网络防火墙技术概述.pptx

第九章　防火墙技术 ;本章学习目标 ;9.1　防火墙技术概述 ;9.1.1　防火墙的定义 ;;9.1.2　防火墙的发展简史 ;;9.1.3　设置防火墙的目的和功能 ;9.1.4　防火墙的局限性 ;9.1.5　防火墙技术发展动态和趋势 ;9.2　防火墙技术 ;9.2.1　防火墙的技术分类 ;1．包过滤防火墙;（3）包过滤的缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；一些应用协议不适合于数据包过滤；正常的数据包过滤路由器无法执行某些安全策略；安全性较差 ；数据包工具存在很多局限性。 ;;;图9.5　动态包过滤防火墙;（1）代理防火墙的原理： 代理防火墙通过编程来弄清用户应用层的流量，并能在用户层和应用协议层间提供访问控制；而且，还可用来保持一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。代理防火墙的工作原理如图9.6所示。;（2）应用层网关型防火墙： 主要保存Internet上那些最常用和最近访问过的内容：在Web上，代理首先试图在本地寻找数据，如果没有，再到远程服务器上去查找。为用户提供了更快的访问速度，并且提高了网络安全性。应用层网关的工作原理如图9.7所示。应用层网关防火墙最突出的优点就是安全，缺点就是速度相对比较慢。;（3）电路层网关防火墙 在电路层网关中，包被提交用户应用层处理。电路层网关用来在两个通信的终点之间转换包，如图9.8所示。电路层网关防火墙的工作原理如图9.9所示电路层网关防火墙的特点是将所有跨越防火墙的网络通信链路分为两段。 ;;;;;;图9.9　电路层网关防火墙;;9.2.2　防火墙的主要技术及实现方式;7．Internet网关技术 8．安全服务器网络（SSN） 9．用户鉴别与加密 10．用户定制服务 11．审计和告警 12．应用网关代理;13．回路级代理服务器 14．代管服务器 15．IP通道（IP Tunnels） 16．隔离域名服务器（Split Domain Name Sever） 17．邮件转发技术（Mail Forwarding）;9.2.3　防火墙的常见体系结构 ;图9.10　屏蔽路由器示意图;图9.11　双穴主机网关示意图;图9.12　屏蔽主机网关示意图;图9.13　被屏蔽子网防火墙示意图;9.3　防火墙设计实例 ;9.3.1　防火墙产品选购策略;9.3.2　典型防火墙???品介绍 ; Office Connect Internet Firewall DMZ可支持多达100个局域网用户，这使局域网上的公共服务器可以被Internet访问，又不会使局域网遭受攻击。 ?????3Com公司所有的防火墙产品很容易通过 Getting Started Wizard 进行安装。它们使整个办公室可以共享ISP提供的一个IP地址，因而节省开支。;2．Cisco PIX防火墙 （1）实时嵌入式操作系统。 （2）保护方案基于自适应安全算法（ASA），可以确保最高的安全性。 ? （3）用于验证和授权的“直通代理”技术。 ?? （4）最多支持250 000个同时连接。 ?? （5） URL过滤。; （6）HP Open View集成。 （7）通过电子邮件和寻呼机提供报警和告警通知。 ??（8）通过专用链路加密卡提供VPN支持。 ?（9）符合委托技术评估计划（TTAP），经过了美国安全事务处（NSA）的认证，同时通过中国公安部安全检测中心的认证（PIX520除外）。;9.3.3　防火墙设计策略 ;;;4．防火墙设计策略 允许任何服务除非被明确禁止；禁止任何服务除非被明确允许。第一种的特点是安全但不好用，第二种是好用但不安全，通常采用第二种类型的设计策略。而多数防火墙都在两种之间采取折衷。 ;9.3.4　Windows 2000环境下防火墙及NAT的实现 ;3．MS Windows 2000 NAT网络地址转换的实现 （1）路由和远程访问服务 （2）网络地址转换的实现:静态路由、网络地址转换、地址和特殊端口、IP地址欺骗过滤。 ;表9.2　地址和特殊端口配置;表9.3　内部地址欺骗过滤配置;表9.4　外部地址欺骗过滤配置;4．MS Proxy Server动态包过滤和反向代理 Proxy Server功能的配置界面如图9.14所示。 （1）MS Proxy Server动态过滤记录文件的详细说明如表9.5所示。 （2）MS Proxy Server动态包过滤的实现如表9.6所示。 ;;表9.5　一条记录条目的说明;表9.6　动态包过滤规则