防火墙在网络中的部署.ppt

防火防火墙在网在网络中的部署中的部署v防火防火墙是一种是一种网网络边界界访问控制控制设备，能根据，能根据安安全策略全策略阻止在网阻止在网络之之间或主机与网或主机与网络之之间的未授的未授权的通信。即控制的通信。即控制进出网出网络的的访问行行为。它是不。它是不同网同网络安全域安全域间之之间通信的通信的唯一通道唯一通道。内网和外网之内网和外网之间需要防火需要防火墙企业或者机构局域网企业或者机构局域网Host A Host B Internet内网中不同安全域之内网中不同安全域之间需要防火需要防火墙安全域1Host A Host B 安全域2Host C Host D v防火防火墙在网在网络中的位置与防火中的位置与防火墙体系体系结构构D BD BInternet区域区域区域区域 1 1区域区域区域区域 5 5区域区域区域区域 4 4区域区域区域区域 3 3区域区域区域区域 2 2Web Web 服服务务器器Mail Mail 服服务务器器服服务务器器人事部研发部主要内容v1.双宿/多宿主机防火墙(Dual-Homed/Multi-Homed Host Firewall)v2.屏蔽主机防火墙(Screened Host Firewall)v3.屏蔽子网防火墙(Screened Subnet Firewall)基本概念 v堡堡垒主机（主机（Bastion Host）：）：堡垒主机是一种配置了安全防范措施的网络上的计算机，堡垒主机为网络之间的通信提供了一个阻塞点，也就是说如果没有堡垒主机，网络之间将不能相互访问。可以配置成过滤型、代理型或混合型。v双宿主机（双宿主机（Dual-homed Host）：）：有两个网络接口的计算机系统，一个接口连接内部网，一个接口连接外部网.一种拥有两个或多个连接到不同网络上的网络接口的一种拥有两个或多个连接到不同网络上的网络接口的防火墙；防火墙；1.双宿双宿/多宿主机防火多宿主机防火墙 优点：优点：结构简单结构简单 缺点：缺点：隔开内外网络的唯一屏障，一旦被入侵，内隔开内外网络的唯一屏障，一旦被入侵，内部网络便完全暴露。部网络便完全暴露。由包过滤路由器和堡垒主机组成；由包过滤路由器和堡垒主机组成；过滤路由器为堡垒主机建立安全屏障；过滤路由器为堡垒主机建立安全屏障；堡垒主机是内外信息的唯一通道。堡垒主机是内外信息的唯一通道。2.屏蔽主机防火屏蔽主机防火墙特点：特点：堡垒主机成为从外部网络唯一可直接到达的堡垒主机成为从外部网络唯一可直接到达的主机，确保了内部网络不受未被授权的外部用户主机，确保了内部网络不受未被授权的外部用户的攻击；的攻击；同时实现网络层安全同时实现网络层安全(包过滤包过滤)和应用层安全和应用层安全(代理服务代理服务)；安全等级比包过滤防火墙系统高；安全等级比包过滤防火墙系统高；过滤路由器的配置是关键之一。过滤路由器的配置是关键之一。2.屏蔽主机防火屏蔽主机防火墙3.屏蔽子网防火屏蔽子网防火墙v3.1 双包双包过滤过滤路由器架构路由器架构v3.2 单单一防火一防火墙墙架构架构v3.3 双重防火双重防火墙墙架构架构 3.1 3.1 双包过滤路由器架构双包过滤路由器架构采用了两个包过滤路由器和一个堡垒主机，在内采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网。外网络之间建立了一个被隔离的子网。3.屏蔽子网防火屏蔽子网防火墙特点：特点：将堡垒主机，各种公用服务器放在非军事区网将堡垒主机，各种公用服务器放在非军事区网络中；络中；内部网络和外部网络均可访问屏蔽子网，但禁内部网络和外部网络均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信；止它们穿过屏蔽子网通信；外部路由器把入站的数据包路由到堡垒主机。外部路由器把入站的数据包路由到堡垒主机。3.1双包双包过滤路由器架构路由器架构特点（续）特点（续）内部路由器保护内部网络不受外部网络和周内部路由器保护内部网络不受外部网络和周边网络的侵害；执行大部分过滤工作。边网络的侵害；执行大部分过滤工作。即使堡垒主机被入侵者控制，内部网仍受到即使堡垒主机被入侵者控制，内部网仍受到内部包过滤路由器的保护。内部包过滤路由器的保护。多个堡垒主机运行各种代理服务，可以更有多个堡垒主机运行各种代理服务，可以更有效地提供服务。效地提供服务。3.1 双包双包过滤路由器架构路由器架构3.屏蔽子网防火屏蔽子网防火墙3.1 双包双包过滤路由器架构路由器架构3.2 单一防火一防火墙架构（架构（4个个层次）次）外部路由器外部路由器与防火墙间网络分段区域DMZ分段区域防火墙3.3 双重防火双重防火墙架构架构3.2 单一防火一防火墙架构架构3.2 单一防火一防火墙架构架构3.2 单一防火一防火墙架构架构增加入侵增加入侵检测/防防护系系统3.3 双重防火双重防火墙架构架构v双重防火双重防火墙架构由架构由5个个层次次组成成外部路由器外部路由器与外部防火墙之间网络分段区域外部防火墙DMZ分段区域内部防火墙3.3 双重防火双重防火墙架构架构v用来用来实现实现更加更加细细化的控制功能化的控制功能3.3 双重防火双重防火墙架构架构v增加入侵增加入侵检测/防防护系系统小小结