防火墙技术 课件.ppt

防火墙技术 第1页，此课件共45页哦1 防火墙的定义防火墙的定义n防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。防火墙本身具有较强的抗攻击能力，它是提供信息安全服务、实现网络和信息安全的基础设施。图 1为防火墙示意图。第2页，此课件共45页哦图图 1防火墙示意图防火墙示意图 第3页，此课件共45页哦防火墙的发展简史防火墙的发展简史n第一代防火墙：采用了包过滤（Packet Filter）技术。n第二、三代防火墙：1989年，推出了电路层防火墙，和应用层防火墙的初步结构。n第四代防火墙：1992年，开发出了基于动态包过滤技术的第四代防火墙。n第五代防火墙：1998年，NAI公司推出了一种自适应代理技术，可以称之为第五代防火墙。第4页，此课件共45页哦图图 2防火墙技术的简单发展历史防火墙技术的简单发展历史 第5页，此课件共45页哦设置防火墙的目的和功能设置防火墙的目的和功能n（1）防火墙是网络安全的屏障n（2）防火墙可以强化网络安全策略n（3）对网络存取和访问进行监控审计n（4）防止内部信息的外泄第6页，此课件共45页哦防火墙的局限性防火墙的局限性n限制有用的网络服务。限制有用的网络服务。n无法防护内部网用户的攻击。无法防护内部网用户的攻击。n防火墙无法防范通过防火墙以外的其防火墙无法防范通过防火墙以外的其他途径的攻击。他途径的攻击。n防火墙也不能完全防止传送已感染病防火墙也不能完全防止传送已感染病毒的软件或文件。毒的软件或文件。n防火墙无法防范数据驱动型的攻击。防火墙无法防范数据驱动型的攻击。n不能防备新的网络安全问题。不能防备新的网络安全问题。第7页，此课件共45页哦2 防火墙技术发展动态和趋势防火墙技术发展动态和趋势n（1）优良的性能n（2）可扩展的结构和功能n（3）简化的安装与管理n（4）主动过滤n（5）防病毒与防黑客第8页，此课件共45页哦 3 防火墙的体系结构防火墙的体系结构 防火墙按体系结构可以分为包过滤防火墙、屏蔽主防火墙按体系结构可以分为包过滤防火墙、屏蔽主机防火墙、屏蔽子网防火墙、多宿主主机防火墙和通过机防火墙、屏蔽子网防火墙、多宿主主机防火墙和通过混合组合而衍生的其他结构的防火墙。混合组合而衍生的其他结构的防火墙。3.1 包过滤型防火墙包过滤型防火墙 包过滤型防火墙的核心技术就是安全策略设计即包包过滤型防火墙的核心技术就是安全策略设计即包过滤算法的设计。过滤算法的设计。第9页，此课件共45页哦图 5包过滤型防火墙 第10页，此课件共45页哦包过滤型防火墙具有以下优点。包过滤型防火墙具有以下优点。（1 1）处处理理包包的的速速度度比比代代理理服服务务器器快快，过过滤滤路路由由器器为为用用户户提提供供了了一一种种透透明明的的服服务务，用用户户不不用用改改变变客客户端程序或改变自己的行为。户端程序或改变自己的行为。（2 2）实实现现包包过过滤滤几几乎乎不不再再需需要要费费用用（或或极极少少的的费费用用），因因为为这这些些特特点点都都包包含含在在标标准准的的路路由由器器软软件件中。中。（3 3）包过滤路由器对用户和应用来讲是透明的。）包过滤路由器对用户和应用来讲是透明的。第11页，此课件共45页哦包过滤型防火墙存在以下的缺点。包过滤型防火墙存在以下的缺点。（1 1）防火墙的维护比较困难，定义数据包过滤器会比）防火墙的维护比较困难，定义数据包过滤器会比较复杂，因为网络管理员需要对各种较复杂，因为网络管理员需要对各种InternetInternet服务、服务、包头格式以及每个域的意义有非常深入的理解，才包头格式以及每个域的意义有非常深入的理解，才能将过滤规则集尽量定义得完善。能将过滤规则集尽量定义得完善。（2 2）只能阻止一种类型的）只能阻止一种类型的IPIP欺骗，即外部主机伪装欺骗，即外部主机伪装内部主机的内部主机的IPIP，对于外部主机伪装其他可信任的外部，对于外部主机伪装其他可信任的外部主机的主机的IPIP却不可阻止。却不可阻止。（3 3）任何直接经过路由器的数据包都有被用做数据）任何直接经过路由器的数据包都有被用做数据驱动攻击的潜在危险。驱动攻击的潜在危险。