计算机网络安全技术(第4版)第5章防火墙技术.ppt

*,*,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,第,5,章 防火墙技术,Click to edit Master title style,计算机网络安全技术,（第,4,版）,工业和信息化“十三五”高职高专人才培养规划教材,第,5,章,防火墙技术,人民邮电出版社,能力,CAPACITY,要求,了解防火墙的定义、功能、局限性和发展历程。,理解单机版防火墙和网络版防火墙、以及软件防火墙和硬件防火墙的区别。,掌握现有防火墙的三种核心技术（三种不同技术类型的防火墙）的基本原理和优缺点。,能够熟练使用各种常用的防火墙（安装、参数设置、规则配置等）。,了解防火墙的各种性能指标。,防火墙的分类,防火墙概述,防火墙的实现技术原理,防火墙的应用实验,防火墙的性能、功能指标,一、防火墙概述,防火墙的定义,防火墙的功能和局限性,防火墙的发展简史,一、防火墙概述,访问控制*,对网络存取和访问进行监控审计,支持VPN功能,支持网络地址转换,防火墙的功能,一、防火墙概述,防火墙的发展历史,代理型,复合型,包过滤,下一代防火墙,状态监测,1983,1991,1994,1998,2009,防火墙的分类,防火墙概述,防火墙的实现技术原理,防火墙的应用实验,防火墙的性能、功能指标,二、防火墙的分类,防火墙的分类,软件防火墙,硬件防火墙,按形态分类,按保护对象分类,保护整个网络,保护单台主机,网络防火墙,单机防火墙,二、防火墙的分类,操作系统平台,安全性,性能,稳定性,网络适应性,分发,升级,成本,硬件防火墙,基于精简专用,OS,高,高,较高,强,不易,较容易,Price=firewall+Server,软件防火墙,基于庞大通用,OS,较高,较高,高,较强,非常容易,容易,Price=Firewall,仅获得,Firewall,软件，需要准备额外的,OS,平台,安全性依赖低层的,OS,网络适应性弱（主要以路由模式工作）,稳定性高,软件分发、升级比较方便,硬件,+,软件，不用准备额外的,OS,平台,安全性完全取决于专用的,OS,网络适应性强（支持多种接入模式）,稳定性较高,升级、更新不太灵活,硬件防火墙,&,软件防火墙,二、防火墙的分类,防火墙的体系结构,2,被屏蔽主机体系结构,二、防火墙的分类,DMZ,区常规访问控制策略,1,、内部网络可以访问,DMZ,，方便用户使用和管理,DMZ,中的服务器。,2,、外部网络可以访问,DMZ,中的服务器，同时需要由防火墙完成对外地址到服务器实际地址的转换,。,3,、,DMZ,不能访问内部网络,。,4,、,DMZ,不能访问外部网络。此条策略也有例外，比如,DMZ,中放置邮件服务器时，就需要访问外部网络，否则将不能正常工作。,二、防火墙的分类,通用,CPU,在百兆防火墙时代，防火墙厂商普遍采用的是通用,CPU,，,比如：,Intel x86,，,AMD,的,CPU,特点：,1.,开发难度小、周期短；灵活、升级方便。,2.,数据处理能力低。,二、防火墙的分类,专用集成电路（,ASIC,）,ASIC,防火墙通过专门设计的,ASIC,芯片进行硬件加速处理。,特点：,1,、,处理能力强，防火墙的性能高。,2,、,开发费用高、周期长，一般耗时接近,2,年。,3,、,灵活性和扩展性差，几乎不可能升级；,二、防火墙的分类,多核架构防火墙,多核处理器，是在同一个硅晶片上集成了多个独立物理核心。多个核心协同处理工作，所以性能倍增。,特点：,1,、,数据处理能力高。,2,、灵活、升级方便。,目前的千兆、万,兆防火墙基本都是,多核架构防火墙。,防火墙的分类,防火墙概述,防火墙的实现技术原理,防火墙的应用实验,防火墙的性能、功能指标,三、防火墙的实现技术原理,防火墙实现技术原理,1,简单包过滤防火墙,2,动态包过滤,(,状态检测,),防火墙,3,应用代理防火墙,4,包过滤与应用代理复合型防火墙,三、防火墙的实现技术原理,1简单包过滤防火墙（,Packet filtering,）,数据包过滤技术的发展：静态包过滤、动态包过滤。,包过滤防火墙在网络层实现数据的转发，包过滤模块一般检查网络层、传输层内容，包括下面几项：,源、目的,IP,地址；,源、目的端口号；,协议类型；,TCP,报头的标志位。,简单包过滤防火墙的工作原理1,三、防火墙的实现技术原理,应用实例,【,问题,】,动态包过滤防火墙如何解决了特殊构造了标志位的数据包？但是还是无法阻挡反弹端口的木马。,1.,TCP,开始攻击,IP,规则,连接表,TCP,开始攻击,IP,TCP,开始攻击,IP,TCP,开始攻击,IP,SYN,ACK,SYN,2.,允许,允许,TCP,开始攻击,IP,n.,三、防火墙的实现技术原理,动态包过滤防火墙的工作流程,三、防火墙的实现技术原理,状态检测防火墙,-UDP,防火墙保存通过网关的每一个连接的状态信息，允许穿过防火墙的,UDP,请求包被记录，当,UDP,包在相反方向上通过时，依据连接状态表确定该,UDP,包是否被授权的，若已被授权，则通过，否则拒绝。