网络安全与防火墙技术6 防火墙基础.pptVIP

6 防火墙基础 6.1 防火墙的基础知识 6.1.1 防火墙的定义 防火墙是一类防范措施的总称，它使内部网络与Internet之间或者与其他外部网络互相隔离、限制网络互访来保护内部网络。设置防火墙的目的是为了在内部网与外部网之间设立惟一的通道，简化网络的安全管理。 6.1.2 防火墙的特点 一般防火墙具备以下特点： ⑴广泛的服务支持 通过将动态的、应用层的过滤能力和认证相结合，可实现WWW浏览器、HTTP服务器、 FTP等。 ⑵对私有数据的加密支持 保证通过Internet进行虚拟私人网络和商务活动不受损坏。 ⑶客户端认证 —只允许指定的用户访问内部网络或选择服务。 ⑷反欺骗 欺骗是从外部获取网络访问权的常用手段，它使数据包好似来自网络内部。防火墙能监视这样的数据包并能扔掉它们。 ⑸C/S模式和跨平台支持能使运行在一平台的管理模块控制运行在另一平台的监视模块。 6.1.3 防火墙的发展史 图6.1 动态包过滤防火墙 6.2 防火墙的功能 防火墙的功能如下： ①允许网络管理员定义一个中心点来防止非法用户进入内部网络。 ②可以很方便地监视网络的安全性并报警。 ③可以作为部署网络地址变换的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题。 ④是审计和记录Internet使用费用的一个最佳地点。网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈位置，并能够依据本机构的核算模式提供部门级的计费。 ⑤可以连接到一个单独的网段上，从物理上和内部网段隔开，并在此部署WWW服务器和FTP服务器，将其作为向外部发布内部信息的地点。从技术角度来讲，就是所谓的停火区(DMZ)。 6.3 防火墙的分类 6.3.1 包过滤防火墙 1)第1代：静态包过滤 这种类型的防火墙根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤规则匹配。 2)第2代：动态包过滤 这种类型的防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。 6.3.2 代理防火墙 1)第1代：代理防火墙 代理防火墙也称应用层网关(Application Gateway)防火墙。这种防火墙通过一种代理(Proxy)技术参与到一个TCP连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网一样，从而可以达到隐藏内部网结构的作用。 所谓代理服务器，是指代表客户处理在服务器连接请求的程序。 代理类型防火墙的最突出的优点就是安全。 代理防火墙的最大缺点就是速度相对比较慢，当用户对内外网络网关的吞吐量要求比较高时，(如要求达到75~100 Mbit/s时)代理防火墙就会成为内外网络之间的瓶颈。 2)第2代：自适应代理防火墙 自适应代理技术是最近在商业应用防火墙中实现的一种革命性的技术。它结合代理类型防火墙的安全性和包过滤防火墙的高速度等优点，在毫不损失安全性的基础之上将代理型防火墙的性能提高。组成这种类型防火墙 的基本要素有两个：自适应代理服务器(Adaptive Proxy Server)与动态包过滤器。 6.4 防火墙的主要技术 6.4.1 报文过滤 报文过滤是在IP层实现的，因此，它可以只用路由器完成。报文过滤根据报文的源IP地址、目的IP地址、源端口、目的端口及报文传递方向等报头信息来判断是否允许报文通过。 6.4.2 应用层网关 1)应用代理服务器(Application Gateway Proxy) 在网络应用层提供授权检查及代理服务。当外部某台主机试图访问受保护网络时，必须先在防火墙上经过身份认证。通过身份认证后，防火墙运行一个专门为该网络设计的程序，把外部主机与内部主机连接。在这个过程中，防火墙可以限制用户访问主机、访问时间及访问的方式。同样，受保护网络内部用户访问外部网时也需先登录到防火墙上，通过验证后，才可访问。 应用网关代理的优点是既可以隐藏内部IP地址，也可以给单个用户授权，即使攻击者盗用了一个合法的IP地址，也通不过严格的身份认证。因此应用网关比报文过滤具有更高的安全性。但是这种认证使得应用网关不透明，用户每次连接都要接受认证，这给用户带来许多不便。这种代理技术需要为每个应用编写专门的程序。 2)回路级代理服务器 即通常意义的代理服务器，它适用于多个协议，但不能解释应用协议，需要通过其他方式来获得信息，所以，回路级代理服务器通常要求修改过的用户程序。 3)代管服务器 代管服务器技术是把不安全的服务如FTP，Telnet等放到防火墙上，使它同时充当服务器，对外部的请求做出回答。 4)IP通道(IP Tunnels) 采用IP Tunnels来防止Intern