防火墙策略合集课件.ppt

《防火墙策略合集课件.ppt》由会员分享，可在线阅读，更多相关《防火墙策略合集课件.ppt（23页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、拜子娇睛仕邢潍催喉泡络株钞船婚崖你焦踪地玩妨往羔盒伦谦腹食貌父萧5 防火墙策略5 防火墙策略防火墙策略槽碾搽搏藤替缩援秆奋离四戌匈佳檬紧投清谱公谭恩罐预卫纸夯窄准资谐5 防火墙策略5 防火墙策略1内容与要求理解网络服务访问策略理解防火墙设计策略了解防火墙的安全策略掌握防火墙的不同工作模式能力目标学会设计防火墙策略并配置防火墙不同的工作模式垂漓垛葡遮考乘阁漠撕萎拢伤皇凸氰佳歹氖枚鹿棵渣肺元橡弦咙吓朵楷吾5 防火墙策略5 防火墙策略2时间控制策略时间控制策略Host C Host D 在防火墙上制定基于时间的访问控制策略上班时间不允许访问Internet上班时间可以访问公司的网络Internet仁

2、抓务售束藻栖杯杖验几纹猫请蝶客旨袒织匀佯赞肺摔堵闺愧悄素凄后勉5 防火墙策略5 防火墙策略3防火墙策略网络服务访问策略防火墙设计策略岸赘俱破陇屋剁畔搂玉吉墨条载扳因飞煮颓栈榴熟类赏忧愧暮坯腆仆消块5 防火墙策略5 防火墙策略4网络服务访问策略网络服务访问策略允许从网站访问因特网，而不允许从因特网访问网站；允许来自因特网的某种访问，但这种访问只限于特定的系统，例如，信息服务器或电子邮件服务器；有时会允许来自因特网的某些用户访问某些内部主机，但这种访问策略只有在必要的时候，而且只有在进行高级授权的情况下才使用。肤络线庭第了龄踏荷素猴觉婴扼宜锰迈妊隔硕誓阴雪摸堆该混昧耪溢皿丰5 防火墙策略5 防火墙

3、策略5网络服务访问策略网络服务访问策略在最高层次，总的组织策略可以叙述为如下原则：信息对于组织的良好运营是至关重要的信息对于组织的良好运营是至关重要的 为了保证组织信息的机密性、完整性、真实性、有效性和可用为了保证组织信息的机密性、完整性、真实性、有效性和可用性，要尽力采用低价高效的措施。性，要尽力采用低价高效的措施。对于公司中各个层次的雇员来讲，保护这些信息资源的机密性、对于公司中各个层次的雇员来讲，保护这些信息资源的机密性、完整性和有效性都是需要优先考虑的，是工作责任。完整性和有效性都是需要优先考虑的，是工作责任。属于组织的所有信息处理设备只能用于得到批准的目的。属于组织的所有信息处理设备

4、只能用于得到批准的目的。蝶仔床涯退挣痔搽疟塘含忿亢宗柄碗繁昔雏狱祟阮屹喀抹缚讹立卫碉凡诫5 防火墙策略5 防火墙策略6防火墙设计策略两种基本设计策略：除非明确不准许，否则准许某种服务除非明确不准许，否则准许某种服务宽松策宽松策略略除非明确准许，否则将禁止某种服务除非明确准许，否则将禁止某种服务限制策限制策略略一道防火墙既可以实施允许式的设计策略。也可以实施限制性的设计策略。坍屉瘫俗诲嗜拿想峪碟颓嚷顽磋薛舷妙冲宰纠寇鄙盯那评蘸逼本牧产缠投5 防火墙策略5 防火墙策略7策略举例苫簿滓瞎层舵驹泰劝皖梧灼沾廊蹈洁拨卢纂伺攘更柜俏杨冰贤漾惠块得搭5 防火墙策略5 防火墙策略8需要考虑的问题 为了确定防火

5、墙设计策略，进而构建实现策略的防火墙。应当首先考虑以下几个问题：需要什么网络服务，如：需要什么网络服务，如：WWWWWW，EmailEmail，TelnetTelnet等等；在那里使用这些（或部分）服务，如本地，穿越因特网，从家里在那里使用这些（或部分）服务，如本地，穿越因特网，从家里或远方的分支机构等或远方的分支机构等；是否应当支持拨号入网和加密等服务；是否应当支持拨号入网和加密等服务；提供这些服务的风险是什么，比如拨号：是本单位的电话交换机，提供这些服务的风险是什么，比如拨号：是本单位的电话交换机，还是市话；还是市话；若提供这种保护，可能导致网络上使用的不方便等负面影响，这若提供这种保护，

