第九章 防火墙技术PPT课件
合集下载
《防火墙技术 》课件
防火墙技术的分类
按部署位置分类
网络边界防火墙、主机防火 墙、内部网络防火墙。
按功能分类
包过滤防火墙、状态检测防 火墙、应用代理防火墙。
按网络架构分类
单层防火墙架构、多层防火 墙架构。
防火墙技术的工作模式
1 包过滤模式
根据预定义的规则对数据包进行过滤和阻止。
2 状态检测模式
基于网络连接状态对数据包进行判断和过滤。
《防火墙技术》PPT课件
欢迎来到我们的《防火墙技术》PPT课件！在这个课件中，我们将介绍防火 墙技术的基本原理、分类、工作模式、实现方式、应用以及注意事项。让我 们一起探索这个引人入胜的主题吧！
什么是防火墙技术？
防火墙技术是指用于保护计算机网络免受未经授权访问和意外数据泄露的一系列策略、设备和技术。它 的目的是保护网络免受潜在威胁，并控制网络流量的进出。
3 应用代理模式
作为数据包的中间人，对数据进行合法性检查和过滤。
防火墙技术的实现方式
软件型防火墙
基于软件的防火墙应用程序，安装在操作系统上。
硬件型防火墙
独立的硬件设备，用于处理网络流量和执行安全策略。
虚拟型防火墙
在虚拟化环境中部署的防火墙，保护虚拟网络。
防火墙技术的应用
1
企业内部网络
保护企业内部网络免受未经授权访问和恶意软件的攻击。
定期更新防火墙规则、 软件和固件以及执行安 全审计。
防火墙技术的发展趋势
智能防火墙技术
利用人工智能和机器学习改进 防火墙的自动化、检测和响应 能力。
云计算与防火墙技术
人工智能与防火墙技术
应对云计算环境中的安全挑战， 并提供弹性和可扩展性。
使用人工智能技术来识别并应 对复杂的网络攻击和威胁。
防火墙技术.ppt
防火墙是审计和记录Internet使用费用的一个最佳地 点。网络管理员可以在此向管理部门提供Internet连接的 费用情况，查出潜在的带宽瓶颈位置，并能够依据本机 构的核算模式提供部门级的计费。
Internet技术应用——防火墙技术
防火墙的发展趋势
从趋势上看，未来的防火墙将位于网络级防火 墙和应用级防火墙之间，也就是说，网络级防火墙将 变得更加能够识别通过的信息，而应用级防火墙在目 前的功能上则向“透明”、“低级”方面发展。最终 防火墙将成为一个快速注册稽查系统，可保护数据以 加密方式通过，使所有组织可以放心地在节点间传送 数据
Internet技术应用——防火墙技术
防火墙的两大分类
按照防火墙对内外来往数据的处理方法，大致可 以将防火墙分为两大体系：包过滤防火墙和代理防火 墙(应用层网关防火墙)。
包过滤防火墙代表产品： Checkpoint(以色列) PIX(Cisco)
代理防火墙代表产品： Gauntlet(美国NAI公司)
由于每一个内外网络之间的连接都要通过Proxy 的介入和转换，不给内外网络的计算机以任何直接会 话的机会，从而避免了入侵者使用数据驱动类型的攻 击方式入侵内部网。
Internet技术应用——防火墙技术
代理防火墙防火墙一般支持的标准代理服务有WWW 服务(即HTTP服务)、TELNET服务、FTP服务、 SMTP/POP3服务等。
Internet技术应用——防火墙技术
防火墙的发展趋势
功能 防火墙产品除一般的防护功能外，还能提供 其他网络连接时的应用，如防病毒、入侵检测、认证 加密、远程管理、代理服务器等功能。
性能 提高内部网络对外访问的速度；在连接加密上 ，采用不同方式的加密连接，使内部网通过外部网安 全地传输数据；
Internet技术应用——防火墙技术
防火墙的发展趋势
从趋势上看，未来的防火墙将位于网络级防火 墙和应用级防火墙之间，也就是说，网络级防火墙将 变得更加能够识别通过的信息，而应用级防火墙在目 前的功能上则向“透明”、“低级”方面发展。最终 防火墙将成为一个快速注册稽查系统，可保护数据以 加密方式通过，使所有组织可以放心地在节点间传送 数据
Internet技术应用——防火墙技术
防火墙的两大分类
按照防火墙对内外来往数据的处理方法，大致可 以将防火墙分为两大体系：包过滤防火墙和代理防火 墙(应用层网关防火墙)。
包过滤防火墙代表产品： Checkpoint(以色列) PIX(Cisco)
代理防火墙代表产品： Gauntlet(美国NAI公司)
