实验12 网络防火墙与ISA Server 2004

实验12网络防火墙与ISA Server 200412.1防火墙防火墙原指古代人们在房屋之间修建的一道防止火灾发生时火势蔓延的砖墙。

在网络世界，防火墙作为一种网络安全技术，最初被定义为一个实施某些安全策略保护一个安全区域（局域网），用以防止来自一个风险区域（Internet或有一定风险的网络）的攻击的装置。

随着网络技术的发展，人们逐渐意识到网络风险不仅来自与网络外部还有可能来自于网络内部，并且在技术上也有可能实施更多的解决方案，所以现在通常将防火墙定义为“在两个网络之间实施安全策略要求的访问控制系统”。

从技术上看，防火墙已经成为包过滤技术、代理服务技术、可信信息系统技术、计算机病毒检测防护技术和密码技术的综合体。

1. 防火墙的功能一般说来，防火墙可以实现以下功能：（1）防火墙能防止非法用户进入内部网络，禁止安全性低的服务进出网络，并抗击来自各方面的攻击。

（2）能够利用NA T（网络地址变换）技术，既实现了私有地址与共有地址的转换，又隐藏了内部网络的各种细节，提高了内部网络的安全性。

（3）能够通过仅允许“认可的”和符合规则的请求通过的方式来强化安全策略，实现计划的确认和授权。

（4）所有经过防火墙的流量都可以被记录下来，可以方便的监视网络的安全性，并产生日志和报警。

（5）由于内部和外部网络的所有通信都必须通过防火墙，所以防火墙是审计和记录Internet使用费用的一个最佳地点，也是网络中的安全检查点。

（6）防火墙允许Internet访问WWW和FTP等提供公共服务的服务器，而禁止外部对内部网络上的其他系统或服务的访问。

虽然防火墙能够在很大程度上阻止非法入侵，但它也有一些防范不到的地方，如：（1）防火墙不能防范不经过防火墙的攻击。

（2）目前，防火墙还不能有效的防止感染了病毒的软件和文件的传输，有效的防止病毒的办法仍然是在每台主机上安装杀毒软件。

（3）防火墙不能防御数据驱动式攻击，当有些表面无害的数据被邮寄或复制到主机上并被执行而发起攻击时，就会发生数据驱动攻击。

因此防火墙只是整体安全制度的一部分，这种安全制度必须包括用户安全准则，职员培训计划以及与网络访问、安全检测、用户认证、磁盘和数据加密以及病毒防护等有关政策。

2. 防火墙的类型目前大多数防火墙都采用几种技术相结合的形式来保护网络不受恶意的攻击，其基本技术通常分为包过滤和应用层代理两大类。

（1）包过滤型防火墙数据包过滤技术是在网络层对数据包进行分析、选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表。

通过检查数据流中每一个数据包的源地址、目的地址、所用端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。

如果检查数据包所有的条件都符合规则，则允许进行路由；如果检查到数据包的条件不符合规则，则阻止通过并将其丢弃。

数据包检查是对IP层的首部和传输层的首部进行过滤，一般要检查下面几项：●源IP地址；●目的IP地址；●TCP/UDP源端口；●TCP/UDP目的端口；●协议类型（TCP包、UDP包、ICMP包）；●TCP报头中的ACK位；●ICMP消息类型。

例如：FTP使用TCP的20和21端口。

如果包过滤要禁止所有的数据包只允许特殊的的会话。

第二条是允许端口为20的任何远程IP地址都可以连接到192.168.10.0的任意端口上。

第二条规则不能限制目标端口是因为主动的FTP客户端是不使用20端口的。

当一个主动的FTP客户端发起一个FTP会话时，客户端是使用动态分配的端口号。

而远程的FTP服务器只检查192.168.1.0这个网络内端口为20的设备。

有经验的黑客可以利用这些规则非法访问内部网络中的任何资源。

（2）状态检测防火墙状态检测防火墙和包过滤型防火墙一样是在IP层实现的，它是基于操作系统内核中的状态表的内容转发或拒绝数据包的传送，比静态的包过滤型防火墙有着更好的网络性能和安全性。

静态包过滤型防火墙使用的过滤规则集是静态的，而采用状态检测技术的防火墙在运行过程中一直维护着一张动态状态表，这张表记录着TCP连接的建立到终止的整个过程中进行安全决策所需的状态相关信息，这些信息将作为评价后续连接安全性的依据。

（3）应用层代理防火墙应用层代理防火墙技术是在网络的应用层实现协议过滤和转发功能。

它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、记录和统计，形成报告。

这种防火墙能很容易运用适当的策略区分一些应用程序命令，像HTTP 中的“put”和“get”等。

应用层代理防火墙打破了传统的客户机/服务器模式，每个客户机/服务器的通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。

这样就将内部和外部系统隔离开来，从系统外部队防火墙内部系统进行探测变得分场困难。

应用层代理防火墙能够理解应用层上的协议，进行复杂一些的访问控制，但其最大的缺点是每一种协议需要相应的代理软件，使用时工作量大，当用户对内外网络网关的吞吐量要求比较高时，应用层代理防火墙就会成为内外网络之间的瓶颈。

