【7A文】防火墙基础知识介绍.ppt

《【7A文】防火墙基础知识介绍.ppt》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、网御防火墙原理介绍方案营销处2003-12学习目的了解防火墙在公司安全策略中的作用通用的防火墙术语了解包过滤防火墙及规则了解电路级网关了解应用层网关防火墙的定义防火墙是设置在不同安全级别安全域之间的一道屏障，可以设置安全策略来控制信息流，防止不可预料的潜在的入侵破坏活动。从内部到外部或从外部到内部的所有通信都必须通过防火墙只有符合本地安全策略的通信才允许通过防火墙的作用贯彻公司的安全策略提供不同网络之间的节流点记录被防火墙隔离的安全域之间的活动保护网络内部的主机防火墙术语网关Asystemthatp

2、rovidesrelayservicesbetweentwodevices包过滤Devicesthatprocessnetworktrafficonapacket-by-packetbasis电路级网关DevicesthatprocessnetworktrafficonsessionlayerCanprovideNAT应用层网关（代理服务器）FunctionatalllayersoftheOSI/RMProxyserver：Communicatewithexternalserversonbehalf

3、oftheinternalclient防火墙术语网络地址转换(NAT)NATtranslateinternalIPtopublicIPaddressIPaddresshiding壁垒主机AsecurecomputersystemplaceddirectlybetweenatrustednetworkandanuntrustedoneOftendeploysgatewayservices:(SMTP,WEB...)操作系统加固firewall’sinstallationprogramdisableso

4、rremovesallunnecessaryservice非军事化区（DMZ)DMZ区是位于内网和外网之间的中间区域被一个屏蔽路由器和节流路由器创建屏蔽路由器=包过滤路由器外部路由器(对外部网络)节流路由器(内部路由器)定义了公网能访问内网的接入点网络地址转换（NAT）客户端IP=192.168.1.3IP=192.168.1.4IP=192.168.1.5ComputerRunningNATInternalIP=192.168.1.1ExternalIP=131.107.2.1Theclient

5、sendsthepackettothecomputerrunningNATThecomputerrunningNATdeterminesthedestination,changesthepacketheader,andsendsthepackettotheclientThecomputerrunningNATchangesthepacketheaderandsendsthepacketovertheInternettotheWebserverTheWebserversendsareplytothec

6、omputerrunningNATInternetWebServerIP=131.107.50.1防火墙默认配置拒绝所有流量允许所有流量防火墙分类包过滤:5元组状态检测的包过滤状态检测技术最早是CheckPoint提出的，就是从TCP连接的建立到终止都跟踪检测的技术状态检测模块分析所有的包通讯层，汲取相关的通信和应用程序的状态信息。状态检测模块能够理解并学习各种协议和应用，以支持各种最新的应用允许检查OSI七层模型的所有层以决定是否过滤，而不仅仅是网络层应用层代理防火墙运行在应用层的防火墙，实质是启

7、动两个连接，一个是客户到代理，另一个是代理到目的服务器。包过滤的优点和缺点包过滤工作在OSI/RM模型的网络层优点工作在网络层和传输层，不需改动客户机和主机的应用程序易于实现，路由器就可以实现缺点只涉及到TCP层，提供安全级别低不支持用户验证需创建过多规则不提供日志功能不能分辨好坏包需要丰富的TCP/IP知识易于被欺骗代理服务器三种基本的代理服务:Web代理Circuit-levelgateway电路级网关Application-levelgateway应用层网关Web代理优点:加快对Interne

8、t的访问客户端不需直接连接Internet电路级网关工作在OSI/RM模型的绘话层在内外网之间提供彻底的屏蔽(screeningrouter)产品:SOCKSgateways(IBM)优点:NAT缺点:需要修改应用程序及函数Requiresmodifiedapplicationsandmodifiedprocedures应用层网关在OSI/RM的应用层监视数据包(nothingmorethanproxyserver)典型的代理导向的防火墙symantecRaptorF