第四章 网络安全技术

防火墙是一套的网络安全防御系统，依据实现制定好的安全规则，对相应的网络数据流进行监视和控制。硬件外形是多网络接口的机架服务器，在网络拓扑图中所使用红墙的图标来表示

网络防火墙：用于两个或者多个网路之间数据流的监控，通常使用专门的硬件实现，并安装特定的软件
主机防火墙：多指安装在主机中的软件，用来监视所有主机的数据流

可将防火墙定义为：在可信任网络和不可信任网络之间设置的一套硬件的网络安全防御系统，实现网络间数据流的检查和控制

防火墙的本质：安装并运行在一台或多台主机上的特殊软件。这些硬件设备是专门针对网络数据流的检查和控制进行专门设计的，以满足网络中数据包处理速度和转发时延的要求，数据流的访问控制由安装的防火墙软件执行

防火墙的作用：安全域划分与安全域的策略部署；根据访问控制列表实现访问控制，同报文匹配规则实现数据包的过滤；放置内部信息外泄，将内部网络结构隐藏起来；审计功能，可以对故障记录等都有很好的审计功能；部署网络地址转换

防火墙的局限性：无法防范来自网络内部的恶意攻击；无法防范不经过防火墙的攻击；防火墙会带来传输延迟、通信瓶颈和单点失效等问题；防火墙对服务器合法开放的端口的攻击无法阻止；防火墙本身也会存在漏洞而遭到攻击；防火墙不能处理病毒和木马攻击的行为；防火墙限制了存在安全缺陷的网络服务，影响了用户使用服务的便利性

防火墙关键技术
1、数据包过滤技术：第一代防火墙，检查网络中每个数据包，根据访问控制列表的通行规则，决定对每一个数据包的放行与丢弃。
检查信息包括：IP地址、数据包协议类型、端口号、进出的网络接口
优点：对用户透明、通