（4）自适应代理防火墙自适应代理防火墙的基本安全检测仍在安全应用层进行，但一旦通过安全检测，后续包则将直接通过网络层，因此自适应代理防火墙比应用层代理防火墙具有更高的效率。

12.2ISA Server 20041. ISA Server 2004概述ISA Server 2004是Microsoft推出的企业级防火墙。

从字面上看，I代表Internet，表示该产品具有代理服务器的功能；S代表Security，表示该产品具有防火墙的功能；A代表Acceleration，表示该产品可以利用缓存服务器加速对Internet的访问。

所以ISA Server不仅仅是防火墙，它是集防火墙、代理服务器、缓存服务器三大功能于一体的。

通常来说，内部网络的概念是指公司内部网络中的所有计算机，外部网络是指公司内部网络以外的所有计算机（通常指Internet）。

但是由于使用移动计算机访问公司内部网络的用户的出现，从而使用户实际上成为了独立于网络的部分。

分支办公室连接到总部，并希望像公司总部的内部网络组成部分一样使用总部的资源。

许多公司使其公司网络中的服务器（尤其是Web服务器）可接受公开访问，但希望将这些服务器组织成一个单独的网络（DMZ网络）。

ISA Server 2004使用户可以通过很简单的配置来为这些复杂的网络方案提供保护。

（1）ISA Server 2004的功能特点（2）ISA Server 2004的版本ISA Server引入了多网络的概念，使用ISA Server的多网络功能，可以将网络中的计算机组织成网络集，并针对各个网络集配置特定的访问策略，还可以定义各个网络之间的关系，从而确定各个网络中的计算机如何通过ISA Server彼此通信，防止网络受到内部和外部的安全威胁。

ISA Server主要支持5种多网络结构，并提供与其对应的网络配置模板。

（1）边缘防火墙结构边缘防火墙结构主要采用以ISA Server为网络边缘的网络拓扑，ISA Server（本地主机）装有两块网卡，分别连接到内部网络和外部网络（Internet）。

当选择该结构时，内外网络之间不可直接通信，但都可以和ISA Server进行通信，可以在ISA Server对内外网络之间的通信进行限制，以保证网络安全。

（2）三向外围网络结构三向外围网络结构采用ISA Server连接到内部网络、外部网络和外围网络（也称DMZ 区、网络隔离区或被筛选的子网）的网络拓扑，ISA Server装有三块网卡，分别与内外网及外围网络相连。

外围网络是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如Web服务器、FTP服务器和论坛等。

通过外围网络，可以更加有效地保护内部网络。

（3）前端防火墙结构前端防火墙结构采用ISA Server在网络边缘、另一个防火墙配置在后端（保护内部网络）的网络拓扑，ISA Server装有两块网卡，分别连接到外围网络和外部网络。

当选择该结构时，如果攻击者试图攻击内部网络，必须破坏两个防火墙，必须重新配置连接三个网的路由，难度很大。

因此这种结构具有很好的安全性，但成本较高。

（4）后端防火墙结构后端防火墙结构采用ISA Server保护内部网络，另一个防火墙在网络边缘的网络拓扑，ISA Server装有两块网卡，分别连接到外围网络和内部网络。

实际上前端防火墙结构和后端防火墙结构是同一种网络结构，只不过ISA Server所在的位置不同，当然可以同时使用2台ISA Server分别充当前端防火墙和后端防火墙。

（5）单一网络适配器结构单一网络适配器结构采用在外围网络或内部网络配置单一网络适配器的方法，ISA Server只有一块网卡，连接到外围网络或内部网络中。

在这种配置中，ISA Server主要作为Web代理和缓存服务器使用。

3. ISA Server的网络规则可以使用ISA Server来定义网络规则，从而实现各网络之间的相互访问。

网络规则确定了在两个网络实体之间是否存在着关系，以及指定了哪种类型的关系。

（1）网络关系ISA Server中可以配置两种网络关系：①路由当指定这种类型的连接时，来自源网络的客户端请求将被直接转发到目标网络，源客户端地址仍然包含在请求中。

路由关系意味着不执行地址转换。

网络间的路由是双向的，也就是说，如果在从网络A到网络B这一方向上定义了路由关系，那么在从网络B到网络A这一方向上也存在着路由关系。

②网络地址转换（NAT）当指定这种类型的连接时，ISA Server将用自己的IP地址替换源网络中的客户端的IP 地址。

例如，若源网络A到目标网络B这一方向上存在着NAT网络关系，则在将请求传递到目标网络B中的计算机之前，将用ISA Server上的IP地址替换源网络A中的IP地址。

另一方面，当来自网络B的数据包返回给网络A中的计算机时，将不会转换网络B中的计算机的地址，也就是说，网络A中的计算机可以看到网络B中的计算机的地址。

NAT关系有效地确保了网络A中的内部地址结构不会被公开，并且对于网络B而言是不可访问的。

（2）默认规则ISA Server安装时，会创建下列默认规则：●本地主机访问：此规则定义了在本地主机网络与其他所有网络之间存在的路由关系。

这样，便在ISA Server计算机与连接到该ISA Server计算机的所有网络之间定义了连接性。

●VPN客户端到内部网络：此规则定义了在内部网络与被隔离的VPN客户端以及VPN客户端网络之间存在的路由关系。