防火墙工作原理课件.ppt

《防火墙工作原理课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、防火墙原理防火墙的基本知识防火墙的主要目标是控制对一个受保护网络的访问，强迫所有连接都接受防火墙的检查和评估。可以是路由器、计算机或一群计算机。防火墙通过边界控制保护整个网络，而不需要对每个网内的主机进行单独的保护，为内网仍旧可以采用相互信任的模式提供了一定的安全基础。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况， 以此来实现网络的安全保护。  在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内

2、部网和Internet之间的任何活动，保证了内部网络的安全。防火墙用来干什么？保护内网有漏洞的服务控制对内网系统的访问将安全问题集中解决增加隐私保护内网系统不可见审计和统计网络使用和错误强制执行统一的安全策略防火墙的功能分类包过滤防火墙状态检查机制防火墙应用代理网关防火墙专用代理防火墙混合型防火墙网络地址转换基于主机的防火墙个人防火墙／个人防火墙设备防火墙的工作原理防火墙的原理是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，通过监测、限制、更改跨越防火墙的数据流，尽可能地

3、对外部屏蔽网络内部的信息、结构和运行状况，有选择地接受外部访问，对内部强化设备监管、控制对服务器与外部网络的访问，在被保护网络和外部网络之间架起一道屏障，以防止发生不可预测的、潜在的破坏性侵入。防火墙的工作模式防火墙分为三种模式：路由模式、透明模式、混合模式路由模式防火墙工作在路由模式下，此时所有接口都配置IP地址，各接口所在的安全区域是三层区域，不同三层区域相关的接口连接的外部用户属于不同的子网。当报文在三层区域的接口间进行转发时，根据报文的IP地址来查找路由表，此时防火墙表现为一个路由器。但是，防火墙与路由器存在不同，防火墙中IP报文还需要送到上层进行相关过

4、滤等处理，通过检查会话表或ACL规则以确定是否允许该报文通过。此外，还要完成其它防攻击检查。路由模式的防火墙支持ACL规则检查、ASPF状态过滤、防攻击检查、流量监控等功能。防火墙的工作模式透明模式防火墙工作在透明模式（也可以称为桥模式）下，此时所有接口都不能配置IP地址，接口所在的安全区域是二层区域，和二层区域相关接口连接的外部用户同属一个子网。当报文在二层区域的接口间进行转发时，需要根据报文的MAC地址来寻找出接口，此时防火墙表现为一个透明网桥。但是，防火墙与网桥存在不同，防火墙中IP报文还需要送到上层进行相关过滤等处理，通过检查会话表或ACL规则以确定是否

5、允许该报文通过。此外，还要完成其它防攻击检查。透明模式的防火墙支持ACL规则检查、ASPF状态过滤、防攻击检查、流量监控等功能。工作在透明模式下的防火墙在数据链路层连接局域网（LAN），网络终端用户无需为连接网络而对设备进行特别配置，就像LANSwitch进行网络连接。防火墙的工作模式混合模式防火墙工作在混合透明模式下，此时部分接口配置IP地址，部分接口不能配置IP地址。配置IP地址的接口所在的安全区域是三层区域，接口上启动VRRP功能，用于双机热备份；而未配置IP地址的接口所在的安全区域是二层区域，和二层区域相关接口连接的外部用户同属一个子网。当报文在二层区域

6、的接口间进行转发时，转发过程与透明模式的工作过程完全相同。防火墙产品E200E/1000E产品规格防火墙产品E8000E产品规格PIX防火墙525大型企业用户使用提供280,000个连接提供330-Mbpscleartext吞吐量端口支持最多1010/100以太网口最多100个VLANs最多支持50个虚拟防火墙支持failoverActive/standbyActive/active支持VPNs(2,000tunnels)SitetositeRemoteaccessPIX防火墙535大型企业用户使用同时提供500,000个连接提供1.65-Gbpsclearte

7、xt吞吐量支持的端口最多14个百兆或者千兆以太网口最多支持150个VLANs最多支持50个虚拟防火墙支持failoverActive/standbyActive/active支持VPNs(2,000tunnels)SitetositeRemoteaccessCiscoASA5510可以在一个企业、中小型企业使用或者做VPN网关同时提供64,000个连接提供300-Mbps吞吐量支持的接口最多支持5个10/100FastEthernet端口最多支持10个VLANs支持failoverActive/standby支持VPNsSitetositeRemoteacces

8、sWebVPN支持AIP