计算机网络安全ppt课件防火墙技术.ppt
《计算机网络安全ppt课件防火墙技术.ppt》由会员分享,可在线阅读,更多相关《计算机网络安全ppt课件防火墙技术.ppt(36页珍藏版)》请在三一办公上搜索。
1、第三篇 网络安全技术,第3章防火墙技术,本章学习目标,防火墙的定义、发展简史、目的、功能、局限性包过滤防火墙和代理防火墙的实现原理、技术特点以及实现方式防火墙的常见体系结构分布式防火墙的体系结构、特点,3.1防火墙技术概述,防火墙(Firewall)是一种将内部网和公众网如Internet分开的方法。它能限制被保护的网络与Internet网络之间,或者与其他网络之间进行的信息存取、传递操作,可以作为不同网络或网络安全域之间信息的出入口,能根据企业的安全策略控制出入网络的信息流,且本身具有较强的抗攻击能力。在逻辑上,防火墙是一个分离器,一个限制器,也是一个分析器,有效地监控了内部网和Intern
2、et之间的任何活动,保证了内部网络的安全。防火墙是提供信息安全服务,实现网络和信息安全的基础设施。,3.1.1防火墙的定义,辞海上说“防火墙:用非燃烧材料砌筑的墙。设在建筑物的两端或在建筑物内将建筑物分割成区段,以防止火灾蔓延。” 简单的说,防火墙是位于内部网络与外部网络之间、或两个信任程度不同的网络之间(如企业内部网络和Internet之间)的软件或硬件设备的组合,它对两个网络之间的通信进行控制,通过强制实施统一的安全策略,限制外界用户对内部网络的访问及管理内部用户访问外部网络的权限的系统,防止对重要信息资源的非法存取和访问,以达到保护系统安全的目的。,3.1.2防火墙的发展简史,第一代防火
3、墙:几乎与路由器同时出现,采用了包过滤(Packet Filter)技术。第二、三代防火墙:1989年,贝尔实验室的Dave.Presotto和Howard.Trickey推出了第二代防火墙,即电路层防火墙,同时提出了第三代防火墙应用层防火墙(代理防火墙)的初步结构。第四代防火墙:1992年,USC信息科学院的Bob.Braden开发出了基于动态包过滤(Dynamic Packet Filter)技术的第四代防火墙,后来演变为目前所说的状态监视(State Fulinspection)技术。1994年,以色列的Check.Point公司开发出了第一个基于这种技术的商业化的产品。第五代防火墙:1
4、998年,NAI公司推出了一种自适应代理(Adaptive Proxy)技术,并在其产品Gauntlet Fire wall for NT中得以实现。,3.1.3设置防火墙的目的和功能,通常应用防火墙的目的有以下几个方面:限制他人进入内部网络;过滤掉不安全的服务和非法用户;防止入侵者接近用户的防御设施;限定人们访问特殊站点;为监视局域网安全提供方便。无论何种类型防火墙,从总体上看,都应具有以下五大基本功能:过滤进、出网络的数据;管理进、出网络的访问行为;封堵某些禁止的业务;记录通过防火墙的信息内容和活动;对网络攻击的检测和告警。防火墙的主要功能就是控制对受保护网络的非法访问,它通过监视、限制、
5、更改通过网络的数据流,一方面尽可能屏蔽内部网的拓扑结构,另一方面对内屏蔽外部危险站点,用以防范外对内、内对外的非法访问。,3.1.4防火墙的局限性,防火墙防外不防内 网络应用受到结构性限制 传统防火墙不能在有在两个内部网络之间通信需求的VPN网络中使用,否则VPN通信将被中断。虽然目前有一种SSL VPN技术可以绕过企业边界的防火墙进入内部网络VPN通信,但是应用更广泛的传统IPSec VPN通信中还是不能使用,除非是专门的VPN防火墙。 防火墙难于管理和配置,易造成安全漏洞 效率较低、故障率高 很难为用户在防火墙内外提供一致的安全策略 防火墙只实现了粗粒度的访问控制,3.1.5防火墙技术发展
6、动态和趋势,优良的性能 可扩展的结构和功能 简化的安装与管理 主动过滤 防病毒与防黑客,未来防火墙技术会全面考虑网络的安全、操作系统的安全、应用程序的安全、用户的安全、数据的安全等五个方面。此外,防火墙产品还将把网络前沿技术,如Web页面超高速缓存、虚拟网络和带宽管理等与其自身结合起来。,3.2防火墙技术3.2.1防火墙的技术分类,包过滤防火墙:数据包过滤(Packet Filtering)技术是防火墙为系统提供安全保障的主要技术,它通过设备对进出网络的数据流进行有选择地控制与操作。包过滤操作一般都是在选择路由的同时在网络层对数据包进行选择或过滤(通常是对从Internet进入到内部网络的包进
7、行过滤)。选择的依据是系统内设置的过滤逻辑,被称为访问控制表(Access Control Table)或规则表。规则表指定允许哪些类型的数据包可以流入或流出内部网络,例如:只接收来自某些指定的IP地址的数据包或者内部网络的数据包可以流向某些指定的端口等;哪些类型的数据包的传输应该被拦截。防火墙的IP包过滤规则以IP包信息为基础,对IP包源地址、目标地址、传输方向、分包、IP包封装协议(TCP/UDP/ICMP/IP Tunnel)、TCP/UDP目标端口号等进行筛选、过滤。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素,或它们的组合来确定是否允许该数据包通过。,包