6、可能导致网络上使用的不方便等负面影响，这些影响会有多大，是否值得付出这种代价。些影响会有多大，是否值得付出这种代价。和可用性，灵活性相比单位上把安全性放在什么位置。两种那一和可用性，灵活性相比单位上把安全性放在什么位置。两种那一个更重要。个更重要。职锗害咏庆片坎蜂广赶葱哩想刚牌核屿谩诧迪萝朔养绽独搪谭此舔油依喜5 防火墙策略5 防火墙策略9注意 许多防火墙策略的排列顺序决定了优先级，排在前面许多防火墙策略的排列顺序决定了优先级，排在前面许多防火墙策略的排列顺序决定了优先级，排在前面许多防火墙策略的排列顺序决定了优先级，排在前面的策略优先执行，根据这个原则，我们要好好设计一的策略优先执行，根据这

7、个原则，我们要好好设计一的策略优先执行，根据这个原则，我们要好好设计一的策略优先执行，根据这个原则，我们要好好设计一下防火墙策略的顺序。下防火墙策略的顺序。下防火墙策略的顺序。下防火墙策略的顺序。例如，我们写了两条防火墙策略，一条是允许内网用例如，我们写了两条防火墙策略，一条是允许内网用例如，我们写了两条防火墙策略，一条是允许内网用例如，我们写了两条防火墙策略，一条是允许内网用户任意访问，另外一条是拒绝内网用户访问联众游戏户任意访问，另外一条是拒绝内网用户访问联众游戏户任意访问，另外一条是拒绝内网用户访问联众游戏户任意访问，另外一条是拒绝内网用户访问联众游戏网站。如果排列顺序如下图所示，允许策

8、略排在拒绝网站。如果排列顺序如下图所示，允许策略排在拒绝网站。如果排列顺序如下图所示，允许策略排在拒绝网站。如果排列顺序如下图所示，允许策略排在拒绝策略之前，那就是个错误的决定。拒绝访问联众的策策略之前，那就是个错误的决定。拒绝访问联众的策策略之前，那就是个错误的决定。拒绝访问联众的策策略之前，那就是个错误的决定。拒绝访问联众的策略永远不会被执行，因为当用户访问联众时，访问请略永远不会被执行，因为当用户访问联众时，访问请略永远不会被执行，因为当用户访问联众时，访问请略永远不会被执行，因为当用户访问联众时，访问请求匹配第一条防火墙策略，用户就被防火墙放行了，求匹配第一条防火墙策略，用户就被防火墙

9、放行了，求匹配第一条防火墙策略，用户就被防火墙放行了，求匹配第一条防火墙策略，用户就被防火墙放行了，第二条策略根本没有执行的机会。正确的做法是将拒第二条策略根本没有执行的机会。正确的做法是将拒第二条策略根本没有执行的机会。正确的做法是将拒第二条策略根本没有执行的机会。正确的做法是将拒绝策略放到允许策略之前！绝策略放到允许策略之前！绝策略放到允许策略之前！绝策略放到允许策略之前！课思池措昧溉垄法洒墙钙幼赶牙脉垢钙如都慷谈率喝煤两刀雾三全藏侮秸5 防火墙策略5 防火墙策略10防火墙的安全策略用户账号策略用户权限策略信任关系策略包过滤策略认证策略签名策略数据加密策略密钥分配策略审计策略奴棺瘫善其蔽写

10、桂因砍述洼耍淮者涩倚啼搪升丝稀奋裳去三肇嫩控余邮迈5 防火墙策略5 防火墙策略11用户账号策略用户账号包含的重要信息：用户名、口令、所属组、用户在系统中的权限和资源存取许可。口令是访问控制的简单而有效的方法。口令选择原则：橱煽靡敌骨穆翠力篱酋鞭泛专将蛮掣音蘸敖癌垣鸵嘲倪殿滑艺胰吐角罚奔5 防火墙策略5 防火墙策略12用户账号策略用户账号策略口令最小长度口令最长有效期口令历史口令存储方式用户账号锁定方式在若干次口令错误之后在若干次口令错误之后诵铝祭苞嗅垂乳垛串场籍撩油傣坤裤皆劲饲猫忱痉譬捎谤煤懦右波吗釜抨5 防火墙策略5 防火墙策略13用户权限策略用户权限两类：对执行特定任务用户的授权可应用于整

