054第九章　防火墙技术.ppt

1、第九章防火墙技术第九章防火墙技术第九章防火墙技术第九章防火墙技术9.1防火墙技术概述防火墙技术概述9.2防火墙技术防火墙技术9.3防火墙设计实例防火墙设计实例第九章防火墙技术第九章防火墙技术本章学习目标本章学习目标（1）了解防火墙的定义、发展简史、目的、功）了解防火墙的定义、发展简史、目的、功能、局限性及其发展动态和趋势。能、局限性及其发展动态和趋势。（2）掌握包过滤防火墙和和代理防火墙的实现）掌握包过滤防火墙和和代理防火墙的实现原理、技术特点和实现方式；熟悉防火墙的常见原理、技术特点和实现方式；熟悉防火墙的常见体系结构。体系结构。（3）熟悉防火墙的产品选购和设计策略。）熟悉防火墙的产品选购和

2、设计策略。返回本章首页第九章防火墙技术第九章防火墙技术9.1防火墙技术概述防火墙技术概述9.1.1防火墙的定义防火墙的定义9.1.2防火墙的发展简史防火墙的发展简史9.1.3设置防火墙的目的和功能设置防火墙的目的和功能9.1.4防火墙的局限性防火墙的局限性9.1.5防火墙技术发展动态和趋势防火墙技术发展动态和趋势返回本章首页第九章防火墙技术第九章防火墙技术9.1.1防火墙的定义防火墙的定义 防火墙是设置在被保护网络和外部网络之防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。防火墙本身生不可预

3、测的、潜在破坏性的侵入。防火墙本身具有较强的抗攻击能力，它是提供信息安全服务、具有较强的抗攻击能力，它是提供信息安全服务、实现网络和信息安全的基础设施。图实现网络和信息安全的基础设施。图9.1为防火为防火墙示意图。墙示意图。第九章防火墙技术第九章防火墙技术图图9.1防火墙示意图防火墙示意图 返回本节第九章防火墙技术第九章防火墙技术9.1.2防火墙的发展简史防火墙的发展简史第一代防火墙：采用了包过滤（第一代防火墙：采用了包过滤（Packet Filter）技术。技术。第二、三代防火墙：第二、三代防火墙：1989年，推出了电路层防年，推出了电路层防火墙，和应用层防火墙的初步结构。火墙，和应用层防火

4、墙的初步结构。第四代防火墙：第四代防火墙：1992年，开发出了基于动态包年，开发出了基于动态包过滤技术的第四代防火墙。过滤技术的第四代防火墙。第五代防火墙：第五代防火墙：1998年，年，NAI公司推出了一种公司推出了一种自适应代理技术，可以称之为第五代防火墙。自适应代理技术，可以称之为第五代防火墙。第九章防火墙技术第九章防火墙技术图图9.2防火墙技术的简单发展历史防火墙技术的简单发展历史 返回本节第九章防火墙技术第九章防火墙技术9.1.3设置防火墙的目的和功能设置防火墙的目的和功能（1）防火墙是网络安全的屏障）防火墙是网络安全的屏障（2）防火墙可以强化网络安全策略）防火墙可以强化网络安全策略（

5、3）对网络存取和访问进行监控审计）对网络存取和访问进行监控审计（4）防止内部信息的外泄）防止内部信息的外泄返回本节第九章防火墙技术第九章防火墙技术9.1.4防火墙的局限性防火墙的局限性（1）防火墙防外不防内。）防火墙防外不防内。（2）防火墙难于管理和配置，易造成安全漏洞。）防火墙难于管理和配置，易造成安全漏洞。（3）很难为用户在防火墙内外提供一致的安全）很难为用户在防火墙内外提供一致的安全策略。策略。（4）防火墙只实现了粗粒度的访问控制。）防火墙只实现了粗粒度的访问控制。返回本节第九章防火墙技术第九章防火墙技术9.1.5防火墙技术发展动态和趋势防火墙技术发展动态和趋势（1）优良的性能）优良的性

