现代网络安全技术李兴无 第5章

《现代网络安全技术李兴无 第5章》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5章防火墙技术第5章防火墙技术防火墙概述1防火墙技术2防火墙的体系结构3防火墙的攻击4防火墙产品与选型5本章学习目标理解防火墙工作原理与安全策略理解包过滤与代理技术了解屏蔽路由器体系结构、屏蔽主机体系结构与屏蔽子网体系结构了解防火墙的攻击5.1防火墙概述“防火墙（FireWall）”一词源于早期欧式建筑，指用于防止火灾蔓延而建筑起来的专用保护墙。在网络安全技术中，防火墙指的是在两个网络之间加强访问控制的一道防御系统，是用于隔离本地网络与外地网络的一个保护层。人们通过允许、拒绝或重定向经过防火墙的数据流，来保护内部网络资源免遭非法入侵，达

2、到维护网络安全的目的。它是保证网络安全的重要防护措施。5.1.1防火墙概念图5-1防火墙示意图防火墙主要是用来保护内部网络免受外部攻击的一种安全防护措施，因此它一般布置在被保护网络系统的边界。这里的边界，主要指的就是不同安全策略（如可信网与不可信网）的网络连接处，如图5-1所示。因此，防火墙从本质上来说就是一种作用于网络边界的安全隔离措施，它通过将内部网（Intranet）和公众访问网(如Internet)分开的方法来监控和审核内部网络与外部网络之间的数据流，从而保证内部网络的安全。5.1.2防火墙的功能防火墙是网络与信息安全防护措施的第

3、一道防线，其安全功能主要体现在以下几方面：（1）网络安全的屏障（2）访问控制（3）内容控制（4）网络访问审计（5）地址转换5.1.2防火墙的功能防火墙是网络与信息安全防护措施的第一道防线，其安全功能主要体现在以下几方面：（1）网络安全的屏障防火墙通过过滤不安全的服务而降低风险，提高网络的安全性。防火墙可以禁止一些不安全的协议通过受保护的网络，可以保护网络免受基于路由的攻击，如IP源路由攻击和ICMP重定向路径等，使网络环境变得更为安全。5.1.2防火墙的功能防火墙是网络与信息安全防护措施的第一道防线，其安全功能主要体现在以下几方面：（1）

4、网络安全的屏障（2）访问控制通过禁止或允许特定用户访问特定资源，保护网络内部的资源和数据，禁止非授权的访问。比如允许有些主机被外部网络访问，有些则被保护起来，从而阻止那些既不安全、也无必要的访问请求。很多情况下，防火墙是在网络边界形成一道关卡，指允许局域网内部的如E-mail服务器、WWW服务器、FTP服务器等被外部访问，而其余的主机则被禁止访问。5.1.2防火墙的功能防火墙是网络与信息安全防护措施的第一道防线，其安全功能主要体现在以下几方面：（1）网络安全的屏障（2）访问控制（3）内容控制防火墙可以根据数据内容进行控制，如过滤掉外部海量

5、垃圾邮件的进入和内部用户对外部不良信息的访问。此外，有些站点资源即使发布到某个网络上，但往往也将用户限定在一定范围内，不让外部用户随意访问，这些都可以通过防火墙对站点的控制来实现。此外，在网络内部，防火墙也可以通过内部网络的划分来实现对重点网络段的安全隔离，限制内部不同网络段部门间的相互访问，提高数据资源的安全性。5.1.2防火墙的功能防火墙是网络与信息安全防护措施的第一道防线，其安全功能主要体现在以下几方面：（1）网络安全的屏障（2）访问控制（3）内容控制（4）网络访问审计当防火墙系统被布置在网络边界，配置成为内外网络通信的唯一通道时，

6、它就能够对所有的网络访问做出日志记录，根据对日志的分析和审计，防火墙可以对某些特征的可疑迹象进行适当的告警，并提供网络是否受到攻击或入侵的详细信息。此外，防火墙也可以对日常的网络访问日志做一些统计，分析怎样对网络资源进行更好的优化配置，以更好地满足用户的需求。5.1.2防火墙的功能防火墙是网络与信息安全防护措施的第一道防线，其安全功能主要体现在以下几方面：（1）网络安全的屏障（2）访问控制（3）内容控制（4）网络访问审计（5）地址转换防火墙通过对NAT服务实现对网络内部与外部地址的转换，不仅是解决网络地址资源的有效方法，也是增强网络安全侧

7、重要措施此外，防火墙还支持VPN服务系统，可以通过VPN技术来将大型企事业单位、跨国公司分布在各地的网络系统联成一个整体，大大省去了通信成本5.1.3防火墙工作原理（1）防火墙的两条基本策略（2）防火墙的基本特征（3）防火墙的局限性5.1.3防火墙工作原理（1）防火墙的两条基本策略防火墙在对网络安全的实现过程中有两种基本的安全策略，即:①默认拒绝策略，即不被允许的就是禁止的。按照这个策略，防火墙首先是禁止所有数据包通过，然后再根据配置要求来开放被明确允许的服务项。该策略的优点是安全、高效；但其不足之处也是显而易见的，即在提高网络安全性的同

8、时也限制了用户通信的方便性,从而可能导致部分功能和服务受限。②默认接受策略，即不被禁止的就是允许的。按照这个策略，防火墙首先对所有的数据包都予以转发，然后再屏蔽有安全隐患的服务项。该策略的优点