计算机网络安全技术—防火墙技术.ppt

第九章　防火墙技术 9.1　防火墙技术概述 9.2　防火墙技术 9.3　防火墙设计实例 本章学习目标 （1）了解防火墙的定义、发展简史、目的、功能、局限性及其发展动态和趋势。 （2）掌握包过滤防火墙和和代理防火墙的实现原理、技术特点和实现方式；熟悉防火墙的常见体系结构。 （3）熟悉防火墙的产品选购和设计策略。 9.1　防火墙技术概述 9.1.1　防火墙的定义 9.1.2　防火墙的发展简史 9.1.3　设置防火墙的目的和功能 9.1.4　防火墙的局限性 9.1.5　防火墙技术发展动态和趋势 9.1.1　防火墙的定义 防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。防火墙本身具有较强的抗攻击能力，它是提供信息安全服务、实现网络和信息安全的基础设施。图9.1为防火墙示意图。 9.1.2　防火墙的发展简史 第一代防火墙：采用了包过滤（Packet Filter）技术。 第二、三代防火墙：1989年，推出了电路层防火墙，和应用层防火墙的初步结构。 第四代防火墙：1992年，开发出了基于动态包过滤技术的第四代防火墙。 第五代防火墙：1998年，NAI公司推出了一种自适应代理技术，可以称之为第五代防火墙。 9.1.3　设置防火墙的目的和功能 （1）防火墙是网络安全的屏障 （2）防火墙可以强化网络安全策略 （3）对网络存取和访问进行监控审计 （4）防止内部信息的外泄 9.1.4　防火墙的局限性 （1）防火墙防外不防内。 （2）防火墙难于管理和配置，易造成安全漏洞。 （3）很难为用户在防火墙内外提供一致的安全策略。 （4）防火墙只实现了粗粒度的访问控制。 9.1.5　防火墙技术发展动态和趋势 （1）优良的性能 （2）可扩展的结构和功能 （3）简化的安装与管理 （4）主动过滤 （5）防病毒与防黑客 9.2　防火墙技术 9.2.1　防火墙的技术分类 9.2.2　防火墙的主要技术及实现方式 9.2.3　防火墙的常见体系结构 9.2.1　防火墙的技术分类 1．包过滤防火墙 2．代理防火墙 3．两种防火墙技术的对比 1．包过滤防火墙 （1）数据包过滤技术的发展：静态包过滤、动态包过滤。 （2）包过滤的优点：不用改动应用程序、一个过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高。 （3）包过滤的缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；一些应用协议不适合于数据包过滤；正常的数据包过滤路由器无法执行某些安全策略；安全性较差 ；数据包工具存在很多局限性。 2．代理防火墙 （1）代理防火墙的原理： 代理防火墙通过编程来弄清用户应用层的流量，并能在用户层和应用协议层间提供访问控制；而且，还可用来保持一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。代理防火墙的工作原理如图9.6所示。 （2）应用层网关型防火墙： 主要保存Internet上那些最常用和最近访问过的内容：在Web上，代理首先试图在本地寻找数据，如果没有，再到远程服务器上去查找。为用户提供了更快的访问速度，并且提高了网络安全性。应用层网关的工作原理如图9.7所示。应用层网关防火墙最突出的优点就是安全，缺点就是速度相对比较慢。 （3）电路层网关防火墙 在电路层网关中，包被提交用户应用层处理。电路层网关用来在两个通信的终点之间转换包，如图9.8所示。电路层网关防火墙的工作原理如图9.9所示电路层网关防火墙的特点是将所有跨越防火墙的网络通信链路分为两段。 （4）代理技术的优点 1）代理易于配置。 2）代理能生成各项记录。 3）代理能灵活、完全地控制进出流量、内容。 4）代理能过滤数据内容。 5）代理能为用户提供透明的加密机制。 6）代理可以方便地与其他安全手段集成。 （5）代理技术的缺点 1）代理速度较路由器慢。 2）代理对用户不透明。 3）对于每项服务代理可能要求不同的服务器。 4）代理服务不能保证免受所有协议弱点的限制。 5）代理不能改进底层协议的安全性。 3．两种防火墙技术的对比 9.2.2　防火墙的主要技术及实现方式 1．双端口或三端口的结构 2．透明的访问方式 3．灵活的代理系统 4．多级的过滤技术 5．网络地址转换技术（NAT） 6．网络状态监视器 7．Internet网关技术 8．安全服务器网络（SSN） 9．用户鉴别与加密 10．用户定制服务 11．审计和告警 12．应用网关代理 13．回路级代理服务器 14．代管服务器 15．IP通道（IP Tunnels） 16．隔离域名服务器（Split Domain Name Sever） 17．邮件转发技术（Mail Forwarding）