防火墻原理-體系結(jié)構(gòu)-系統(tǒng)設(shè)計(已改無錯字)
2023-05-12 22:12:13 本頁面
【正文】 上的數(shù)據(jù)包雖然在內(nèi)部網(wǎng)絡(luò)上是廣播式的，但內(nèi)部過濾路由器會阻止這些數(shù)據(jù)包流入周邊網(wǎng)絡(luò) (發(fā)往周邊網(wǎng)絡(luò)和Inter的數(shù)據(jù)包除外 ) 47 屏蔽子網(wǎng)防火墻 ?堡壘主機(jī) ?位于周邊網(wǎng)絡(luò) ?運(yùn)行各種各樣的代理服務(wù)器 ?可以被認(rèn)為是應(yīng)用層網(wǎng)關(guān)，是這種防御體系的核心 ?入站服務(wù)，要求所有服務(wù)都通過堡壘主機(jī) ?出站服務(wù)，不一定要求所有服務(wù)都經(jīng)過堡壘主機(jī)，可以由內(nèi)部路由器和 Inter直接通話 48 屏蔽子網(wǎng)防火墻 ?內(nèi)部路由器 ?又稱阻塞路由器，位于內(nèi)部網(wǎng)和周邊網(wǎng)之間 ?用于保護(hù)內(nèi)部網(wǎng)不受周邊網(wǎng)和因特網(wǎng)的侵害 ?完成防火墻的大部分的過濾工作 49 屏蔽子網(wǎng)防火墻 ?外部路由器 ?保護(hù)周邊網(wǎng)上的主機(jī) ?外部路由器還可以防止部分 IP欺騙 ?內(nèi)部路由器分辨不出一個聲稱從非軍事區(qū)來的數(shù)據(jù)包是否真的從非軍事區(qū)來，而外部路由器很容易分辨出真?zhèn)? 3 、常見的防火墻系統(tǒng)設(shè)計 內(nèi)部工作子網(wǎng)與外網(wǎng)的訪問控制 進(jìn)行訪問規(guī)則檢查 發(fā)起訪問請求 合法請求則允許對外訪問 將訪問記錄寫進(jìn)日志文件 合法請求則允許對外訪問 發(fā)起訪問請求 防火墻在此處的功能： 工作子網(wǎng)與外部子網(wǎng)的物理 隔離 訪問控制 對工作子網(wǎng)做 NAT地址轉(zhuǎn)換 日志記錄 Inter 區(qū)域 Inter 邊界路由器 DMZ區(qū)域 WWW Mail DNS 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點(diǎn)子網(wǎng) Inter 區(qū)域 Inter 邊界路由器 DMZ區(qū)域與外網(wǎng)的訪問控制 進(jìn)行訪問規(guī)則檢查 發(fā)起訪問請求 合法請求則允許對外訪問 將訪問記錄寫進(jìn)日志文件 禁止對外發(fā)起連結(jié)請求 發(fā)起訪問請求 防火墻在此處的功能： DMZ網(wǎng)段與外部子網(wǎng)的物理隔離 訪問控制 對 DMZ子網(wǎng)做 MAP映射 日志記錄 DMZ區(qū)域 WWW Mail DNS 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點(diǎn)子網(wǎng) 內(nèi)部工作子網(wǎng)與 DMZ區(qū)的訪問控制 進(jìn)行訪問規(guī)則檢查 發(fā)起訪問請求 合法請求則允許對外訪問 將訪問記錄寫進(jìn)日志文件 禁止對工作子網(wǎng)發(fā)起連結(jié)請求 防火墻在此處的功能： DMZ網(wǎng)段與工作子網(wǎng)的物理隔離 訪問控制 日志記錄 發(fā)起訪問請求 Inter 區(qū)域 Inter 邊界路由器 DMZ區(qū)域 WWW Mail DNS 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點(diǎn)子網(wǎng) 撥號用戶對內(nèi)部子網(wǎng)的訪問控制 撥號服務(wù)器 Cisco 2620 移動用戶 PSTN Modem Modem 進(jìn)行一次性口令認(rèn)證 認(rèn)證通過后允許訪問 內(nèi)網(wǎng) 防火墻在此處的功能： 對撥號用戶進(jìn)行一次性口令認(rèn)證 控制撥號用戶對內(nèi)網(wǎng)的訪問權(quán)限 對撥號用戶的訪問做日志和審計 將訪問記錄寫進(jìn)日志文件 用戶撥號 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點(diǎn)子網(wǎng) 下屬機(jī)構(gòu)對總部的訪問控制 撥號服務(wù)器 PSTN Inter 區(qū)域 Inter 邊界路由器 內(nèi)部工作子網(wǎng) 管理子網(wǎng) 一般子網(wǎng) 內(nèi)部 WWW 重點(diǎn)子網(wǎng) 下屬機(jī)構(gòu) DDN/FR DMZ區(qū)域 WWW Mail DNS FW+VPN FW+VPN 進(jìn)行規(guī)則檢查 將訪問記錄寫進(jìn)日志文件 防火墻在此處的功能： 將內(nèi)部子網(wǎng)與連接下屬機(jī)構(gòu)的公網(wǎng)隔離開 控制下屬機(jī)構(gòu)子網(wǎng)用戶對總部內(nèi)網(wǎng)的訪問 對下屬機(jī)構(gòu)網(wǎng)絡(luò)與總部子網(wǎng)之間的通訊做日志和審計 Host C Host D 數(shù)據(jù)包 數(shù)據(jù)包 數(shù)據(jù)包 查找對應(yīng)的控制策略 拆開數(shù)據(jù)包 進(jìn)行分析 根據(jù)策略決定如何處理該數(shù)據(jù)包 數(shù)據(jù)包 控制策略 ? 基于源 IP地址 ? 基于目的 IP地址 ? 基于源端口 ? 基于目的端口 ? 基于時間 ?基于用戶 ? 基于流量 可以靈活的制定 的控制策略 包過濾 基于時間的訪問控制 Host C Host D 在防火墻上制定基于時間的訪問控制策略 上班時間不允許訪問 Inter 上班時間可以訪問公司的網(wǎng)絡(luò) Inter 用戶級權(quán)限控制 Host C Host D Host B Host A 受保護(hù)網(wǎng)絡(luò) Inter
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1