6、能（2）可扩展的结构和功能）可扩展的结构和功能（3）简化的安装与管理）简化的安装与管理（4）主动过滤）主动过滤（5）防病毒与防黑客）防病毒与防黑客返回本节第九章防火墙技术第九章防火墙技术9.2防火墙技术防火墙技术9.2.1防火墙的技术分类防火墙的技术分类9.2.2防火墙的主要技术及实现方式防火墙的主要技术及实现方式9.2.3防火墙的常见体系结构防火墙的常见体系结构返回本章首页第九章防火墙技术第九章防火墙技术9.2.1防火墙的技术分类防火墙的技术分类1包过滤防火墙包过滤防火墙2代理防火墙代理防火墙3两种防火墙技术的对比两种防火墙技术的对比第九章防火墙技术第九章防火墙技术1包过滤防火墙包过滤防火墙

7、（1）数据包过滤技术的发展：静态包过滤、动）数据包过滤技术的发展：静态包过滤、动态包过滤。态包过滤。（2）包过滤的优点：不用改动应用程序、一个）包过滤的优点：不用改动应用程序、一个过滤路由器能协助保护整个网络、数据包过滤对过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高。用户透明、过滤路由器速度快、效率高。第九章防火墙技术第九章防火墙技术（3）包过滤的缺点：不能彻底防止地址欺骗；）包过滤的缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；一些应用协一些应用协议不适合于数据包过滤；一些应用协议不适合于数据包过滤；正常的数据包过滤路由议不适合于数据包过滤；正常

8、的数据包过滤路由器无法执行某些安全策略；安全性较差器无法执行某些安全策略；安全性较差；数据数据包工具存在很多局限性。包工具存在很多局限性。第九章防火墙技术第九章防火墙技术图9.3包过滤处理第九章防火墙技术第九章防火墙技术图9.4静态包过滤防火墙第九章防火墙技术第九章防火墙技术图9.5动态包过滤防火墙第九章防火墙技术第九章防火墙技术（1）代理防火墙的原理：）代理防火墙的原理：代理防火墙通过编程来弄清用户应用层的流代理防火墙通过编程来弄清用户应用层的流量，并能在用户层和应用协议层间提供访问控制；量，并能在用户层和应用协议层间提供访问控制；而且，还可用来保持一个所有应用程序使用的记而且，还可用来保持

9、一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。代理防火墙的工作原理如图关的主要优点之一。代理防火墙的工作原理如图9.6所示。所示。2代理防火墙代理防火墙第九章防火墙技术第九章防火墙技术（2）应用层网关型防火墙：）应用层网关型防火墙：主要保存主要保存Internet上那些最常用和最近访问上那些最常用和最近访问过的内容：在过的内容：在Web上，代理首先试图在本地寻上，代理首先试图在本地寻找数据，如果没有，再到远程服务器上去查找。找数据，如果没有，再到远程服务器上去查找。为用户提供了更快的访问速度，并且提高了网络为用户提

10、供了更快的访问速度，并且提高了网络安全性。应用层网关的工作原理如图安全性。应用层网关的工作原理如图9.7所示。所示。应用层网关防火墙最突出的优点就是安全，缺点应用层网关防火墙最突出的优点就是安全，缺点就是速度相对比较慢。就是速度相对比较慢。第九章防火墙技术第九章防火墙技术（3）电路层网关防火墙）电路层网关防火墙在电路层网关中，包被提交用户应用层处理。电在电路层网关中，包被提交用户应用层处理。电路层网关用来在两个通信的终点之间转换包，如路层网关用来在两个通信的终点之间转换包，如图图9.8所示。电路层网关防火墙的工作原理如图所示。电路层网关防火墙的工作原理如图9.9所示电路层网关防火墙的特点是将所

11、有跨越所示电路层网关防火墙的特点是将所有跨越防火墙的网络通信链路分为两段。防火墙的网络通信链路分为两段。第九章防火墙技术第九章防火墙技术（4）代理技术的优点代理技术的优点1）代理易于配置。代理易于配置。2）代理能生成各项记录。代理能生成各项记录。3）代理能灵活、完全地控制进出流量、内容。）代理能灵活、完全地控制进出流量、内容。4）代理能过滤数据内容。代理能过滤数据内容。5）代理能为用户提）代理能为用户提供透明的加密机制。供透明的加密机制。6）代理可以方便地与其他）代理可以方便地与其他安全手段集成。安全手段集成。第九章防火墙技术第九章防火墙技术（5）代理技术的缺点）代理技术的缺点1）代理速度较路

