实训指导3.2-3软件防火墙配置保护主机与内部网络ISA讲解

网络安全学习情境3：实训任务3.3使用ISA保护主机与内部网络内容介绍

任务场景1任务相关工具软件介绍2任务设计、规划3任务实施及方法技巧4任务检查与评价5任务总结6任务相关工具软件介绍MicrosoftInternetSecurityandAcceleration(ISA)ServerISAServer是建立在Windows操作系统上的一种可扩展的企业级防火墙和Web缓存服务器。ISAServer的多层防火墙可以保护网络资源免受病毒、黑客的入侵和未经授权的访问。而且，通过本地而不是Internet为对象提供服务，其Web缓存服务器允许组织能够为用户提供更快的Web访问。在网络内安装ISAServer时，可以将其配置成防火墙，也可以配置成Web缓存服务器，或二者兼备。ISAServer提供直观而强大的管理工具，包括Microsoft管理控制台管理单元、图形化任务板和逐步进行的向导。利用这些工具，ISAServer能将执行和管理一个坚固的防火墙和缓存服务器所遇到的困难减至最小。任务设计、规划任务实施及方法技巧防火墙概述什么是防火墙防火墙的主要功能防火墙分类防火墙体系结构常见防火墙简介什么是防火墙网络防火墙是指隔离本地网络和外界网络的安全防御系统防火墙已成为网络安全中最重要的防护设施，它是保护网络并连接网络到外部的最有效方法防火墙Internet局域网防火墙的主要功能强化安全策略记录用户上网活动隐藏用户站点或网络拓扑安全策略的检查防火墙的分类包过滤型防火墙：工作在OSI参考模型的网络层，它根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许数据包通过防火墙的分类代理型防火墙：主要工作在OSI的应用层。代理服务在确认客户端连接请求有效后接管连接，代为向服务器发出连接请求代理型防火墙可以允许或拒绝特定的应用程序或服务，还可以实施数据流监控、过滤、记录和报告功能ISA防火墙Internet局域网防火墙的分类代理服务器通常具有高速缓存功能代理型防火墙的最大缺点是速度较慢防火墙的分类状态检测型防火墙：可以动态地根据实际应用需求，自动生成或删除包过滤规则这种防火墙不但能根据数据包的源地址、目标地址、协议类型、源端口、目标端口等对数据包进行控制，而且能记录通过防火墙的连接状态，直接对包里的数据进行处理防火墙的分类状态检测型防火墙：防火墙体系结构双宿主堡垒主机：保垒主机Internet局域网路由器防火墙体系结构三宿主堡垒主机：保垒主机Internet局域网路由器DMZ区防火墙体系结构背靠背连接：外部ISAInternet局域网路由器DMZ区内部ISA常见的防火墙简介NetScreen系列防火墙是一种硬件防火墙。它集成了防火墙、VPN、入侵检测和流量管理功能，可以无缝地部署到任何网络，而且管理起来非常容易CiscoASA5500系列防火墙是一种硬件防火墙。它集成了多种安全技术和VPN技术，提供了丰富的应用安全、Anti-x防御、网络控制和抑制，以及安全连接等特性，可以最大限度地为企业提供安全防御常见的防火墙简介天融信防火墙天融信网络卫士防火墙属于国产硬件防火墙，它集成了防火墙、IPSECVPN、SSLVPN、带宽管理、防病毒、入侵检测、内容过滤等多种安全功能CheckPoint防火墙是世界上应用较广泛的防火墙之一，该产品包含了防火墙、入侵防御、防间谍软件、网络应用防毒、VoIP安全、Web过滤、URL过滤等技术，是一款安全性极高的防火墙常见的防火墙简介ISAServer2004/2006是微软推出的面向企业级应用的高级应用层防火墙，融合了状态检测和代理型防火墙的特点。ISA防火墙可以为各种类型的网络提供高级保护和快速、安全的Internet访问ISAServer2006功能概述ISAServer2006功能概述Internet防火墙安全服务器发布Web缓存服务器ISAServer2006版本ISAServer2006标准版为小型企业、工作组和部门环境提供企业级防火墙和Web缓存的能力ISAServer2006企业版用于大容量Internet通信环境，提供了集中式服务器管理、多级访问策略、服务器阵列群集，以及容错能力等。功能更强大，部署更复杂规划ISAServer2006的安装ISAServer2006安装注意事项综合解决方案ISA防火墙InternetISAServer2006安装注意事项ISA硬件要求：对象

