防火墙在网络中的部署.pptVIP

* 防火墙在网络中的部署 防火墙是一种网络边界访问控制设备，能根据安全策略阻止在网络之间或主机与网络之间的未授权的通信。即控制进出网络的访问行为。它是不同网络安全域间之间通信的唯一通道。 内网和外网之间需要防火墙 企业或者机构局域网 Host A Host B Internet 内网中不同安全域之间需要防火墙 安全域1 Host A Host B 安全域2 Host C Host D 防火墙在网络中的位置与防火墙体系结构 DB Internet 区域 1 区域 5 区域 4 区域 3 区域 2 Web 服务器 Mail 服务器 服务器 人事部 研发部 主要内容 1. 双宿/多宿主机防火墙(Dual-Homed /Multi-Homed Host Firewall) 2. 屏蔽主机防火墙(Screened Host Firewall ) 3. 屏蔽子网防火墙(Screened Subnet Firewall) 基本概念 堡垒主机（Bastion Host）：堡垒主机是一种配置了安全防范措施的网络上的计算机，堡垒主机为网络之间的通信提供了一个阻塞点，也就是说如果没有堡垒主机，网络之间将不能相互访问。可以配置成过滤型、代理型或混合型。 双宿主机（Dual-homed Host）：有两个网络接口的计算机系统，一个接口连接内部网，一个接口连接外部网. 一种拥有两个或多个连接到不同网络上的网络接口的防火墙； 1. 双宿/多宿主机防火墙 优点： 结构简单 缺点： 隔开内外网络的唯一屏障，一旦被入侵，内部网络便完全暴露。 由包过滤路由器和堡垒主机组成； 过滤路由器为堡垒主机建立安全屏障； 堡垒主机是内外信息的唯一通道。 2. 屏蔽主机防火墙 特点： 堡垒主机成为从外部网络唯一可直接到达的主机，确保了内部网络不受未被授权的外部用户的攻击； 同时实现网络层安全(包过滤)和应用层安全(代理服务)；安全等级比包过滤防火墙系统高； 过滤路由器的配置是关键之一。 2. 屏蔽主机防火墙 3. 屏蔽子网防火墙 3.1 双包过滤路由器架构 3.2 单一防火墙架构 3.3 双重防火墙架构 3.1 双包过滤路由器架构 采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网。 3. 屏蔽子网防火墙 特点： 将堡垒主机，各种公用服务器放在非军事区网络中； 内部网络和外部网络均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信； 外部路由器把入站的数据包路由到堡垒主机。 3.1双包过滤路由器架构 特点（续） 内部路由器保护内部网络不受外部网络和周边网络的侵害；执行大部分过滤工作。 即使堡垒主机被入侵者控制，内部网仍受到内部包过滤路由器的保护。 多个堡垒主机运行各种代理服务，可以更有效地提供服务。 3.1 双包过滤路由器架构 3. 屏蔽子网防火墙 3.1 双包过滤路由器架构 3.2 单一防火墙架构（4个层次） 外部路由器 外部路由器与防火墙间网络分段区域 DMZ分段区域 防火墙 3.3 双重防火墙架构 3.2 单一防火墙架构 3.2 单一防火墙架构 3.2 单一防火墙架构 增加入侵检测/防护系统 3.3 双重防火墙架构 双重防火墙架构由5个层次组成 外部路由器 外部路由器与外部防火墙之间网络分段区域 外部防火墙 DMZ分段区域 内部防火墙 3.3 双重防火墙架构 用来实现更加细化的控制功能 3.3 双重防火墙架构 增加入侵检测/防护系统 * 小结 外部路由器 出入数据包过滤（第一层） 外部路由器与防火墙间网络分段区域 放置入侵检测系统（第二层） DMZ分段区域 外部路由器 出入数据包过滤（第一层） 外部路由器与防火墙间网络分段区域 放置入侵检测系统（第二层） DMZ分段区域 外部路由器 出入数据包过滤（第一层） 外部路由器与防火墙间网络分段区域 放置入侵检测系统（第二层） DMZ分段区域 外部路由器 出入数据包过滤（第一层） 外部路由器与防火墙间网络分段区域 放置入侵检测系统（第二层） DMZ分段区域