网络安全---NS-CH12-防火墙.pptx
网络安全 CH12—防火墙 1 网络安全---NS-CH12-防火墙全文共70页,当前为第1页。 2 目录(CONTENTS) 防火墙的基本原理 001 防火墙技术 010 防火墙的配置方案 011 WAF 100 网络安全---NS-CH12-防火墙全文共70页,当前为第2页。 防火墙(firewall)是位于两个(或多个)网络间实施网间访问控制的组件的集合 满足以下条件: 内网和外网的所有网络数据流必须经过防火墙 只有符合安全策略的数据流才能通过防火墙 防火墙自身对渗透(penetration)是免疫的 例如,在企业网络与Internet之间加一道防护 3 防火墙的基本原理 网络安全---NS-CH12-防火墙全文共70页,当前为第3页。 防火墙通常是单独的计算机、路由器或专有硬件设备,充当访问网络的唯一入口点 只有来自授权主机的连接请求才会被处理,其他连接请求被丢弃 主要用于保护内部网络免受外部不安全网络的侵害 防火墙也可用于Intranet各部门网络之间(内部防火墙) 财务部与教务部之间 4 防火墙的基本原理 网络安全---NS-CH12-防火墙全文共70页,当前为第4页。 Internet 1. 企业内部网 2. 部门子网 3. 分公司网络 5 防火墙示意图 网络安全---NS-CH12-防火墙全文共70页,当前为第5页。 防火墙实现数据流控制通过预先设定安全规则来实现 安全规则由匹配条件和处理方式两部分组成: 如果满足某种条件,将执行某种动作 规则根据组织的访问控制策略来制订 大多数防火墙规则中的处理方式包括: Accept:允许数据包或信息通过 Reject:拒绝数据包或信息通过,并且通知信息源该信息被禁止 Drop:直接将数据包或信息丢弃,不通知信息源 6 防火墙的基本原理 网络安全---NS-CH12-防火墙全文共70页,当前为第6页。 防火墙常采用以下两种基本策略之一: "默认允许"原则:没有明确禁止的都是允许的 主要由Reject或Drop规则组成 信息逐条与规则匹配,一旦匹配就会被防火墙丢弃或禁止,如果不能与任何规则匹配,则通过防火墙 "默认拒绝"原则:没有明确允许的都是禁止的 主要由Accept规则构成 信息逐条与规则匹配,只要与其中一条匹配,则允许通过;如果不能与任何规则匹配则信息不能通过防火墙 7 防火墙的基本策略 网络安全---NS-CH12-防火墙全文共70页,当前为第7页。 按照使用对象可分为: 个人防火墙:一般以软件服务的形式实现,为个人计算机提供简单的防火墙功能。可能会随操作系统附带,价格较低 企业防火墙:隔离本地网络与外界网络的一道防御系统。可以使企业内部网与Internet或与其他外部网络互相隔离、限制网络互访来保护内部网络。实现形式:软件、硬件 8 防火墙的分类 网络安全---NS-CH12-防火墙全文共70页,当前为第8页。 从技术上,防火墙可以分为: 包过滤防火墙(Packet Filtering) 静态包过滤防火墙 动态包过滤防火墙(状态检测防火墙) 代理技术 应用层代理(应用网关,代理服务器) 电路级网关 混和型防火墙 9 防火墙的分类 网络安全---NS-CH12-防火墙全文共70页,当前为第9页。 包过滤防火墙:工作在网络层和传输层。设定访问控制列表ACL(Access Control List),检查所有通过的数据包,并按照给定的规则进行访问控制和过滤 如果防火墙设定某一IP地址的站点为不宜访问,那么来自这个地址的所有信息都会被防火墙屏蔽掉 可在路由器中实现:许多路由器产品都可以实现包过滤功能,如Cisco、华为、H3C、DEC、IBM、锐捷等路由器产品 10 包过滤防火墙 华为 AR3200-S商业旗舰级系列企业路由器 网络安全---NS-CH12-防火墙全文共70页,当前为第10页。 包过滤防火墙的操作方式: 对包过滤装置的端口设置包过滤规则 数据包到达过滤端口时,对数据包头部进行分析。大多数包过滤装置只检查IP、TCP/UDP头部字段 包过滤规则按一定的顺序存储。当包到达时,按过滤规则的存储顺序对包进行检查 如果一条规则禁止接收包,则不允许该数据包通过 如果一条规则允许接收包,则允许该数据包通过 如果一个数据包不满足任何规则,则该包被阻塞或允许通过,(由防火墙默认规则决定) Remark:规则顺序非常重要——否则有可能将本要拒绝的数据包通过 11 包过滤防火墙 网络安全---NS-CH12-防火墙全文共70页,当前为第11页。 包过滤技术的发展: 第一代:静态包过滤防火墙 只在OSI模型的网络层工作,能够准许或阻止IP地址和端口等 一个纯静态包过滤防火墙根据如下信息过滤: 源IP地址、目标IP地址 源端口、目标端口 包类型:ICMP/EGP/TCP/UDP TC
剩余69页未读,继续阅读
- 粉丝: 84
- 资源: 9357
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助