防火墙在企业网络中的应用

《防火墙在企业网络中的应用》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、·4·加强软件质量的控制与管理，促进新疆软件产业的发展防火墙在企业网络中的应用关键词：Intranet；RIP(RouteInformationProtocol)；PIX(PrivateInternetExchange)；NAT(NetworkAddressTranslation)；PAT(PortAddressTranslation)1需求分析XXX计算机网络是以3Com公司CoreBuilder9000为企业核心层交换机，以3ComCoreBuilder7000HD、CoreBulider3500和CiscoCatalyst4006为各二级单

2、位分布层交换机，以3ComSSII1100/3300和CiscoCatalyst3500为访问层交换机的三层星型网络结构，采用先进的千兆以太网技术，融合历史的ATM网络技术，结合Cisco2511、1601等提供的DDN链路进行远程局域网络连接和移动用户拨号访问，利用Cisco3661的2MDDN串型链路连接Internet。随着XXX应用水平的不断提高，利用Internet与外部交流信息的需求非常迫切，如何既要保证XXX网络不受外部Internet的非法访问和攻击，又能安全快速的访问Internet，是企业网络安全建设的必要条件，而网络防火墙是

3、解决这一问题的最好方法。经过分析和比较后，XXX计算机网络采用了CiscoPIX525防火墙作为企业用户Internet访问时的安全保证。下面我们结合PIX525防火墙的功能谈谈防火墙在企业网络安全中的应用。2防火墙PIX防火墙能在两个或多个网络之间防止非授权的连接，即PIX防火墙能保护一个或多个网络，与外部的、非保护的网络隔离，防止非授权访问。这些网络间的所有连接都能被PIX防火墙控制。为了在你的组织中高效使用防火墙，你需要一个安全策略来确认被保护网络的所有数据包只能通过防火墙传递到非保护网络。这样，你就能控制谁能访问网络，访问什么服务，及如何

4、利用PIX防火墙的功能实现你的安全策略。图1显示了PIX防火墙如何保护内部网络安全地访问Internet。NodirectInboundconnectionsOutsideInternetInternetatttachedrouterInternetaccesibleserverPerimeterPixFirewallServer1Server2OutboundconnectionsOKInsideProtectedServersProtectedClientsRouterInternet图1在这个结构中，PIX防火墙在被保护网络和非保护网络之间

5、形成了一个边界。被保护网络和非保护网络之间的所有数据包流量必须经过防火墙以遵循一定的安全策略。被保护网络通常能访问Internet。PIX防火墙让你将诸如Web、SNMP、E-mail等服务放置在被保护网络中，以控制外部用户的对这些服务的访问。另一方面，服务系统也能放置在Perimeter网络中，见图一。PIX防火墙也能控制和监视Inside·4·加强软件质量的控制与管理，促进新疆软件产业的发展网络或Outside网络对这些服务系统的访问。典型的，Inside网络就是一个组织自己的内部Intranet网络，Outside网络就是Internet。

6、但是，PIX防火墙也能在Intranet网络中使用以隔离或保护一组内部的计算机系统。Perimeter网络能和Inside网络一样进行安全配置。PIX防火墙的Inside、Perimeter和Outside接口能监听RIP路由更新消息，如果需要，所有的接口能广播一个缺省的RIP路由。PIX防火墙的工作原理如下：2.1数据包如何通过防火墙当向外连接的数据包(OutboundPackets)到达PIX防火墙的被保护接口时(InsideInterface)，PIX防火墙检查先前的数据包是否是来自此主机。如果没有，PIX防火墙就在它的状态表为新的连接建立

7、一个转换槽(translationslot)。通过网络地址转换（NAT）或端口地址转换(PAT)的分配，这个槽包括内部IP地址和一个唯一的全局IP地址。PIX防火墙这时转换这个数据包的源IP地址(sourceIP)为这个唯一的全局IP地址，并按需修改其他字段，然后转发这个数据包到合适的非保护接口。当向内连接的数据包（InboundPackets）到达PIX防火墙的非保护接口时(outsideInterface)，它必须先经过PIX防火墙的安全检查。如果数据包检查通过，则PIX防火墙移走这个数据包的目的IP地址（destinationIP），插入内

8、部的IP地址。这样，这个数据包被转发到被保护接口。2.2转换内部地址动态转换对在Internet上不需要固定地址的桌面计算机是非常有用的