信息系统安全技术-防火墙技术课件

信息系统安全技术--防火墙技术信息系统安全技术1ServerClient防火墙（Firewall）注解：防火墙类似一堵城墙，将服务器与客户主机进行物理隔离，并在此基础上实现服务器与客户主机之间的授权互访、互通等功能。ServerClient防火墙（Firewall2防火墙概念防火墙特征防火墙功能协议与服务防火墙技术内容防火墙体系结构防火墙实现策略对防火墙技术与产品发展的介绍对防火墙技术的展望内容提要防火墙概念内容提要3防火墙概念

防火墙是指设置在不同网络或网络安全域（公共网和企业内部网）之间的一系列部件的组合。它是不同网络（安全域）之间的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有很高的抗攻击能力，它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙概念 防火墙是指设置在不同网络或网络安全域（公共网4防火墙特征保护脆弱和有缺陷的网络服务集中化的安全管理加强对网络系统的访问控制加强隐私对网络存取和访问进行监控审计防火墙特征保护脆弱和有缺陷的网络服务5保护脆弱和有缺陷的网络服务一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。防火墙特征(cont.)保护脆弱和有缺陷的网络服务防火墙特征(cont.)6防火墙特征(cont.)集中化的安全管理通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。防火墙特征(cont.)集中化的安全管理7加强对网络系统的访问控制一个防火墙的主要功能是对整个网络的访问控制。比如防火墙可以屏蔽部分主机，使外部网络无法访问，同样可以屏蔽部分主机的特定服务，使得外部网络可以访问该主机的其它服务，但无法访问该主机的特定服务。防火墙不应向外界提供网络中任何不需要服务的访问权，这实际上是安全政策的要求了。控制对特殊站点的访问：如有些主机或服务能被外部网络访问，而有些则需被保护起来，防止不必要的访问。防火墙特征(cont.)防火墙特征(cont.)8加强隐私隐私是内部网络非常关心的问题。一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。防火墙特征(cont.)防火墙特征(cont.)9对网络存取和访问进行监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。防火墙特征(cont.)对网络存取和访问进行监控审计防火墙特征(cont.)10

从总体上看，防火墙应具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。防火墙功能防火墙功能11协议－－ISO/OSI协议分层应用层表示层会话层传输层数据链路层物理层网络层数据链路层协议－－ISO/OSI协议分层应用层表示层会话层传12协议－－ISO/OSI协议分层(cont.)物理层：涉及在物理信道上传输原始比特，处理与物理传输介质有关的机械的、电气的和过程的接口。数据链路层：分为介质访问控制（MAC）和逻辑链路控制（LLC）两个子层。MAC子层解决广播型网络中多用户竞争信道使用权问题。LLC的主要任务是将有噪声的物理信道变成无传输差错的通信信道，提供数据成帧、差错控制、流量控制和链路控制等功能。网络层：负责将数据从物理连接的一端传到另一端，即所谓点到点，通信主要功能是寻径，以及与之相关的流量控制和拥塞控制等。协议－－ISO/OSI协议分层(cont.)物理层：涉及在13协议－－ISO/OSI协议分层(cont.)传输层：主要目的在于弥补网络层服务与用户需求之间的差距。传输层通过向上提供一个标准、通用的界面，使上层与通信子网（下三层）的细节相隔离。传输层的主要任务是提供进程间通信机制和保证数据传输的可靠性。会话层：主要针对远程终端访问。主要任务包括会话管理、传输同步以及活动管理等。表示层：主要功能是信息转换，包括信息压缩、加密、与标准格式的转换（以及上述各操作的逆操作）等等。应用层：提供最常用且通用的应用程序，包括电子邮件（E-mail）和文电传输等。协议－－ISO/OSI协议分层(cont.)传输层：主要目14应用层表示层会话层传输层网络层数据链路层物理层FTP、TELNETNFSSMTP、SNMPXDRRPCTCP、UDPIPEthernet、PDN、IEEE802.3、IEEE802.4、IEEE802.5及其它ICMPARPRARPOSI参考模型Internet协议簇OSI参考模型与Internet协议簇注解：通过对每一个协议簇中各种协议结构的详细了解，就可以非常轻松的针对包过滤型、应用代理型等防火墙的ACL（访问控制列表）进行制定和理解，并有助于了解防火墙的架构体系。应用层FTP、TELNETNFSICMPA15协议－－TCP/IP协议分层应用层传输层网间网层网络接口层协议－－TCP/IP协议分层应用层传输层网间网层网络接口层16协议－－TCP/IP协议分层应用层：向用户提供一组常用的应用程序，比如文件传输访问、电子邮件、远程登录等。用户完全可以在“网间网”之上（即传输层之上），建立自己的专用应用程序，这些专用应用程序要用到TCP/IP，但不属于TCP/IP。传输层（TCP/UDP）：提供应用程序间（即端到端）的可靠（TCP）或高效（UDP）的通信。其功能包括：格式化信息流及提供可靠传输。传输层还要解决不同应用程序的识别问题。网间网层（IP）：负责相邻计算机之间的通信。其功能包括：处理来自传输层的分组发送请求；处理输入数据包；处理ICMP报文。网络接口层：TCP/IP协议的最低层，负责接收IP数据报并通过网络发送，或者从网络上接收物理帧，抽出IP数据包，交给IP层。协议－－TCP/IP协议分层应用层：向用户提供一组常用的应用17TCP/IP服务注解：通过该服务体系的理解，大家一定要了解清楚IP包过滤型防火墙中的TCP协议簇包括那些具体协议、UDP协议簇包括那些具体协议，并要特别注意怎样通过防火墙的ICMP协议去安全有效的控制PING命令的执行。TCP/IP服务注解：通过该服务体系的理解，大家一定要了解清18TCP/IP服务(cont.)TCP/IP服务(cont.)19RPC-远程过程调用服务。如NFS-NetworkFileSystem,可允许系统共享目录与磁盘。NIS-NetworkInformationServices,网络信息服务容许多个系统共享数据库,如passwordfile容许集中管理。XWindowSystem：一个图形化的窗口系统。Rlogin、rsh、及其它“r”服务。运用相互信任的主机的概念，在其它系统上可以执行命令且不要求password。TCP/IP服务(cont.)TCP/IP服务(cont.)20IPIP协议的主要内容包括无连接数据报传送、数据报寻径及差错处理三部分。IP层作为通信子网的最高层，屏蔽底层各种物理网络的技术环节，向上（TCP层）提供一致的、通用性的接口，使得各种物理网络的差异性对上层协议不复存在。IP数据报分为报头和数据区两部分，IP报头由IP协议处理，是IP协议的体现；数据体则用于封装传输层数据或差错和控制报文（ICMP）数据，由TCP协议或ICMP协议处理。IPIP协议的主要内容包括无连接数据报传送、数据报寻径及差错21TCPTCP是传输层的重要协议之一，提供面向连接的可靠字节流传输。面向连接的TCP要求在进行实际数据传输前，必须在信源端与信宿端建立一条连接。且面向连接的每一个报文都需接收端确认，未确认报文被认为是出错报文，出错的报文协议要求出错重传。TCP采用可变窗口进行流量控制和拥塞控制以保证可靠性。分组是TCP传输数据的基本单元，分TCP头和TCP数据体两大部分。TCPTCP是传输层的重要协议之一，提供面向连接的可靠字节流22UDPUDP是传输层的重要协议之一；基于UDP的服务包括NIS、NFS、NTP及DNS等。UDP不是面向连接的服务，几乎不提供可靠性措施；因此，基于UDP的服务具有较高的风险。UDP23TCP与UDP端口一个TCP或UDP连接由下述要素唯一确定：源IP地址、目的地IP地址、源端口、目的地端口。TCP或UDP用协议端口标识通信进程，端口是一种抽象的软件结构（包括一些数据结构和I/O缓冲区）。应用程序（即进程）通过系统调用与某些端口建立连接后，传输层传给该端口的数据被相应进程所接收。接口又是进程访问传输服务的人口点。每个端口拥有一个叫端口号的16位整数标识符，用于区分不同端口。TCP和UDP软件分别可以提供65536个不同的端口。端口有两部分，一部分是保留端口（端口号小于1024，对应于服务器进程），一部分是自由端口（以本地方式分配）。TCP与UDP端口一个TCP或UDP连接由下述要素唯一确定：24某些服务进程通常对应于特定的端口。如SMTP为25，XWINDOWS为6000。客户使用端口号及目的地IP地址初始化与一个特定主机或服务的连接。TCP与UDP端口(cont.)某些服务进程通常对应于特定的端口。如SMTP为25，XWI25协议－－IPV6 IETF决定在不久的将来利用IPV6来代替IPV4。IPV6既能适应高速网络（如ATM），也能适应低带宽环境。扩展地址和路由规模。主机地址自动配置。公共子网服务。安全性加强。协议－－IPV6 IETF决定在不久的将来利用IPV6来代替26