第12页，此课件共45页哦（4 4）一些包过滤网关不支持有效的用户认证。）一些包过滤网关不支持有效的用户认证。（5 5）不不可可能能提提供供有有用用的的日日志志，或或根根本本就就不不提提供供，这这使使用用户户发发觉觉网网络络受受攻攻击击的的难难度度加加大大，也也就就谈谈不不上上根根据据日日志志来进行网络的优化、完善以及追查责任。来进行网络的优化、完善以及追查责任。（6 6）随随着着过过滤滤器器数数目目的的增增加加，路路由由器器的的吞吞吐吐量量会会下降。下降。（7 7）IPIP包包过过滤滤器器无无法法对对网网络络上上流流动动的的信信息息提提供供全全面面的的控制。控制。（8 8）允允许许外外部部网网络络直直接接连连接接到到内内部部网网络络的的主主机机上上，易易造成敏感数据的泄漏。造成敏感数据的泄漏。第13页，此课件共45页哦包过滤路由器常见的攻击有以下几种。包过滤路由器常见的攻击有以下几种。（1）源）源IP地址欺骗式攻击。地址欺骗式攻击。（2 2）源路由攻击。）源路由攻击。（3 3）极小数据段式攻击。）极小数据段式攻击。第14页，此课件共45页哦 3.2 多宿主主机（多宿主网关）防火墙多宿主主机（多宿主网关）防火墙 多宿主主机拥有多个网络接口，每一个接口多宿主主机拥有多个网络接口，每一个接口都连在物理上和逻辑上都分离的不同的网段上。都连在物理上和逻辑上都分离的不同的网段上。每个不同的网络接口分别连接不同的子网，不同每个不同的网络接口分别连接不同的子网，不同子网之间的相互访问实施不同的访问控制策略。子网之间的相互访问实施不同的访问控制策略。第15页，此课件共45页哦图 6双宿主机防火墙第16页，此课件共45页哦 双宿主主机防火墙采用主机取代路由器执行安双宿主主机防火墙采用主机取代路由器执行安全控制功能，故类似于包过滤防火墙，双宿主主机全控制功能，故类似于包过滤防火墙，双宿主主机可以在内部网络和外部网络之间进行寻径。可以在内部网络和外部网络之间进行寻径。双宿主主机防火墙的最大特点是双宿主主机防火墙的最大特点是IPIP层的通信被阻层的通信被阻止，两个网络之间的通信可通过应用层数据共享或应止，两个网络之间的通信可通过应用层数据共享或应用层代理服务来完成，而不能直接通信。用层代理服务来完成，而不能直接通信。第17页，此课件共45页哦图 8运行代理服务器的双宿主机 使用双宿主主机作为防火墙，防火墙本身的使用双宿主主机作为防火墙，防火墙本身的安全性至关重要。安全性至关重要。第18页，此课件共45页哦 3.3 屏蔽主机型防火墙屏蔽主机型防火墙 屏蔽主机型防火墙由堡垒主机和包过滤路由器组屏蔽主机型防火墙由堡垒主机和包过滤路由器组成，所有的外部主机与一个堡垒主机相连接而不让它成，所有的外部主机与一个堡垒主机相连接而不让它们与内部主机直接相连。们与内部主机直接相连。第19页，此课件共45页哦图 10被屏蔽主机结构 第20页，此课件共45页哦图 11堡垒主机转发数据包 第21页，此课件共45页哦 3.4 屏蔽子网型防火墙屏蔽子网型防火墙图 12被屏蔽子网防火墙系统（DMZ）第22页，此课件共45页哦 3.5 堡垒主机堡垒主机 堡垒主机是一种被强化的可以防御进攻的计算机，是堡垒主机是一种被强化的可以防御进攻的计算机，是高度暴露于高度暴露于Internet中的，也是网络中最容易受到侵害中的，也是网络中最容易受到侵害的主机。的主机。构筑堡垒主机的基本原则有以下两条。构筑堡垒主机的基本原则有以下两条。（1）使堡垒主机尽可能简单）使堡垒主机尽可能简单（2）做好备份工作以防堡垒主机受损）做好备份工作以防堡垒主机受损第23页，此课件共45页哦1堡垒主机的主要结构堡垒主机的主要结构当前堡垒主机主要采用以下当前堡垒主机主要采用以下3种结构。种结构。（1）无路由双宿主主机）无路由双宿主主机（2）牺牲主机）牺牲主机（3）内部堡垒主机）内部堡垒主机第24页，此课件共45页哦 4 4 防火墙的主要技术防火墙的主要技术 4.1 数据包过滤技术 数据包过滤技术是在网络中的适当位置对数据包实施数据包过滤技术是在网络中的适当位置对数据包实施有选择的通过的技术。有选择的通过的技术。