[計(jì)算機(jī)硬件及網(wǎng)絡(luò)]第九章防火墻-在線瀏覽
2025-03-10 23:08本頁面
【正文】 022/11/5Copyright169。? （ 2）允許用戶傳送一些文件而不允許用戶傳送其它文件。電子科技大學(xué)計(jì)算機(jī)學(xué)院 19分組過濾 防火墻的 配置與實(shí)現(xiàn)? 數(shù)據(jù)包過濾可以在網(wǎng)絡(luò)層截獲數(shù)據(jù)。? 包過濾是如何工作的? 包過濾技術(shù)可以允許或不允許某些包在網(wǎng)絡(luò)上傳遞，它依據(jù)以下的判據(jù)：? （ 1）將包的目的地址作為判據(jù)；? （ 2）將包的源地址作為判據(jù)；? （ 3）將包的傳送協(xié)議作為判據(jù)。封裝協(xié)議過濾 禁止載有不需要的或具有安全隱患的協(xié)議。禁止攜帶這類選項(xiàng)的包。ICMP消息過濾 大多數(shù) ICMP報(bào)文會(huì)向外泄露一些內(nèi)部網(wǎng)絡(luò)信息，必須根據(jù)報(bào)文類型來進(jìn)行流量過濾。TCP標(biāo)志位過濾 通過檢測(cè) ACK標(biāo)志 ,可以只允許內(nèi)部網(wǎng)絡(luò)發(fā)起 TCP連接，阻止外部網(wǎng)絡(luò)發(fā)起 TCP連接，并阻止沒有建立TCP連接的包通過2022/11/52022/11/5Copyright169。電子科技大學(xué)計(jì)算機(jī)學(xué)院 23? 一個(gè)通信都是雙向的？是否需要配置兩條規(guī)? YES? 但很多包過濾防火墻規(guī)定只要不是 SYN數(shù)據(jù)包，都允許通過。當(dāng)然，安全問題。2022/11/5 Copyright169。 行為 源地址 目的地址 協(xié)議 源端口 目的端口 碼子位允許允許拒絕內(nèi)部網(wǎng)絡(luò)地址外部網(wǎng)絡(luò)地址所有外部網(wǎng)絡(luò)地址內(nèi)部網(wǎng)絡(luò)地址所有TCPTCP所有任意80所有801023所有任意ACK所有2022/11/5Copyright169。 有關(guān) 服務(wù)翻譯成包過濾規(guī)則時(shí)非常重要的幾個(gè)概念 。電子科技大學(xué)計(jì)算機(jī)學(xué)院 26包過濾防火墻的配置（ 1）協(xié)議的雙向性。在制定包過濾規(guī)則時(shí)，要注意包是從兩個(gè)方向來到防火墻的。電子科技大學(xué)計(jì)算機(jī)學(xué)院 27包過濾防火墻的配置（ 2） “往內(nèi) ”與 “往外 ”的含義。 （ 3） “默認(rèn)允許 ”與 “默認(rèn)拒絕 ”。從安全角度來看，用默認(rèn)拒絕應(yīng)該更合適。電子科技大學(xué)計(jì)算機(jī)學(xué)院 28包過濾的優(yōu)點(diǎn)? 容易實(shí)現(xiàn)，費(fèi)用少，如果被保護(hù)網(wǎng)絡(luò)與外界之間已經(jīng)有一個(gè)獨(dú)立的路由器，那么只需簡(jiǎn)單地加一個(gè)分組過濾軟件便可保護(hù)整個(gè)網(wǎng)絡(luò)。2022/11/5Copyright169。? 另一個(gè)重要的局限是它不能分辨好的和壞的用戶，只能區(qū)分好的數(shù)據(jù)包和壞的數(shù)據(jù)包。2022/11/5Copyright169。? 任何進(jìn)入內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包必須把網(wǎng)絡(luò)內(nèi)部的地址作為目的地址。? 任何離開內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包不能把網(wǎng)絡(luò)內(nèi)部的地址作為目的地址。? 阻塞任意源路由包或任何設(shè)置了 IP選項(xiàng)的包。 、 、 、。電子科技大學(xué)計(jì)算機(jī)學(xué)院 34代理服務(wù)器? 功能就是代理網(wǎng)絡(luò)用戶去取得網(wǎng)絡(luò)信息。? 代理服務(wù)提供服務(wù)的 替代連接 ，比如，網(wǎng)絡(luò)內(nèi)部的一個(gè)用戶想要遠(yuǎn)程登錄到 Inter 上的一臺(tái)主機(jī)，代理服務(wù)器會(huì)接收用戶請(qǐng)求，決定是否準(zhǔn)許其到遠(yuǎn)程的連接，? 