防火墙技术可根据防范的方式和侧重点的不同而分为很多种类型，但总体来讲可分为三大类：分组过滤、应用代理、电路中继分组过滤（Packetfiltering）：作用在网络层和传输层，它根据分组包头源地址，目的地址和端口号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。防火墙技术内容防火墙技术可根据防范的方式和侧重点的不同而分为很防火墙技27应用代理（ApplicationProxy）：也叫应用网关（ApplicationGateway）,它作用在应用层，其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。电路中继(CircuitRelay)：也叫电路网关(CircuitGateway)或TCP代理（TCP－Proxy）,其工作原理与应用代理类似，不同之处是该代理程序是专门为传输层的TCP协议编制的。防火墙技术内容(cont.)应用代理（ApplicationProxy）：防火墙技术内28防火墙技术内容－分组过滤应用层表示层会话层传输层网络层数据链路层物理层物理层数据链路层网络层应用层表示层会话层传输层网络层数据链路层物理层外部网络主机内部网络主机分组过滤型防火墙防火墙技术内容－分组过滤应用层表示层会话层传输层网络层数据链29 一个分组过滤型防火墙通常能根据IP分组的以下各项过滤：源IP地址目标IP地址TCP/UDP源端口TCP/UDP目标端口协议类型防火墙技术内容－分组过滤(cont.) 一个分组过滤型防火墙通常能根据IP分组的以下各项过滤：防30防火墙技术内容－分组过滤(cont.)分组过滤防火墙应用示例防火墙技术内容－分组过滤(cont.)分组过滤防火墙应用示例31优点：透明的防火墙系统高速的网络性能易于配置支持网络内部隐藏防火墙技术内容－分组过滤(cont.)优点：防火墙技术内容－分组过滤(cont.)32 缺点：易于IP地址假冒记录日志信息不充分源路由攻击设计和配置一个真正安全的分组过滤规则比较困难分组过滤防火墙并不能过滤所有的协议极小分片设数据包攻击无法防止数据驱动式攻击防火墙技术内容－分组过滤(cont.) 缺点：防火墙技术内容－分组过滤(cont.)33防火墙技术内容－应用代理应用层表示层会话层传输层网络层数据链路层物理层物理层数据链路层网络层应用层表示层会话层传输层网络层数据链路层物理层外部网络主机内部网络主机应用代理型防火墙应用层表示层会话层传输层防火墙技术内容－应用代理应用层表示层会话层传输层网络层数据链34防火墙技术内容－应用代理(cont.)外部Telnet服务器内部Telnet服务器日志系统Telnet代理FTP代理认证系统应用网关一个Telnet代理的例子防火墙技术内容－应用代理(cont.)外部Telnet服务器35一个Telnet应用代理的过程用户首先Telnet到应用网关主机，并输入内部目标主机的名字（域名、IP地址）应用网关检查用户的源IP地址等，并根据事先设定的访问规则来决定是否转发或拒绝然后用户必须进行是否验证（如一次一密等高级认证设备）应用网关中的代理服务器为用户建立在网关与内部主机之间的Telnet连接代理服务器在两个连接（用户/应用网关，代理服务器/内部主机）之间传送数据应用网关对本次连接进行日志记录防火墙技术内容－应用代理(cont.)一个Telnet应用代理的过程防火墙技术内容－应用代理(co36优点：在网络连接建立之前可以对用户身份进行认证所有通过防火墙的信息流可以被记录下来易于配置支持内部网络的信息隐藏与分组过滤规则相比简单易于控制和管理防火墙技术内容－应用代理(cont.)优点：防火墙技术内容－应用代理(cont.)37 缺点：对每种类型的服务都需要一个代理网络性能不高防火墙对用户不透明客户应用可能需要修改需要多个防火墙主机防火墙技术内容－应用代理(cont.) 缺点：防火墙技术内容－应用代理(cont.)38防火墙体系结构分组过滤防火墙结构分组过滤＋应用网关（I）分组过滤＋应用网关（II）屏蔽子网防火墙结构防火墙体系结构分组过滤防火墙结构39分组过滤防火墙适合于较小的、简单的系统如规则复杂，则难于管理分组过滤防火墙适合于较小的、简单的系统40分组过滤＋应用网关（I）简化路由配置加强隐私双重保护花费高一些只有网关上的代理服务支持的应用才能通过分组过滤＋应用网关（I）简化路由配置只有网关上的代理服务支持41分组过滤＋应用网关（II）路由器过滤应用网关不支持的危险协议应用网关仅需一个网络接口，不要求在应用网关与路由器之间有一个分离的子网路由器允许转发可信服务到网关周围和直接到内部网络分组过滤＋应用网关（II）路由器过滤应用网关不支持的危险协议42分组过滤＋应用网关（II）也叫屏蔽主机防火墙结构，屏蔽路由器使用分组过滤技术，堡垒主机运行应用网关程序，为内部主机提供代理服务。路由过滤器根据以下规则来路由内外部通信路由从Internet外部访问应用网关的通信拒绝来自任何Internet外部的其它访问拒绝路由任何内部网络访问Internet外部的请求，除非来自内部的应用代理。适于需要灵活性的网络，但安全性降低。分组过滤＋应用网关（II）也叫屏蔽主机防火墙结构，屏蔽路由器43屏蔽子网防火墙结构适于通信量很大或高速网络通信的内部网络强化安全，但配置较为复杂屏蔽子网防火墙结构适于通信量很大或高速网络通信的内部网络44屏蔽子网防火墙结构(cont.)屏蔽子网防火墙结构(cont.)45屏蔽子网防火墙结构(cont.)屏蔽子网防火墙结构(cont.)46防火墙实现策略(cont.)对防火墙系统而言，共有两层网络安全策略：网络服务访问策略：是高层策略，定义了受保护网络明确允许和明确拒绝的网络服务，分析网络服务的可用性（包括可用条件）、风险性等。防火墙设计策略：是低层策略，描述了防火墙如何根据高层的网络服务访问策略中定义的策略来具体地限制访问和过滤服务。防火墙实现策略(cont.)对防火墙系统而言，共有两层网络安47网络服务访问策略不允许外部网络或Internet访问内部网络，但允许内部网络访问外部网络或Internet。允许外部网络或Internet访问部分内部网络，这些特定的网络服务是经过严格选择和控制的，如一些信息服务器、电子邮件服务器或域名服务器等等。防火墙实现策略(cont.)网络服务访问策略防火墙实现策略(cont.)48防火墙设计策略