,三、防火墙的实现技术原理,代理防火墙的工作原理,三、防火墙的实现技术原理,代理服务器的类型,HTTP,代理：代理客户机的,http,访问，主要代理浏览器访问网页，它的端口一般为,80,、,8080,、,3128,等。,FTP,代理：代理客户机上的,ftp,软件访问,ftp,服务器，其端口一般为,21,、,2121,。,POP3,代理：代理客户机上的邮件软件用,pop3,方式收邮件，其端口一般为,110,。,Telnet,代理：能够代理通信机的,telnet,，用于远程控制，入侵时经常使用。其端口一般为,23,。,Socks,代理：是全能代理，支持多种协议，包括,http,、,ftp,请求及其它类型的请求，其标准端口为,1080,。,三、防火墙的实现技术原理,Client,用,SOCKS5,client,服务器,61.172.201.*,SOCKS5,代理服务器,170,.1.1.*,【,问题,】,图中的防火墙如果改为代理防火墙，是否可以过滤,Client,传过来的数据包？,三、防火墙的实现技术原理,Client,用“特殊”的,HTTP,代理,【,说明,】,client,端发出,HTTP,请求时，不包含的信息，代理防火墙就检测不到字段，实现不了过滤。,HTTP,代理需要“特殊”定制，代理服务器知道这类,client,端发出的请求是要访问，它会帮助,client,端下载的内容。,三、防火墙的实现技术原理,自适应代理防火墙,检测应用层的头部,信息，然后在网络,层转发。,三、防火墙的实现技术原理,应用特征库已经收录了超过,3000,种互联网应用，还包括,700,余种移动互联网应用,下一代防火墙,Next Generation Firewall,防火墙的分类,防火墙概述,防火墙的实现技术原理,防火墙的应用实验,防火墙的性能、功能指标,四、防火墙的应用实验,防火墙的应用实验（一）,瑞星个人防火墙,瑞星,V16,主界面,瑞星的网络安全,四、防火墙的应用实验,防火墙规则,防火墙规则,四、防火墙的应用实验,防火墙的应用实验（二）,代理类型,CCProxy,1.设置,IE,的,HTTP,代理参数，观察经过代理后，数据包头的变化。,2.设置,IE,的,socks,代理参数，观察经过代理后，数据包头的变化。,3.,CCProxy,常用功能的设置：,用户,IP+MAC,内容,流量,四、防火墙的应用实验,CCProxy,的应用,四、防火墙的应用实验,CCProxy,的应用,四、防火墙的应用实验,下一代防火墙,著名市场分析咨询机构,Gartner,曾于,2009,年发表文章,定义下一代防火墙,，文章指出下一代防火墙在具有传统防火墙功能与特点的同时，还要具有“支持联动的集成化,IPS”,、“应用管控与可视化”以及“智能化联动”相关特性。,具有“基于用户防护”、“面向应用安全”、“高效转发平台”、“多层级冗余架构”、“全方位可视化”及“安全技术融合”六大产品特性。,四、防火墙的应用实验,补充：防火墙其它功能,安全审计,负载均衡,双机热备,防御功能,端口,映射,DHCP,环境支持,MAC,绑定功能,带宽管理,联动功能,内容过滤,VPN,功能,双地址路由,多,协议支持,四、防火墙的应用实验,思科,ASA5520-K8,参数,防火墙的分类,防火墙概述,防火墙的实现技术原理,防火墙的应用实验,防火墙的性能、功能指标,五、防火墙的性能、功能指标,防火墙性能指标,吞吐量,丢包率,最大并发连接数,延时,最大并发连接建立速率,五、防火墙的性能、功能指标,定义：在不丢包的情况下能够达到的最大速率,衡量标准：,吞吐量作为衡量防 火墙性能的重要指标之一,吞吐量小就会造成网络新的瓶颈，以至影响到整个网络的性能,吞吐量,五、防火墙的性能、功能指标,定义：指穿越防火墙的主机之间或主机与防火墙之间能同时建立的最大连接数,衡量标准：,并发连接数的测试主要用来测试被测防火墙建立和维持,TCP,连接的性能，同时也能通过并发连 接数的大小体现被测防火墙对来自于客户端的,TCP,连接请求的响应能力,。,并发连接数,并发连接数指标可以用来衡量穿越防火墙的主机之间能同时建立的最大连接数,五、防火墙的性能、功能指标,定义：在连续负载的情况下，防火墙设备由于资源不足应转发但却未转发的帧百分比,衡量标准：,防火墙的,丢包率对其稳定性、可靠性有很大的影响,防火墙由于资源不足只转发了,800,个包,丢包率,=,（,1000-800,）,/1000=20%,丢包率,五、防火墙的性能、功能指标,定义：入口处输入帧最后,1,个比特到达至出口处输出帧的第一个比特输出所用的时间间隔,衡量标准：,防火墙的时延能够体现它处理数据的速度,延时,五、防火墙的性能、功能指标,定义：指穿越防火墙的主机之间或主机与防火墙之间单位时间内建立的最大连接数。,衡量标准：,最大并发连接数建立速率主要用来衡量防火墙单位时间内建立和维持,TCP,连接的能力,单位时间内增加的并发连接数,最大并发连接建立速率,五、防火墙的性能、功能指标,防火墙功能指标,分级带宽管理,LAN,接口,多协议支持,认证支持,高级访问控制,五、防火墙的性能、功能指标,防火墙的部署,五、防火墙的性能、功能指标,五、防火墙的性能、功能指标,五、防火墙的性能、功能指标,THANKS,