由于每一个内外网络之间的连接都要通过Proxy 的介入和转换，不给内外网络的计算机以任何直接会 话的机会，从而避免了入侵者使用数据驱动类型的攻 击方式入侵内部网。
Internet技术应用——防火墙技术
代理防火墙防火墙一般支持的标准代理服务有WWW 服务(即HTTP服务)、TELNET服务、FTP服务、 SMTP/POP3服务等。
Internet技术应用——防火墙技术
防火墙的发展趋势
功能 防火墙产品除一般的防护功能外，还能提供 其他网络连接时的应用，如防病毒、入侵检测、认证 加密、远程管理、代理服务器等功能。
性能 提高内部网络对外访问的速度；在连接加密上 ，采用不同方式的加密连接，使内部网通过外部网安 全地传输数据；
《防火墙技术》PPT课件
• 了解恶意进攻手段
现代信息安全系统
•现代信息安全系统＝
–防火墙 –＋合适的安全策略 –＋全体人员的参与
防火墙的应用设计原则
• Affordability
– 我准备为安全支付多少费用?
• Functionality
– 我是否还能使用我的资源?
• Cultural Compatibility
– 是否符合人们的工作方式?
地址翻译-NAT(一)
• RFC1918规定了私有地址
– 下面三类地址不能用于Internet主机地址
地址翻译-NAT(二)
• 实现方式
– 静态地址翻译 – 动态地址翻译 – 端口地址翻译(PAT)
• 优点：节约地址资源，有一定的安全保 护作用
• 缺点：有些服务不能支持
NAT-静态地址翻译
NAT-端口地址翻译
• 两种缺省选择
– 没有被明确允许的即为禁止 – 没有被明确禁止的即为允许
防火墙的安全策略
• 防火墙的物理安全 • 防火墙的认证加密 • 防火墙的过滤策略 • 防火墙的预警能力 • 防火墙的记录设置
名词解释
• 堡垒主机（Bastion Host）
– 一个高度安全的计算机系统。通常是暴露于 外部网络，作为连接内部网络用户的桥梁， 易受攻击。
回路层代理服务
全状态检测(Stateful Inspection)
Application Presentation
Session Transport Network DataLink Physical
Application Presentation
Session Transport Network
– TCP or UDP
现代信息安全系统
•现代信息安全系统＝
–防火墙 –＋合适的安全策略 –＋全体人员的参与
防火墙的应用设计原则
• Affordability
– 我准备为安全支付多少费用?
• Functionality
– 我是否还能使用我的资源?
• Cultural Compatibility
– 是否符合人们的工作方式?
地址翻译-NAT(一)
• RFC1918规定了私有地址
– 下面三类地址不能用于Internet主机地址
地址翻译-NAT(二)
• 实现方式
– 静态地址翻译 – 动态地址翻译 – 端口地址翻译(PAT)
• 优点：节约地址资源，有一定的安全保 护作用
• 缺点：有些服务不能支持
NAT-静态地址翻译
NAT-端口地址翻译
• 两种缺省选择
– 没有被明确允许的即为禁止 – 没有被明确禁止的即为允许
防火墙的安全策略
• 防火墙的物理安全 • 防火墙的认证加密 • 防火墙的过滤策略 • 防火墙的预警能力 • 防火墙的记录设置
名词解释
• 堡垒主机（Bastion Host）
– 一个高度安全的计算机系统。通常是暴露于 外部网络，作为连接内部网络用户的桥梁， 易受攻击。
回路层代理服务
全状态检测(Stateful Inspection)
Application Presentation
Session Transport Network DataLink Physical
Application Presentation
Session Transport Network
– TCP or UDP
《防火墙技术》PPT课件
① 只能防范经过其本身的非法访问和攻击，对绕过防火
墙的访问和攻击无能为力；
② 不能解决来自内部网络的攻击和安全问题；
③ 不能防止受病毒感染的文件的传输；
④ 不能防止策略配置不当或错误配置引起的安全威胁；