防火墙设计策略必须针对具体的防火墙，它定义过滤规则等，以实现高层的网络服务策略。这个策略在设计时必须考虑到防火墙本身的性能、限制及具体协议如TCP/IP。常用的两种基本防火墙设计策略是：允许所有除明确拒绝之外的通信或服务（很少考虑，因为这样的防火墙可能带来许多风险和安全问题。攻击者完全可以使用一种拒绝策略中没有定义的服务而被允许并攻击网络）拒绝所有除明确允许之外的通信或服务（常用，但操作困难，并有可能拒绝网络用户的正常需求与合法服务）防火墙实现策略(cont.)防火墙设计策略防火墙实现策略(cont.)49作为一个安全策略的设计者，应懂得以下问题的要点：哪些Internet服务是本网络系统打算使用或提供的？（如TELNET、FTP、HTTP）这些Internet服务在哪或哪个范围内使用？（如在本地网内、整个Internet或拨号服务等）可能有哪些额外或临时的服务或需求？（如加密、拨入服务等）提供这些服务和访问有哪些风险和总的花费？防火墙实现策略(cont.)作为一个安全策略的设计者，应懂得以下问题的要点：防火墙实现策50对防火墙技术与产品发展的介绍防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业：据不完全统计，在国际上防火墙产品销售从1995年的不到1万套，猛增到1997年底的10万套。据国际权威商业调查机构的预测,防火墙市场将以173％的复合增长率增长，到2000年将达150万套，市场营业额将从1995年的1.6亿美元上升到2000年的9.8亿美元。对防火墙技术与产品发展的介绍防火墙技术是建立在现代通信网络技51防火墙发展历程第一阶段：基于路由器的防火墙第二阶段：用户化的防火墙工具套第三阶段：建立在通用操作系统上的防火墙第四阶段：具有安全操作系统的防火墙对防火墙技术与产品发展的介绍(cont.)防火墙发展历程对防火墙技术与产品发展的介绍(cont.)52第一代防火墙产品的特点是：利用路由器本身对分组的解析,以访问控制表（accesslist）方式实现对分组的过滤；过滤判决的依据可以是：地址、端口号、IP旗标及其它网络特征；只有分组过滤的功能，且防火墙与路由器是一体的，对安全要求低的网络可采用路由器附带防火墙功能的方法，对安全性要求高的网络则可单独利用一台路由器作防火墙。第一阶段：基于路由器的防火墙第一代防火墙产品的特点是：第一阶段：基于路由器的防火墙53第一阶段：基于路由器的防火墙(cont.)第一代防火墙产品的不足之处为：路由协议十分灵活，本身具有安全漏洞，外部网络要探寻内部网络十分容易。路由器上的分组过滤规则的设置和配置存在安全隐患。攻击者可以“假冒”地址，由于信息在网络上是以明文传送的，黑客可以在网络上伪造假的路由信息欺骗防火墙。防火墙的规则设置会大大降低路由器的性能。第一阶段：基于路由器的防火墙(cont.)第一代防火墙产品的54第二阶段：用户化的防火墙工具套

作为第二代防火墙产品，用户化的防火墙工具套具有以下特征：将过滤功能从路由器中独立出来，并加上审计和告警功能；针对用户需求，提供模块化的软件包；软件可通过网络发送，用户可根据需要构造防火墙；与第一代防火墙相比，安全性提高了，价格降低了。第二阶段：用户化的防火墙工具套55第二阶段：用户化的防火墙工具套(cont.)不足之处：配置和维护过程复杂、费时；对用户的技术要求高；全软件实现，安全性和处理速度均有局限；实践表明，使用中出现差错的情况很多。第二阶段：用户化的防火墙工具套(cont.)不足之处：56第三阶段：建立在通用操作系统上的防火墙具有以下特点：是批量上市的专用防火墙产品；包括分组过滤或者借用路由器的分组过滤功能；装有专用的代理系统，监控所有协议的数据和指令；保护用户编程空间和用户可配置内核参数的设置；安全性和速度大为提高。第三阶段：建立在通用操作系统上的防火墙具有以下特点：57第三阶段：建立在通用操作系统上的防火墙(cont.)存在的问题：作为基础的操作系统及其内核往往不为防火墙管理者所知，由于原码的保密，其安全性无从保证；由于大多数防火墙厂商并非通用操作系统的厂商，通用操作系统厂商不会对操作系统的安全性负责；从本质上看，第三代防火墙既要防止来自外部网络的攻击，还要防止来自操作系统厂商的攻击。用户必须依赖两方面的安全支持：一是防火墙厂商、一是操作系统厂商。第三阶段：建立在通用操作系统上的防火墙(cont.)存在的问58

第四阶段：具有安全操作系统的防火墙具有以下特点：防火墙厂商具有操作系统的源代码，并可实现安全内核；对安全内核实现加固处理:即去掉不必要的系统特性，加固内核，强化安全保护；对每个服务器、子系统都作了安全处理，一旦黑客攻破了一个服务器，它将会被隔离在此服务器内，不会对网络的其它部份构成威胁；在功能上包括了分组过滤、应用网关、电路级网关，且具有加密与鉴别功能；透明性好，易于使用。第四阶段：具有安全操作系统的防火墙具有以下特点：59第四代防火墙的主要技术与功能

