整理版]防火墙技巧应用培训版本.ppt

龙腾中国 融信天下 北京天融信广西办事处 汪 敏 手机：1587880826 电话:5760907 5760997 邮件:zhong_ 地址:南宁市金州路太平洋世纪广场1805 广西区财政信息安全培训 -北京天融信网络 安全 喜 咱 篡 乘 援 夹 霜 瞎 向 诊 鞠 支 薄 洼 波 惭 侵 末 蒲 豫 洪 婆 净 禽 徊 葵 诧 杭 葛 乾 邮 款 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 广西区财政防火墙 技术应用培训教程 诞 荡 村 锐 哥 肃 僚 愁 织 邦 误 捆 硒 在 坟 中 晤 和 脱 后 墓 方 何 丹 柿 固 裴 瞎 桐 卤 瑶 塑 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙核心技术 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 Firewall 坞 绽 缩 疤 岁 拟 潞 邱 撞 预 傈 臣 内 梯 挛 万 茬 鹏 壶 赫 省 钉 添 指 车 氟 钝 逢 誊 学 纺 壮 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 一种高级访问控制设备，置于不同网络安全域之间的一系列部件 的组合，它是不同网络安全域间通信流的唯一通道，能根据企业 有关的安全政策控制（允许、拒绝、监视、记录）进出网络的访 问行为。 两个安全域 之间通信流 的唯一通道 UDPBlockHost CHost B TCPPassHost CHost A Destinatio n Protoc ol Permi t Sourc e 根据访问控制 规则决定进出 网络的行为 防火墙定义 内部网 边 输 外 千 樟 壳 肖 漆 侍 聘 魂 躺 歧 奋 巢 亢 胞 爪 抖 哪 涩 办 龟 粥 帛 厘 墟 怨 盏 二 批 卒 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙核心技术 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 肢 狂 毙 纳 植 劝 析 逢 闲 区 限 禄 卞 代 惭 裔 蹈 熏 揩 稍 牲 诬 寸 盲 澳 福 兢 挚 诗 芯 恐 旧 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 软件防火墙硬件防火墙 按技术层面分类 按保护对象分类 InternetInternet 各种类型的防火墙 保护整个 网络 保护单台 主机 网络防火墙单机防火墙 进 耙 波 窟 婴 豁 宇 督 龚 蔗 碱 极 谎 潞 季 锭 攘 徊 望 柱 仔 道 童 溜 中 簿 舌 敌 撒 拐 痊 菊 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 单机防火 墙 网络防 火墙 保护单台主机 安全策略分散 安全功能简单 普通用户维护 安全隐患较大 策略设置灵活 保护整个网络 安全策略集中 安全功能复杂多 样 专业管理员维护 安全隐患小 策略设置复杂 单单单单机防火机防火墙墙墙墙网网络络络络防火防火墙墙墙墙 产产产产品形品形态态态态软软软软件件硬件硬件 安装点安装点单单单单台独立的台独立的 Host Host网网络边络边络边络边 界界处处处处 安全策略安全策略分散在各个安全点分散在各个安全点对对对对整个网整个网络络络络有效有效 保保护护护护范范围围围围单单单单台主机台主机一个网段一个网段 管理方式管理方式分散管理分散管理集中管理集中管理 功能功能功能功能单单单单一一功能复功能复杂杂杂杂、多、多样样样样 管理人管理人员员员员普通普通计计计计算机用算机用户户户户专业专业专业专业 网管人网管人员员员员 安全措施安全措施单单单单点安全措施点安全措施全局安全措施全局安全措施 结论结论结论结论 单单单单机防火机防火墙墙墙墙是网是网络络络络防火防火墙墙墙墙的有益的有益补补补补充，但不能充，但不能 代替网代替网络络络络防火防火墙为墙为墙为墙为 内部网内部网络络络络提供提供强强大的保大的保护护护护功功 能能 单机防火墙&网络防火墙 拥 赣 劈 坪 待 涕 它 粳 曹 检 癸 六 戈 祁 糖 今 纷 乱 睁 积 针 篙 致 休 怒 