第章防火墙技术.docVIP

第五章 防火墙技术 本 章 要 点 本章主要学习防火墙技术，要点如下： 了解防火墙基本知识 熟悉常用的防火墙 防火墙的设置方法 技 能 目 标 学会设置简单的防火墙。 基本掌握防火墙的设置方法，并能够依据本章所讲述的步骤，设计不同的名片。 5.1 工作场景导入 Sadness公司遭受到来自外界的大量碎片（fragments）攻击，同时还伴随着大量的ICMP报文和TCP SYN攻击。同时，为了限制员工使用Internet，公司主管希望外部网络仅能在员工在上班前后一个小时和午休时间可以使用，其他时间只能使用内部网络。图5.1所示的是Sadness公司的网络边界拓扑图。 虽然提出了众多的要求，但公司却因为一些原因没有足够的经费进行网络升级和改造，因此公司领导希望网络管理员能够通过廉价的方式来达到公司的这些要求。 图5.1 Sadness公司的网络边界拓扑图 5.2 防火墙概述 5.2.1 防火墙的基本知识 防火墙（Fire Wall）是一种形象的说法，其实它是一种由计算机硬件和软件的组合，在外部网与内部网之间建立起一个安全网关(Security Gateway)，从而保护内部网免受非法用户的侵入。简单地说，它其实就是一个把互联网与内部网（通常是局域网或城域网）隔开的屏障。 防火墙能增强机构内部网络的安全性。防火墙系统决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的服务以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身也必须能够免于渗透。 防火墙如果从实现方式上来分，又分为硬件防火墙和软件防火墙两类。我们通常意义上讲的防火墙是指硬件防火墙，它是通过硬件和软件的结合来达到隔离内、外部网络的目的，价格较贵，但效果较好，一般小型企业和个人很难实现；软件防火墙它是通过纯软件的方式来达到，价格很便宜，但这类防火墙只能通过一定的规则来达到限制一些非法用户访问内部网的目的。现在软件防火墙主要有天网防火墙个人版及企业版、Norton的个人及企业版软件防火墙。 5.2.2 防火墙的功能 1、防火墙是网络安全的屏障? 一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。? 防火墙可以强化网络安全策略： 通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。? 对网络存取和访问进行监控审计? 如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。? 防止内部信息的外泄：? 通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。 除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN。通过VPN，将企事业单位在地域上分布在全世界各地的LAN或专用子网，有机地联成一个整体。不仅省去了专用通信线路，而且为信息共享提供了技术保障 防火墙分类 5.3.1 硬件软件防火墙和软件软件防火墙 防火墙又大致分为硬件防火墙和软件防火墙。 硬