防火墻技術(shù)-幾種防護(hù)墻概念介紹

第七講：幾種防火墻介紹簡單包過濾/分組過濾防火墻狀態(tài)檢測包過濾防火墻應(yīng)用代理防火墻電路中繼防火墻傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層數(shù)據(jù)鏈路層物理層傳輸層網(wǎng)絡(luò)層1一、狀態(tài)檢測防火墻

對于新建立的應(yīng)用連接，狀態(tài)檢測型防火墻先檢查預(yù)先設(shè)置的安全規(guī)則，允許符合規(guī)則的連接通過，并記錄下該連接的相關(guān)信息，生成狀態(tài)表。對該連接的后續(xù)數(shù)據(jù)包，只要符合狀態(tài)表，就可以通過。

狀態(tài)檢測防火墻保留狀態(tài)連接表，并將進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)當(dāng)成一個(gè)個(gè)的會(huì)話，利用狀態(tài)表跟蹤每一個(gè)會(huì)話狀態(tài)。狀態(tài)監(jiān)測對每一個(gè)包的檢查不僅根據(jù)規(guī)則表，更考慮了數(shù)據(jù)包是否符合會(huì)話所處的狀態(tài)，因此提供了完整的對傳輸層的控制能力。2過濾規(guī)則實(shí)例順序協(xié)議源地址源端口目的地址目的端口動(dòng)作方向1TCP192.168.1.*any*.*.*.*80permitOut2TCPany3623permitOut4TCP*.*.*.*any*.*.*.*anydenyOut5UDP*.*.*.*any36161permitOut6UDP*.*.*.*any*.*.*.*anydenyOut3過濾規(guī)則配置的兩種方式（一）限制策略：接受信任的數(shù)據(jù)包，拒絕其它所有數(shù)據(jù)包順序協(xié)議源地址源端口目的地址目的端口動(dòng)作方向1TCP192.168.1.*any*.*.*.*80permitOut2TCPany192.168.2..23623permitOut3UDP*.*.*.*any192.168.2..236161permitOut4**.*.*.*any*.*.*.*anydeny*4過濾規(guī)則配置的兩種方式（二）寬松策略：拒絕不受信任的數(shù)據(jù)包，接受其它所有數(shù)據(jù)包順序協(xié)議源地址源端口目的地址目的端口動(dòng)作方向1TCP192.168.1.*any*.*.*.*80denyOut2TCP192.168.1.*any*.*.*.*21denyOut3TCP*.*.*.*any192.168.1.*445denyIn5UDP*.*.*.*any9000denyOut6**.*.*.*any*.*.*.*anypermit*5針對包過濾防火墻的攻擊IP地址欺騙，例如，假冒內(nèi)部的IP地址

