【网络安全】防火墙系统

防火墙系统

防火墙功能介绍

1. 支持透明、路由和混合三种工作模式。
2. 支持基于对象的网络访问控制，包括网络层、应zz用层等多层次的访问控制;支持URL、脚本、关键字、邮件等多种形式的内容过滤。
3. 支持多种网络地址转换(NAT) 方式。
4. 支持多种认证方式，如本地认证、证书认证、Radius认证、 TACACS、SecurlD、 LDAP、 域认证等。
5. 支持标准虚拟专用网。
6. 内置IDS模块，能够自防御Land、Smurf、 TearOfDrop、 Ping of Death、SynFlood、Targa3和IpSweep等 十几种攻击，具有抗DOS/DDOS攻击功能。
7. 基于TOPSEC协议，实现与IDS等多种安全产品的联动。
8. 支持天融信防火墙双机热备。
9. 支持IPX、NETBEUI、VOD、H.323v1/v2、 SSH协议。
10. 支持DHCP，包括DHCP SERVER、DHCP CLIENT以及DHCP RELAY
11. 支持VLAN与生成树。
12. 支持ADSL接入与链路备份。
13. 支持服务器负载均衡功能。

防火墙部署

防火墙的部署位置

• 何信网络与不可信网络之间

• 不同安全级别网络之间

• 两个需要隔离的区域之间

防火墙的部署方式

• 单防火墙(无DMZ)部署方式

  区域划分：可信网络、不可信网络

  特点：结构简单，易于实施

• 单防火墙(DMZ)部署方式

区域划分：可信网络、不可信网络、DMZ区
特点：提供对外服务安全区域

• 双防火墙部署方式

能提供更为安全的系统结构
实施复杂性和费用较高

防火墙的工作模式

路由模式

​ 在这种模式下，防火墙具备路由器转发数据包的功能，将接收到的数据包的源MAC地址替换为相应接口的MAC地址，然后转发。
​ 该模式适用于每个区域都不在同一个网段的情况。和路由器一样 ，防火墙的每个接口均要根据区域规划配置IP地址。

透明模式

​ 在这种模式下，防火墙的所有接口均作为交换接口工作。也就是说，对于同一VLAN的数据包在转发时不作任何改动，包括IP和MAC地址，直接把包转发出去。

混合模式

​ 这种模式是前两种模式的混合。也就是说某些区域(接口)工作在透明模式下，而其他的区域(接口)工作在路由模式下。该模式适用于较复杂的网络环境。

防火墙的资源对象

防火墙设置策略时，首先要有已定义好的可操作对象，比如地址对象、服务对象、时间对象、区域对象等

对象的类型

地址对象: IP地址、MAC地址、地址范围、子网对象和地址组等
属性对象:属性对象和属性组。 (指接口之类)
区域对象:通过与属性对象绑定，定义区域的访问权限。
时间对象:包括多次循环的时间对象和单次时间对象。

接口和区域是两个不同的概念
接口：防火墙的物理端口一一对应，如Eth0、 Eth1等。
区域：可以把区域看作是一 段具有相似安全属性的网络空间。在区域的
划分上，防火墙的区域和接口并不是一一对应的， 也就是说一- 个区域可
以包括多个接口。在安装防火墙前，首先要对整个受控网络进行分析，
并根据网络设备，如主机、服务器等所需要的安全保护等级来划分区域。