防火墻在網(wǎng)絡(luò)中的部署

防火墻是一種網(wǎng)絡(luò)邊界訪問控制設(shè)備，能根據(jù)安全策略阻止在網(wǎng)絡(luò)之間或主機(jī)與網(wǎng)絡(luò)之間的未授權(quán)的通信。即控制進(jìn)出網(wǎng)絡(luò)的訪問行為。它是不同網(wǎng)絡(luò)安全域間之間通信的唯一通道。目前一頁\總數(shù)二十一頁\編于二十點內(nèi)網(wǎng)和外網(wǎng)之間需要防火墻企業(yè)或者機(jī)構(gòu)局域網(wǎng)HostAHostBInternet目前二頁\總數(shù)二十一頁\編于二十點內(nèi)網(wǎng)中不同安全域之間需要防火墻安全域1HostAHostB安全域2HostCHostD目前三頁\總數(shù)二十一頁\編于二十點防火墻在網(wǎng)絡(luò)中的位置與防火墻體系結(jié)構(gòu)DBInternet區(qū)域1區(qū)域5區(qū)域4區(qū)域3區(qū)域2Web服務(wù)器Mail服務(wù)器服務(wù)器人事部研發(fā)部目前四頁\總數(shù)二十一頁\編于二十點主要內(nèi)容1.雙宿/多宿主機(jī)防火墻(Dual-Homed/Multi-HomedHostFirewall)2.屏蔽主機(jī)防火墻(ScreenedHostFirewall)3.屏蔽子網(wǎng)防火墻(ScreenedSubnetFirewall)目前五頁\總數(shù)二十一頁\編于二十點基本概念

堡壘主機(jī)（BastionHost）：堡壘主機(jī)是一種配置了安全防范措施的網(wǎng)絡(luò)上的計算機(jī)，堡壘主機(jī)為網(wǎng)絡(luò)之間的通信提供了一個阻塞點，也就是說如果沒有堡壘主機(jī)，網(wǎng)絡(luò)之間將不能相互訪問?？梢耘渲贸蛇^濾型、代理型或混合型。雙宿主機(jī)（Dual-homedHost）：有兩個網(wǎng)絡(luò)接口的計算機(jī)系統(tǒng)，一個接口連接內(nèi)部網(wǎng)，一個接口連接外部網(wǎng).目前六頁\總數(shù)二十一頁\編于二十點一種擁有兩個或多個連接到不同網(wǎng)絡(luò)上的網(wǎng)絡(luò)接口的防火墻；1.雙宿/多宿主機(jī)防火墻優(yōu)點：結(jié)構(gòu)簡單缺點：隔開內(nèi)外網(wǎng)絡(luò)的唯一屏障，一旦被入侵，內(nèi)部網(wǎng)絡(luò)便完全暴露。目前七頁\總數(shù)二十一頁\編于二十點由包過濾路由器和堡壘主機(jī)組成；過濾路由器為堡壘主機(jī)建立安全屏障；堡壘主機(jī)是內(nèi)外信息的唯一通道。2.屏蔽主機(jī)防火墻目前八頁\總數(shù)二十一頁\編于二十點特點：堡壘主機(jī)成為從外部網(wǎng)絡(luò)唯一可直接到達(dá)的主機(jī)，確保了內(nèi)部網(wǎng)絡(luò)不受未被授權(quán)的外部用戶的攻擊；同時實現(xiàn)網(wǎng)絡(luò)層安全(包過濾)和應(yīng)用層安全(代理服務(wù))；安全等級比包過濾防火墻系統(tǒng)高；過濾路由器的配置是關(guān)鍵之一。2.屏蔽主機(jī)防火墻目前九頁\總數(shù)二十一頁\編于二十點3.屏蔽子網(wǎng)防火墻3.1雙包過濾路由器架構(gòu)3.2單一防火墻架構(gòu)3.3雙重防火墻架構(gòu)目前十頁\總數(shù)二十一頁\編于二十點

3.1雙包過濾路由器架構(gòu)采用了兩個包過濾路由器和一個堡壘主機(jī)，在內(nèi)外網(wǎng)絡(luò)之間建立了一個被隔離的子網(wǎng)。3.屏蔽子網(wǎng)防火墻目前十一頁\總數(shù)二十一頁\編于二十點特點：將堡壘主機(jī)，各種公用服務(wù)器放在非軍事區(qū)網(wǎng)絡(luò)中；內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問屏蔽子網(wǎng)，但禁止它們穿過屏蔽子網(wǎng)通信；外部路由器把入站的數(shù)據(jù)包路由到堡壘主機(jī)。3.1雙包過濾路由器架構(gòu)目前十二頁\總數(shù)二十一頁\編于二十點特點（續(xù)）內(nèi)部路由器保護(hù)內(nèi)部網(wǎng)絡(luò)不受外部網(wǎng)絡(luò)和周邊網(wǎng)絡(luò)的侵害；執(zhí)行大部分過濾工作。即使堡壘主機(jī)被入侵者控制，內(nèi)部網(wǎng)仍受到內(nèi)部包過濾路由器的保護(hù)。

多個堡壘主機(jī)運(yùn)行各種代理服務(wù)，可以更有效地提供服務(wù)。3.1雙包過濾路由器架構(gòu)目前十三頁\總數(shù)二十一頁\編于二十點3.屏蔽子網(wǎng)防火墻3.1雙包過濾路由器架構(gòu)3.2單一防火墻架構(gòu)（4個層次）外部路由器外部路由器與防火墻間網(wǎng)絡(luò)分段區(qū)域DMZ分段區(qū)域防火墻3.3雙重防火墻架構(gòu)目前十四頁\總數(shù)二十一頁\編于二十點3.2單一防火墻架構(gòu)目前十五頁\總數(shù)二十一頁\編于二十點3.2單一防火墻架構(gòu)目前十六頁\總數(shù)二十一頁\編于二十點3.2單一防火墻架構(gòu)增加入侵檢測/防護(hù)系統(tǒng)目前十七頁\總數(shù)二十一頁\編于二十點3.3雙重防火墻架構(gòu)雙重防火墻架構(gòu)由5個層次組成外部路由器外部路由器與外部防火墻之間網(wǎng)絡(luò)分段區(qū)域外部防火墻DMZ分段區(qū)域內(nèi)部防火墻目前十八頁\總數(shù)二十一頁\編于二十點3.3雙重防火墻架構(gòu)用來實現(xiàn)更加細(xì)化的控