防火墻的網(wǎng)絡(luò)配置防火墻配置KC09141431o01

防火墻配置*CONTENTSPAGE目錄頁1防火墻基本知識(shí)服務(wù)器防火墻設(shè)置2目錄*TRANSITIONPAGE過渡頁1防火墻基本知識(shí)防火墻4防火墻基本知識(shí)內(nèi)部可信任網(wǎng)絡(luò)外部非信任網(wǎng)絡(luò)Internet防火墻防火墻是設(shè)置在可信任的企業(yè)內(nèi)部網(wǎng)和不可信任的外部網(wǎng)或網(wǎng)絡(luò)安全域之間的一系列部件的組合。防火墻5防火墻基本知識(shí)防火墻實(shí)際上是一種訪問控制技術(shù)，只有符合安全策略的數(shù)據(jù)流才能通過防火墻；內(nèi)部和外部之間的所有網(wǎng)絡(luò)數(shù)據(jù)流必須經(jīng)過防火墻；從邏輯上講，防火墻既是一個(gè)分離器、限制器也是一個(gè)分析器；防火墻選擇三要素：安全、管理和速度。防火墻6防火墻基本知識(shí)防火墻根據(jù)工作原理可分為包過濾應(yīng)用級網(wǎng)關(guān)應(yīng)用層代理防火墻包過濾防火墻7防火墻基本知識(shí)數(shù)據(jù)包過濾(PacketFiltering)技術(shù)是在網(wǎng)絡(luò)層對數(shù)據(jù)包進(jìn)行選擇，選擇的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾邏輯，被稱為訪問控制表(AccessControlTable)。通過檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包的源地址、目的地址、所用的端口號(hào)、協(xié)議狀態(tài)等因素，或它們的組合來確定是否允許該數(shù)據(jù)包通過。包過濾防火墻8防火墻基本知識(shí)優(yōu)點(diǎn)：處理速度快。設(shè)備成本較低。對用戶來說是透明的，用戶的應(yīng)用層不受影響。缺點(diǎn)：無法阻止IP欺騙。實(shí)施的是靜態(tài)的、固定的控制，不能跟蹤TCP狀態(tài)。不支持應(yīng)用層協(xié)議，無法發(fā)現(xiàn)基于應(yīng)用層的攻擊。應(yīng)用層代理防火墻9防火墻基本知識(shí)Internet客戶通過應(yīng)用層代理訪問內(nèi)部網(wǎng)絡(luò)主機(jī)FTP代理服務(wù)WWW代理服務(wù)答復(fù)Email代理服務(wù)其它代理服務(wù)審計(jì)、監(jiān)控、報(bào)警、安全策略等答復(fù)Internet請求請求內(nèi)部網(wǎng)絡(luò)應(yīng)用層代理應(yīng)用層代理防火墻10防火墻基本知識(shí)代理防火墻工作示意圖。應(yīng)用層TCP層IP層數(shù)據(jù)鏈路層物理層54321輸入數(shù)據(jù)流輸出數(shù)據(jù)流應(yīng)用層代理防火墻11防火墻基本知識(shí)優(yōu)點(diǎn)：不允許內(nèi)外網(wǎng)主機(jī)的直接連接；可檢查應(yīng)用層、傳輸層、網(wǎng)絡(luò)層的協(xié)議特征。缺點(diǎn)：代理速度比包過濾慢；針對不同的應(yīng)用，需建立不同的服務(wù)代理。應(yīng)用級網(wǎng)關(guān)12防火墻基本知識(shí)應(yīng)用級網(wǎng)關(guān)(ApplicationLevelGateways)是在網(wǎng)絡(luò)應(yīng)用層上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能。它針對特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議使用指定的數(shù)據(jù)過濾邏輯，并在過濾的同時(shí)，對數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計(jì)，形成報(bào)告。實(shí)際中的應(yīng)用網(wǎng)關(guān)通常安裝在專用工作站系統(tǒng)上。應(yīng)用級網(wǎng)關(guān)13防火墻基本知識(shí)數(shù)據(jù)包過濾和應(yīng)用網(wǎng)關(guān)防火墻有一個(gè)共同的特點(diǎn)，就是它們僅僅依靠特定的邏輯判定是否允許數(shù)據(jù)包通過。一旦滿足邏輯，則防火墻內(nèi)外的計(jì)算機(jī)系統(tǒng)建立直接聯(lián)系，防火墻外部的用戶便有可能直接了解防火墻內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)和運(yùn)行狀態(tài)，這有利于實(shí)施非法訪問和攻擊。*TRANSITIONPAGE過渡頁2服務(wù)器的防火墻設(shè)置服務(wù)器防火墻15服務(wù)器防火墻設(shè)置服務(wù)器自帶的防火墻，不僅有助于防止黑客或惡意軟件（如蠕蟲）通過網(wǎng)絡(luò)訪問計(jì)算機(jī)，幫助阻止計(jì)算機(jī)向其他計(jì)算機(jī)發(fā)送惡意軟件，同時(shí)靈活的設(shè)置也能保證在安全的同時(shí)順暢使用網(wǎng)絡(luò)和程序及應(yīng)用。服務(wù)器防火墻16服務(wù)器防火墻設(shè)置服務(wù)器自帶的防火墻屬于應(yīng)用層網(wǎng)關(guān)防火墻。它具備以下優(yōu)勢：可以根據(jù)不同使用環(huán)境自定義安全規(guī)則。支持詳細(xì)的軟件個(gè)性化設(shè)置，用戶可以單獨(dú)允許某個(gè)程序通過防火墻進(jìn)行通訊。支持還原默認(rèn)設(shè)置。服務(wù)器防火墻設(shè)置案例17服務(wù)器防火墻設(shè)置