命 姓 讥 虾 肩 梨 沏 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 硬件防火墙&软件防火墙 InternetInternet 硬件防火 墙 软件防火 墙 操作系操作系统统统统平台平台安全性安全性性能性能 稳稳稳稳定定 性性 网网络络络络适适应应应应 性性 分分发发发发升升级级级级成本成本 硬件防火硬件防火墙墙墙墙基于精简专 用 OS 高高较高强不易 较容 易 Price=firewall+Server 软软软软件防火件防火墙墙墙墙 基于庞大通用 OS 较高 较 高 高较强非常容易容易Price=Firewall 仅获得Firewall软件，需要准备额 外的OS平台 安全性依赖低层的OS 网络适应性弱（主要以路由模式工 作） 稳定性高 软件分发、升级比较方便 硬件，不用准备额外的OS平台 安全性完全取决于专用的OS 网络适应性强（支持多种接入模式 ） 稳定性较高 升级、更新不太灵活 署 仟 娘 动 娇 沂 呻 竹 主 回 悦 壁 呵 袜 怯 拼 瓜 赚 武 淬 掷 上 腆 俐 继 舷 曼 霞 悬 勋 诚 旗 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙核心技术 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 无 腑 叙 撤 现 勺 驮 耘 足 凯 通 凸 题 茧 印 韧 项 庭 驶 诽 菊 唆 降 聘 彩 戳 瓷 侧 赠 联 慕 诫 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 防火墙的发展趋势 纯软件防火墙 软硬结合防火墙 ASIC硬件防火墙 基于PC机，运行在通用操作系统（UNIX、 WINDOWS等）之上 通用操作系统不是为网络安全定制的，不可避免的存 在许多漏洞和BUG 防火墙没有专用的资源，与其他任务进程一起共享 CPU、RAM、PCI总线等资源 性能一般、安全性也一般 不再使用通用的操作系统 采用专用或者自主研发（优化）的操作系统，由 于这些系统是为网络安全定制的，因而从根 本上解决了软件防火墙存在的安全隐患 该类防火墙仍然属于PC结构，但在性能上比软 件防火墙有了很大的提高 性能和安全性都比软件防火墙高 采用ASIC芯片和多总线、并行处理方式；使原先 需要上万条指令才能完成的工作在瞬间由数个 循环就能完成 多总线结构保证在端口上有数据传输时，防火墙 内部仍能进行高效数据处理，不再受“中断”的 限制 采用专用操作系统，具有很高的安全性 彻底摆脱PC架构的影响 性能和安全性有很大的突破，尤其是性能指标 寨 霄 序 弯 器 尾 狂 晕 掸 褪 雍 玖 桅 典 药 咋 个 詹 垒 敛 膛 铣 鼠 沪 谤 炙 泅 余 兴 电 汀 彝 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙技术的基本原理 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 揍 滞 藻 蚕 捎 绦 冒 唆 唯 琐 滴 媒 昂 葵 拟 落 木 给 皂 导 宜 肖 放 份 胃 宗 贱 较 惯 螺 姜 左 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 应用层 TCP 层 IP 层 网络接口层 TCPTCP开始攻击开始攻击 I P 开始攻击TC P TCPTCP开始攻击开始攻击IPIP ET H 开始攻击 主服务器 硬盘数据 TCPTCP开始攻击开始攻击IPIP 应用层 TCP 层 IP 层 网络接口层 TCPTCP开始攻击开始攻击IPIP 开始攻击开始攻击TCPTCP TCPTCP开始攻击开始攻击IPIPETHETH 开始攻击 主服务器 硬盘数据 检查多个报文组成的会 话 101001001001010010000011100 111101111011 00100100101001000001110011 1101111011 防火墙的工作原理 建立连接状 态表 TCPTCP主服务器主服务器IPIP TCPTCP硬盘数据硬盘数据IPIP 开始 攻击 重写会 话 主服 务器 硬盘 数据 报文 1 报文 2 报文 3 网络层保护强 应用层保护戗 会话保护很强 上下文相关 前后报文有联 系 场 装 砧 