第四代防火墙产品将网关与安全系统合二为一，具有以下技术与功能特点：双端口或三端口的结构透明的访问方式灵活的代理系统多级的过滤技术网络地址转换技术

Internet网关技术安全服务器网络（SSN）用户鉴别与加密用户定制服务审计和告警第四代防火墙的主要技术与功能 第四代防火墙产品将网关与安60双端口或三端口的结构新一代防火墙产品具有两个或三个独立的网卡，内外两个网卡可不作IP转化而串接于内部网与外部网之间，另一个网卡可专用于对服务器的安全保护。双端口或三端口的结构61透明的访问方式

以前的防火墙在访问方式上要么要求用户作系统登录，要么需要通过SOCKS等库路径修改客户机的应用。第四代防火墙利用了透明的代理系统技术，从而降低了系统登录固有的安全风险和出错概率。透明的访问方式以前的防火墙在访问方式上要么要求62灵活的代理系统代理系统是一种将信息从防火墙的一侧传送到另一侧的软件模块。第四代防火墙采用了两种代理机制，一种用于代理从内部网络到外部网络的连接，采用网络地址转换(NAT)技术来解决，另一种用于代理从外部网络到内部网络的连接。采用非保密的用户定制代理或保密的代理系统技术来解决。灵活的代理系统代理系统是一种将信息从防火墙的一侧传63

多级的过滤技术为保证系统的安全性和防护水平，第四代防火墙采用了三级过滤措施，并辅以鉴别手段。在分组过滤一级，能过滤掉所有的源路由分组和假冒的IP源地址；在应用级网关一级,能利用FTP、SMTP等各种网关，控制和监测Internet提供的所有通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务的通行实行严格控制。多级的过滤技术为保证系统的安全性和防护水平，第四代64网络地址转换技术第四代防火墙利用NAT技术能透明地对所有内部地址作转换，使外部网络无法了解内部网络的内部结构，同时允许内部网络使用自己编的IP地址和专用网络，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。网络地址转换技术第四代防火墙利用NAT技术能透明65Internet网关技术Internet网关技术66安全服务器网络（SSN）为适应越来越多的用户向Internet上提供服务时对服务器保护的需要,第四代防火墙采用特别保护的策略对用户上网的对外服务器实施保护，它利用一张网卡将对外服务器作为一个独立网络处理，对外服务器既是内部网的一部份，又与内部网关完全隔离。这就是安全服务器网络(SSN)技术，对SSN上的主机既可单独管理，也可设置成通过FTP、Telnet等方式从内部网上管理。安全服务器网络（SSN）为适应越来越多的用户向In67

用户鉴别与加密为了降低防火墙产品在Telnet、FTP等服务和远程管理上的安全风险，鉴别功能必不可少，第四代防火墙采用一次性使用的口令字系统来作为用户的鉴别手段，并实现了对邮件的加密。用户鉴别与加密为了降低防火墙产品在Telnet、F68用户定制服务为满足特定用户的特定需求，第四代防火墙在提供众多服务的同时,还为用户定制提供支持，这类选项有：通用TCP，出站UDP、FTP、SMTP等类,如果某一用户需要建立一个数据库的代理，便可利用这些支持，方便设置。用户定制服务为满足特定用户的特定需求，第四代防火墙69审计和告警第四代防火墙产品的审计和告警功能十分健全，日志文件包括：一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接请求、已鉴别的访问、告警条件、管理日志、进站代理、FTP代理、出站代理、邮件服务器、域名服务器等。告警功能会守住每一个TCP或UDP探寻，并能以发出邮件、声响等多种方式报警。审计和告警第四代防火墙产品的审计和告警功能十分健70第四代防火墙技术实现

在第四代防火墙产品的设计与开发中，关键在于：安全内核代理系统多级过滤安全服务器鉴别与加密第四代防火墙技术实现在第四代防火墙产品的设计与开发中71安全内核的实现对安全操作系统内核的固化与改造主要从以下几方面进行：取消危险的系统调用；限制命令的执行权限；取消IP的转发功能；检查每个分组的接口；采用随机连接序号；驻留分组过滤模块；取消动态路由功能；采用多个安全内核。安全内核的实现对安全操作系统内核的固化与改造主要从以72代理系统的建立在所有的连接通过防火墙前，所有的代理要检查已定义的访问规则，这些规则控制代理的服务并根据以下内容处理分组：源地址；目的地址；时间；同类服务的最大数量。代理系统的建立在所有的连接通过防火墙前，所有的代理要73

代理系统的建立（cont.)所有外部网络到防火墙内部或SSN的连接由进站代理处理，进站代理要保证内部主机能了解外部主机的所有信息，而外部主机只能看到防火墙之外或SSN的地址。所有从内部网络或SSN通过防火墙与外部网络建立的连接由出站代理处理，出站代理必须确保完全由它代表内部网络与外部地址相连，防止内部网址与外部网址的直接连接,同时还要处理内部网络到SSN的连接。代理系统的建立（cont.)所有外部网络到防火墙内部或S74分组过滤器的设计分组过滤器包括以下参数:进站接口；出站接口；IP协议特征；允许的连接；源端口范围；源地址；目的地址；目的端口的范围等。分组过滤器的设计分组过滤器包括以下参数:75安全服务器的设计安全服务器的设计有两个要点：第一，所有SSN的流量都要隔离处理，即从内部网和外部网而来的路由信息流在机制上是分离的；第二，SSN的作用类似于两个网络，它看上去象是内部网，因为它对外透明，同时又象是外部网络，因为它从内部网络对外访问的方式十分有限。安全服务器的设计安全服务器的设计有两个要点：76安全服务器的设计（cont.)SSN上的每一个服务器都是隐蔽于Inter-net，SSN提供的服务对外部网络而言好象防火墙的功能，由于地址转换已是透明的,对各种网络应用没有限制。实现SSN的关键在于：解决分组过滤器与SSN的连接；支持通过防火墙对SSN的访问；支持代理服务。安全服务器的设计（cont.)SSN上的每一个服77鉴别与加密的考虑鉴别与加密是防火墙识别用户，验证访问和保护信息的有效手段，鉴别机制除了提供安全保护而外，还有安全管理的功能，目前国外防火墙产品中广泛使用令牌鉴别方式，具体方法有两种，一种是加密卡（CryptoCard）；另一种是SecureID，这两种都是一次性口令的生成工具。对信息内容的加密与鉴别则涉及加密算法和数字签名技术，除PEM、PGP和Kerberos外，目前国外防火墙产品中尚没有更好的机制出现，由于加密算法涉及国家信息安全和主权，各国有不同的要求。鉴别与加密的考虑鉴别与加密是防火墙识别用户，验证访问78第四代防火墙的抗攻击能力

作为一种安全防护设备，防火墙在网络中自然是众多攻击者的目标，故抗攻击能力也是防火墙的必备功能，在Internet环境中针对防火墙的攻击方法主要有：抗IP假冒攻击抗特洛伊木马攻击抗口令字探寻攻击抗网络安全性分析抗邮件诈骗攻击第四代防火墙的抗攻击能力作为一种安全防护设备，79抗IP假冒攻击