要求CPU至少733MHz以上，推荐2.0GHz以上

内存至少512MB，推荐2GB硬件空间至少150MB，如果使用缓存模式，需要NTFS分区操作系统Windows2000Server或WindowsServer2003网络适配器必须为连接到ISAServer2006的每个网络单独准备一个适配器，如果只有一个单适配器会自动作为缓存模式综合解决方案小型企业解决方案对于小型企业而言，ISA2006可以放在公司局域网和Internet之间ISAServerInternet局域网综合解决方案中型企业解决方案在中型网络中，可以部署成三宿主机外围网络形式ISAServerInternet局域网路由器DMZ区安装ISAServer2006ISAServer2006的组件阵列：是对一组ISA2006服务器的统一管理方式。阵列中所有服务器共享同样的配置配置存储服务器：用于存储企业中全部阵列的配置信息，是ISA组件中最重要的部分ISA服务器服务：运行防火墙、VPN和缓存服务的ISA服务器ISA服务器管理：用于管理企业和阵列成员的管理终端域环境安装ISA2006ISA2006安装拓扑：ISAServer0/24/245/2482/24域环境安装ISA2006安装ISA2006安装ISA2006客户端ISA2006支持以下3种类型的客户端：FirewallClientSecureNATClientWebProxyClient3种客户端的比较特性SecureNATFirewallWebProxy是否需要安装否，但是需要修改网络配置是否，但是需要配置浏览器操作系统支持任何支持TCP/IP协议的系统只有Windows操作平台所有操作平台，但是需要以Web应用的方式协议支持TCP、HTTP、UDP、HTTPS、FTP及其他TCP、UDP之Winsock应用程序HTTP、HTTPS、FTP以及Gopher用户身份验证只要VPN客户端需要需要服务器应用程序不需要配置或安装需要配置文件N/A配置SecureNATClientSecureNATClient不需要安装特定软件，但必须正确设置默认网关地址配置FirewallClientFirewallClient是安装并启用防火墙客户端软件的计算机防火墙客户端可以把Windows用户信息发送给ISAServer，提供身验证功能如果希望最大化ISA的功能，最好使用FirewallClient配置FirewallClient安装FirewallClient配置WebProxyClientWebProxyClient不需要安装任何的软件，只要将客户端计算机上的代理设置为ISAServer内网卡的地址，同时指定端口号实验案例1：在域环境中部署ISA2006需求描述：安装ISAServer2006配置ISA客户端ISAServer0/24/245/2482/24实验案例1：在域环境中部署ISA2006阶段划分：阶段一：安装ISAServer2006阶段二：配置ISA2006客户端阶段一：安装ISAServer2006实现思路：配置网络参数将ISA2006计算机加入域安装配置存储服务器和ISA服务器服务熟悉ISA2006企业版操作界面阶段二：配置ISA2006客户端实现思路：将计算机配置为防火墙客户端将计算机配置为代理客户端将计算机配置为NAT客户端任务检查与评价任务检查与评价：学习防火墙相关概念及需求点能够正确理解基于主机的防火墙原理深入理解基于主机的防火墙实现方法掌握基于主机的防火墙的配置任务检查与评价任务评价：是否掌握主机防火墙技术的原理与方法，能力得到提升，具体评价要点参见下表：任务3.2-知识技能要点测评表序号测评要点具体目标测评权重1知识理解能理解主机防火墙的原理，选择合适的实施点。202工具及软件使用能够熟在虚拟机中实现防火墙功能的配置。103任务实施掌握主机防火墙的配置方法与技巧204专业能力提升掌握主机防火墙技术，通过主机防火墙