對策：在外部接口上禁止內(nèi)部地址小碎片攻擊，利用IP分片功能把TCP頭部切分到不同的分片中

對策：丟棄分片太小的分片利用規(guī)則設(shè)置漏洞

對策：采用狀態(tài)檢測防火墻1anyanyanypermit2anyany80deny源路由攻擊，即由源指定路由

對策：禁止這樣的選項(xiàng)6源路由攻擊1,B,permit2,C,denyB,DataC,DataB,DataR3,R1B,R3,R1,Data7作業(yè)1：根據(jù)條件編寫防火墻規(guī)則內(nèi)網(wǎng)所有設(shè)備之間都能相互訪問內(nèi)網(wǎng)所有設(shè)備，除了以外，都能訪問外網(wǎng)的Web服務(wù)只有能訪問外網(wǎng)的應(yīng)用A，其它設(shè)備都不能訪問應(yīng)用A內(nèi)網(wǎng)Web服務(wù)和郵件服務(wù)能被外網(wǎng)所有設(shè)備訪問內(nèi)網(wǎng)文件服務(wù)能被外網(wǎng)的訪問，其它網(wǎng)外設(shè)備不能訪問其它訪問被禁止內(nèi)網(wǎng)外網(wǎng)8作業(yè)1：要求11月6日前通過郵件遞交(jliao@)Word文件，文件名：學(xué)號(hào)-作業(yè)1.doc按以下格式編寫規(guī)則：順序方向In/out/*協(xié)議TCP/UDP/*源地址源端口目的地址目的端口動(dòng)作Permit/deny123459第七講：幾種防火墻介紹簡單包過濾/分組過濾防火墻狀態(tài)檢測包過濾防火墻應(yīng)用代理防火墻電路中繼防火墻傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層應(yīng)用層數(shù)據(jù)鏈路層物理層應(yīng)用層傳輸層網(wǎng)絡(luò)層10二、應(yīng)用代理防火墻也稱為應(yīng)用層網(wǎng)關(guān)特點(diǎn)所有的內(nèi)外網(wǎng)之間的連接都通過防火墻，防火墻作為網(wǎng)關(guān)在應(yīng)用層上實(shí)現(xiàn)可以監(jiān)視數(shù)據(jù)包的應(yīng)用層內(nèi)容可以實(shí)現(xiàn)基于用戶的認(rèn)證，防止IP欺騙所有的應(yīng)用需要單獨(dú)實(shí)現(xiàn)可以提供理想的日志功能非常安全，但是開銷比較大11應(yīng)用代理防火墻技術(shù)介紹優(yōu)點(diǎn)：安全性高提供應(yīng)用層的安全缺點(diǎn)：性能差伸縮性差只支持有限的應(yīng)用不透明12應(yīng)用代理防火墻應(yīng)用代理防火墻實(shí)際上并不允許在它連接的網(wǎng)絡(luò)之間直接通信。相反，它是接受來自內(nèi)部/外部網(wǎng)絡(luò)特定用戶應(yīng)用程序的通信，然后建立與外部/內(nèi)部網(wǎng)絡(luò)主機(jī)單獨(dú)的連接。網(wǎng)絡(luò)內(nèi)部/外部的用戶不直接與外部/內(nèi)部的服務(wù)器通信，所以內(nèi)部/外部主機(jī)不能直接訪問外部/內(nèi)部網(wǎng)絡(luò)的任何一部分。DD13應(yīng)用代理防火墻工作原理14Telnet應(yīng)用代理遠(yuǎn)程登錄Telnet應(yīng)用代理的過程：用戶首先Telnet到應(yīng)用代理主機(jī)，并輸入內(nèi)部目標(biāo)主機(jī)的名字（域名、IP地址）應(yīng)用代理檢查用戶的源IP地址等，并根據(jù)事先設(shè)定的訪問規(guī)則來決定是否轉(zhuǎn)發(fā)或拒絕數(shù)據(jù)然后進(jìn)行用戶驗(yàn)證應(yīng)用代理服務(wù)器為用戶建立在網(wǎng)關(guān)與內(nèi)部主機(jī)之間的Telnet連接應(yīng)用代理服務(wù)器在兩個(gè)連接（用戶/應(yīng)用網(wǎng)關(guān)，代理服務(wù)器/內(nèi)部主機(jī)）之間傳送數(shù)據(jù)應(yīng)用網(wǎng)關(guān)對本次連接進(jìn)行日志記錄15Telnet“會(huì)話”在終端上的顯示Outside-Host>telnetfwhostUsername:JohnSmithPassword:

######ChallengeNumber"237936"ChallengeResponse:723456Trying7...ConnectingtofwhostEscapecharacteris'^]'fwhosttelnetproxy(version1.4)ready:fw-telnet>connectinsidehostSunOSUNIX(insidehost)login:JohnSmithPassword:######Lastlogin:WednesdayDec1311:17:15WelcomeInside-Host>16應(yīng)用代理防火墻優(yōu)點(diǎn)可以檢查應(yīng)用層的協(xié)議特征，對數(shù)據(jù)包的檢測能力較強(qiáng)。在網(wǎng)絡(luò)連接建立之前可以對用戶身份進(jìn)行認(rèn)證所有通過防火墻的信息流可以被記錄下來傳輸內(nèi)容的全面檢查支持內(nèi)部網(wǎng)絡(luò)的信息隱藏易于控制和管理17應(yīng)用代理防火墻缺點(diǎn)配置困難：由于每個(gè)應(yīng)用都要求單獨(dú)的代理進(jìn)程，這就要求網(wǎng)管人員能理解每項(xiàng)應(yīng)用協(xié)議的弱點(diǎn)，并能合理的配置安全策略。配置繁瑣，容易出現(xiàn)配置失誤，最終影響內(nèi)網(wǎng)的安全防范能力。處理速度非常慢，網(wǎng)絡(luò)性能低對每種類型的服務(wù)都需要一個(gè)代理防火墻對用戶不透明18三、電路中繼防火墻也叫電路層網(wǎng)關(guān)拓?fù)浣Y(jié)構(gòu)同應(yīng)用層網(wǎng)關(guān)相同接收客戶端連接請求，代理客戶端完成網(wǎng)絡(luò)連接在客戶和服務(wù)器間中轉(zhuǎn)數(shù)據(jù)通用性強(qiáng)19電路中繼防火墻功能電路中繼防火墻可針對每個(gè)TCP、UDP會(huì)話進(jìn)行識(shí)別和過濾。在會(huì)話的建立過程中，除了檢查傳統(tǒng)的過濾規(guī)則之外，還要求發(fā)起會(huì)話的客戶端向防火墻發(fā)送用戶名和口令，只有通過驗(yàn)證的用戶才被允許建立會(huì)話。會(huì)話一旦建立，則報(bào)文流可不加檢驗(yàn)直接穿透防火墻。電路中繼防火墻通過對客戶端的用戶名和口令進(jìn)行驗(yàn)證，有效地避免了網(wǎng)絡(luò)傳送過程中源地址被冒充等問題，可有效地防御IP/UDP/TCP欺騙，并可快速定位TCP/UDP的攻擊發(fā)起者。20電路中繼防火墻工作協(xié)議應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層物理層數(shù)據(jù)鏈路層網(wǎng)絡(luò)層應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層外部網(wǎng)絡(luò)主機(jī)內(nèi)部網(wǎng)絡(luò)主機(jī)電路中繼防火墻應(yīng)用層傳輸層身份驗(yàn)證21電路中繼防火墻22電路中繼技術(shù)：Socks專門設(shè)計(jì)用于防火墻在應(yīng)用層和傳輸層之間增加了一層Sockslib和socksserver基于用戶的認(rèn)證方案正在普及和流行應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層clientSocksserverpolicyserver23TCP客戶的處理過程客戶首先與socks服務(wù)建立一個(gè)TCP連接，通常SOCKS端口為1080然后客戶與服務(wù)器協(xié)商認(rèn)證方案然后進(jìn)行認(rèn)證過程認(rèn)證完成之后客戶發(fā)出請求服務(wù)器送回應(yīng)答一旦服務(wù)器應(yīng)答指示成功，客戶就可以傳送數(shù)據(jù)了24四種防火墻的比較簡單包過濾防火墻狀態(tài)檢測包過濾防火墻應(yīng)用代理防火墻電路中繼防火墻檢測內(nèi)容網(wǎng)絡(luò)層、傳輸層網(wǎng)絡(luò)層、傳輸層應(yīng)用層網(wǎng)絡(luò)層、傳輸層、應(yīng)用層規(guī)則訪問控制列表訪問控制列表連接狀態(tài)表身份認(rèn)證內(nèi)容控制列表身份認(rèn)證優(yōu)點(diǎn)簡單、高效、用戶透明簡單、高效、用戶透明，安全性較高身份認(rèn)證功能、內(nèi)容控制、安全性高身份認(rèn)證功能、安全性較高、具有通用性缺點(diǎn)不能提供有效用戶認(rèn)證及應(yīng)用層數(shù)據(jù)控制，存在較多漏洞不能提供有效用戶認(rèn)證及應(yīng)用層數(shù)據(jù)控制效率低、對用戶不透明、通用性差對用戶不透明效率較低25案例分析：如何保護(hù)網(wǎng)絡(luò)系統(tǒng)，避免受到入侵攻擊？26問題防火墻的共同特征包括：

A.數(shù)據(jù)過濾 B.訪問控制 C.病毒防御 D.身份認(rèn)證包過濾防火墻主要依據(jù)下列哪些因素進(jìn)行過濾：

A.物理地址 B.

