90288-信息安全技术-第7章 防火墙技术

¾ 定义3：防火墙是位于两个信任程度不同的 网络之间（如企业内部网络和Internet之间） 的软件或硬件设备的组合，它对两个网络之间 的通信进行控制，通过强制实施统一的安全策 略，防止对重要信息资源的非法存取和访问以 达到保护系统安全的目的。
--5--
7.1 防火墙概述
7.1.2 防火墙的功能
防
--12--
0 4位 版本 号
15 16
31
4位首 部长度
8位服务类型 （TOS）
16位数据长度（字节 数）
16位标识
3位
标
13位片偏移
识
8位生存时间 （TTL）
8位协议
16位首部校验和
32位源IP地址
20字节
32位目的IP地址
选项（如果有）
数据
IP头部信息
0
15 16
31
16位源端口号
16位目的端口号
电路级网关
¾ 拓扑结构同应用程序网关相同 ¾ 本质上，也是一种代理服务器，接收客户端 连接请求，代理客户端完成网络连接 ¾ 在客户和服务器间中转数据 ¾ 通用性强 ¾ 常用： Socks、Winsock
--33--
7.3 防火墙技术
--34--
7.3 防火墙技术
¾ 电路级网关实现方式1---简单重定向 • 根据客户的地址及所请求端口，将该连接重 定向到指定的服务器地址及端口上 • 对客户端应用完全透明
防火墙示意
♦ 安全域间的组件
♦ 高级访问控制 （过滤、监视、 记录）
7.1 防火墙概述
¾ 定义2：Rich Kosinski(Internet Security公司 总裁）--- 防火墙是一种访问控制技术，在某个 机构的网络和不安全的网络之间设置障碍，阻 止对信息资源的非法访问。换句话说，防火墙 是一道门槛，控制进/出两个方向的通信。
--37--
7.3 防火墙技术
源IP
10.0. 0.108
目的IP
202.112. 108.50
源IP
202.112. 108.50
目的IP
10.0. 0.108
源IP
202.112. 108.3
目的IP
202.112.1 08.50
防火墙NAT
源IP
202.112. 108.50
目的IP
202.112. 108.3
--38--
1.静态NAT——正向静态NAT 25.0.0.1 25.0.0.2
200.0.0.2 200.0.0.1
25.0.0.3
IP-200.0.0.3 端口-80
源IP-100.0.0.34 目标IP-200.0.0.3 源端口-1037 目标端口-80
100.0.0.1
100.0.0.2
¾ 包过滤技术的优点 • 逻辑简单，价格便宜，对网络性能的影响 较小，有较强的透明性； • 并且它的工作与应用层无关，无须改动任 何客户机和主机上的应用程序，易于安装和 使用。
--17--
7.3 防火墙技术
¾ 包过滤技术的缺点 • 无法对数据包的内容进行过滤审核; • 无法提供描述事件的详细日志; • 所有可能用到的端口(尤其是>1024的端口)都 必需放开,增加了被攻击的可能性; • 容易受到IP欺骗攻击; • 若网络结构复杂, 配置过滤规则将很困难。
--3--
安全域1 Host A Host B
两个安全域之间通 信流的唯一通道
安全域2 Host C Host D
Source Host A Host B
Destination Host C Host C
Permit Pass Block
Protocol TCP UDP
根据访问控制规则决 定进出网络的行为
外网IP1-100.0.0.3 IP2-100.0.0.4 IP3-100.0.0.5
内网IP-192.168.1.1
内网主机IP 192.168.1.2 192.168.1.3
公网IP 100.0.0.3 100.0.0.4
源IP-192.168.1.23 目标IP-200.0.0.3 源端口-1037 目标端口-80
--8--
7.3 防火墙技术
7.3.1 包过滤技术
¾ 根据流经该设备的数据包头信息，依据包过滤 规则，决定是否允许该数据包通过。 ¾ 创建包过滤规则要考虑的问题
• 打算提供何种网络服务，并以何种方向提供 这些服务？ • 需要限制内部主机与外网连接的能力吗？ • 外网上是否有可信任的主机，可以某种形式 访问内部网络吗？
• 解决IP地址空间不足问题 • 向外界隐藏内部网络结构
--36--
7.3 防火墙技术
