[精选]安全连入Internet防火墙.pptx
《[精选]安全连入Internet防火墙.pptx》由会员分享,可在线阅读,更多相关《[精选]安全连入Internet防火墙.pptx(65页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、安全连入Internet:防火墙防火墙的工作原理与布置背景wInternet的设计就是为资源共享为目标的w用户数量的增加,恶劣的用户也在增加w许多TCP/IP的效劳有漏洞,特别网管效劳w窃听和假冒比较容易w效劳策略的缺乏导致许多不需要的效劳开放w存取控制设置复杂导致安全漏洞w防火墙:一个经济的解决方案防火墙:一个经济的解决方案本节内容wInternet及其安全w防火墙的基本知识w防火墙的功能分类w防火墙的布置与环境Internet及其安全wInternet的基本协议wInternet的基本效劳w与安全相关的问题Internetw以TCP/IP协议为基础w初始目标是在研究人员之间进行通信原型系统
2、为ARPANET,DARPA资助w1980后迅速推广到教育、政府、商业与国际机构w目前一般用户为商业用户w成为了国家信息基础设施NIIInternet提供的基本效劳Internet主机w操作系统的特点就是并行和共享wUnix系统Sun,IBM,LinuxwWindows系统NT,XP,2000wVMS、AS400、其他系统OS/2,Macintosh网络分层的思路w书信邮件的例子应用:信的内容与将来如何投递没有关系网络:加信封,信封及地址与如何投递没有关系物理:加邮包,运邮件的车跟具体信封地址没有关系w两个人的合同谈判翻译秘书 邮件示意信件信件信件信件合同谈判英语:I like德语:I lik
3、eFax to:德语:I likeFax from:德语:I like德语:I like中文:I like英语:I like德语:I likeFax to:德语:I likeFax from:德语:I like德语:I like中文:I like合同谈判网络的视角-系统互连OSI第一层:物理层 Physical第二层:数据链路 Data Link第三层:网络层 Network第四层:传输层 Transport第五层:会话 Session第六层:表示层 Presentation第七层:应用层 Application网络中的数据传送物理层链路层网络层传输层会话层表示层应用层物理层链路层网络层TCP
4、/IP协议层次结构物理/数据链路层 Ethernet网络层 Network IP,ICMP传输层 Transport TCP,UDP应用层 Application FTP,Telnet,DNS,NFS,PINGARP:Address Resolution Protocol地址解析协议wIP数据包发送前w查找对应IP地址主机的物理地址w在网络上播送ARP请求w缓存已经找到的硬件地址w参见RFC826ICMP互连网控制报文协议Internet Control Message Protocolw用于传送错误和控制报文,控制IP协议w主机关闭/网关阻塞或不通/其他故障wPING是一个著名的应用wRFC
5、792IP Internet Protocol协议w接收物理层Ethernet发来的数据w将数据传送到高层协议,如TCP、UDPw不可靠的数据报协议不保障报文顺序,不检查错误,不保证对方收到w包含源IP地址和目的IP地址Source Address&Destination Addressw上层协议TCP、UDP认为这些地址都是正确的,不对原IP地址进行认证。wRFC760TCP协议Transmission Control ProtocolwIP数据报包含了封装的TCP报文w通过连接建立和报文序号以及检错编码保证数据完整性wTCP协议将数据送往应用层处理wTELNET,FTP,X Window,
6、SMTP等都是基于有连接的TCP协议UDP协议User Datagram Protocolw与TCP在同一个层次,直接为应用效劳w不检错,不重发,不排序w无连接的协议wNTP,DNS使用UDPTCP/UDP的地址结构w源IP地址32bitsw源端口16bitsw目的IP地址w目的端口一个连接的例子wTelnet效劳器运行在192.168.0.1上,在端口23上听是否有连接请求wTelnet客户端在192.168.20.1中申请了一个未用的端口,如3987,然后向效劳器发连接请求w当连接成功后,双方都记下自己以及对方的地址和端口。w192.168.20.1:3987 192.168.0.1:23
