最新计算机网络安全作业——防火墙技术幻灯片.ppt

《最新计算机网络安全作业——防火墙技术幻灯片.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、计算机网络安全管理作业——防火墙技术防火墙技术简要回答防火墙的定义和发展简史。设置防火墙目的是什么？防火墙的功能和局限性各有哪些？简述防火墙的发展动态和趋势。试述包过滤防火墙的原理及特点。静态包过滤和动态包过滤有什么区别？试述代理防火墙的原理及特点。应用层网关和电路层网关有什么区别？防火墙的主要技术及实现方式有哪些？防火墙的常见体系结构有哪几种？屏蔽路由器防火墙和屏蔽主机网关防火墙各如何实现？一、防火墙的定义和发展简史防火墙的定义防火墙：一种高级访问控制设备，置于不同网络安全域之间，它通过相关的安全策略来控制（允许、拒

2、绝、监视、记录）进出网络的访问行为。二、设置防火墙的目的、防火墙的功能和局限性设置防火墙的目的（1）强化安全策略。（2）有效地记录Internet上的活动。（3）限制暴露用户点。防火墙能够用来隔开网络中一个网段与另一个网段。这样，能够防止影响一个网段的问题通过整个网络传播。（4）防火墙是一个安全策略的检查站。所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。防火墙的功能应用程序代理包过滤&状态检测用户认证NATVPN日志IDS与报警内容过滤基本功能（1）基本功能（2）防火墙的功能过

3、滤进出网络的数据管理进出网络的访问行为封堵某些禁止的业务记录进出网络的信息和活动对网络攻击进行检测和告警Internet防火墙允许网络管理员定义一个中心“扼制点”来防止非法用户，如黑客、网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。Internet防火墙能够简化安全管理，网络安全性是在防火墙系统上得到加固，而不是分布在内部网络的所有主机上。在防火墙上可以很方便的监视网络的安全性，并产生报警。应该注意的是：对一个内部网络已经连接到Internet上的机构来说，重要的问题并不是网络是

4、否会受到攻击，而是何时会受到攻击。网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。Internet防火墙可以作为部署NAT(NetworkAddressTranslator，网络地址变换）的逻辑地址。因此防火墙可以用来缓解地址空间短缺的问题，并消除机构在变换ISP时带来的重新编址的麻烦。Internet防火墙是审计和记录Internet使用量的一个最佳地方。网络管理员可以在此向管理部门提供Inter

5、net连接的费用情况，查出潜在的带宽瓶颈的位置，并能够根据机构的核算模式提供部门级的记费。Internet防火墙也可以成为向客户发布信息的地点。Internet防火墙作为部署WWW服务器和FTP服务器的地点非常理想。还可以对防火墙进行配置，允许Internet访问上述服务，而禁止外部对受保护的内部网络上其它系统的访问。防火墙局限性（1）防火墙不能防范不通过它的连接如果网络具有其他联接方式，比如一台WindowsPC使用一台调制解调器通过ISP联到Internet上，因为连接不经过防火墙，因此绕过了防火墙提供的安全控制。

6、（2）防火墙不能防备全部的威胁防火墙不能防止许多常见的Internet问题，如病毒和特洛伊木马。三、防火墙的发展动态和趋势（1）优良的性能（2）可扩展的结构和功能（3）简化的安装与管理（4）主动过滤（5）防病毒与防黑客四、包过滤防火墙的原理及特点静态包过滤和动态包过滤的区别包过滤防火墙的原理简单包过滤防火墙不检查数据区简单包过滤防火墙不建立连接状态表前后报文无关应用层控制很弱包过滤操作流程图包过滤防火墙的特点包过滤的优点：不用改动应用程序、一个过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高

7、。包过滤的缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；一些应用协议不适合于数据包过滤；正常的数据包过滤路由器无法执行某些安全策略；安全性较差；数据包工具存在很多局限性。包过滤防火墙具有根本的缺陷：1．不能防范黑客攻击。包过滤防火墙的工作基于一个前提，就是网管知道哪些IP是可信网络，哪些是不可信网络的IP地址。但是随着远程办公等新应用的出现，网管不可能区分出可信网络与不可信网络的界限，对于黑客来说，只需将源IP包改成合法IP即可轻松通过包过滤防火墙，进入内网，而任何一个初级水平的黑客都能进行IP地址欺骗。

8、2．不支持应用层协议。假如内网用户提出这样一个需求，只允许内网员工访问外网的网页（使用HTTP协议），不允许去外网下载电影（一般使用FTP协议）。包过滤防火墙无能为力，因为它不认识数据包中的应用层协议，访问控制粒度太粗糙。3．不能处理新的安全威胁。它不能跟踪TCP状态，所以对TCP层的控制有漏洞。如当它配置了仅允许从内到外的TCP