⑤ 不能防止自然或人为的故意破坏；不能防止本身安全
漏洞的威胁。
h
7
2 防火墙技术分类
2.1 数据包过滤（Packet Filtering） 2.2 代理服务（Proxy Service） 2.3 状态检测（Stateful Inspection） 2.4 网络地址转换（Network Address
h
18
2.4 网络地址转换
网络地址转换/翻译（NAT，Network Address Translation）就是将一个IP地址用另一个IP地址代替。
NAT的主要作用： ① 隐藏内部网络的IP地址； ② 解决地址紧缺问题。
注意：NAT本身并不是一种有安全保证的方案，它仅 仅在包的最外层改变IP地址。所以通常要把NAT集成 在防火墙系统中。
代理速度比路由器慢 代理对用户不透明 对于每项服务，代理可能要求不同的服务器 代理服务通常要求对客户或过程进行限制 代理服务受协议弱点的限制 代理不能改进底层协议的安全性
h
16
2.3 状态检测
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
应用层 表示层 会话层 传输层 网络层
可信网络
防火墙
Intranet
DMZ
路由器
不可信网络 和服务器
不可信用户
Internet
可信用户
h
4
1.1 相关概念
防火墙安全策略 一个防火墙应该使用以下两种基本策略中的一种:
墙的访问和攻击无能为力；
② 不能解决来自内部网络的攻击和安全问题；
③ 不能防止受病毒感染的文件的传输；
④ 不能防止策略配置不当或错误配置引起的安全威胁；
⑤ 不能防止自然或人为的故意破坏；不能防止本身安全
漏洞的威胁。
h
7
2 防火墙技术分类
2.1 数据包过滤（Packet Filtering） 2.2 代理服务（Proxy Service） 2.3 状态检测（Stateful Inspection） 2.4 网络地址转换（Network Address
h
18
2.4 网络地址转换
网络地址转换/翻译（NAT，Network Address Translation）就是将一个IP地址用另一个IP地址代替。
NAT的主要作用： ① 隐藏内部网络的IP地址； ② 解决地址紧缺问题。
注意：NAT本身并不是一种有安全保证的方案，它仅 仅在包的最外层改变IP地址。所以通常要把NAT集成 在防火墙系统中。
代理速度比路由器慢 代理对用户不透明 对于每项服务，代理可能要求不同的服务器 代理服务通常要求对客户或过程进行限制 代理服务受协议弱点的限制 代理不能改进底层协议的安全性
h
16
2.3 状态检测
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
应用层 表示层 会话层 传输层 网络层
可信网络
防火墙
Intranet
DMZ
路由器
不可信网络 和服务器
不可信用户
Internet
可信用户
h
4
1.1 相关概念
防火墙安全策略 一个防火墙应该使用以下两种基本策略中的一种:
《防火墙技术介绍》课件
02 03
详细描述
在路由模式下，防火墙位于网络的核心位置，负责根据预设的安全规则 对经过的数据包进行筛选和过滤。这种部署方式能够提供对整个网络的 保护，确保数据传输的安全性。
适用场景
适用于大型企业或数据中心，需要对整个网络进行全面保护的场景。
网关模式部署
总结词
通过将防火墙部署在网络网关处，实现对进出网络的数据 包进行安全检查和控制。
详细描述
在网关模式下，防火墙位于网络的入口和出口处，对所有 进出网络的数据包进行安全检查和控制。这种部署方式能 够有效地防止外部攻击和恶意软件的入侵。
适用场景
适用于需要对网络进行全面保护，特别是防止外部攻击的 场景，如企业或组织的内部网络。
透明模式部署
总结词
通过将防火墙设置为透明模式，可以在不改变现有网络结构的情况下实现数据包过滤和安 全控制。
防火墙的配置策略
访问控制策略
根据企业的安全需求，制定合理的访问控制 策略，控制网络访问权限。
日志与监控策略
配置防火墙的日志记录和监控功能，以便及 时发现和处理安全事件。
流量控制策略
根据网络带宽和业务需求，合理分配网络流 量，确保关键业务的正常运行。
