计算机网络 7.5防火墙

第五节 防火墙

一、认识防火墙

1.定义：设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。

2.逻辑概念：防火墙是一个分离器，一个限制器，也是一个分析器。

3.作用：

①控制进出网络的信息流向和数据包。

②提供使用和流量的日志和审计。

③隐藏内部IP地址及网络结构细节。

④提供VPN功能。

4.分类：软件防火墙、硬件防火墙、专用防火墙。

5.原理：访问控制技术。

二、防火墙技术类型

1.数据包过滤

描述：在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑（访问控制表）。

安装位置：路由器。

优点：逻辑简单、价格便宜，易于安装和使用，网络性能和透明性好。

缺点：①非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；②数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。

2.应用级网关

描述：在网络应用层上建立协议过滤和转发功能。

安装位置：专用工作站。

3.代理服务器

描述：是针对数据包过滤和应用级网关技术存在的缺点而引用的防火墙技术。

特点：将所有跨越防火墙的网络通信链路分为两端。

4.状态检测技术

描述：采用一种基于连接的状态检测机制，将属于同一连接的所有包作为整体的数据流。

三、设置防火墙的要素

1.网络策略

2.服务访问策略

3.防火墙设计策略

分类：允许任何服务除非被明确禁止，禁止任何服务除非被明确允许。

4.增强的认证

内容：智能卡、认证令牌、生理特征等。

四、防火墙的分类

1.按实现方法：软件防火墙、硬件防火墙、专用防火墙。

2.按核心技术：包过滤和应用代理。

3.按结构：单一主机防火墙、路由器集成式防火墙、分布式防火墙。

4.按部署位置：边界防火墙、个人防火墙、混合防火墙。