12、由器慢。）代理速度较路由器慢。2）代理对用户不透代理对用户不透明。明。3）对于每项服务代理可能要求不同的服务）对于每项服务代理可能要求不同的服务器。器。4）代理服务不能保证免受所有协议弱点的）代理服务不能保证免受所有协议弱点的限制。限制。5）代理不能改进底层协议的安全性。）代理不能改进底层协议的安全性。第九章防火墙技术第九章防火墙技术直实服务器外部 响应转发请求Internet代理客户应用层代理服务代理服务器应用协议分析请求转发响应Intranet真实的客户端图9.6代理的工作方式第九章防火墙技术第九章防火墙技术图9.7应用层网关防火墙第九章防火墙技术第九章防火墙技术图9.8电路层网关第九章防

13、火墙技术第九章防火墙技术图9.9电路层网关防火墙第九章防火墙技术第九章防火墙技术表表9.1两种防火墙技术两种防火墙技术 3两种防火墙技术的对比两种防火墙技术的对比返回本节第九章防火墙技术第九章防火墙技术9.2.2防火墙的主要技术及防火墙的主要技术及实现方式实现方式1双端口或三端口的结构双端口或三端口的结构2透明的访问方式透明的访问方式3灵活的代理系统灵活的代理系统4多级的过滤技术多级的过滤技术5网络地址转换技术（网络地址转换技术（NAT）6网络状态监视器网络状态监视器第九章防火墙技术第九章防火墙技术7Internet网关技术网关技术8安全服务器网络（安全服务器网络（SSN）9用户鉴别与加密用户

14、鉴别与加密10用户定制服务用户定制服务11审计和告警审计和告警12应用网关代理应用网关代理第九章防火墙技术第九章防火墙技术13回路级代理服务器回路级代理服务器14代管服务器代管服务器15IP通道（通道（IP Tunnels）16隔离域名服务器（隔离域名服务器（Split Domain Name Sever）17邮件转发技术（邮件转发技术（Mail Forwarding）返回本节第九章防火墙技术第九章防火墙技术9.2.3防火墙的常见体系结构防火墙的常见体系结构 1屏蔽路由器屏蔽路由器(如图9.10所示)2双穴主机网关双穴主机网关(如图9.11所示)3屏蔽主机网关屏蔽主机网关(如图9.12所示)4

15、被屏蔽子网被屏蔽子网(如图9.13所示)第九章防火墙技术第九章防火墙技术图9.10屏蔽路由器示意图第九章防火墙技术第九章防火墙技术图9.11双穴主机网关示意图第九章防火墙技术第九章防火墙技术图9.12屏蔽主机网关示意图第九章防火墙技术第九章防火墙技术图图9.13被屏蔽子网防火墙示意图被屏蔽子网防火墙示意图返回本节第九章防火墙技术第九章防火墙技术9.3防火墙设计实例防火墙设计实例9.3.1防火墙产品选购策略防火墙产品选购策略9.3.2典型防火墙产品介绍典型防火墙产品介绍9.3.3防火墙设计策略防火墙设计策略9.3.4Windows 2000环境下防火墙及环境下防火墙及NAT的实现的实现返回本章首

16、页第九章防火墙技术第九章防火墙技术9.3.1防火墙产品选购策略防火墙产品选购策略1防火墙的安全性防火墙的安全性2防火墙的高效性防火墙的高效性3防火墙的适用性防火墙的适用性4防火墙的可管理性防火墙的可管理性5完善及时的售后服务体系完善及时的售后服务体系返回本节第九章防火墙技术第九章防火墙技术9.3.2典型防火墙产品介绍典型防火墙产品介绍13Com Office Connect Firewall 新增的网络管理模块使技术经验有限的用新增的网络管理模块使技术经验有限的用户也能保障他们的商业信息的安全。户也能保障他们的商业信息的安全。Office Connect Internet Firewall 25使使用全静态数据包检验技术来防止非法的网络接入用全静态数据包检验技术来防止非法的网络接入和防止来自和防止来自Internet的的“拒绝服务拒绝服务”攻击，它还攻击，它还可以限制局域网用户对可以限制局域网用户对Internet的不恰当使用。的不恰当使用。第九章防火墙技术第九章防火墙技术 Office Connect Internet Firewall DMZ可支持多达可支持多达100个局域网用户，