第25页，此课件共45页哦图 18包过滤模型 第26页，此课件共45页哦包过滤一般要检查下面几项：包过滤一般要检查下面几项：（1 1）IPIP源地址；源地址；（2 2）IPIP目的地址；目的地址；（3 3）协议类型（）协议类型（TCPTCP包、包、UDPUDP包和包和ICMPICMP包）；包）；（4 4）TCPTCP或或UDPUDP的源端口；的源端口；（5 5）TCPTCP或或UDPUDP的目的端口；的目的端口；（6 6）ICMPICMP消息类型；消息类型；（7 7）TCPTCP报头中的报头中的ACKACK位。位。另另外外，TCPTCP的的序序列列号号、确确认认号号，IPIP校校验验以以及及分分段段偏偏移移也也往往是要检查的选项。往往是要检查的选项。第27页，此课件共45页哦包过滤技术的优点包过滤技术的优点 帮助保护整个网络，减少暴露的风险；帮助保护整个网络，减少暴露的风险；对用户完全透明，不需要对客户端做任何改动，也不对用户完全透明，不需要对客户端做任何改动，也不需要对用户做任何培训；需要对用户做任何培训；很多路由器可以作数据包过滤，因此不需要专很多路由器可以作数据包过滤，因此不需要专门添加设备。门添加设备。第28页，此课件共45页哦 包过滤最明显的缺陷是即使是最基本的网络服务包过滤最明显的缺陷是即使是最基本的网络服务和协议，它也不能提供足够的安全保护，包过滤是不和协议，它也不能提供足够的安全保护，包过滤是不够安全的。够安全的。包过滤规则难于配置。一旦配置，数据包过滤规则包过滤规则难于配置。一旦配置，数据包过滤规则也难于检验。也难于检验。包过滤仅可以访问包头信息中的有限信息。包过滤仅可以访问包头信息中的有限信息。包过滤是无状态的，因为包过滤不能保持与传输相关包过滤是无状态的，因为包过滤不能保持与传输相关的状态信息或与应用相关的状态信息。的状态信息或与应用相关的状态信息。包过滤对信息的处理能力非常有限。包过滤对信息的处理能力非常有限。一些协议不适合用数据包过滤，如基于一些协议不适合用数据包过滤，如基于RPC的应用的应用的的“r”命令等。命令等。第29页，此课件共45页哦 4.2 代理技术代理技术 代理技术也称为应用层网关技术，代理技术与包代理技术也称为应用层网关技术，代理技术与包过滤技术完全不同，包过滤技术是在网络层拦截所有过滤技术完全不同，包过滤技术是在网络层拦截所有的信息流，代理技术是针对每一个特定应用都有的一的信息流，代理技术是针对每一个特定应用都有的一个程序。个程序。第30页，此课件共45页哦1 1应用级代理应用级代理 应用级代理有两种情况，一种是内部网通过代理访应用级代理有两种情况，一种是内部网通过代理访问外部网。另一种情况是，外部网通过代理访问内部网。问外部网。另一种情况是，外部网通过代理访问内部网。代理使得网络管理员能够实现比包过滤路由器代理使得网络管理员能够实现比包过滤路由器更严格的安全策略，它会对应用程序的数据进行校更严格的安全策略，它会对应用程序的数据进行校验以确保数据格式可以接受。验以确保数据格式可以接受。第31页，此课件共45页哦 提供代理应用层网关主要有以下优点。提供代理应用层网关主要有以下优点。（1 1）应应用用层层网网关关有有能能力力支支持持可可靠靠的的用用户户认认证证并并提提供供详细的注册信息。详细的注册信息。（2 2）应应用用层层的的过过滤滤规规则则相相对对于于包包过过滤滤路路由由器器来来说说更容易配置和测试。更容易配置和测试。（3 3）代代理理工工作作在在客客户户机机和和真真实实服服务务器器之之间间，完完全全控控制会话，所以可以提供很详细的日志和安全审计功能。制会话，所以可以提供很详细的日志和安全审计功能。（4 4）提提供供代代理理服服务务的的防防火火墙墙可可以以被被配配置置成成惟惟一一的的可可被被外外部部看看见见的的主主机机，这这样样可可以以隐隐藏藏内内部部网网的的IPIP地地址，可以保护内部主机免受外部网的进攻。址，可以保护内部主机免受外部网的进攻。（5 5）通通过过代代理理访访问问InternetInternet，可可以以解解决决合合法法的的IPIP地地址不够用的问题。址不够用的问题。第32页，此课件共45页哦 然而，应用层代理也有明显的缺点，主要包括以然而，应用层代理也有明显的缺点，主要包括以下几点。