电子商务安全第10章 防火墙技术

1主要内容234567保障内部网平安保证内部网同外部网的连通81对内部网实现集中的平安管理2防止非授权用户进入内部网络3监视网络平安并及时报警4实现网络地址转换NAT5对内部网络划分，实现重点网段的别离6审计和记录网络的访问与使用9网络地址转换NAT10NO规那么：一切未被允许的就是禁止的YES规那么：一切未被禁止的就是允许的“首先匹配〞算法：将最特殊的规那么放在规那么集的最前面，而不特殊或最一般的规那么放在最后面。1112131415数据包的报头结构使用TCP协议的IP数据包16使用UDP协议的IP数据包17根据系统设置的过滤规那么，在网络的适当位置对数据包实施过滤，只允许符合过滤规那么的数据包通过，并被转发到目的地，不满足规那么的数据包被丢弃。18输入包的过滤远程源地址过滤本地目的地址过滤远程端口过滤本地目的端口过滤输出包的过滤本地源地址的过滤远程目的地址的过滤本地源端口过滤远程目的端口过滤19数据包过滤原理20212210.2.2代理效劳

23代理效劳器接收客户请求后会检查验证其合法性，如其合法，代理效劳器象一台客户机一样取回所需的信息再转发给客户。它将内部系统与外界隔离开来，从外面只能看到代理效劳器而看不到任何内部资源。代理效劳器只允许有代理的效劳通过，而其他所有效劳都完全被封锁住。24应用级网关

2526堡垒主机堡垒主机是一种配置了平安防范措施的网络计算机，堡垒主机为网络之间的通信提供了一个阻塞点，如果没有堡垒主机，网络间将不能相互访问。27282．双宿主网关双宿主网关仅用一个代理效劳器〔如以以下图〕，代理效劳器就是安装于双宿主机的代理效劳器软件。293031由屏蔽路由器和应用网关组成。两道屏障：网络层的包过滤；应用层代理效劳注：与双宿主机网关不同，这里的应用网关只有一块网卡。优点：双重保护，平安性更高。实施策略：针对不同的效劳，选择其中的一种或两种保护措施。323334包过滤应用网关电路网关3536优良的性能速度瓶颈易扩展支持NATVPN等过滤深度加强，URL(页面)过滤、关键字过滤、ActiveX过滤、病毒扫描等主动检测与报警日志分析工具373839平安规那么设置是系统最重要，也是最复杂的地方。可以非常灵活的设计适宜自己使用的规那么。规那么是一系列的比较条件和一个对数据包的动作，就是根据数据包的每一个局部来与设置的条件比较，当符合条件时，就可以确定对该包放行或者阻挡。通过合理的设置规那么就可以把有害的数据包挡在你的机器之外。40工具条：点击上面的按钮来导入，增加，修改，删除规那么。由于规那么判断是由上而下的，可以通过点击调“规那么上下移动〞按钮调整规那么的顺序，当调整好顺序后，可按保存按钮保存修改。当规那么增加或修改后，为了让这些规那么生效，还要点击〞应用新规那么“按钮。规那么列表：列出了所有的规那么的名称，该规那么所对应的数据包的方向，该规那么所控制的协议，本机端口，对方地址和对方端口，以及当数据包满足本规那么时所采取的策略。在列表的左边为该规那么是否有效的标志，标记为钩表示改规那么有效，否那么表示无效。当改变这些标志后，按保存键。414243强化平安策略有效地记录Internet上的活动隔离不同网络限制平安问题