防火墙的利与弊课件

1、组长：丁一平组员：夏万千，刘骏，边晓旭，张浩然防火墙的利与弊 1.1防火墙的概念1.2网络防火墙的优点1.3网络防火墙的缺点1.4包过滤防火墙的概念和优缺点1.5状态/动态检测防火墙的概念和优缺点1.6应用程序防火墙的概念和优缺点1.7NAT的概念和优缺点1.8个人防火墙的概念和优缺点1.1防火墙的概念 Internet的迅速发展提供了发布信息和检索信息的场所，但也带来了信息污染和信息破坏的危险, 人们为了保护其数据和资源的安全，部署了防火墙。防火墙本质上是一种保护装置，它保护数据、资源和用户的声誉。 防火墙原是设计用来防止火灾从建筑物的一部分传播到另一部分的设施。从理论上讲，Internet

2、防火墙服务也有类似目的，它防止Internet（或外部网络）上的危险（病毒、资源盗用等）传播到网络内部。Internet（或外部网络）防火墙服务于多个目的： 1.1防火墙的概念 1、限制人们从一个特别的控制点进入； 2、防止入侵者接近你的其它防御设施； 3、限定人们从一个特别的点离开； 4、有效地阻止破坏者对你的计算机系统进行破坏。 防火墙常常被安装在内部网络连接到因特网（或外部网络）的节点上。 1.1防火墙的概念 3、防火墙限制暴露用户点 防火墙能够用来隔开网络中的两个网段，这样就能够防止影响一个网段的信息通过整个网络进行传播。 4、防火墙是一个安全策略的检查站 所有进出的信息都必须通过防火

3、墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。 1.2网络防火墙的优点1.3网络防火墙的缺点1、不能防范恶意的知情者 防火墙可以禁止系统用户经过网络连接发送专有的信息，但用户可以将数据复制到磁盘、磁带上，放在公文包中带出去。如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户可以偷窃数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁，只能要求加强内部管理，如主机安全和用户教育等。 1.4包过滤防火墙概念第一代防火墙和最基本形式防火墙检查每一个通过的网络包，或者丢弃，或者放行，取决于所建立的一套规则。这称为包过滤防火墙。本质上，包过滤防火墙是多址的，表

4、明它有两个或两个以上网络适配器或接口。例如，作为防火墙的设备可能有两块网卡(NIC)，一块连到内部网络，一块连到公共的Internet。防火墙的任务，就是作为“通信警察”，指引包和截住那些有危害的包。包过滤防火墙检查每一个传入包，查看包中可用的基本信息(源地址和目的地址、端口号、协议等)。然后，将这些信息与设立的规则相比较。如果已经设立了阻断telnet连接，而包的目的端口是23的话，那么该包就会被丢弃。如果允许传入Web连接，而目的端口为80，则包就会被放行。多个复杂规则的组合也是可行的。如果允许Web连接，但只针对特定的服务器，目的端口和目的地址二者必须与规则相匹配，才可以让该包通过。最后

5、，可以确定当一个包到达时，如果对该包没有规则被定义，接下来将会发生什么事情了。通常，为了安全起见，与传入规则不匹配的包就被丢弃了。如果有理由让该包通过，就要建立规则来处理它。1.4包过滤防火墙概念1.4包过滤防火墙的优点防火墙对每条传入和传出网络的包实行低水平控制。每个IP包的字段都被检查，例如源地址、目的地址、协议、端口等。防火墙将基于这些信息应用过滤规则防火墙可以识别和丢弃带欺骗性源IP地址的包。包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙，绕过是困难的。包过滤通常被包含在路由器数据包中，所以不必额外的系统来处理这个特征。状态/动态检测防火墙，试图跟踪通过防火墙的

6、网络连接和包，这样防火墙就可以使用一组附加的标准，以确定是否允许和拒绝通信。它是在使用了基本包过滤防火墙的通信上应用一些技术来做到这点的。例如，如果传入的包包含视频数据流，而防火墙可能已经记录了有关信息，是关于位于特定IP地址的应用程序最近向发出包的源地址请求视频信号的信息。如果传入的包是要传给发出请求的相同系统，防火墙进行匹配，包就可以被允许通过。1.5状态/动态检测防火墙概念检查IP包的每个字段的能力，并遵从基于包中信息的过滤规则。识别带有欺骗性源IP地址包的能力。是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙，绕过是困难的。基于应用程序信息验证一个包的状态的能力， 例如基于一