下几点。（1 1）有限的连接性。）有限的连接性。（2 2）有限的技术。应用层网关不能为）有限的技术。应用层网关不能为RPCRPC、TalkTalk和其他一和其他一些基于通用协议簇的服务提供代理。些基于通用协议簇的服务提供代理。（3 3）性能。应用层实现的防火墙会造成明显的性能下）性能。应用层实现的防火墙会造成明显的性能下降。降。第33页，此课件共45页哦（4 4）每个应用程序都必须有一个代理服务程序来进行）每个应用程序都必须有一个代理服务程序来进行安全控制，每一种应用程序升级时，一般代理服务程序安全控制，每一种应用程序升级时，一般代理服务程序也要升级。也要升级。（5 5）应用层网关要求用户改变自己的行为，或者在）应用层网关要求用户改变自己的行为，或者在访问代理服务的每个系统上安装特殊的软件。（访问代理服务的每个系统上安装特殊的软件。（6 6）对用户不透明。在一个要求用户接口和用户体系结构友好对用户不透明。在一个要求用户接口和用户体系结构友好易操作的今天，这种易操作的今天，这种“不友好不友好”性显得不合时宜。性显得不合时宜。第34页，此课件共45页哦2电路级网关代理技术电路级网关代理技术 应用层代理为一种特定的服务（如应用层代理为一种特定的服务（如FTP和和Telnet等）等）提供代理服务。提供代理服务。这种代理的优点是它可以对各种不同的协议提供服务，这种代理的优点是它可以对各种不同的协议提供服务，但这种代理需要改进客户程序。但这种代理需要改进客户程序。Socks是一种非常强大的电路级网关防火墙，它只中是一种非常强大的电路级网关防火墙，它只中继基于继基于TCP的数据包的数据包第35页，此课件共45页哦图 28电路级网关 第36页，此课件共45页哦图 29Socks服务器 第37页，此课件共45页哦 4.3 状态检查技术状态检查技术 状态检查技术能在网络层实现所有需要的防火状态检查技术能在网络层实现所有需要的防火墙能力，它既有包过滤机制的速度和灵活，也有应墙能力，它既有包过滤机制的速度和灵活，也有应用级网关安全的优点，它是包过滤器和应用级网关用级网关安全的优点，它是包过滤器和应用级网关功能的折衷。功能的折衷。第38页，此课件共45页哦表 3防火墙技术比较表防火墙的能力包 过 滤 器代 理状 态 检 查传输的信息部分部分能传输状态不能部分能应用的状态不能能能信息处理部分能能第39页，此课件共45页哦状态检查防火墙有如下的优点。状态检查防火墙有如下的优点。1高安全性高安全性2高效性高效性3伸缩性和易扩展性伸缩性和易扩展性4针对性针对性5应用范围广应用范围广第40页，此课件共45页哦 4.4 地址翻译技术地址翻译技术 地址翻译（地址翻译（Network Address Translation，NAT）就是将一个就是将一个IP地址用另一个地址用另一个IP地址代替。地址代替。地址翻译地址翻译主要用在以下两个方面。主要用在以下两个方面。（1）网络管理员希望隐藏内部网络的）网络管理员希望隐藏内部网络的IP地址。地址。（2）内部网络的）内部网络的IP地址是无效的地址是无效的IP地址。地址。第41页，此课件共45页哦 应用层网关有如下的缺陷。应用层网关有如下的缺陷。（1）要为每一种应用定制代理）要为每一种应用定制代理（2）代理是不透明的）代理是不透明的（3）应用层网关不能为基于）应用层网关不能为基于TCP以外的应用提供很好的以外的应用提供很好的提供代理。提供代理。地址翻译可以提供一种透明而完善的解决方案。网络地址翻译可以提供一种透明而完善的解决方案。网络管理员可以决定那些内部的管理员可以决定那些内部的IP地址需要隐藏，哪些地址需地址需要隐藏，哪些地址需要映射成为一个对要映射成为一个对Internet可见的可见的IP地址。地址。第42页，此课件共45页哦图 31地址翻译 第43页，此课件共45页哦图 32将内部地址翻译成网关地址 第44页，此课件共45页哦地址翻译可以有多种模式，主要有如下几种。地址翻译可以有多种模式，主要有如下几种。（1 1）静态翻译）静态翻译（2）动态翻译）动态翻译（3）端口转换）端口转换（4）负载平衡翻译）负载平衡翻译（5）网络冗余翻译）网络冗余翻译第45页，此课件共45页哦