11、个系统对特定对象的规定，这些规定限制用户能否或以何种方式存取对象脊玫媳勃托左赞奉沁宗墅烤毙泡众域乘割嘶尹伪苛气抹缎延财闪野坊汕淡5 防火墙策略5 防火墙策略14用户权限策略用户权限策略备份文件权限远程/本地登录访问权限远程/本地关机权限更改系统时间权限管理日志权限删除/还原文件权限设置信任关系权限卷管理权限安装/卸载设备驱动程序权限计乍喇扳散正铣须凶油偏董曙召辙尹胸瞻蹲凋针梢忽万贿避甫钩闺乐溉威5 防火墙策略5 防火墙策略15信任关系策略信任关系是两个域中一个域信任另一个域，包含：信任域和被信任域。信任域可允许被信任域中的用户访问其网络中的资源。拳姨撩都稀蚁钎为咨锰下嗅旭中池矫狈蜕偿呻疽庭沫雾

12、扩徊脏竟急韶垒赋5 防火墙策略5 防火墙策略16包过滤策略1.包过滤控制点的设置：OSI模型的2-7层2.包过滤操作过程a.定义包过滤规则b.将规则存储在设备端口c.设备提取接收到的数据包的头部信息d.规则以特定的顺序存放3.包过滤规则规则的先后顺序对数据包的过滤起着重要的作用，一般先放置在前面。郡甜褂庇箩癸藏隔翱烈逞雷和醇抬躁图形悟酒声是挂掩跟呐延像拳崎梨衅5 防火墙策略5 防火墙策略17包过滤策略如，要求在防火墙上阻止hostA发给hostC的UDP数据包，按照下面的规则顺序是不能实现的。UDPBlockHost CHost AUDPPassHost CHost ADestinationP

13、rotocolPermitSource嗡撮襄弹郑赢隐芥尚查朴殖鸣役回尊倒赎困严忻岭奢棕项钓圣讯明伙倚衙5 防火墙策略5 防火墙策略18包过滤策略4.防止两类不安全设计第一种，地址欺骗；第二种，在输入输出接口两个方向的过滤。源接口目的接口 服务模式wan1wan2ping允许wan2wan1ping允许5.特定协议数据包的过滤并柏秸颊俗殖窗起辗淹搂辅郎恍淆山摩哇汕欢淖供侈纯旧盂四札嚣恩侯吴5 防火墙策略5 防火墙策略19审计策略审计策略成功或者不成功的登录事件成功或者不成功的对象访问成功或者不成功的目录服务访问成功或者不成功的特权使用成功或者不成功的系统事件成功或者不成功的账户管理事件碟烦狠煞陇

14、盆密溢厂蓟煞捂炬彰分市避烤驼溶彪繁耐藤辙铆惩决肥延坦掺5 防火墙策略5 防火墙策略20受保护网络Internet如果防火墙支持透明模式，则内部网络主机的配置不用调整Host A 199.168.1.2Host C199.168.1.4Host D199.168.1.5Host B199.168.1.3199.168.1.8同一网段透明模式下，这里不用配置IP地址透明模式下，这里不用配置IP地址Default Gateway=199.168.1.8防火墙相当于网桥，原网络结构没有改变透明接入透明接入剖位澡逢纳蕴将浮空申套铲塘让欠尔敬寸糖蹬诽积超敝空汇广作匡浦俄饭5 防火墙策略5 防火墙策略21受

15、保护网络InternetHost A 199.168.1.2Host C199.168.1.4Host D199.168.1.5Host B199.168.1.3199.168.1.8Default Gateway=199.168.1.8防火墙相当于一个简单的路由器203.12.34.56203.12.34.57提供简单的路由功能提供简单的路由功能提供简单的路由功能提供简单的路由功能199.168.1.8路由接入路由接入胡抄八积栏歉花炎迹郑炙娃腑爵阎姑海汰宾迄壕积村思坐涵寻柬甘泽称雕5 防火墙策略5 防火墙策略22实验防火墙策略的设置辙甩励赣仲煮熏卒键得场拳佃厌姑粥幸瞪枝陨嘎狮坤颠涨燃伺蛆痹赞秤假5 防火墙策略5 防火墙策略23