网络安全原理与技术(第二版) 作者 冯登国 徐静 chapter3e.pptVIP

防火墙 防火墙概念 防火墙技术 防火墙体系结构 防火墙发展趋势 防火墙概念 防火墙是位于两个或多个网络之间，执行访问控制策略的一个或一组系统，是一类防范措施的总称. 一个好的防火墙具备: –– 内部和外部之间的所有网络数据流必须经过防火墙 –– 只有符合安全政策的数据流才能通过防火墙 –– 防火墙自身应对渗透(penetration)免疫 防火墙概念 防火墙是一种逻辑隔离部件，而不是物理隔离部件，它所遵循的原则是，在保证网络通畅的情况下，尽可能地保证内部网络的安全。 防火墙是在已经制定好的安全策略下进行访问控制，所以一般情况下它是一种静态安全部件，但随技术发展，防火墙或通过与IDS联动，或自身集成IDS功能，根据实际情况进行动态的策略调整。 防火墙功能 1）访问控制功能：通过禁止或允许特定用户访问特定的资源，保护网络的内部资源和数据。 2）内容控制功能：根据数据内容进行控制，比如从电子邮件中过滤掉垃圾邮件；限制访问部分信息。 3）全面的日志功能：完整地记录网络访问情况，像银行的录像监视系统。 防火墙功能 4）集中管理功能：对企业内部网实现了集中的安全管理，可以强化网络安全策略，比分散的主机管理更经济易行。 5）自身的安全性和可用性。若被侵入，安全策略被修改，网络就不安全；若不可用，网络就会中断，网络连接失去意义。 防火墙功能 6）流量控制：针对不同用户限制不同的流量，可以合理使用带宽资源。 7）可以作为部署网络地址转换（Network Address Translation）的地点，利用NAT技术，可以缓解地址空间的短缺，隐藏内部网的结构。 防火墙局限性 1）防火墙不能防范不经过防火墙的攻击，如内部网用户通过SLIP 或PPP 直接进入Internet。 2）防火墙也不能完全防止受病毒感染的文件或软件的传输，由于病毒的种类繁多，如果要在防火墙完成对所有病毒代码的检查，防火墙的效率就会降到不能忍受的程度。 防火墙局限性 3）防火墙不能有效地防范数据驱动式攻击。有些表面看起来无害的数据通过电子邮件发送或其他方式复制到内部主机上，一旦被执行就形成攻击。 4）目前防火墙对于来自网络内部的攻击还无能为力。 5）作为一种被动的防护手段，防火墙不能防范因特网上不断出现的新的威胁和攻击。 防火墙技术 静态包过滤 动态包过滤（状态检测） 应用程序网关（代理服务器） 电路级网关 静态包过滤 路由器逐一审查数据包以判定它是否与其它包过滤规则相匹配。每个包有两个部分：数据部分和包头。过滤规则以用于IP顺行处理的包头信息为基础，不理会包内的正文信息内容。 如果找到一个匹配，且规则允许这包，这一包则根据路由表中的信息前行。 如果找到一个匹配，且规则拒绝此包，这一包则被舍弃。 如果无匹配规则，一个用户配置的缺省参数将决定此包是前行还是被舍弃。 静态包过滤 根据流经该设备的数据包地址信息，决定是否允许该数据包通过 ? 判断依据有(只考虑IP包)： – 数据包协议类型：TCP、UDP、ICMP、IGMP等 – 源、目的IP地址 – 源、目的端口：FTP、HTTP、DNS等 – IP选项：源路由、记录路由等 – TCP选项：SYN、ACK、FIN、RST等 – 其它协议选项：ICMP ECHO、ICMP ECHO REPLY等 – 数据包流向：in或out – 数据包流经网络接口：eth0、eth1 静态包过滤 包过滤规则允许Router取舍以一个特殊服务为基础的信息流，因为大多数服务检测器驻留于众所周知的TCP/UDP端口。 例如，Telnet Service 为TCP port 23端口等待远程连接，而SMTP Service为TCP Port 25端口等待输入连接。 如要封锁输入Telnet、SMTP的连接，则Router舍弃端口值为23、25的所有的数据包。 静态包过滤优点 逻辑简单，价格便宜， 对网络性能的影响较小，有较强的透明性。 并且它的工作与应用层无关，无须改动任何客户机和主机上的应用程序，易于安装和使用。 静态包过滤缺点 配置基于包过滤方式的防火墙，需要对IP、TCP、UDP、ICMP等各种协议有深入的了解，否则容易出现因配置不当带来的问题； 最大的弱点是不能在应用层级别上进行过滤,所以防卫方式比较单一.一些应用协议不适合于数据包过滤。如FTP。 正常的数据包过滤路由器无法执行某些安全策略。例如，数据包说它们来自什么主机，而不是什么用户，数据包说它到什么端口，而不是到什么应用程序。 FTP带来的困难 一般的Internet服务对所有的通信都只使用一对端口号，FTP程序在连接期间则使用两对端口号。第一对端口号用于FTP的“命令通道”提供登录和执行命令的通信链路，而另一对端口号则用于FTP的“数据通道”提供客户