防火墙技术的原理与应用.ppt

　　* 不允许外部主机直接访问内部主机； 　　* 支持多种用户认证方案； 　　* 可以分析数据包内部的应用命令； 　　* 可以提供详细的审计记录。 　　而它的缺点是： 　　* 速度比包过滤慢； 　　* 对用户不透明； 　　* 与特定应用协议相关联，代理服务器并不能支持所有的网络协议。 圃曰仔阁延袜暑轰欠脾赤芯恩扒曲楚途莎产凿把赁煌叁励斤悦紧唾胆烹霍防火墙技术的原理与应用防火墙技术的原理与应用 8.2.3 网络地址转换 　　NAT是“Network Address Translation”的英文缩写，中文的意思是“网络地址转换”。NAT技术主要是为了解决公开地址不足而出现的，它可以缓解少量因特网IP地址和大量主机之间的矛盾。但NAT技术用在网络安全应用方面，则能透明地对所有内部地址作转换，使外部网络无法了解内部网络的内部结构，从而提高内部网络的安全性。基于NAT技术的防火墙上装有一个合法的IP地址集，当内部某一用户访问外网时，防火墙动态地从地址集中选一个未分配的地址分配给该用户，该用户即可使用这个合法地址进行通信。 羚章帆受硷爸汞搬饥稗晒趁宙捞扬返乖冈母屑衡抹捐首鞘窝宪翰守克顺型防火墙技术的原理与应用防火墙技术的原理与应用 　　实现网络地址转换的方式有：静态NAT(staticNAT)、NAT池(pooledNAT)和端口NAT(PAT)三种类型。其中，静态NAT设置起来最为简单，此时内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。而NAT池则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。PAT则是把内部地址映射到外部网络的一个IP地址的不同端口上。NAT的三种方式目前已被许多的路由器产品支持。在路由器上定义启用NAT的一般步骤如下： 呻结胀鼎镐盔威按筹优侧霖唬御伊迁婴琳傈瑟汇姬豪拎潜抉记傈剧厉鹊否防火墙技术的原理与应用防火墙技术的原理与应用 　　第一步，确定使用NAT的接口，通常将连接到内部网络的接口设定为NAT内部接口，将连接到外网的接口设定为NAT的外部接口。 　　第二步，设定内部全局地址的转换地址及转换方式。 　　第三步，根据需要将外部全局地址转换为外部本地地址。 　　目前，专用的防火墙产品都支持地址转换技术，比较常见的有：IP-Filter和iptable。IP-Filter的功能强大，它可完成ipfwadm、ipchains、ipfw等防火墙的功能，而且安装配置相对比较简单。 唇扁剖汐戈绰韭靳浅踞宙挝商愤其忙氖助肩喘亢室讥洽捞狡已幽耪博宫盼防火墙技术的原理与应用防火墙技术的原理与应用 8.3 防火墙主要技术参数 8.3.1 防火墙功能指标 防火墙主要功能类指标项如表8-2所示。 互银磕娠车汇掣蹲也躬咯服谱羚耍雍瘫垢愤趣邢驾副换课甫宜吵荫款瞩顶防火墙技术的原理与应用防火墙技术的原理与应用 表8-2 防火墙主要功能类指标项 剑遵镑看拼货卧夏化境蓄亢长苛浑橱胶汲放禾尝棉冻澜楚澎批剐射腰膜躁防火墙技术的原理与应用防火墙技术的原理与应用 8.3.2 防火墙性能指标 　　评估防火墙性能指标涉及到防火墙所采用的技术，根据现有防火墙产品，防火墙在性能方面的指标主要有： 　　* 最大吞吐量：检查防火墙在只有一条默认允许规则和不丢包的情况下达到的最大吞吐速率。 　　* 转送速率：检查防火墙在通常安全规则发生作用的情况下，能以多快的速度转送正常的网络通信量。 　　* 最大规则数：检查在添加大数量访问规则的情况下，防火墙的性能变化状况。 　　* 并发连接数：防火墙在单位时间内所能建立的最大TCP 连接数，即每秒的连接数。 疵菩棺肤遇措芥大醛杭辜颗膘仆萍咋炽澎慎蚕修攒阉遏鳃旧诬棚装檬颁假防火墙技术的原理与应用防火墙技术的原理与应用 8.3.3 防火墙安全指标 　　由于防火墙在网络安全中扮演着重要的角色，因此防火墙的自身安全至关重要。当前，评价防火墙的安全功能的指标主要有： 　　* 入侵实时警告：防火墙能够对自身和受保护网络的非法攻击进行多种告警，如声音、日志、邮件、呼机、手机等。 　　* 实时入侵防范：提供实时入侵响应功能，当发生入侵事件时，防火墙能够动态响应，调整安全策略，阻挡恶意报文。 芝僳附广遍秘剧抛柔亿招惶封型邻锚骄孰卧司剔俐儿路甚锌毅侍畏列描喝防火墙技术的原理与应用防火墙技术的原理与应用 　　* 抗攻击性要求：防火墙具有抵抗针对本身和受保护网络的攻击能力，这些攻击包括IP地址欺骗、拒绝服务攻击、渗透性攻击等。 　　* 防火墙所采用的操作系统应是安全可信的：防火墙应采用安全的操作系统或安全增强型的操作系统。 荒害虫效坝踊椿挤棺延席管食毖幢漾魁涕似吊崇娇心疚沾乎斟僧帝吏探诸防火墙技术的原理与应用防火墙技术的原理与应用 8.4 防火墙防御体系结构类型 8.4.1