防火墙技术教学ppt课件

《防火墙技术教学ppt课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、防火墙技术什么是防火墙防火墙是一种功能，它使得内部网络和外部网络或Internet互相隔离，以此来保护内部网络或主机。简单的防火墙可以由Router，3LayerSwitch的ACL（accesscontrollist）来充当，也可以用一台主机，甚至是一个子网来实现。复杂的可以购买专门的硬件防火墙或软件防火墙来实现。1防火墙的架构2防火墙的特点1、广泛的服务支持：通过将动态的、应用层的过滤能力和认证相结合，可支持WWW浏览器、HTTP服务器、FTP等；2、对私有数据的加密支持：保证通过Internet进行虚拟私人网络和商务活动不受损坏；

2、3、客户端认证只允许指定的用户访问内部网络或选择服务：企业本地网与分支机构、商业伙伴和移动用户间安全通信的附加部分；4、反欺骗：欺骗是从外部获取网络访问权的常用手段，它使数据包好似来自网络内部。防火墙能监视这样的数据包并能扔掉它们；3防火墙的功能：1、过滤掉不安全服务和非法用户2、控制对特殊站点的访问3、提供监视Internet安全和预警的方便端点4防火墙的分类包过滤防火墙代理服务防火墙(应用级网关)状态检测防火墙5包过滤防火墙包过滤是在IP层实现的，因此，它可以只用路由器完成。包过滤根据包的源IP地址、目的IP地址、源端口、目的端口及

3、包传递方向等报头信息来判断是否允许包通过。过滤用户定义的内容，如IP地址。其工作原理是系统在网络层检查数据包，与应用层无关，包过滤器的应用非常广泛，因为CPU用来处理包过滤的时间可以忽略不计。而且这种防护措施对用户透明，合法用户在进出网络时，根本感觉不到它的存在，使用起来很方便。这样系统就具有很好的传输性能，易扩展。但是这种防火墙不太安全，因为系统对应用层信息无感知——也就是说，它们不理解通信的内容，不能在用户级别上进行过滤，即不能识别不同的用户和防止IP地址的盗用。如果攻击者把自己主机的IP地址设成一个合法主机的IP地址，就可以很轻易

4、地通过包过滤器，这样更容易被黑客攻破。6包过滤防火墙的表示7包过滤防火墙优点简单、方便、速度快、透明性好，对网络性能影响不大，可以用于禁止外部不合法用户对企业内部网的访问防火墙对每条传入和传出网络的包实行低水平控制。每个IP包的字段都被检查，例如源地址、目的地址、协议、端口等。防火墙将基于这些信息应用过滤规则。包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙，绕过是困难的。包过滤通常被包含在路由器数据包中，所以不需额外的系统来处理这个特征。8包过滤防火墙的缺点包过滤防火墙处理信息的能力是有限的。允许数据包直接通过，

5、容易造成数据驱动式攻击的潜在危险。比如针对微软IIS漏洞的Unicode攻击，因为这种攻击是走的防火墙所允许的80端口，而包过滤的防火墙无法对数据包内容进行核查，因此此时防火墙等同于虚设，未打相应patch的提供web服务的系统，即使在防火墙的屏障下，也会被攻击者轻松拿下超级用户的权限。9应用级网关应用级网关也就是通常我们提到的代理服务器。它适用于特定的互联网服务，如超文本传输(HTTP)，远程文件传输(FTP)等等。代理服务器通常运行在两个网络之间，它对于客户来说象是一台真的服务器，而对于外界的服务器来说，它又是一台客户机。当代理服

6、务器接收到用户对某站点的访问请求后会检查该请求是否符合规定，如果规则允许用户访问该站点的话，代理服务器会象一个客户一样去那个站点取回所需信息再转发给客户。典型的内部网络地址：192.168……10应用级网关的表示11应用级网关优点应用级网关的最突出的优点就是安全。由于每一个内外网络之间的连接都要通过Proxy的介入和转换，通过专门为特定的服务如Http编写的安全化的应用程序进行处理，然后由防火墙本身提交请求和应答，没有给内外网络的计算机以任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。应用级网关能够记录所有的连

7、接，包括地址和持续时间，这些信息对追踪攻击和发生的未授权访问的事件事很有用的。12应用级网关缺点首先它会使访问速度变慢，因为它不允许用户直接访问网络，而且应用级网关需要对每一个特定的互联网服务安装相应的代理服务软件。用户不能使用未被务器支持的服务.13状态监测防火墙该防火墙结合了包过滤防火墙和应用级网关的特点。它同包过滤防火墙一样，规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也象应用级网关一样，可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合网络的安全规则。规则检查防火墙不依靠与应用层有关的代

8、理，而是依靠某种算法来识别进出的应用层数据，这样从理论上就能比应用级代理在过滤数据包上更有效。14状态监测防火墙优点安全性好状态检测防火墙工作在数据链路层和网络层之间，它从这里截取数据包，因为数据链路层是网