IP假冒是指一个非法的主机假冒内部的主机地址，骗取服务器的“信任”，从而达到对网络的攻击目的。由于第四代防火墙知道网络内外的IP地址，它会丢弃所有来自网络外部但却有内部地址的分组，再之防火墙已将网内的实际地址隐蔽起来，外部用户很难知道内部的IP地址，因而难以攻击。

第四代防火墙的抗攻击能力(cont.)抗IP假冒攻击第四代防火墙的抗攻击能力(cont.)80抗特洛伊木马攻击

特洛伊木马能将病毒或破坏性程序传入计算机网络，且通常是将这些恶意程序隐蔽在正常的程序，尤其是热门程序或游戏之中，一些用户下载并执行这一程序，其中的病毒便会发作。第四代防火墙是建立在安全的操作系统之上的，其安全内核中不能执行下载的程序，故而可防止特洛伊木马的发生。必须指出的是，防火墙能抗特洛伊木马的攻击并不表明受其保护的某个主机也能防止这类攻击。事实上，内部用户可通过防火墙下载程序，并执行下载的程序。第四代防火墙的抗攻击能力(cont.)抗特洛伊木马攻击第四代防火墙的抗攻击能力(cont.)81抗口令字探寻攻击

在网络中探寻口令字的方法很多，最常见的是口令字嗅探和口令字解密。嗅探是通过监测网络通信，截获用户传给服务器的口令字，记录下来，以便使用；解密是指采用强力攻击、猜测或截获含有加密口令字的文件，并设法解密。此外，攻击者还常常利用一些常用口令字直接登录。 第四代防火墙采用了一次性口令字和禁止直接登录防火墙的措施，能有效防止对口令字的攻击。

第四代防火墙的抗攻击能力(cont.)抗口令字探寻攻击第四代防火墙的抗攻击能力(cont.)82抗网络安全性分析

网络安全性分析工具本是供管理人员分析网络安全性之用的，一旦这类工具用作攻击网络的手段，则能较方便地探测到内部网络的安全缺陷和弱点所在，目前，SATAN软件可以从网上免费获得，InternetScanner可从市面上购买，这些分析工具给网络安全构成了直接威胁。第四代防火墙采用了地址转换技术，将内部网络隐蔽起来，使网络安全分析工具无法从外部对内部网作分析。第四代防火墙的抗攻击能力(cont.)抗网络安全性分析第四代防火墙的抗攻击能力(cont.)83抗邮件诈骗攻击

邮件诈骗也是越来越突出的攻击方式，第四代防火墙不接收任何邮件，故难以采用这种方式对它攻击，同样值得一提的是，防火墙不接受邮件，并不表示它不让邮件通过，实际上用户仍可收发邮件，内部用户要防邮件诈骗，最终的解决办法是对邮件加密。第四代防火墙的抗攻击能力(cont.)抗邮件诈骗攻击第四代防火墙的抗攻击能力(cont.)84对防火墙技术的展望：几点趋势防火墙将从目前对子网或内部网管理的方式向远程上网集中管理的方式发展；过滤深度不断加强,从目前的地址、服务过滤，发展到URL（页面）过滤，关键字过滤和对ActiveX、Java等的过滤，并逐渐有病毒扫除功能。单向防火墙（又叫网络二极管）将作为一种产品门类而出现；对防火墙技术的展望：几点趋势防火墙将从目前对子网或内部网管85

利用防火墙建立专用网(VPN)是较长一段时间的用户使用的主流，IP的加密需求越来越强，安全协议的开发是一大热点；对网络攻击的检测和告警将成为防火墙的重要功能；安全管理工具不断完善，特别是可疑活动的日志分析工具等将成为防火墙产品中的一部分。对防火墙技术的展望：几点趋势(cont.)利用防火墙建立专用网(VPN)是较长一段时间的用户使用的主86

对防火墙技术的展望：需求的变化根据上述趋势，人们选择防火墙的标准将集中在以下几个方面：易于管理性；应用透明性；鉴别与加密功能；操作环境和硬件要求；VPN的功能与CA的功能；接口的数量；成本。对防火墙技术的展望：需求的变化根据上述趋势，人们选87LinuxIP防火墙及其原理简介常见防火墙的配置模式常见防火墙的基本工作总结LinuxIP防火墙及其原理简介88Internet/公网内部网路由器NEsec300FW2035968?告警内网接口外网接口电源控制台服务器服务器服务器主机主机内外网络隔离截取IP包，根据安全策略控制其进/出双向网络地址转换（NAT）基于一次性口令对移动访问进行身份识别和控制IPMAC捆绑，防止IP地址的滥用安全记录通信事件记录操作事件记录违规事件记录异常情况告警移动用户拨号用户局域网用户防火墙（内部地址）（内部地址）Internet/内部网路由器NEsec300FW203589路由器HTTP服务器DNS服务器Email服务器防火墙DMZ区（DemilitarizedZone）内部专用网络InternetDDNPSTNATMISDNX.25帧中继防火墙管理器外部网络安装方式之一路由器HTTP服务器DNS服务器Email服务器防火墙DMZ90防火墙防火墙管理工作站分支机构受保护局域网防火墙防火墙资源子网路由器路由器路由器分支机构受保护局域网公共网络总部路由器路由器安装方式之二防火墙防火墙管理工作站分支机构防火墙防火墙资源子网路由器路由91安装方式之三安装方式之三92隔离内外网络通信控制外部用户进入内部专网限制内部用户出访鉴别移动或异地办公用户的网络访问支持内部网络主机和服务器采用私有地址，对外界隐藏内部网络拓扑防止内部主机IP地址的滥用和误用对来自外部、内部的网络违规和入侵行为进行检测和集中监控系统安全审计对违规通信、安全事件进行实时报警和处置统计网络通信流量，并根据策略进行流量控制采用基于策略的方式对防火墙设备进行配置产品应用功能隔离内外网络通信产品应用功能93安全公理/定理/推理公理：所有的程序都有缺陷（摩菲定理）大程序定律：大程序的缺陷甚至比它包含的内容还多推理：一个安全相关程序有安全性缺陷定理：只要不运行这个程序，那么这个程序有缺陷，也无关紧要推理：只要不运行这个程序，那么这个程序有安全性漏洞，也无关紧要定理：对外暴露的计算机，应尽可能少地运行程序，且运行的程序也尽可能地小推论：防火墙基本法则：防火墙必须配置得尽可能地小，才能降低风险。安全公理/定理/推理公理：所有的程序都有缺陷（摩菲定理）94防火墙配置策略的基本准则一切未被允许的就是禁止的。防火墙缺省封锁所有的信息流，然后对希望提供的服务逐项开放。优点:实用,安全，可靠性高。按规则链来进行匹配使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配从头到尾的匹配方式匹配成功马上停止立刻使用该规则的”接受、禁止、拒绝……”防火墙配置策略的基本准则一切未被允许的就是禁止的。95防火墙网络地址转换6内部网络地址192.168.0.x外部网络/Internet地址网络地址转换防火墙6内部网络地址外部网络/Int96Internet01内部网/E_MailServerFTPServer23/24SFH02FW