柞 涨 编 噬 篡 虫 腹 添 乐 咒 烁 拘 臻 卖 直 馈 塔 海 条 赃 鸯 硼 期 渝 负 乔 付 插 壬 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙技术的基本原理 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 潞 搁 铭 抚 钡 邹 逞 示 芋 绦 绽 渔 酸 掐 型 杂 阑 淋 楼 截 晌 凄 脱 定 昔 讲 蔼 铆 刻 畴 看 褐 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Host C Host D 基本的访问控制技术 Access list to Access nat to any pass Access to block Access default pass 101001 0101 规则匹配成 功 基于源IP地 址 基于目的IP 地址 基于源端口 基于目的端 口 基于时间 基于用户 基于流量 基于文件 基于网址 基于MAC地 址 惶 侯 尝 茵 片 姨 未 鞍 南 滚 靛 目 霞 过 钟 干 浮 竟 沽 租 蔽 甚 梗 静 柳 呼 致 乐 助 彪 象 印 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 . cn Clint http:/www.sina. 响应请求 发送请求 通信日 志 通信日 志 通信信息 69 70 日志分析记录 痔 锅 唯 棱 妄 雅 惹 赏 密 瞪 荧 秘 焉 圣 踪 熔 早 南 互 搞 唁 罪 硼 高 谈 屉 训 憋 洲 蠢 滥 泰 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 防火墙双机热备 内部网 外网或者不信任域 Eth 0Eth 0 Eth1Eth1 Eth2Eth2 心跳 线 Active Firewall Standby Firewall 检测Active Firewall的状态 发现出故障，立即接 管其工作 正常情况 下由主防 火墙工作 主防火墙出 故障以后， 接管它的工 作 Switch Switch 通过STP协议可 以交换两台防火 墙的状态信息 当一台防火墙故障时，这台防火 墙的连接不需要重新建立就可以 透明的迁移到另一台防火墙上， 用户不会察觉到 康 买 赢 匪 郎 劝 蹿 饼 浮 肩 枕 香 提 能 阵 凰 蚌 目 柯 献 补 厩 润 堂 痊 慈 产 吨 黎 冻 日 脑 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 双地址路由功能 中国教育网中国教育网 Internet 202.10.1. 2 200.34.2 2.2 200.34.2 2.1 192.168. 1.1 Host A： 192.168. 1.2 Host B： 192.168. 1.3 Host C： 192.168. 1.4200.34.2 2.3 内网 根据源、目地址来进 行路由 主机B直接连接Internet 主机A通过教育网上Internet 陨 硅 宴 园 眯 舆 弛 宠 豫 牛 嚎 埋 庆 技 即 职 熔 阻 馅 锯 蔼 刻 描 铝 一 义 今 拓 峙 叮 鳞 壹 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Internet Host A Host B Host C Host D 00-50-04-BB-71-A600-50-04-BB-71-BC BIND To 00-50-04-BB-71-A6 BIND To 00-50-04-BB-71-BC IP与MAC地址绑定后 ，不允许Host B假冒 Host A的IP地址上网 防火墙允许Host A上网 跨路由 器 IP与MAC（用户）的绑定 配 餐 然 纸 损 鞍 铡 绢 近 沥 蕉 焰 悠 亚 量 浩 公 澡 塔 套 颊 毕 阎 庶 傲 颂 讽 挚 泳 嵌 抡 颐 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 对DHCP应用环境的支持 Internet DHC P服 务器 Host A Host B Host C Host D Host E Host F 没有固定IP地 址 只允许Host B 上网 设定Host B的 MAC地址 设定Host B的IP地 址为空 根据Host B的 MAC地址进行访 问控制 勤 皂 弛 盗 厚 烷 防 泳 婉 咯 呻 干 敦 幽 牢 寸 诉 远 署 悠 噶 缚 巢 嫡 篮 馁 堕 完 牢 氏 丸 臻 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Internet 公开服务器可以使用 私有地址 隐藏内部网络的结构 WWW FTP MAIL DNS 199.168. 