升级与漏洞修复策略
定期更新防火墙的软件版本，修复已知漏洞 ，提高系统的安全性。
02
应用代理技术可以实现对应用层的过滤和控制，能够更好地保护内部网络的安 全。
03
应用代理技术需要针对不同的应用协议进行定制开发，因此实现起来相对复杂 ，且可能存在性能瓶颈。
有状态检测
有状态检测技术是指防火墙能够跟踪通过的数据包，并建 立起连接状态表，根据连接状态表对后续的数据包进行检 查，从而判断是否允许数据包通过。
《防火墙技术》ppt课件
〔Bastion host〕，是一台至少配有两个网络接 口的主机，它可以充当与这些接口相连的网络 之间的路由器，在网络之间发送数据包。 一般情况下双宿主机的路由功能是被制止的， 这样可以隔离内部网络与外部网络之间的直接 通信，从而到达保护内部网络的作用。
3.2 屏蔽主机构造
Internt
防火墙
分组过滤 路由器
4 防火墙产品
1.个人防火墙
是在操作系统上运行的软件，可为个人计算机提供简单的 防火墙功能；
大家常用的个人防火墙有：Norton Personal Firewall、天 网个人防火墙、瑞星个人防火墙等；
安装在个人PC上，而不是放置在网络边界，因此，个人 防火墙关心的不是一个网络到另外一个网络的平安，而是 单个主机和与之相连接的主机或网络之间的平安。
2.2 代理效劳
Telnet
FTP HTTP
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
2.2 代理效劳
所谓代理效劳器，是指代表内网用户向外网效劳器进展 连接恳求的效劳程序。
代理效劳器运行在两个网络之间，它对于客户机来说像 是一台真的效劳器，而对于外网的效劳器来说，它又是 一台客户机。
代理效劳器的根本工作过程是：当客户机需要使用外网 效劳器上的数据时，首先将恳求发给代理效劳器，代理 效劳器再根据这一恳求向效劳器索取数据，然后再由代 理效劳器将数据传输给客户机。
2.2 代理效劳
4 防火墙产品
5.分布式防火墙
前面提到的几种防火墙都属于边界防火墙〔Perimeter Firewall〕，它无法对内部网络实现有效地保护；
3.2 屏蔽主机构造
Internt
防火墙
分组过滤 路由器
4 防火墙产品
1.个人防火墙
是在操作系统上运行的软件，可为个人计算机提供简单的 防火墙功能；
大家常用的个人防火墙有：Norton Personal Firewall、天 网个人防火墙、瑞星个人防火墙等；
安装在个人PC上，而不是放置在网络边界，因此，个人 防火墙关心的不是一个网络到另外一个网络的平安，而是 单个主机和与之相连接的主机或网络之间的平安。
2.2 代理效劳
Telnet
FTP HTTP
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
2.2 代理效劳
所谓代理效劳器，是指代表内网用户向外网效劳器进展 连接恳求的效劳程序。
代理效劳器运行在两个网络之间，它对于客户机来说像 是一台真的效劳器，而对于外网的效劳器来说，它又是 一台客户机。
代理效劳器的根本工作过程是：当客户机需要使用外网 效劳器上的数据时，首先将恳求发给代理效劳器，代理 效劳器再根据这一恳求向效劳器索取数据，然后再由代 理效劳器将数据传输给客户机。
2.2 代理效劳
4 防火墙产品
5.分布式防火墙
前面提到的几种防火墙都属于边界防火墙〔Perimeter Firewall〕，它无法对内部网络实现有效地保护；
《防火墙介绍》课件
03
提供审计和日志记录功能
防火墙能够对所有通过它的数据流进行记录和日志，以便于对网络的使
用情况和系统的安全性进行有效的监控和审查。
防火墙的分类
根据使用方式可以分为软件防火墙和硬件防火墙
软件防火墙是安装在计算机系统上的防火墙软件，而硬件防火墙是专门设计的硬件设备，具有内置的防火墙功能 。
根据部署位置可以分为边界防火墙和内网防火墙
高的防火墙。
防火墙的配置步骤
01
02
03
04
硬件与软件安装
根据防火墙的型号和规格，进 行硬件的安装和软件的下载与
安装。
网络接口配置
配置防火墙的网络接口，包括 IP地址、子网掩码、默认网关
等。
安全策略设置