Alarm2035968?E1E0Power防火墙6/24重定向（反向NAT）/24/24Internet078800:88:CC:A0:2C:4D8888:88:88:88:88:88PASSNOIP包IP包IP/MAC地址对应8888PASS98安全日志记录用户访问的开始和终止时间记录用户的通信事件，例如主机地址、访问时间、协议等信息记录安全管理员的操作事件记录违规事件安全日志记录用户访问的开始和终止时间99

成都市党政网

国家人事部

检察日报社

国家林业局

北京市公安局

四川省移动通信公司中国工程院防火墙应用案例防火墙应用案例100谢谢！谢谢！101信息系统安全技术--防火墙技术信息系统安全技术102ServerClient防火墙（Firewall）注解：防火墙类似一堵城墙，将服务器与客户主机进行物理隔离，并在此基础上实现服务器与客户主机之间的授权互访、互通等功能。ServerClient防火墙（Firewall103防火墙概念防火墙特征防火墙功能协议与服务防火墙技术内容防火墙体系结构防火墙实现策略对防火墙技术与产品发展的介绍对防火墙技术的展望内容提要防火墙概念内容提要104防火墙概念

防火墙是指设置在不同网络或网络安全域（公共网和企业内部网）之间的一系列部件的组合。它是不同网络（安全域）之间的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有很高的抗攻击能力，它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙概念 防火墙是指设置在不同网络或网络安全域（公共网105防火墙特征保护脆弱和有缺陷的网络服务集中化的安全管理加强对网络系统的访问控制加强隐私对网络存取和访问进行监控审计防火墙特征保护脆弱和有缺陷的网络服务106保护脆弱和有缺陷的网络服务一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。防火墙特征(cont.)保护脆弱和有缺陷的网络服务防火墙特征(cont.)107防火墙特征(cont.)集中化的安全管理通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。防火墙特征(cont.)集中化的安全管理108加强对网络系统的访问控制一个防火墙的主要功能是对整个网络的访问控制。比如防火墙可以屏蔽部分主机，使外部网络无法访问，同样可以屏蔽部分主机的特定服务，使得外部网络可以访问该主机的其它服务，但无法访问该主机的特定服务。防火墙不应向外界提供网络中任何不需要服务的访问权，这实际上是安全政策的要求了。控制对特殊站点的访问：如有些主机或服务能被外部网络访问，而有些则需被保护起来，防止不必要的访问。防火墙特征(cont.)防火墙特征(cont.)109加强隐私隐私是内部网络非常关心的问题。一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。防火墙特征(cont.)防火墙特征(cont.)110对网络存取和访问进行监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。防火墙特征(cont.)对网络存取和访问进行监控审计防火墙特征(cont.)111

从总体上看，防火墙应具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。防火墙功能防火墙功能112协议－－ISO/OSI协议分层应用层表示层会话层传输层数据链路层物理层网络层数据链路层协议－－ISO/OSI协议分层应用层表示层会话层传113协议－－ISO/OSI协议分层(cont.)物理层：涉及在物理信道上传输原始比特，处理与物理传输介质有关的机械的、电气的和过程的接口。数据链路层：分为介质访问控制（MAC）和逻辑链路控制（LLC）两个子层。MAC子层解决广播型网络中多用户竞争信道使用权问题。LLC的主要任务是将有噪声的物理信道变成无传输差错的通信信道，提供数据成帧、差错控制、流量控制和链路控制等功能。网络层：负责将数据从物理连接的一端传到另一端，即所谓点到点，通信主要功能是寻径，以及与之相关的流量控制和拥塞控制等。协议－－ISO/OSI协议分层(cont.)物理层：涉及在114协议－－ISO/OSI协议分层(cont.)传输层：主要目的在于弥补网络层服务与用户需求之间的差距。传输层通过向上提供一个标准、通用的界面，使上层与通信子网（下三层）的细节相隔离。传输层的主要任务是提供进程间通信机制和保证数据传输的可靠性。会话层：主要针对远程终端访问。主要任务包括会话管理、传输同步以及活动管理等。表示层：主要功能是信息转换，包括信息压缩、加密、与标准格式的转换（以及上述各操作的逆操作）等等。应用层：提供最常用且通用的应用程序，包括电子邮件（E-mail）和文电传输等。协议－－ISO/OSI协议分层(cont.)传输层：主要目115应用层表示层会话层传输层网络层数据链路层物理层FTP、TELNETNFSSMTP、SNMPXDRRPCTCP、UDPIPEthernet、PDN、IEEE802.3、IEEE802.4、IEEE802.5及其它ICMPARPRARPOSI参考模型Internet协议簇OSI参考模型与Internet协议簇注解：通过对每一个协议簇中各种协议结构的详细了解，就可以非常轻松的针对包过滤型、应用代理型等防火墙的ACL（访问控制列表）进行制定和理解，并有助于了解防火墙的架构体系。应用层FTP、TELNETNFSICMPA116协议－－TCP/IP协议分层应用层传输层网间网层网络接口层协议－－TCP/IP协议分层应用层传输层网间网层网络接口层117协议－－TCP/IP协议分层应用层：向用户提供一组常用的应用程序，比如文件传输访问、电子邮件、远程登录等。用户完全可以在“网间网”之上（即传输层之上），建立自己的专用应用程序，这些专用应用程序要用到TCP/IP，但不属于TCP/IP。传输层（TCP/UDP）：提供应用程序间（即端到端）的可靠（TCP）或高效（UDP）的通信。其功能包括：格式化信息流及提供可靠传输。传输层还要解决不同应用程序的识别问题。网间网层（IP）：负责相邻计算机之间的通信。其功能包括：处理来自传输层的分组发送请求；处理输入数据包；处理ICMP报文。网络接口层：TCP/IP协议的最低层，负责接收IP数据报并通过网络发送，或者从网络上接收物理帧，抽出IP数据包，交给IP层。协议－－TCP/IP协议分层应用层：向用户提供一组常用的应用118TCP/IP服务注解：通过该服务体系的理解，大家一定要了解清楚IP包过滤型防火墙中的TCP协议簇包括那些具体协议、UDP协议簇包括那些具体协议，并要特别注意怎样通过防火墙的ICMP协议去安全有效的控制PING命令的执行。TCP/IP服务注解：通过该服务体系的理解，大家一定要了解清119TCP/IP服务(cont.)TCP/IP服务(cont.)120RPC-远程过程调用服务。如NFS-NetworkFileSystem,可允许系统共享目录与磁盘。NIS-NetworkInformationServices,网络信息服务容许多个系统共享数据库,如passwordfile容许集中管理。XWindowSystem：一个图形化的窗口系统。Rlogin、rsh、及其它“r”服务。运用相互信任的主机的概念，在其它系统上可以执行命令且不要求password。TCP/IP服务(cont.)TCP/IP服务(cont.)121IPIP协议的主要内容包括无连接数据报传送、数据报寻径及差错处理三部分。IP层作为通信子网的最高层，屏蔽底层各种物理网络的技术环节，向上（TCP层）提供一致的、通用性的接口，使得各种物理网络的差异性对上层协议不复存在。IP数据报分为报头和数据区两部分，IP报头由IP协议处理，是IP协议的体现；数据体则用于封装传输层数据或差错和控制报文（ICMP）数据，由TCP协议或ICMP协议处理。IPIP协议的主要内容包括无连接数据报传送、数据报寻径及差错122TCPTCP是传输层的重要协议之一，提供面向连接的可靠字节流传输。面向连接的TCP要求在进行实际数据传输前，必须在信源端与信宿端建立一条连接。且面向连接的每一个报文都需接收端确认，未确认报文被认为是出错报文，出错的报文协议要求出错重传。TCP采用可变窗口进行流量控制和拥塞控制以保证可靠性。分组是TCP传输数据的基本单元，分TCP头和TCP数据体两大部分。TCPTCP是传输层的重要协议之一，提供面向连接的可靠字节流123UDPUDP是传输层的重要协议之一；基于UDP的服务包括NIS、NFS、NTP及DNS等。UDP不是面向连接的服务，几乎不提供可靠性措施；因此，基于UDP的服务具有较高的风险。UDP124TCP与UDP端口一个TCP或UDP连接由下述要素唯一确定：源IP地址、目的地IP地址、源端口、目的地端口。TCP或UDP用协议端口标识通信进程，端口是一种抽象的软件结构（包括一些数据结构和I/O缓冲区）。应用程序（即进程）通过系统调用与某些端口建立连接后，传输层传给该端口的数据被相应进程所接收。接口又是进程访问传输服务的人口点。每个端口拥有一个叫端口号的16位整数标识符，用于区分不同端口。TCP和UDP软件分别可以提供65536个不同的端口。端口有两部分，一部分是保留端口（端口号小于1024，对应于服务器进程），一部分是自由端口（以本地方式分配）。TCP与UDP端口一个TCP或UDP连接由下述要素唯一确定：125某些服务进程通常对应于特定的端口。如SMTP为25，XWINDOWS为6000。客户使用端口号及目的地IP地址初始化与一个特定主机或服务的连接。TCP与UDP端口(cont.)某些服务进程通常对应于特定的端口。如SMTP为25，XWI126协议－－IPV6 IETF决定在不久的将来利用IPV6来代替IPV4。IPV6既能适应高速网络（如ATM），也能适应低带宽环境。扩展地址和路由规模。主机地址自动配置。公共子网服务。安全性加强。协议－－IPV6 IETF决定在不久的将来利用IPV6来代替127