8、过滤处理图,包过滤操作可以在路由器上进行,也可以在网桥,甚至在一个单独的主机上进行。数据包过滤是一个网络安全保护机制,它用来控制流出和流入网络的数据。不符合网络安全的那些服务将被严格限制。基于包中的协议类型和协议字段值,过滤路由器能够区分网络流量;基于协议特定的标准,路由器在其端口能够区分包和限制包的能力叫包过滤(Packet Filtering)。正是因为这种原因,过滤路由器也可以称作包过滤路由器(Packet Filter Router)。,静态包过滤,一般防火墙的包过滤的过滤规则是在启动时配置好的,只有系统管理员才可以修改,是静态存在的,称为静态规则。利用静态包过滤规则建立的防火墙就叫静
9、态包过滤防火墙,见图。,动态包过滤,采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪,并且根据需要可动态地在过滤规则中增加或更新条目。即采用了基于连接状态的检查和动态设置包过滤规则的方法,将属于同一连接的所有包作为一个整体的数据流看待,通过规则表与连接状态表的共同配合进行检查。,动态过滤规则技术避免了静态包过滤的问题,使防火墙弥补了许多不安全的隐患,在最大程度上降低了黑客攻击的成功率,从而大大提高了系统的性能和安全性。,包过滤防火墙的优点,不用改动应用程序。包过滤不用改动客户机和主机上的应用程序,因为它工作在网络层和传输层,与应用层无关。 一个过滤路由器能协助保护整个网络。 数据包过滤对
10、用户透明。数据包过滤是在IP层实现的,Internet根本感觉不到它的存在;包过滤不要求任何自定义软件或者客户机配置;它也不要求用户任何特殊的训练或者操作,使用起来很方便。 过滤路由器速度快、效率高。较Proxy而言,过滤路由器只检查报头相应的字段,一般不查看数据包的内容,而且某些核心部分是由专用硬件实现的,故其转发速度快、效率较高。,包过滤的缺点,不能彻底防止地址欺骗。 一些应用协议不适合于数据包过滤。如RPC、FTP。正常的数据包过滤路由器无法执行某些安全策略。如数据包的报头信息只能说明数据包来自什么主机,而不知是什么用户;只知数据包发送到什么端口,而不知是发到什么应用程序。 安全性较差。
11、过滤判别的只有网络层和传输层的有限信息;过滤规则的数目是有限制的;由于缺少上下文关联信息,不能有效地过滤如UDP、RPC一类的协议;非法访问一旦突破防火墙,即可对主机上的软件和配置漏洞进行攻击;大多数过滤器中缺少审计和报警机制,通常它没有用户的使用记录,这样,管理员就不能从访问记录中发现黑客的攻击记录。数据包工具存在很多局限性。如数据包过滤规则难以配置,管理方式和用户界面较差;对安全管理人员素质要求高;建立安全规则时,必须对协议本身及其在不同应用程序中的作用有较深入的理解。,代理防火墙,代理防火墙的原理:所谓代理服务器,是指代表客户处理在服务器连接请求的程序。当代理服务器得到一个客户的连接意图
12、时,它将核实客户请求,并用特定的安全化的Proxy应用程序来处理连接请求,将处理后的请求传递到真实的服务器上,然后接受服务器应答,并做进一步处理后,将答复交给发出请求的最终客户。代理服务器在外部网络向内部网络申请服务时发挥了中间转接和隔离内、外部网络的作用,所以有叫代理防火墙。代理防火墙工作于应用层,且针对特定的应用层协议。代理防火墙通过编程来弄清用户应用层的流量,并能在用户层和应用协议层间提供访问控制;而且,还可用来保持一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。代理防火墙的工作原理如图所示。,代理服务器(Proxy Server)作为内部网络客户端的
13、服务器,拦截住所有要求,也向客户端转发响应。代理客户(Proxy Client)负责代表内部客户端向外部服务器发出请求,当然也向代理服务器转发响应。,代理防火墙(Proxy)分为应用层网关和电路层网关。,应用层网关型防火墙,应用层网关(Application Level Gateways)防火墙是传统代理型防火墙,它的核心技术就是代理服务器技术,它是基于软件的,通常安装在专用工作站系统上。这种防火墙通过代理技术参与到一个TCP连接的全过程,并在网络应用层上建立协议过滤和转发功能,所以叫做应用层网关。当某用户(不管是远程的还是本地的)想和一个运行代理的网络建立联系时,此代理(应用层网关)会阻塞这
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算机网络安全ppt课件 防火墙技术 计算机 网络安全 ppt 课件 防火墙 技术
链接地址:https://www.31ppt.com/p-1548337.html