第8章 防火墙技术与应用ppt课件.ppt

《第8章 防火墙技术与应用ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、2021/7/30网络安全技术1第8章防火墙技术与应用8.1网络防火墙概述8.2防火墙的基本类型8.3防火墙设计的准则8.4防火墙安全体系结构8.5创建防火墙的步骤8.6网络地址翻译2021/7/30网络安全技术28.1网络防火墙概述防火墙：防火墙的本义原是指古代人们房屋之间修建的墙，这道墙可以防止火灾发生的时候蔓延到别的房屋。2021/7/30网络安全技术38.1网络防火墙概述网络防火墙：在可信和不可信网络间设置的保护装置，用于保护内部资源免遭非法入侵。服务器内部网可信网络Internet不可信网络2021/7/30网络安全

2、技术42021/7/30网络安全技术58.1.1网络防火墙基本概念堡垒主机：指一个计算机系统，它对外部网络暴露，同时又是内部网络用户的主要连接点。双宿主主机：又称双宿主机或双穴主机，是具有两个网络接口的计算机系统。2021/7/30网络安全技术6包过滤：设备对进出网络的数据流（包）进行有选择的控制与操作。通常是对从外部网络到内部网络的包进行过滤。参数网络：为了增加一层安全控制，在内部网与外部网之间增加的一个网络，中立区，有时也称非军事区，即DMZ（DemilitarizedZone）。代理服务器：代表内部网络用户与外部服务器进

3、行信息交换的计算机（软件）系统。2021/7/30网络安全技术7对于防火墙的发展历史，基于功能划分可分为五个阶段第一代防火墙几乎与路由器同时出现，采用了包过滤（Packetfilter）技术。第二、三代防火墙1989年，贝尔实验室的DavePresotto和HowardTrickey推出了第二代防火墙，即电路层防火墙，同时提出了第三代防火墙——应用层防火墙（代理防火墙）的初步结构。第四代防火墙1992年，USC信息科学院的BobBraden开发出了基于动态包过滤技术的第四代防火墙，后来演变为目前所说的状态监视技术。1994年，

4、以色列的CheckPoint公司开发出了第一个采用这种技术的商业化的产品。第五代防火墙1998年，NAI公司推出了一种自适应代理技术，并在其产品GauntletFirewallforNT中得以实现，给代理类型的防火墙赋予了全新的意义，可以称之为第五代防火墙。。防火墙技术的发展简史防火墙技术的简单发展历史返回本节防火墙技术的发展简史2021/7/30网络安全技术98.1.2网络防火墙的目的与作用1.构建网络防火墙的主要目的限制某些访问者进入一个被严格控制的点。防止进攻者接近防御设备。限制某些访问者离开一个被严格控制的点。检查、筛

5、选、过滤和屏蔽信息流中的有害服务，防止对计算机系统进行蓄意破坏。2021/7/30网络安全技术10过滤进出网络的数据包管理进出网络的访问行为封堵某些禁止的访问行为记录通过防火墙的信息内容和活动对网络攻击进行检测和告警2.网络防火墙的作用2021/7/30网络安全技术118.1.3防火墙的局限性防火墙不能防范未通过自身的网络连接防火墙不能防范未知的威胁防火墙不能防范内部用户的恶意破坏防火墙不能防止感染病毒的软件或文件传输防火墙本身也存在安全问题2021/7/30网络安全技术12按对数据包处理方式不同包过滤式防火墙应用代理式防火墙

6、状态检测防火墙按体系结构硬件防火墙(基于PC架构,在PC架构计算机上运行一些经过裁剪和简化的操作系统)软件防火墙：Checkpoint,ISAServer芯片级防火墙(基于专门的硬件平台)8.2防火墙的基本类型按操作模式网桥模式路由模式NAT按性能百兆千兆按部署方式边界(企业)防火墙个人（主机）防火墙包过滤路由器模式往往用一台路由器来实现网络层安全基本的思想很简单工作在网络层，对数据包的源及目地IP具有识别和控制作用，对于传输层，也只能识别数据包是TCP还是UDP及所用的端口信息。往往配置成双向的该防火墙不能够隐藏内部网络的信

7、息、不具备监视和日志记录功能。优点：实现简单、费用低、对用户透明、效率高缺点：维护困难、不支持用户鉴别8.2.1包过滤型防火墙132021/7/30网络安全技术14感觉的连接实际的连接代理服务器内部网络Internet真正的服务器客户机8.2.2代理服务器型防火墙1.工作原理代理的工作方式2021/7/30网络安全技术16代理服务器有两个部件：一个代理服务器和一个代理客户。代理服务器HTTPFTPTelnet…代理客户外部网络服务器发送请求转发请求响应请求转发响应源IP为代理客户源IP为代理服务器源IP为代外部服务器源IP为代

8、外部服务器2021/7/30网络安全技术172.优缺点优点：能完全控制网络信息的交换，控制会话过程，具有灵活性和安全性。缺点：可能影响网络的性能，对用户不透明，且对每一种服务器都要设计一个代理模块，建立对应的网关层，实现起来比较复杂。2021/7/30网络安全技术188.2.