濾防火墻 ? 數(shù)據(jù)包過濾可以在網(wǎng)絡(luò)層截獲數(shù)據(jù)。 ? 電路級(jí)網(wǎng)關(guān)，又叫狀態(tài)檢測(cè) （ Status Detection
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1