7、个已经建立的FTP连接，允许返回的FTP包通过。基于应用程序信息验证一个包状态的能力，例如允许一个先前认证过的连接继续与被授予的服务通信。记录有关通过的每个包的详细信息的能力。基本上，防火墙用来确定包状态的所有信息都可以被记录，包括应用程序对包的请求，连接的持续时间，内部和外部系统所做的连接请求等。1.5状态/动态检测防火墙优点应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信。相反，它是接受来自内部网络特定用户应用程序的通信，然后建立于公共网络服务器单独的连接。网络内部的用户不直接与外部的服务器通信，所以服务器不能直接访问内部网的任何一部分。另外，如果不为特定的应用程序安装代理程序代

8、码，这种服务是不会被支持的，不能建立任何连接。这种建立方式拒绝任何没有明确配置的连接，从而提供了额外的安全性和控制性。1.6应用程序代理防火墙的概念例如，一个用户的Web浏览器可能在80端口，但也经常可能是在1080端口，连接到了内部网络的HTTP代理防火墙。防火墙然后会接受这个连接请求，并把它转到所请求的Web服务器。这种连接和转移对该用户来说是透明的，因为它完全是由代理防火墙自动处理的。1.6应用程序代理防火墙的概念指定对连接的控制，例如允许或拒绝基于服务器IP地址的访问，或者是允许或拒绝基于用户所请求连接的IP地址的访问。通过限制某些协议的传出请求，来减少网络中不必要的服务。大多数代理防

9、火墙能够记录所有的连接，包括地址和持续时间。这些信息对追踪攻击和发生的未授权访问的事件事很有用的。1.6应用程序代理防火墙的优点必须在一定范围内定制用户的系统，这取决于所用的应用程序。一些应用程序可能根本不支持代理连接。1.6应用程序代理防火墙的缺点讨论到防火墙的主题，就一定要提到有一种路由器，尽管从技术上讲它根本不是防火墙。网络地址转换(NAT)协议将内部网络的多个IP地址转换到一个公共地址发到Internet上。NAT经常用于小型办公室、家庭等网络，多个用户分享单一的IP地址，并为Internet连接提供一些安全机制。当内部用户与一个公共主机通信时，NAT追踪是哪一个用户作的请求，修改传出

10、的包，这样包就像是来自单一的公共IP地址，然后再打开连接。一旦建立了连接，在内部计算机和Web站点之间来回流动的通信就都是透明的了。当从公共网络传来一个未经请求的传入连接时，NAT有一套规则来决定如何处理它。如果没有事先定义好的规则，NAT只是简单的丢弃所有未经请求的传入连接，就像包过滤防火墙所做的那样。1.7网络地址转换NAT的概念所有内部的IP地址对外面的人来说是隐蔽的。因为这个原因，网络之外没有人可以通过指定IP地址的方式直接对网络内的任何一台特定的计算机发起攻击。如果因为某种原因公共IP地址资源比较短缺的话，NAT可以使整个内部网络共享一个IP地址。可以启用基本的包过滤防火墙安全机制，

11、因为所有传入的包如果没有专门指定配置到NAT，那么就会被丢弃。内部网络的计算机就不可能直接访问外部网络。1.7NAT的优点现在网络上流传着很多的个人防火墙软件，它是应用程序级的。个人防火墙是一种能够保护个人计算机系统安全的软件，它可以直接在用户的计算机上运行，使用与状态/动态检测防火墙相同的方式，保护一台计算机免受攻击。通常，这些防火墙是安装在计算机网络接口的较低级别上，使得它们可以监视传入传出网卡的所有网络通信。一旦安装上个人防火墙，就可以把它设置成“学习模式”，这样的话，对遇到的每一种新的网络通信，个人防火墙都会提示用户一次，询问如何处理那种通信。然后个人防火墙便记住响应方式，并应用于以后遇到的相同那种网络通信。1.8个人防火墙的概念1.8个人防火墙的概念基本上，你可以将个人防火墙想象成在用户计算机上建立了一个虚拟网络接口。不再是计算机的操作系