网络安全概述_07IPSec及FW .pptx

第7讲 保密通信（一）IPSec FWPage 1 防火墙概述基本概念关键技术体系结构网络隔离基本概念防火墙概念William Cheswick和Steve Beilovin（1994）：防火墙是放置在两个网络之间的一组组件，这组组件共同具有下列性质：只允许本地安全策略授权的通信信息通过双向通信信息必须通过防火墙防火墙本身不会影响信息的流通防火墙是位于两个信任程度不同的网络之间（如企业内部网络和Internet之间）的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。传统防火墙概念特指网络层实现防火墙缺陷使用不便，认为防火墙给人虚假的安全感对用户不完全透明，可能带来传输延迟、瓶颈及单点失效不能替代墙内的安全措施不能防范恶意的知情者 不能防范不通过它的连接 不能防范全新的威胁 不能有效地防范数据驱动式的攻击当使用端-端加密时，其作用会受到很大的限制应用层表示层应用层会话层表示层传输层会话层传输层网络层网络层网络层数据链路层数据链路层数据链路层互连的物理介质物理层物理层物理层关键技术数据包过滤依据事先设定的过滤规则，对所接收的每个数据包做允许拒绝的决定。数据包过滤优点：速度快，性能高对用户透明数据包过滤缺点：维护比较困难(需要对TCP/IP了解）安全性低（IP欺骗等）不提供有用的日志，或根本就不提供不防范数据驱动型攻击不能根据状态信息进行控制不能处理网络层以上的信息无法对网络上流动的信息提供全面的控制NAT （Network Address Translation）网络地址转就是在防火墙上装一个合法IP地址集，然后当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户；同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其分配一个固定的合法地址。地址翻译主要用在两个方面：网络管理员希望隐藏内部网络的IP地址。这样互联网上的主机无法判断内部网络的情况。内部网络的IP地址是无效的IP地址。 这种情况主要是因为现在的IP地址不够用，要申请到足够多的合法IP地址很难办到，因此需要翻译IP地址。源IP目的IP10.0.0.108202.112.108.50源IP目的IP202.112.108.3202.112.108.50防火墙网关源IP目的IP202.112.108.5010.0.0.108源IP目的IP202.112.108.50202.112.108.3发送请求转发请求转发响应请求响应应用层代理网关理解应用协议，可以实施更细粒度的访问控制对每一类应用，都需要一个专门的代理灵活性不够 服务器客户网关9、我们的市场行为主要的导向因素，第一个是市场需求的导向，第二个是技术进步的导向，第三大导向是竞争对手的行为导向。10、市场销售中最重要的字就是“问”。11、现今，每个人都在谈论着创意，坦白讲，我害怕我们会假创意之名犯下一切过失。12、在购买时，你可以用任何语言；但在销售时，你必须使用购买者的语言。13、He who seize the right moment, is the right man.谁把握机遇，谁就心想事成。14、市场营销观念：目标市场，顾客需求，协调市场营销，通过满足消费者需求来创造利润。15、我就像一个厨师，喜欢品尝食物。如果不好吃，我就不要它。16、我总是站在顾客的角度看待即将推出的产品或服务，因为我就是顾客。17、利人为利已的根基，市场营销上老是为自己着想，而不顾及到他人，他人也不会顾及你。Internet防火墙双重宿主主机内部网络……双宿主主机体系双重宿主主机的特性：安全至关重要（唯一通道），其用户口令控制安全是关键。必须支持很多用户的访问（中转站），其性能非常重要。缺点：双重宿主主机是隔开内外网络的唯一屏障，一旦它被入侵，内部网络便向入侵者敞开大门。体系结构因特网屏蔽主机体系屏蔽主机体系结构由防火墙和内部网络的堡垒主机承担安全责任。一般这种防火墙较简单，可能就是简单的路由器。典型构成：包过滤路由器＋堡垒主机。包过滤路由器配置在内部网和外部网之间，保证外部系统对内部网络的操作只能经过堡垒主机。堡垒主机配置在内部网络上，是外部网络主机连接到内部网络主机的桥梁，它需要拥有高等级的安全。屏蔽子网体系组成：屏蔽子网体系结构在本质上与屏蔽主机体系结构一样，但添加了额外的一层保护体系——周边网络。堡垒主机位于周边网络上，周边网络和内部网络被内部路由器分开。 周边网络：一个防护层，在其上可放置一些信息服务器，它们是牺牲主机，可能会受到攻击，因此又被称为非军事区（DMZ）。周边网络的作用：即使堡垒主机被入侵者控制，它仍可消除对内部网的侦听。例: netxray等的工作原理。外部路由器堡垒主机周