7、Internet上安全事件不断w效劳安全问题/协议安全问题Sendmail、Free FTP发现漏洞Telnet/FTP/X window易于窃听蠕虫病毒泛滥w主机配置错误导致的安全问题弱口令、口令破解程序、NFS协议不能认证用户w管理人员的变动和水平一些安全问题:窃听、假冒wIP假冒,同一网段内,改就行w原路径问题source route改变IP设计原路径发送请求获得回应wEmail假冒,不仅是地址,而且还从正确的效劳器来。Internet及其安全总结wInternet是以TCP/IP协议为基础的ARP,IP,TCP,UDP,ICMPwISO的七层开放系统模型与Internet的5层模型数据
8、传送方法wInternet很不安全协议本身,效劳,配置以及系统本身防火墙的基本知识w防火墙的主要目标是控制对一个受保护网络的访问,强迫所有连接都接受防火墙的检查和评估。w可以是路由器、计算机或一群计算机。w防火墙通过边界控制保护整个网络,而不需要对每个网内的主机进行单独的保护,为内网仍旧可以采用相互信任的模式提供了一定的安全基础。防火墙能够做什么w保护内网有漏洞的效劳w控制对内网系统的访问w将安全问题集中解决w增加隐私保护内网系统不可见w审计和统计网络使用和错误w强制执行统一的安全策略防火墙的缺陷?w外网获得内网的效劳不如原来方便w后门并没有完全堵住通过MODEM的外拨通过MODEM的内拨w内
9、部攻击者无法防止逃避防火墙的监管w其他问题新的攻击,数据驱动的攻击,新的病毒,通信瓶颈,依赖all eggs in single basket防火墙运行的网络层次数据链路层 Ethernet网络层 Network IP,ICMP传输层 Transport TCP,UDP应用层 Application FTP,Telnet,DNS,NFS,PINGw简单防火墙运行的层次少,而复杂防火墙运行的层次就多防火墙的功能分类w包过滤防火墙w状态检查机制防火墙w应用代理网关防火墙w专用代理防火墙w混合型防火墙w网络地址转换w基于主机的防火墙w个人防火墙个人防火墙设备包过滤防火墙w最基本的防火墙功能w包含有许
10、多过滤规则w最基本的工作模式是工作在第二,第三层w存取控制一般基于以下参数原地址:数据包从哪里来目标地址:数据包要进入哪个系统通信类型:通信协议,IP、IPX或其他协议其他信息,IP数据包头的其他信息w第二层工作可以增加冗余和完成负载均衡边界路由器包过滤Boundary Router Packet FilterISP边界路由器包过滤外部DMZ受保护的内网主防火墙demilitarized zone包过滤防火墙特点w非常快,可以安装在最外的边界上w根据策略,如阻止SNMP,允许 w可能的弱点应用相关的漏洞没有方法保护审计不够详细无法支持高级的用户认证无法防止高级攻击,如IP地址假冒w目前,很难找
11、到只有包过滤功能的防火墙路由器,SOHO防火墙,操作系统自带的防火墙包过滤防火墙的过滤规则原地址原端口目标地址目标端口操作说明AnyAny192.1.1.01024Allow答复192.1.1.0 AnyAnyAnyAllow内访外AnyAny192.1.1.2SMTPAllow邮件AnyAny192.1.1.3 AllowWebAnyAnyAnyAnyDeny拒绝过滤规则w动作:允许Accept/Allow拒绝Deny丢弃Discardw规则间的关系但凡没有定义的就禁止允许?一条禁止和一条允许禁止还是允许?一般:不要忘记最后禁止所有的通信外出通信和进入通信同等重要状态检查防火墙Statefu
12、l Inspection Firewallsw工作在2,3,4层w不是简单开放大于1023的端口而是记住每个TCP连接或UDP通信的状态192.1.1.61098210.9.8.380Established192.1.1.16 1046173.32.5.125Established192.1.1.98 1356216.1.1.5580Established应用代理网关防火墙Application-Proxy Gateway Firewallsw代理网关防火墙主要工作在应用层2,3,4,7w局部语义的检查w可以进行用户认证身份认证,基于生物特征的认证w可以进行原地址检查w缺乏慢,不适合快速网络针
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 精选 安全 Internet 防火墙
限制150内