防火墻工作原理及應(yīng)用教學(xué)課件

41防火墻概述防火墻的概念防火墻的功能防火墻的歷史防火墻的原理防火墻的分類防火墻的組成及位置防火墻的局限性防火墻的發(fā)展趨勢信息安全技術(shù)與應(yīng)用防火墻的概念·防火墻〔firewall)這個(gè)術(shù)語來自建筑結(jié)構(gòu)的安全技術(shù)?！ぴ诰W(wǎng)絡(luò)系統(tǒng)中,所謂“防火墻”,是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)(如Internet)分開的方法,它實(shí)際上是種隔離技術(shù),起到內(nèi)部網(wǎng)與internet之間的一道防御屏障信息安全技術(shù)與應(yīng)用網(wǎng)絡(luò)防火墻防火墻內(nèi)部網(wǎng)Internet信息安全技術(shù)與應(yīng)用防火墻的歷史最早的防火墻技術(shù)幾乎與路由器同時(shí)出現(xiàn),采用了分組過濾〔packetfilter)技術(shù);1989年,貝爾實(shí)驗(yàn)室的Dave.Presotto和HowardTrickey推出了第2代防火墻,即電路級防火墻,同時(shí)提出了第3代防火墻—應(yīng)用層防火墻(代理防火墻)的初步結(jié)構(gòu);1992年,南加洲大學(xué)(UniversityofSouthernCalifornia,USC)信息科學(xué)院的Bob.Braden開發(fā)出了基于動態(tài)分組過濾(dynamicpacketfilter)技術(shù)的第4代防火墻,后來演變?yōu)闋顟B(tài)監(jiān)視〔statefulinspection)技術(shù)。1994年,以色列的Checkpoint公司開發(fā)出了第一個(gè)采用這種技術(shù)的商業(yè)化的產(chǎn)品1998年,美國的網(wǎng)絡(luò)聯(lián)盟公司(networkassociatesinc,NAI)推出了一種自適應(yīng)代理(adaptiveproxy)技術(shù),并在其產(chǎn)品GauntletFirewallfornt中實(shí)現(xiàn),給代理類型的防火墻賦予了全新的意義,可以稱之為第5代防火墻信息安全技術(shù)與應(yīng)用防火墻的原理防火墻的主要目的是為了隔離外部網(wǎng)(Internet)和內(nèi)部網(wǎng)(Extranet),以保護(hù)網(wǎng)絡(luò)的安全;從TcP/IP參考模型的網(wǎng)絡(luò)結(jié)構(gòu)來看,防火墻是建立在不同分層結(jié)構(gòu)上的、具有一定安全級別和執(zhí)行效率的安全通信技術(shù)按照網(wǎng)絡(luò)分層結(jié)構(gòu)的實(shí)現(xiàn)思想,若防火墻所采用的通信協(xié)議棧其層次越低,所能檢測到的通信資源越少,其安全級別也就越低,但其執(zhí)行效率卻較好。反之,如果防火墻所釆用的通信協(xié)議棧其層次越高,所能檢測到的通信資源越多,其安全級別也就越高,但其執(zhí)行效率卻較差信息安全技術(shù)與應(yīng)用防火墻分類·實(shí)現(xiàn)技術(shù)方式從實(shí)現(xiàn)技術(shù)方式的不同,防火墻可分為“分組過濾型”防火墻和“應(yīng)用代理型”防火墻兩大體系。前者以以色列的Checkpoint防火墻和美國cisco公司的PIX防火墻為代表后者以NAI公司的Gauntlet防火墻為代表?！?yīng)用對象的不同分為企業(yè)級防火墻與個(gè)人防火墻·實(shí)現(xiàn)形態(tài)上的不同分為軟件防火墻、硬件防火墻和芯片級放火墻信息安全技術(shù)與應(yīng)用防火墻的組成及位置·組成可以由一臺路由器、一臺PC或者一臺主機(jī)構(gòu)成也可以是由多臺主機(jī)構(gòu)成的體系;·位置一般將防火墻放置在網(wǎng)絡(luò)的邊界;有時(shí)在網(wǎng)絡(luò)邊界內(nèi)部也應(yīng)該部署防火墻,以便為特定主機(jī)提供額外的、特殊的保護(hù);信息安全技術(shù)與應(yīng)用防火墻的局限性·防火墻不能防范不經(jīng)過防火墻的攻擊;防火墻不能防止來自內(nèi)部的攻擊。防火墻只能按照對其配置的規(guī)則進(jìn)行有效的工作,一個(gè)過于隨意的規(guī)則可能會減弱防火墻的功效;·防火墻不能防止感染了病毒的軟件或文件的傳輸;防火墻不能修復(fù)脆弱的管理措施或者設(shè)計(jì)有問題的安全策暗;防火墻可以阻斷攻擊,但不能消滅攻擊源;·防火墻不能抵抗最新的未設(shè)置策略的攻擊漏洞防火墻的并發(fā)連接數(shù)限制容易導(dǎo)致?lián)砣蛘咪蹖纭し阑饓Ψ?wù)器合法開放的端口的攻擊大多無法阻止·防火墻本身也會出現(xiàn)問題和受到攻擊;信息安全技術(shù)與應(yīng)用防火墻的發(fā)展趨勢設(shè)計(jì)新的防火墻的技術(shù)架構(gòu)是未來發(fā)展方向采用數(shù)據(jù)加密技術(shù)的,使安全地合法訪問