根据安全需求，设置防火墙的 访问控制列表、安全策略等。
监控与日志记录
开启防火墙的监控功能，配置 日志记录，以便于实时监测和
详细描述
在透明模式下，防火墙以透明代理的方式工作，无需对网络设备和主机进行任何特殊配置。防火墙只 需连接在交换机上，即可实现对网络流量的监控和管理。这种部署方式的优势在于不会改变原有网络 结构，无需进行复杂的配置和管理。
混合模式部署
总结词
结合路由模式和透明模式的优点，提供更加灵活和全 面的网络安全保障。
事后审计。
防火墙的配置策略
访问控制策略
根据网络使用需求，制定允许 或拒绝特定IP地址、端口、协
议等访问的控制策略。
流量管理策略
根据网络带宽和数据负载，合 理分配和管理网络流量，确保 关键业务不受影响。
入侵检测与防御策略
配置防火墙的入侵检测与防御 功能，实时监测和防御恶意攻 击。
内容过滤策略
根据法律法规和企业规定，配 置内容过滤策略，过滤不良信
《防火墙知识》课件
2023
PART 05
防火墙的发展趋势
REPORTING
下一代防火墙
01
下一代防火墙是指具备更高级安全功能和性能的防火墙，能够更好地 应对现代网络威胁和攻击。
02
下一代防火墙具备更强大的检测和防御能力，能够识别和防御各种类 型的恶意软件、病毒、勒索软件等威胁。
03
下一代防火墙还支持多种安全策略，可以根据不同的网络环境和安全 需求进行灵活配置。
04
下一代防火墙还具备更高的性能和可靠性，能够保证网络的稳定性和 连续性。
AI驱动的防火墙
AI驱动的防火墙是指利用人工 智能技术来提高防火墙的性能 和检测能力的一种新型防火墙
。
AI驱动的防火墙通过机器学习 和深度学习等技术，能够自动 学习和识别网络流量中的异常 行为和威胁，并采取相应的防
御措施。
AI驱动的防火墙还可以根据网 络流量和安全事件等信息进行 智能分析和预测，提前发现潜 在的安全威胁。
01
03
零信任网络架构中的防火墙还可以与多种安全组件进 行集成，形成完整的安全防护体系，提高整个网络的
安全性和可靠性。
04
零信任网络架构中的防火墙通常采用微分段技术，将 网络划分为多个安全区域，对每个区域进行独立的安 全控制和管理。
2023
REPORTING
THANKS
感谢观看
它通过监测、限制、更改跨越防火墙的数据流，尽可能地对 外部屏蔽网络内部的信息、结构和运行状况，以此来实现网 络的安全保护。
防火墙的作用
防止来自被保护区域外部的攻击
在网络中，限制防火墙后仅能访问内部网或限制某些服务，能够阻止未经授权的访问和 入侵。
控制对特殊站点的访问
根据安全政策，可以在防火墙上只允许对某些特定的站点进行访问，从而防止其他用户 的非法访问。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
对防火墙的两大需求
保障内部网安全 保证内部网同外部网的连通
3.1.1 防火墙的定义
防火墙是设置在被保护网络和外部网络 之间的一道屏障，实现网络的安全保护，以 防止发生不可预测的、潜在破坏性的侵入。 它是不同网络或网络安全域之间信息的 唯一出入口 。
防火墙的发展简史
第一代防火墙：采用了包过滤（Packet Filter） 技术。 第二代防火墙：应用层防火墙的初步结构。 第三代防火墙： 1992年，开发出了基于动态 包过滤技术的第四代防火墙。 第四代防火墙： 1998 年， NAI 公司推出了一 种自适应代理技术。
动态包过滤 防火墙的工作原理
自适应代理防火墙
防火墙构造体系
筛选路由器
多宿主主机
被屏蔽主机
被屏蔽子网
概念
l 堡垒主机(Bastion host):堡垒主机是一种 配置了安全防范措施的网络上的计算机，堡垒主机 为网络之间的通信提供了一个阻塞点，也就是说如 果没有堡垒主机，网络之间将不能相互访问。可以 配置成过滤型、代理型或混合型。 l 双宿主主机(Dual-homed Host):有两个网 络接口的计算机系统，一个接口接内部网，一个接 口接外部网。 DMZ(Demilitarized Zone，非军事区或者停火区)： 在内部网络和外部网络之间增加的一个子网。可以实
3.2.3 防火墙的常见体系结构
返回本章首页
3.2.1 防火墙的技术分类
1．包过滤防火墙 2．应用网关（代理服务） 3．混合防火墙