IP地址 C.端口 D.協(xié)議關(guān)于狀態(tài)檢測技術(shù)，說法錯(cuò)誤的是：

A.跟蹤流經(jīng)防火墻的所有通信信息

B.對通信連接的狀態(tài)進(jìn)行跟蹤與分析

C.需要配制過濾規(guī)則

D.工作在協(xié)議最底層，所以不能有效監(jiān)測應(yīng)用層數(shù)據(jù)應(yīng)用代理技術(shù)的特點(diǎn)包括：

A.提供透明的應(yīng)用層安全 B.對數(shù)據(jù)包的檢測能力較強(qiáng) C.性能高 D.安全性高電路中繼的特點(diǎn)包括： A.在應(yīng)用層上實(shí)現(xiàn) B.通用性強(qiáng)

C.性能高 D.對用戶透明27第一節(jié)活塞式空壓機(jī)的工作原理第二節(jié)活塞式空壓機(jī)的結(jié)構(gòu)和自動(dòng)控制第三節(jié)活塞式空壓機(jī)的管理復(fù)習(xí)思考題單擊此處輸入你的副標(biāo)題，文字是您思想的提煉，為了最終演示發(fā)布的良好效果，請盡量言簡意賅的闡述觀點(diǎn)。第六章活塞式空氣壓縮機(jī)

piston-aircompressor壓縮空氣在船舶上的應(yīng)用：

1.主機(jī)的啟動(dòng)、換向；

2.輔機(jī)的啟動(dòng)；

3.為氣動(dòng)裝置提供氣源；

4.為氣動(dòng)工具提供氣源；

5.吹洗零部件和濾器。

排氣量:單位時(shí)間內(nèi)所排送的相當(dāng)?shù)谝患?jí)吸氣狀態(tài)的空氣體積。單位：m3/s、m3/min、m3/h第六章活塞式空氣壓縮機(jī)

piston-aircompressor空壓機(jī)分類：按排氣壓力分：低壓0.2～1.0MPa；中壓1～10MPa；高壓10～100MPa。按排氣量分：微型<1m3/min；小型1～10m3/min；中型10～100m3/min；大型>100m3/min。第六章活塞式空氣壓縮機(jī)

piston-aircompressor第一節(jié)活塞式空壓機(jī)的工作原理容積式壓縮機(jī)按結(jié)構(gòu)分為兩大類：往復(fù)式與旋轉(zhuǎn)式兩級(jí)活塞式壓縮機(jī)單級(jí)活塞壓縮機(jī)活塞式壓縮機(jī)膜片式壓縮機(jī)旋轉(zhuǎn)葉片式壓縮機(jī)最長的使用壽命-

----低轉(zhuǎn)速（1460RPM），動(dòng)件少（軸承與滑片），潤滑油在機(jī)件間形成保護(hù)膜，防止磨損及泄漏，使空壓機(jī)能夠安靜有效運(yùn)作；平時(shí)有按規(guī)定做例行保養(yǎng)的JAGUAR滑片式空壓機(jī)，至今使用十萬小時(shí)以上，依然完好如初，按十萬小時(shí)相當(dāng)于每日以十小時(shí)運(yùn)作計(jì)算，可長達(dá)33年之久。因此，將滑片式空壓機(jī)比喻為一部終身機(jī)器實(shí)不為過?；?葉)片式空壓機(jī)可以365天連續(xù)運(yùn)轉(zhuǎn)并保證60000小時(shí)以上安全運(yùn)轉(zhuǎn)的空氣壓縮機(jī)1.進(jìn)氣2.開始?jí)嚎s3.壓縮中4.排氣1.轉(zhuǎn)子及機(jī)殼間成為壓縮空間，當(dāng)轉(zhuǎn)子開始轉(zhuǎn)動(dòng)時(shí)，空氣由機(jī)體進(jìn)氣端進(jìn)入。2.轉(zhuǎn)子轉(zhuǎn)動(dòng)使被吸入的空氣轉(zhuǎn)至機(jī)殼與轉(zhuǎn)子間氣密范圍，同時(shí)停止進(jìn)氣。3.轉(zhuǎn)子不斷轉(zhuǎn)動(dòng)，氣密范圍變小，空氣被壓縮。4.被壓縮的空氣壓力升高達(dá)到額定的壓力后由排氣端排出進(jìn)入油氣分離器內(nèi)。4.被壓縮的空氣壓力升高達(dá)到額定的壓力后由排氣端排出進(jìn)入油氣分離器內(nèi)。1.進(jìn)氣2.開始?jí)嚎s3.壓縮中4.排氣1.凸凹轉(zhuǎn)子及機(jī)殼間成為壓縮空間，當(dāng)轉(zhuǎn)子開始轉(zhuǎn)動(dòng)時(shí)，空氣由機(jī)體進(jìn)氣端進(jìn)入。2.轉(zhuǎn)子轉(zhuǎn)動(dòng)使被吸入的空氣轉(zhuǎn)至機(jī)殼與轉(zhuǎn)子間氣密范圍，同時(shí)停止進(jìn)氣。3.轉(zhuǎn)子不斷轉(zhuǎn)動(dòng)，氣密范圍變小，空氣被壓縮。螺桿式氣體壓縮機(jī)是世界上最先進(jìn)、緊湊型、堅(jiān)實(shí)、運(yùn)行平穩(wěn)，噪音低，是值得信賴的氣體壓縮機(jī)。螺桿式壓縮機(jī)氣路系統(tǒng)：

