網(wǎng)絡(luò)安全第4講防火墻-在線瀏覽
2025-02-26 16:52本頁面
【正文】 為四類：n 包過濾n 應(yīng)用層代理n 電路層代理n 狀態(tài)檢測包過濾防火墻（ 1）包過濾防火墻（ 2）包的進入接口和出接口如果有匹配并且規(guī)則允許該數(shù)據(jù)包，那么該數(shù)據(jù)包就會按照路由表中的信息被轉(zhuǎn)發(fā)。如果沒有匹配規(guī)則，用戶配置的缺省參數(shù)會決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包。例如，Tel服務(wù)器在 TCP的 23號端口上監(jiān)聽遠(yuǎn)地連接，而 SMTP服務(wù)器在 TCP的 25號端口上監(jiān)聽人連接。為了將進來的 Tel連接限制到內(nèi)部的數(shù)臺機器上，防火墻必須拒絕所有 TCP端口號等于 23并且目標(biāo) IP地址不等于允許主機的 IP地址的數(shù)據(jù)包。應(yīng)用級代理的優(yōu)點為它能解釋應(yīng)用協(xié)議從而獲得更多的信息，缺點為只適用于單一協(xié)議。電路級代理的優(yōu)點在于它能對各種不同的協(xié)議提供服務(wù)，缺點在于它對因代理而發(fā)生的情況幾乎不加控制。不允許直接在外部網(wǎng)和內(nèi)部網(wǎng)之間建立通信。防火墻內(nèi)外計算機系統(tǒng)間應(yīng)用層的 “ 鏈接 ”，由兩個終止代理服務(wù)器上的 “ 鏈接 ”來實現(xiàn)外部計算機的網(wǎng)絡(luò)鏈路只能到達代理服務(wù)器，從而起到了隔離防火墻內(nèi)外計算機系統(tǒng)的作用。 應(yīng)用級代理 proxy (2) Tel代理服務(wù)器應(yīng)用級代理 proxy (4) ）應(yīng)用層代理的優(yōu)點應(yīng)用層代理能夠讓網(wǎng)絡(luò)管理員對服務(wù)進行全面的控制，因為代理應(yīng)用限制了命令集并決定哪些內(nèi)部主機可以被該服務(wù)訪問。防火墻可以被配置成唯一的可被外部看見的主機，這樣可以保護內(nèi)部主機免受外部主機的進攻。另外，用于應(yīng)用層的過濾規(guī)則相對于包過濾防火墻來說更容易配置和測試。? 應(yīng)用層代理的最大缺點是要求用戶改變自己的行為，或者在訪問代理服務(wù)的每個系統(tǒng)上安裝特殊的軟件。不過，特殊的端系統(tǒng)軟件可以讓用戶在 Tel命令中指定目標(biāo)主機而不是應(yīng)用層代理來使應(yīng)用層代理透明 。應(yīng)用級代理 proxy (5)應(yīng)用層代理的缺點電路級代理 （ 1）電路級網(wǎng)關(guān)不允許端到端的 TCP連接。一旦兩個連接建立起來，網(wǎng)關(guān)從一個連接向另一個連接轉(zhuǎn)發(fā) TCP報文段，而不檢查其內(nèi)容。網(wǎng)關(guān)可以配置成在進入連接上支持應(yīng)用級代理服務(wù)，為輸出連接支持電路級功能。狀態(tài)檢測技術(shù)（ 1）狀態(tài)檢測的特點是監(jiān)測一個有效連接的狀態(tài)，在抓獲信息包后對其進行分析并將數(shù)據(jù)包的狀態(tài)信息與前一時刻的狀態(tài)進行比較，在此基礎(chǔ)上決定是否允許該數(shù)據(jù)包通過或丟棄。n 具有一定的智能化缺點： n 降低網(wǎng)絡(luò)速度n 配置比較復(fù)雜 n 不能根據(jù)實際傳輸?shù)臄?shù)據(jù)內(nèi)容進行判斷三、防火墻體系結(jié)構(gòu)雙重宿主主機體系結(jié)構(gòu)屏蔽主機體系結(jié)構(gòu)屏蔽子網(wǎng)體系結(jié)構(gòu)其它的防火墻結(jié)構(gòu)雙重宿主主機體系結(jié)構(gòu)（ 1）雙重宿主主機體系結(jié)構(gòu)是圍繞雙重宿主主機構(gòu)筑的。然而實現(xiàn)雙重宿主主機的防火墻體系結(jié)構(gòu)禁止這種發(fā)送功能，完全阻止了內(nèi)外網(wǎng)絡(luò)之間的IP通信。 前一種情況，由于需要在在雙重宿主主機上開設(shè)很多賬號，管理起來很麻煩，而且也很危險。n 必須支
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1