計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)-防火墻技術(shù)

本章學(xué)習(xí)目標(biāo) 〔1〕優(yōu)良的性能〔2〕可擴(kuò)展的結(jié)構(gòu)和功能〔3〕簡(jiǎn)化的安裝與管理〔4〕主動(dòng)過(guò)濾〔5〕防病毒與防黑客〔3〕包過(guò)濾的缺點(diǎn)：不能徹底防止地址欺騙；一些應(yīng)用協(xié)議不適合于數(shù)據(jù)包過(guò)濾；一些應(yīng)用協(xié)議不適合于數(shù)據(jù)包過(guò)濾；正常的數(shù)據(jù)包過(guò)濾路由器無(wú)法執(zhí)行某些平安策略；平安性較差；數(shù)據(jù)包工具存在很多局限性。圖9.3包過(guò)濾處理圖9.6代理的工作方式圖9.8電路層網(wǎng)關(guān)1．屏蔽路由器(如圖9.10所示)

2．雙穴主機(jī)網(wǎng)關(guān)(如圖9.11所示)

3．屏蔽主機(jī)網(wǎng)關(guān)(如圖9.12所示)4．被屏蔽子網(wǎng)(如圖9.13所示)

圖9.10屏蔽路由器示意圖圖9.11雙穴主機(jī)網(wǎng)關(guān)示意圖圖9.12屏蔽主機(jī)網(wǎng)關(guān)示意圖3．效勞訪問(wèn)策略允許通過(guò)增強(qiáng)認(rèn)證的用戶在必要的情況下從Internet訪問(wèn)某些內(nèi)部主機(jī)和效勞；允許內(nèi)部用戶訪問(wèn)指定的Internet主機(jī)和效勞。1．實(shí)現(xiàn)方法通過(guò)網(wǎng)絡(luò)地址轉(zhuǎn)換把內(nèi)部地址轉(zhuǎn)換成統(tǒng)一的外部地址，防止了使用代理效勞所引起的賬號(hào)平安問(wèn)題和代理效勞端口被利用的危險(xiǎn)。同時(shí)為了防止各種代理效勞端口探測(cè)和其他各種常用效勞端口的探測(cè)，可以啟用MicrosoftProxyServer的動(dòng)態(tài)包過(guò)濾功能和IP分段過(guò)濾，到達(dá)端口隱形的效果。2．案例環(huán)境假定有一臺(tái)Web效勞器〔WWW〕，地址為，其完整域名為：，對(duì)應(yīng)解析的IP地址為，，在其上裝有兩塊網(wǎng)卡，命名為本地連接1和本地連接2，它們的IP地址分別為：和。3．MSWindows2000NAT網(wǎng)絡(luò)地址轉(zhuǎn)換的實(shí)現(xiàn)〔1〕路由和遠(yuǎn)程訪問(wèn)效勞〔2〕網(wǎng)絡(luò)地址轉(zhuǎn)換的實(shí)現(xiàn):靜態(tài)路由、網(wǎng)絡(luò)地址轉(zhuǎn)換、地址和特殊端口、IP地址欺騙過(guò)濾。表9.2地址和特殊端口配置表9.3內(nèi)部地址欺騙過(guò)濾配置表9.4外部地址欺騙過(guò)濾配置4．MSProxyServer動(dòng)態(tài)包過(guò)濾和反向代理ProxyServer功能的配置界面如圖9.14所示。〔1〕MSProxyServer動(dòng)態(tài)過(guò)濾記錄文件的詳細(xì)說(shuō)明如表9.5所示?！?〕MSProxyServer動(dòng)態(tài)包過(guò)濾的實(shí)現(xiàn)如表9.6所示。圖9.14ProxyServer功能的配置界面表9.5一條記錄條目的說(shuō)明表