A

進(jìn)氣過濾器

B

空氣進(jìn)氣閥

C

壓縮機(jī)主機(jī)

D

單向閥

E

空氣/油分離器

F

最小壓力閥

G

后冷卻器

H

帶自動(dòng)疏水器的水分離器油路系統(tǒng)：

J

油箱

K

恒溫旁通閥

L

油冷卻器

M

油過濾器

N

回油閥

O

斷油閥冷凍系統(tǒng)：

P

冷凍壓縮機(jī)

Q

冷凝器

R

熱交換器

S

旁通系統(tǒng)

T

空氣出口過濾器螺桿式壓縮機(jī)渦旋式壓縮機(jī)

渦旋式壓縮機(jī)是20世紀(jì)90年代末期開發(fā)并問世的高科技?jí)嚎s機(jī)，由于結(jié)構(gòu)簡單、零件少、效率高、可靠性好，尤其是其低噪聲、長壽命等諸方面大大優(yōu)于其它型式的壓縮機(jī)，已經(jīng)得到壓縮機(jī)行業(yè)的關(guān)注和公認(rèn)。被譽(yù)為“環(huán)保型壓縮機(jī)”。由于渦旋式壓縮機(jī)的獨(dú)特設(shè)計(jì)，使其成為當(dāng)今世界最節(jié)能壓縮機(jī)。渦旋式壓縮機(jī)主要運(yùn)動(dòng)件渦卷付，只有磨合沒有磨損，因而壽命更長，被譽(yù)為免維修壓縮機(jī)。

由于渦旋式壓縮機(jī)運(yùn)行平穩(wěn)、振動(dòng)小、工作環(huán)境安靜，又被譽(yù)為“超靜壓縮機(jī)”。

渦旋式壓縮機(jī)零部件少，只有四個(gè)運(yùn)動(dòng)部件,壓縮機(jī)工作腔由相運(yùn)動(dòng)渦卷付形成多個(gè)相互封閉的鐮形工作腔，當(dāng)動(dòng)渦卷作平動(dòng)運(yùn)動(dòng)時(shí)，使鐮形工作腔由大變小而達(dá)到壓縮和排出壓縮空氣的目的。活塞式空氣壓縮機(jī)的外形第一節(jié)活塞式空壓機(jī)的工作原理一、理論工作循環(huán)（單級(jí)壓縮）工作循環(huán)：4—1—2—34—1吸氣過程