防火墙技术可根据防范的方式和侧重点的不同而分为很多种类型，但总体来讲可分为三大类：分组过滤、应用代理、电路中继分组过滤（Packetfiltering）：作用在网络层和传输层，它根据分组包头源地址，目的地址和端口号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。防火墙技术内容防火墙技术可根据防范的方式和侧重点的不同而分为很防火墙技128应用代理（ApplicationProxy）：也叫应用网关（ApplicationGateway）,它作用在应用层，其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。电路中继(CircuitRelay)：也叫电路网关(CircuitGateway)或TCP代理（TCP－Proxy）,其工作原理与应用代理类似，不同之处是该代理程序是专门为传输层的TCP协议编制的。防火墙技术内容(cont.)应用代理（ApplicationProxy）：防火墙技术内129防火墙技术内容－分组过滤应用层表示层会话层传输层网络层数据链路层物理层物理层数据链路层网络层应用层表示层会话层传输层网络层数据链路层物理层外部网络主机内部网络主机分组过滤型防火墙防火墙技术内容－分组过滤应用层表示层会话层传输层网络层数据链130 一个分组过滤型防火墙通常能根据IP分组的以下各项过滤：源IP地址目标IP地址TCP/UDP源端口TCP/UDP目标端口协议类型防火墙技术内容－分组过滤(cont.) 一个分组过滤型防火墙通常能根据IP分组的以下各项过滤：防131防火墙技术内容－分组过滤(cont.)分组过滤防火墙应用示例防火墙技术内容－分组过滤(cont.)分组过滤防火墙应用示例132优点：透明的防火墙系统高速的网络性能易于配置支持网络内部隐藏防火墙技术内容－分组过滤(cont.)优点：防火墙技术内容－分组过滤(cont.)133 缺点：易于IP地址假冒记录日志信息不充分源路由攻击设计和配置一个真正安全的分组过滤规则比较困难分组过滤防火墙并不能过滤所有的协议极小分片设数据包攻击无法防止数据驱动式攻击防火墙技术内容－分组过滤(cont.) 缺点：防火墙技术内容－分组过滤(cont.)134防火墙技术内容－应用代理应用层表示层会话层传输层网络层数据链路层物理层物理层数据链路层网络层应用层表示层会话层传输层网络层数据链路层物理层外部网络主机内部网络主机应用代理型防火墙应用层表示层会话层传输层防火墙技术内容－应用代理应用层表示层会话层传输层网络层数据链135防火墙技术内容－应用代理(cont.)外部Telnet服务器内部Telnet服务器日志系统Telnet代理FTP代理认证系统应用网关一个Telnet代理的例子防火墙技术内容－应用代理(cont.)外部Telnet服务器136一个Telnet应用代理的过程用户首先Telnet到应用网关主机，并输入内部目标主机的名字（域名、IP地址）应用网关检查用户的源IP地址等，并根据事先设定的访问规则来决定是否转发或拒绝然后用户必须进行是否验证（如一次一密等高级认证设备）应用网关中的代理服务器为用户建立在网关与内部主机之间的Telnet连接代理服务器在两个连接（用户/应用网关，代理服务器/内部主机）之间传送数据应用网关对本次连接进行日志记录防火墙技术内容－应用代理(cont.)一个Telnet应用代理的过程防火墙技术内容－应用代理(co137优点：在网络连接建立之前可以对用户身份进行认证所有通过防火墙的信息流可以被记录下来易于配置支持内部网络的信息隐藏与分组过滤规则相比简单易于控制和管理防火墙技术内容－应用代理(cont.)优点：防火墙技术内容－应用代理(cont.)138 缺点：对每种类型的服务都需要一个代理网络性能不高防火墙对用户不透明客户应用可能需要修改需要多个防火墙主机防火墙技术内容－应用代理(cont.) 缺点：防火墙技术内容－应用代理(cont.)139防火墙体系结构分组过滤防火墙结构分组过滤＋应用网关（I）分组过滤＋应用网关（II）屏蔽子网防火墙结构防火墙体系结构分组过滤防火墙结构140分组过滤防火墙适合于较小的、简单的系统如规则复杂，则难于管理分组过滤防火墙适合于较小的、简单的系统141分组过滤＋应用网关（I）简化路由配置加强隐私双重保护花费高一些只有网关上的代理服务支持的应用才能通过分组过滤＋应用网关（I）简化路由配置只有网关上的代理服务支持142分组过滤＋应用网关（II）路由器过滤应用网关不支持的危险协议应用网关仅需一个网络接口，不要求在应用网关与路由器之间有一个分离的子网路由器允许转发可信服务到网关周围和直接到内部网络分组过滤＋应用网关（II）路由器过滤应用网关不支持的危险协议143分组过滤＋应用网关（II）也叫屏蔽主机防火墙结构，屏蔽路由器使用分组过滤技术，堡垒主机运行应用网关程序，为内部主机提供代理服务。路由过滤器根据以下规则来路由内外部通信路由从Internet外部访问应用网关的通信拒绝来自任何Internet外部的其它访问拒绝路由任何内部网络访问Internet外部的请求，除非来自内部的应用代理。适于需要灵活性的网络，但安全性降低。分组过滤＋应用网关（II）也叫屏蔽主机防火墙结构，屏蔽路由器144屏蔽子网防火墙结构适于通信量很大或高速网络通信的内部网络强化安全，但配置较为复杂屏蔽子网防火墙结构适于通信量很大或高速网络通信的内部网络145屏蔽子网防火墙结构(cont.)屏蔽子网防火墙结构(cont.)146屏蔽子网防火墙结构(cont.)屏蔽子网防火墙结构(cont.)147防火墙实现策略(cont.)对防火墙系统而言，共有两层网络安全策略：网络服务访问策略：是高层策略，定义了受保护网络明确允许和明确拒绝的网络服务，分析网络服务的可用性（包括可用条件）、风险性等。防火墙设计策略：是低层策略，描述了防火墙如何根据高层的网络服务访问策略中定义的策略来具体地限制访问和过滤服务。防火墙实现策略(cont.)对防火墙系统而言，共有两层网络安148网络服务访问策略不允许外部网络或Internet访问内部网络，但允许内部网络访问外部网络或Internet。允许外部网络或Internet访问部分内部网络，这些特定的网络服务是经过严格选择和控制的，如一些信息服务器、电子邮件服务器或域名服务器等等。防火墙实现策略(cont.)网络服务访问策略防火墙实现策略(cont.)149防火墙设计策略

