第5章防火墙的构造与选择

《第5章防火墙的构造与选择》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5章防火墙的构造与选择5.1防火墙概述5.2防火墙的原理5.3防火墙的选择和使用5.4分布式防火墙技术25.1防火墙概述5.1.1防火墙的概念5.1.2防火墙设计的基本原则35.1.1防火墙的概念防火墙是指隔离在本地网络与外界网络之间的一道或一组执行控制策略的防御系统。它对网络之间传输的数据包依照一定的安全策略进行检查，以决定通信是否被允许，对外屏蔽内部网的信息、结构和运行状况，并提供单一的安全和审计的安装控制点，从而达到保护内部网络的信息不被外部非授权用户访问和过滤不良信息目的。5.1防火墙

2、概述45.1防火墙概述5.1.2防火墙设计的基本原则防火墙的姿态机构的整体安全策略防火墙的费用防火墙的基本构件和拓扑结构防火墙的维护和管理方案55.2防火墙的原理5.2.1防火墙设计的基本准则5.2.2防火墙的组成5.2.3防火墙不能对付的安全威胁5.2.4防火墙的分类65.2.1防火墙设计的基本准则一切未被允许的就是禁止的。如果防火墙采取第一个准则，那么需要确定所有可以被提供的服务以及它们的安全性，然后，开放这些服务，并将所有其他未被列入的服务排除在外，禁止访问。优点是可以造成一种十分安全的环

3、境，其缺点在于用户所能使用的服务范围受到很大限制。一切未被禁止的就是允许的。如果防火墙采取第二个准则，需要确定那些被认为是不安全的服务，禁止其访问；而其他服务则被认为是安全的，允许访问。这种方法构成了一种更为灵活的应用环境，可以为用户提供更多的服务，其缺点在于很难提供可靠的安全防护。5.2防火墙的原理75.2.2防火墙的组成5.2防火墙的原理E-mail处理域名服务网关代理认证SOCKS过滤器因特网Internet内部网Intranet安全操作系统E-mail域名询问高级协议访问IP级数据防火墙

4、主要包括五部分:安全操作系统、过滤器、网关、域名服务和E-mail处理。81安全操作系统防火墙本身必须建立在安全操作系统所提供的安全环境中,安全操作系统可以保护防火墙的代码和文件免遭入侵者攻击。这些防火墙的代码只允许在给定的主机系统上执行，这种限制可以减少非法穿越防火墙的可能性。2过滤器防火墙的主要目的是控制数据包,只允许合法流通过，它要对专用网和Internet之间传送的每一数据组进行干预。过滤器则执行由防火墙管理机构制定的一组规则，检验各数据组，决定是否允许放行。这些规则按IP地址、端口号码

5、和各类应用等参数确定。5.2防火墙的原理95.2防火墙的原理3网关应用网关(ApplicationGateway)可以在TCP/IP应用级上控制信息流和认证用户。应用网关的功能常常由代理服务器提供。在专用网中的一个用户联机到一个代理服务器，代理服务器对用户认证，而后使用户和Internet中远端服务器联机。SOCKS（套接层）服务器也对通过防火墙提供网关支持，代理服务器和SOCKS服务器之间的主要差别是前者要求改变用户接入Internet服务器的方式，但不需要修正客户机的软件；而后者则相反。4域

6、名服务和函件处理防火墙还可能包括有域名服务和函件处理。域名服务使专用网的域名与Internet相隔离，专用网中主机的内部IP地址不至于暴露给Internet中的用户。函件处理能力保证专用网中用户和Internet用户之间的任何函件交换都必须经过防火墙处理。105.2防火墙的原理5.2.3防火墙不能对付的安全威胁1防火墙不能防范来自内部的攻击2防火墙不能防范不经由防火墙的攻击3防火墙不能防止受到病毒感染的软件或文件的传输4防火墙不能防止数据驱动式攻击115.2防火墙的原理5.2.4防火墙的分类1包

7、过滤型防火墙是最简单的防火墙。它的处理对象IP包,其功能是处理通过网络的IP包的信息,实现进出网络的安全控制。应用数据包过滤（packetfiltering）技术在网络层对数据包进行选择，只有通过检查的IP包才能正常转发出去。其选择的依据是访问控制表ACL（AccessControlList），通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或通过检查它们的组合来决定是否允许该数据包通过。实现原理如图所示。125.2防火墙的原理包过滤型防火墙的优缺点优点：逻辑简单，价

8、格便宜，易于安装和使用网络性能和透明性好。缺点：数据包的源地址、目的地址以及IP的端口号都在数据包的头部，易被窃听或假冒，形成各种安全漏洞。大多过滤器中过滤规则的数目有限制，且随着规则数目的增加，性能受影响。包过滤的规则可能比较复杂，且不易验证其正确性。由于缺少上下文关联信息，不能有效过滤某些协议。大多不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。大多对安全管理人员素质要求高135.2防火墙的原理2应用网关型防火墙应用级网关（ApplicationLevelGateways）是在网络应用