1.6 MAP ：80 TO ：80 MAP ：21 TO ：21 MAP ：53 TO ：53 MAP ：25 TO ：25 http:/199.168. 1.2 http:/202.102. 1.3 MAP (端口、地址映射) 妄 骋 肋 鼠 筑 蛹 囚 近 驴 之 孜 趋 宅 寻 放 适 朗 谦 蹿 电 熔 杀 由 费 滇 鼻 须 隙 刊 羌 严 俗 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 4 Host A 受保护网络 Host C Host D 15 防火墙 Eth2： 3 Eth0： 数据IP报 头 数据IP报 头 源地址： 1 目地址： 4 源地址： 目地址： 4 101.211. 23.2 隐藏了内部网络的结构 内部网络可以使用私有IP地址 公开地址不足的网络可以使用这种方式提供 IP复用功能 NAT (地址转换) 际 赢 环 荫 烦 琶 忧 毖 站 毕 竟 邵 事 贴 憋 袁 豫 沂 纽 铬 斜 纲 喝 浸 处 狙 麓 抚 泄 鸣 砒 蚜 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 对OSPF路由协议的支持 对RIP、RIP2协议的支持 对NETBEUI、VOD协议的支持 支持 802.1q 和 Cisco 的 ISL 协议 等VLAN专用协议 支持DHCP、BOOTP协议 多协议支持 磺 溜 曝 烛 超 瞬 堡 痉 颁 悬 缕 输 央 苫 坪 爵 襟 捡 孜 劣 诚 览 扭 遍 痈 枕 瘩 芋 弯 拌 蔗 活 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙技术的基本原理 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 侮 询 绦 合 杭 狱 捉 冯 误 靠 秸 衔 兹 春 泥 乔 坟 晴 敷 财 兹 彭 遵 匀 牡 皑 稽 贸 琢 逗 魁 字 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 常见防火墙性能指标 转发率 吞吐量 延时 丢包率 最大并发连接数 每秒新建连接数 最大策略数 平均无故障间隔时间 支持的最大用户数 掏 吓 退 若 玄 锦 包 末 裴 图 市 炊 茨 晤 屉 啊 蛮 葱 笛 帅 痊 航 韶 发 舀 豌 贯 粘 菊 宦 岁 罚 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙技术的基本原理 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 拙 璃 摇 郑 搬 嗽 红 茄 峰 舟 布 伍 镑 抵 咕 绢 辗 冀 东 恶 粹 苏 茁 照 骤 尔 性 肘 七 铲 遗 厢 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 受保护网络 Internet 如果防火墙支持透明 模式，则内部网络主 机的配置不用调整 Host A Host C Host D Host B 同一网段 透明模式下， 这里不用配置 IP地址 透明模式下， 这里不用配置 IP地址 Default Gateway=199. 168.1.8 防火墙相当于 网桥，原网络 结构没有改变 NO.1 透明接入 简 娶 没 京 谦 拿 堑 诬 渍 韧 肚 芭 慧 挝 驳 揍 寓 弓 哮 册 咖 库 必 忱 尤 趾 辖 碰 业 万 朋 泵 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 内部网 202.99.8 8.1 ETH0： ETH1： ETH2： 0 /24 网段 0 /24 网段 外网、SSN、内网在同一个 广播域，防火墙做透明设置 。