网络安全应用技术 chapter5 防火墙

《网络安全应用技术 chapter5 防火墙》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第5章防火墙本章提要防火墙是位于两个或多个网络间，实施网络之间访问控制的一组组件集合防火墙采用的主要技术包括包过滤技术、代理服务技术、网络地址转换技术、虚拟专用网VPN技术、审计技术、信息加密技术等防火墙技术虽然有许多，但总体来讲可分为“包过滤防火墙”、“代理防火墙”以及“包过滤防火墙”与“代理防火墙”相结合的“状态检测防火墙”三大类防火墙的三类构建方案为：双宿主机网关、屏蔽主机网关、屏蔽子网攻击者进行防火墙渗透通常采取端口映射、通道技术、找防火墙本身的设计缺陷等防火墙产品的功能、技术指标、选购方法及应用实例

2、引言2000年8月下旬，在北京中关村曾发生了一场全球黑客与一台防火墙的对决战。事情是这样的：2000年8月，刘建伟博士带领20多人的海信防火墙课题组奔赴北京。他们研制的防火墙要在10天的时间里接受全球黑客的公开检测。……防火墙就是这一事件的主角。而这一事件给我们带来以下这些思考：防火墙是怎样一种技术？防火墙能够完成哪些工作？为什么防火墙能够阻挡住强大的攻击？怎样设置和使用防火墙呢？5.1防火墙概述防火墙的概念防火墙的英文名为“Firewall”，是位于两个或多个网络间，实施网络之间访问安全控制的一组组件集合。

3、简单的防火墙可以由路由器（Router）,三层交换机（3LayerSwitch）的ACL（accesscontrollist）来充当，也可以用一台主机，甚至是一个子网来实现。复杂的可以购买专门的硬件防火墙或软件防火墙来实现。为什么要设置防火墙（1）限制他人进入内部网络；（2）过滤掉不安全的服务和非法用户；（3）防止入侵者接近你的防御设施；（4）限定人们访问特殊站点；（5）为监视局域网安全提供方便。防火墙在网络中所处的位置防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。所谓网络边界，即是采用不同

4、安全策略的两个网络连接处，比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。防火墙在网络中所处的位置（增加DMZ后）在实际应用中，为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，在非安全系统与安全系统之间经常设置一个缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火

5、墙方案，对攻击者来说又多了一道关卡，这个区域被称为DMZ。DMZDMZ是英文“demilitarizedzone”的缩写，中文名称为“隔离区”，也称“非军事区”。它提供了一个区域放置公共服务器，从而又能有效地避免一些互联应用需要公开，而与内部安全策略相矛盾的情况发生。在DMZ区域中通常包括堡垒主机、Modem池，以及所有的公共服务器，但要注意的是电子商务服务器只能用作用户连接，真正的电子商务后台数据需要放在内部网络中。5.1.2防火墙的分类与管理1、防火墙的分类按软、硬件形式划分按防火墙技术划分按防火墙结构划

6、分按防火墙的应用部署位置划分按防火墙性能划分防火墙的分类：按软、硬件形式划分软件防火墙：软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。硬件防火墙：传统硬件防火墙一般至少应具备三个端口，分别接内网，外网和DMZ区（非军事化区），现在一些新的硬件防火墙往往扩展了端口，常见四端口防火墙一般将第四个端口做为配置口、管理端口。芯片级防火墙：芯片级防火墙基于专门的硬件平台，没有操作系统。防火墙的分类：按防火墙技术划分防火墙技术虽然出现了许多，但总体来讲可

7、分为“包过滤型”、“应用代理型”以及“包过滤型”与“应用代理型”相结合的“状态检测型”三大类。“包过滤型”以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，“应用代理型”后者以美国NAI公司的Gauntlet防火墙为代表。防火墙的分类：按防火墙结构划分从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。防火墙的分类：按防火墙的应用部署位置划分如果按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。防火墙的分类：按防火墙性能划

8、分按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。2、防火墙的管理防火墙管理是指对防火墙具有管理权限的管理员行为和防火墙运行状态的管理，管理员的行为主要包括：通过防火墙的身份鉴别，编写防火墙的安全规则，配置防火墙的安全参数，查看防火墙的日志等。防火墙的管理分类防火墙的管理一般分为本地管理、远程管理和集中管理等。本地管理：是指管理员通过防火墙的Console口或防火墙提供的键盘和显示器对防火