1．包过滤防火墙（Packet
filtering）
（1）数据包过滤技术的发展：静态包过滤、 动态包过滤。 （2）包过滤的优点：不用改动应用程序、一 个过滤路由器能协助保护整个网络、数据包 过滤对用户透明、过滤路由器速度快、效率 高。
网 络 管 理 评 估 病 毒 防 护 体 系
安全防护
网 络 访 问 控 制
网络安全服务
应 急 服 务 体 系 安 全 技 术 培 训
网 络 监 控
数 据 保 密
数 据 恢 复
5.1 防火墙技术概述
防火墙的定义 防火墙的发展简史 设置防火墙的目的和功能
返回本章首页
防火墙的功能
1. 2. 3. 4. 5. 访问控制 对网络存取和访问进行监控审计 防止内部信息的外泄 支持VPN功能 支持网络地址转换
代理防火墙的原理
代理防火墙的工作过程
代理技术的优点
1）代理易于配置。 2）代理能生成各项记录。 3）代理能灵活、完全地控制进出流量、内 容。 4）代理能过滤数据内容。 5）代理能为用户提供透明的加密机制。 6）代理可以方便地与其他安全手段集成。
代理技术的缺点
1）代理速度较路由器慢。 2）代理对用户不透明。 3 ）对于每项服务代理可能要求不同的服务 器。 4 ）代理服务不能保证免受所有协议弱 点的限制。 5 ）代理防火墙提供应用保护的 协议范围是有限的
现避免内外网用户的直接接触。
筛选路由器
进行包过滤
包过滤器
内部网络
外部网络
双宿主主机--Dual-Homed
Host Firewall
被屏蔽主机 (Screened Host Firewall)
被屏蔽子网 (Screened subnet Firewall)
小型网络解决方案
典型的网络安全解决方案
源端口
>1023
目的地 址 any any
目的端口
80
协议
TCP
进站
拒绝
any
默认安全策略
没有明确禁止的行为都是允许的 举例：华为的ACL 没有明确允许的行为都是禁止的 举例：思科的ACL
2．代理防火墙的原理 Proxy Server
代理防火墙（应用层网关型防火墙） 代理防火墙通过编程来弄清用户应用层的 流量，并能在用户层和应用协议层间提供访 问控制；而且，还可用来保持一个所有应用 程序使用的记录。记录和控制所有进出流量 的能力是应用层网关的主要优点之一。
3.1.4 防火墙的局限性
（1）防火墙防外不防内。 （2）防火墙不能防范不通过它的连接。 （3）很难为用户在防火墙内外提供一致的安 全策略。 （4）防火墙只实现了粗粒度的访问控制。 （5）防火墙对病毒的访问控制有局限。
返回本节
3.2 防火墙技术
3.2.1 防火墙的技术分类 3.2.2 防火墙的主要技术及实现方式
返回本章首页
内容攻击的风险日趋增长
网络分层
蠕虫，病毒，可执行内容、特洛伊 木马/代理的攻击
内容攻击 盗用口令，欺骗，操作系统和网络协议 的侦测 协议层攻击 窃取计算机磁带，磁盘，搭线窃听，电子 信号的检测和感应 物理层攻击
1980
1990
2000
网络安全防护体系构架
网络安全评估
系 统 漏 洞 扫 描
包过滤防火墙的特点
优点： 保护整个网络；对用户透明；可用路由器， 不需要其他设备。 缺点： 1.包过滤的一个重要的局限是它不能分辨好 的和坏的用户，只能区分好的包和坏的包。 2.包过滤规则难配置。 3.新的协议的威胁。 4.IP欺骗
应用
E0端口
方向
进站
动作
允许
源地址
192.168.6.0/24
第5章 防火墙技术
防火墙技术
3.1 防火墙技术概述
3.2 防火墙技术
3.3 防火墙设计实例
本章学习目标
（1）了解防火墙的定义、发展简史、目的、 功能、局限性及其发展动态和趋势。 （2）掌握包过滤防火墙和和代理防火墙的实 现原理、技术特点和实现方式；熟悉防火墙 的常见体系结构。 （3）熟悉防火墙的产品选购和设计策略。
双机热备
简单包过滤 防火墙的工作原理
包过滤 防火墙的工作流程
过滤规则-ACL
包过滤规则一般基于部分的或全部的包头信息： 1．IP协议类型 2．IP源地址 3．IP目标地址 4． TCP（ UDP ）源端口号 5． TCP （ UDP ）目标端口号 6． TCP ACK标识，指出这个包是否是联接 中的第一个包，是否是对另一个包的响应。