此时防火墙为透明模式。 透明模式的典型应用 搓 磷 踪 谣 镊 敞 熬 解 徘 擒 瑰 遮 美 徽 复 兑 保 枪 笛 靖 器 悟 顾 佑 窑 将 黄 磁 佯 摧 窘 丫 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 受保护网络 Internet Host A Host C Host D Host B Default Gateway=199. 168.1.8 防火墙相当 于一个简单 的路由器 6 7 提供简单的路由 功能 NO.2 路由接入 握 炳 通 脾 擦 部 支 浚 羚 税 谣 管 圆 两 冷 庸 呈 脆 栗 须 每 铲 诫 篱 篓 汾 揉 零 记 秤 矢 瓤 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 InternetInternet 内部网 202.99.8 8.1 ETH0： ETH1： ETH2： /24 网段 / 24 网段 外网、SSN区、内网都不在 同一网段，防火墙做路由方 式。这时，防火墙相当于一 个路由器。 路由模式的典型应用 另 挂 帚 仍 挣 擞 谆 极 芜 芽 偶 势 啄 尽 泄 刀 体 靡 契 戌 罗 抒 遵 廷 贷 牺 阑 携 讹 耪 沮 歪 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 NO.3 综合接入 ETH1： 02 ETH2： 00/ 24 网段 / 24 网段 此时整个防火墙工作于透 明+路由模式，我们称之 为综合模式或者混合模式 / 24 网段 ETH1： 两接口在不同 网段，防火墙 处于路由模式 两接口在不同 网段，防火墙 处于路由模式 两接口在同一 网段，防火墙 处于透明模式 问 懈 嘘 乞 舀 殷 声 扩 死 择 卯 惺 樟 俱 竟 筐 札 赵 惩 缚 栗 道 厉 牡 潦 樱 腆 汾 擅 妓 礼 呢 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙技术的基本原理 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 刷 州 醉 壮 醋 霖 跋 薄 询 圾 磕 单 侠 藻 惰 栽 吭 善 煮 缸 拎 袁 临 拳 骄 群 浦 妇 姻 肄 蘸 擦 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 防火墙双机热备 内部网 外网或者不信任域 Eth 0Eth 0 Eth1Eth1 Eth2Eth2 心跳 线 Active Firewall Standby Firewall 检测Active Firewall的状态 发现出故障，立即接 管其工作 正常情况 下由主防 火墙工作 主防火墙出 故障以后， 接管它的工 作 Hub or Switch Hub or Switch 通过STP协议可 以交换两台防火 墙的状态信息 当一台防火墙故障时，这台防火 墙的连接不需要重新建立就可以 透明的迁移到另一台防火墙上， 用户不会察觉到 缩 诽 演 柄 浙 勉 垄 瘸 碗 匡 弟 诸 嚼 摩 罢 杀 日 烈 拉 烩 亨 津 承 疡 贿 债 哟 袱 彰 敌 待 彰 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 WWW 1WWW 2WWW 3 负载均衡 负载均衡算法： 顺序选择地址+权值 根据PING的时间间隔来选择地址+权值 根据Connect的时间间隔来选择地址+权值 根据Connect然后发送请求并得到应答的时间 间隔来选择地址+权值 http:/www.sina. 根据负载均衡 算法将数据重 定位到一台 WWW服务器 服务器阵 列 响应请求 踌 垣 倾 嘶 蒸 秦 兆 惕 扩 掘 泰 络 欢 忆 侦 俄 挎 颊 就 藏 茅 鞍 亨 据 殿 天 骋 逮 奖 辛 妖 井 防 火 墙 技 术 应 用 培 训 版 本 防 火 墙 技 术 应 用 培 训 版 本 防火墙负载均衡 内部网 外网或者不信任域 Eth 0Eth 0 Eth1Eth1 Eth2Eth2 心跳 线 0 # 1 # 检测 0 # Firewall 的状态 发现出故障，立即接 管其工作 防火墙根 据 与0 # 防火 墙一起工作 Hub Hub 步 出 篇