防火墙设计策略必须针对具体的防火墙，它定义过滤规则等，以实现高层的网络服务策略。这个策略在设计时必须考虑到防火墙本身的性能、限制及具体协议如TCP/IP。常用的两种基本防火墙设计策略是：允许所有除明确拒绝之外的通信或服务（很少考虑，因为这样的防火墙可能带来许多风险和安全问题。攻击者完全可以使用一种拒绝策略中没有定义的服务而被允许并攻击网络）拒绝所有除明确允许之外的通信或服务（常用，但操作困难，并有可能拒绝网络用户的正常需求与合法服务）防火墙实现策略(cont.)防火墙设计策略防火墙实现策略(cont.)150作为一个安全策略的设计者，应懂得以下问题的要点：哪些Internet服务是本网络系统打算使用或提供的？（如TELNET、FTP、HTTP）这些Internet服务在哪或哪个范围内使用？（如在本地网内、整个Internet或拨号服务等）可能有哪些额外或临时的服务或需求？（如加密、拨入服务等）提供这些服务和访问有哪些风险和总的花费？防火墙实现策略(cont.)作为一个安全策略的设计者，应懂得以下问题的要点：防火墙实现策151对防火墙技术与产品发展的介绍防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业：据不完全统计，在国际上防火墙产品销售从1995年的不到1万套，猛增到1997年底的10万套。据国际权威商业调查机构的预测,防火墙市场将以173％的复合增长率增长，到2000年将达150万套，市场营业额将从1995年的1.6亿美元上升到2000年的9.8亿美元。对防火墙技术与产品发展的介绍防火墙技术是建立在现代通信网络技152防火墙发展历程第一阶段：基于路由器的防火墙第二阶段：用户化的防火墙工具套第三阶段：建立在通用操作系统上的防火墙第四阶段：具有安全操作系统的防火墙对防火墙技术与产品发展的介绍(cont.)防火墙发展历程对防火墙技术与产品发展的介绍(cont.)153第一代防火墙产品的特点是：利用路由器本身对分组的解析,以访问控制表（accesslist）方式实现对分组的过滤；过滤判决的依据可以是：地址、端口号、IP旗标及其它网络特征；只有分组过滤的功能，且防火墙与路由器是一体的，对安全要求低的网络可采用路由器附带防火墙功能的方法，对安全性要求高的网络则可单独利用一台路由器作防火墙。第一阶段：基于路由器的防火墙第一代防火墙产品的特点是：第一阶段：基于路由器的防火墙154第一阶段：基于路由器的防火墙(cont.)第一代防火墙产品的不足之处为：路由协议十分灵活，本身具有安全漏洞，外部网络要探寻内部网络十分容易。路由器上的分组过滤规则的设置和配置存在安全隐患。攻击者可以“假冒”地址，由于信息在网络上是以明文传送的，黑客可以在网络上伪造假的路由信息欺骗防火墙。防火墙的规则设置会大大降低路由器的性能。第一阶段：基于路由器的防火墙(cont.)第一代防火墙产品的155第二阶段：用户化的防火墙工具套

作为第二代防火墙产品，用户化的防火墙工具套具有以下特征：将过滤功能从路由器中独立出来，并加上审计和告警功能；针对用户需求，提供模块化的软件包；软件可通过网络发送，用户可根据需要构造防火墙；与第一代防火墙相比，安全性提高了，价格降低了。第二阶段：用户化的防火墙工具套156第二阶段：用户化的防火墙工具套(cont.)不足之处：配置和维护过程复杂、费时；对用户的技术要求高；全软件实现，安全性和处理速度均有局限；实践表明，使用中出现差错的情况很多。第二阶段：用户化的防火墙工具套(cont.)不足之处：157第三阶段：建立在通用操作系统上的防火墙具有以下特点：是批量上市的专用防火墙产品；包括分组过滤或者借用路由器的分组过滤功能；装有专用的代理系统，监控所有协议的数据和指令；保护用户编程空间和用户可配置内核参数的设置；安全性和速度大为提高。第三阶段：建立在通用操作系统上的防火墙具有以下特点：158第三阶段：建立在通用操作系统上的防火墙(cont.)存在的问题：作为基础的操作系统及其内核往往不为防火墙管理者所知，由于原码的保密，其安全性无从保证；由于大多数防火墙厂商并非通用操作系统的厂商，通用操作系统厂商不会对操作系统的安全性负责；从本质上看，第三代防火