防火墙访问控制技术.pptVIP

* * * * * * * * * * * * * * * 本页为本章PPT的结束页，本页出现表示本章PPT的全部结束。 * * * * * * * * * * 防火墙知识准备 锐捷网络大学 学习目标 通过本章的学习，希望您能够： 掌握防火墙访问控制技术 掌握防火墙部署方式 掌握如何配置锐捷防火墙 本章内容 防火墙的访问控制技术 防火墙的部署 如何配置锐捷防火墙 课程议题 防火墙访问控制技术 包过滤防火墙 无状态包过滤防火墙技术 最基本的防火墙过滤方式 根据L3/L4信息进行过滤 源和目的IP 协议 ICMP消息和类型 TCP/UDP源和目的端口 处理速度快 无法阻止应用层攻击 部署复杂，维护量大 部署方式 作为Internet边界的第一层防线 隐式拒绝，显示允许 示例 使用ACL过滤的路由器 包过滤防火墙（续） 无状态包过滤防火墙示例 状态防火墙 有状态包过滤防火墙技术 与无状态包过滤防火墙执行相似的操作 保持对连接状态的跟踪，状态表 无需开放高端口访问权限 不属于现有会话的访问将被拒绝 检查更高级的信息 TCP Flag、TCP Seq. 更多的DoS防护 特定应用层协议检测 不能阻止应用层攻击 状态表导致的系统开销 部署方式 作为主要的防御措施 需要更加严格的控制 状态防火墙（续） 无状态包过滤的问题 有状态包过滤防火墙的实现 跟踪连接的状态 地址转换防火墙 NAT防火墙技术 解决了公有IP地址匮乏的问题 在L3/L4操作 隐藏了内部网络结构 引入了延时 破坏了IP的端到端模型 课程议题 防火墙的部署 防火墙区域 防火墙拓扑位置 专用（内部）和公共（外部）网络之间 网络的出口和入口处 专用网络内部：关键的网段，如数据中心 防火墙区域 Trust（内部） Untrust（外部，Internet） DMZ（Demilitarized Zone，非武装军事区） DMZ中的系统通常为提供对外服务的系统 增强信任区域中设备的安全性 特殊的访问策略 信任区域中的设备也会对DMZ中的系统进行访问 防火墙区域（续） 防火墙区域设计 双接口无DMZ区域 网络无需对外提供服务 防火墙区域设计（续） 带边界路由器的单防火墙双接口DMZ区域 双层次防火墙设计的替代方案 防火墙区域设计（续） 单防火墙多DMZ区域 常用于ISP设计 防火墙区域设计（续） 背靠背防火墙设计 课程议题 RG-WALL防火墙基本配置 RG-WALL防火墙介绍 锐捷RG-WALL防火墙 状态过滤 应用层检测 NAT 防攻击 透明防火墙 流量控制 高可用性 VPN RG-WALL防火墙管理界面 登录RG-WALL防火墙 RG-WALL防火墙默认配置 WAN接口为管理接口，IP为00 默认管理员帐号“admin”，密码“firewall” 登录方式 证书认证 导入管理员证书到浏览器 00:6666 电子钥匙认证 插入电子钥匙并认证 00:6667 证书认证 导入证书 证书认证（续） 登录防火墙 电子钥匙认证 电子钥匙认证 电子钥匙认证（续） 登录防火墙 配置管理主机 配置管理主机 只有管理主机可以对防火墙进行管理 配置管理员 配置管理员及其权限级别 课程回顾 实施网络安全的技术 防火墙的访问控制技术 防火墙的部署 如何配置锐捷防火墙 * * *