¾ 网络地址转换的方式 • 静态NAT：1-1 简单的地址转换； • 动态NAT：多对多的动态地址转换； • 端口地址转换PAT： 多对1的地址转换；
¾ 网络地址转换的方向 • 正向NAT：源地址转换（Source NAT， SNAT）； • 反向NAT：目的地址转换（Destination NAT， DNAT）
状态检测防火墙配置
Source IP
192.168.1. 0/24
Source port
>1023
Dest IP Dest port protocal
any
80
TCP
7.3 防火墙技术
¾ 状态检测技术的优点 • 更高的安全性 • 高效性 • 应用范围广
¾ 状态检测技术的缺点 • 不能对应用层数据进行控制 • 不能产生高层日志 • 配置复杂
¾ 电路级网关实现方式2---在转发前同客户端交换 连接信息
• 客户程序需要修改
--35--
7.3 防火墙技术
7.3.3 网络地址转换技术
¾ 含义：网络地址转换（Network Address Translation，NAT），或称为网络地址翻译；简 单地就是将一个IP地址用另一个IP地址代替。 ¾ 目的
--18--
7.3 防火墙技术
状态检测技术
¾状态检测（Stateful Inspection）：在防火墙内 部除了访问控制规则表外，还有一个不需配置， 防火墙自动产生的状态表。 ¾ 在包过滤的同时，检察数据包之间的关联性以 及数据包中动态变化的状态码。 ¾ 状态信息：源地址和目的地址、源端口和目的 端口（统称套接字对，socket pairs），协议类 型，连接状态(TCP协议)和超时时间等。
--9--
7.3 防火墙技术
--10--
包过滤原理 Source Destination Permit Protocol
Host A Host C Pass TCP 控制策略
Host B Host C Block UDP
数据包
查找对应的控 制策略
根据策略决定如何 处理该数据包
拆开数据包
数据包
数据包 数据包 IP报头 TCP报头
分组过滤判断 信息
安全网域
Host Host CD 数 据 包
数据包
数据
包过滤示意
7.3 防火墙技术
¾ 判断依据有： • 数据包协议类型：TCP、UDP、ICMP、 IGMP等 • 源、目的IP地址 • 源、目的端口：FTP、HTTP、DNS等 • IP选项：源路由、记录路由等 • TCP选项：SYN、ACK、FIN、RST等 • 其它协议选项：ICMP ECHO、ICMP ECHO REPLY等 • 数据包流向：in或out • 数据包流经网络接口：eth0、eth1
--20--
7.3 防火墙技术
--21--
据包 数
控制策略
查找对应
的控制策 根据策略和状态
略
表决定如何处理
该数据包
拆开数
据包
数据包 数据包
据包 数
IP报头 IP报头 IP报头
TCP报头 TCP报头 TCP报头
状态检测
安全网域
Host Host CD
数
据
数据包
包
数据1 数据2 数据3
状态检测示意1
状态 检测表
Yes 访问控制 规则表
No
状态检测示意2
Host Host CD
Source IP
192.168.1. 0/24
any
包过滤防火墙配置
Source port
Dest IP Dest port
>1023
any
80
80
192.168.1. 0/24
>1023
protocal TCP TCP
过滤进出网络的数据
火
管理进出网络的访问行为
墙
的
封堵某些禁止的业务
功
记录进出网络的信息和活动
能
对网络攻击进行检测和告警
--6--
7.1 防火墙概述
内容过滤
用户认证
VPN
应用程序代理
包过滤&状态检测 IDS与报警
NAT
--7--
日志
7.1 防火墙概述
7.1.3 防火墙的策略
配置防火墙有两种基本策略 1) 一切未被允许的就是禁止的（No 规则） 2) 一切未被禁止的就是允许的（Yes 规则）
7.3 防火墙技术
应用代理防火墙工作模式
--28--
控制策略
查找对 应的控 制策略
拆开数据包
根据策略决定如何 处理该数据包
数据包 数据包
安全网域
Host Host CD 数 据
数据包 包
数据包 数据包
IP报头 TCP报头
数据
分组过滤判断
信息 应用代理判断
信息
应用代理示意1
符合策略
根据策略检查应 用层的数据
192.168.1.2