1—2壓縮過程

2—3排氣過程第一節(jié)活塞式空壓機(jī)的工作原理一、理論工作循環(huán)（單級(jí)壓縮）

壓縮分類：絕熱壓縮：1—2耗功最大等溫壓縮：1—2''耗功最小多變壓縮：1—2'耗功居中功＝P×V（PV圖上的面積）加強(qiáng)對氣缸的冷卻，省功、對氣缸潤滑有益。二、實(shí)際工作循環(huán)（單級(jí)壓縮）1.不存在假設(shè)條件2.與理論循環(huán)不同的原因：1）余隙容積Vc的影響Vc不利的影響—?dú)埓娴臍怏w在活塞回行時(shí)，發(fā)生膨脹，使實(shí)際吸氣行程（容積）減小。Vc有利的好處—

（1）形成氣墊，利于活塞回行；（2）避免“液擊”（空氣結(jié)露）；（3）避免活塞、連桿熱膨脹，松動(dòng)發(fā)生相撞。第一節(jié)活塞式空壓機(jī)的工作原理表征Vc的參數(shù)—相對容積C、容積系數(shù)λv合適的C：低壓0.07-0.12

中壓0.09-0.14

高壓0.11-0.16

λv＝0.65—0.901）余隙容積Vc的影響C越大或壓力比越高，則λv越小。保證Vc正常的措施：余隙高度見表6-1壓鉛法—保證要求的氣缸墊厚度2.與理論循環(huán)不同的原因：二、實(shí)際工作循環(huán)（單級(jí)壓縮）第一節(jié)活塞式空壓機(jī)的工作原理2）進(jìn)排氣閥及流道阻力的影響吸氣過程壓力損失使排氣量減少程度，用壓力系數(shù)λp表示：保證措施：合適的氣閥升程及彈簧彈力、管路圓滑暢通、濾器干凈。λp

（0.90-0.98）2.與理論循環(huán)不同的原因：二、實(shí)際工作循環(huán)（單級(jí)壓縮）第一節(jié)活塞式空壓機(jī)的工作原理3）吸氣預(yù)熱的影響由于壓縮過程中機(jī)件吸熱，所以在吸氣過程中，機(jī)件放熱使吸入的氣體溫度升高，使吸氣的比容減小，造成吸氣量下降。預(yù)熱損失用溫度系數(shù)λt來衡量（0.90-0.95）。保證措施：加強(qiáng)對氣缸、氣缸蓋的冷卻，防止水垢和油污的形成。2.與理論循環(huán)不同的原因：二、實(shí)際工作循環(huán)（單級(jí)壓縮）第一節(jié)活塞式空壓機(jī)的工作原理4）漏泄的影響內(nèi)漏：排氣閥（回漏）；外漏：吸氣閥、活塞環(huán)、氣缸墊。漏泄損失用氣密系數(shù)λl來衡量（0.90-0.98）。保證措施：氣閥的嚴(yán)密閉合，氣缸與活塞、氣缸與缸蓋等部件的嚴(yán)密配合。5）氣體流動(dòng)慣性的影響當(dāng)吸氣管中的氣流慣性方向與活塞吸氣行程相反時(shí)，造成氣缸壓力較低，氣體比容增大，吸氣量下降。保證措施：合理的設(shè)計(jì)進(jìn)氣管長度，不得隨意增減進(jìn)氣管的長度，保證濾器的清潔。2.與理論循環(huán)不同的原因：二、實(shí)際工作循環(huán)（單級(jí)壓縮）第一節(jié)活塞式空壓機(jī)的工作原理上述五條原因使實(shí)際與理論循環(huán)不同。4）漏泄的影響5）氣體流動(dòng)慣性的影響1）余隙容積Vc的影響2）進(jìn)排氣閥及流道阻力的影響3）吸氣預(yù)熱的影響2.與理論循環(huán)不同的原因：二、實(shí)際工作循環(huán)（單級(jí)壓縮）第一節(jié)活塞式空壓機(jī)的工作原理3.排氣量和輸氣系數(shù)理論排氣量Vt----單位時(shí)間內(nèi)活塞所掃過的氣缸容積。實(shí)際排氣量Q：Q=Vt

λ輸氣系數(shù)λ

：λ＝λtλv

λ

pλl漏泄的影響余隙容積Vc的影響進(jìn)排氣閥及流道阻力的影響吸氣預(yù)熱的影響二、實(shí)際工作循環(huán)（單級(jí)壓縮