當(dāng)某個(gè)請(qǐng)求被允許時(shí)建立自身與遠(yuǎn)程目標(biāo)主機(jī)之間及自身與用戶之間的 Tel 會(huì)話，然后代表客戶與真正的服務(wù)器進(jìn)行交談，并將從客戶端來的請(qǐng)求傳送給真實(shí)服務(wù)器，將真實(shí)服務(wù)器的回答傳送給客戶。電子科技大學(xué)計(jì)算機(jī)學(xué)院 35代理的實(shí)現(xiàn)過程2022/11/5Copyright169。如果客戶端被代理服務(wù)器授權(quán)了，代理服務(wù)器將代表客戶端與外部服務(wù)器進(jìn)行通信。2022/11/5Copyright169。它提供的控制最多，但是不靈活，必須要有相應(yīng)的協(xié)議支持。? 最常用的應(yīng)用層網(wǎng)關(guān)是 HTTP代理服務(wù)器，端口通常為 80或 8080。電子科技大學(xué)計(jì)算機(jī)學(xué)院 40鏈路層代理? 鏈路層代理 (Circuitlevel proxies） (也稱做電路層網(wǎng)關(guān)）? 工作在傳輸層與應(yīng)用層之間， 電路層網(wǎng)關(guān)在網(wǎng)絡(luò)的傳輸層上實(shí)施訪問策略，是在內(nèi)、外網(wǎng)絡(luò)主機(jī)之間建立一個(gè)虛擬電路，? 鏈路層代理服務(wù)器常常提供 網(wǎng)絡(luò)地址翻譯 。? 最流行的鏈路層代理是使用協(xié)議 SOCKS(SOCKS protocol）的一種代理。電子科技大學(xué)計(jì)算機(jī)學(xué)院 41SOCKS代理外部的 ftp服務(wù)器42電路層 網(wǎng)關(guān)內(nèi)部連接外部主機(jī)電路層網(wǎng)關(guān)內(nèi)部主機(jī)外部連接 out inout inout in43網(wǎng)絡(luò)地址轉(zhuǎn)換? 防火墻的網(wǎng)絡(luò)地址轉(zhuǎn)換功能是指將內(nèi)部主機(jī)的 IP地址轉(zhuǎn)換為某一固定或者某范圍內(nèi)的某個(gè) IP地址，而使從網(wǎng)絡(luò)外部無法探測(cè)到它們。44NAT類型? 靜態(tài) NAT（ Static NAT）? 動(dòng)態(tài)地址 NAT（ Dynamic NAT）? 端口轉(zhuǎn)換 NAPT（ Network Address Port Translation） 45靜態(tài) NAT? 把內(nèi)部網(wǎng)絡(luò)中的每個(gè)主機(jī)都永久映射成外部網(wǎng)絡(luò)中的某個(gè)合法的地址46動(dòng)態(tài) NAT? 在外部網(wǎng)絡(luò)中定義了一系列的合法地址，采用動(dòng)態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò) 47端口轉(zhuǎn)換 NAT? 把內(nèi)部地址映射到外部網(wǎng)絡(luò)的一個(gè) IP地址的不同端口上 2022/11/5Copyright169。? 比如 代理服務(wù)器是介于瀏覽器和 Web服務(wù)器之間的一臺(tái)服務(wù)器，有了它之后，瀏覽器不是直接到Web服務(wù)器去取回網(wǎng)頁而是向代理服務(wù)器發(fā)出請(qǐng)求， Request信號(hào)會(huì)先送到代理服務(wù)器，由代理服務(wù)器來取回瀏覽器所需要的信息并傳送給你的瀏覽器。電子科技大學(xué)計(jì)算機(jī)學(xué)院 49應(yīng)用型防火墻的配置與實(shí)現(xiàn)2022/11/5Copyright169。? 節(jié)省 IP開銷? 所有用戶對(duì)外只占用一個(gè) IP，所以不必租用過多的 IP地址，降低網(wǎng)絡(luò)的維護(hù)成本。2022/11/5Copyright169。? 而且通常代理服務(wù)器都設(shè)置一個(gè)較大的硬盤緩沖區(qū)（可能高達(dá)幾個(gè) GB或更大），當(dāng)有外界的信息通過時(shí)，同時(shí)也將其保存到緩沖區(qū)中，當(dāng)其他用戶再訪問相同的信息時(shí)，則直接由緩沖區(qū)中取出信息，傳給用戶，從而達(dá)到提高訪問速度的目的。? 注意：如果沒有緩存，代理服務(wù)器是比較慢的。? 使用 ： 客戶端 —— 服務(wù)器。? 使用 ： 客戶端 —— 代理服務(wù)器 (SOCKS5 Proxy) —— 服務(wù)器。? 使用 ： 客戶端 —— 代理服務(wù)器
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1