防火墙系统
防火墙功能介绍
- 支持透明、路由和混合三种工作模式。
- 支持基于对象的网络访问控制,包括网络层、应zz用层等多层次的访问控制;支持URL、脚本、关键字、邮件等多种形式的内容过滤。
- 支持多种网络地址转换(NAT) 方式。
- 支持多种认证方式,如本地认证、证书认证、Radius认证、 TACACS、SecurlD、 LDAP、 域认证等。
- 支持标准虚拟专用网。
- 内置IDS模块,能够自防御Land、Smurf、 TearOfDrop、 Ping of Death、SynFlood、Targa3和IpSweep等 十几种攻击,具有抗DOS/DDOS攻击功能。
- 基于TOPSEC协议,实现与IDS等多种安全产品的联动。
- 支持天融信防火墙双机热备。
- 支持IPX、NETBEUI、VOD、H.323v1/v2、 SSH协议。
- 支持DHCP,包括DHCP SERVER、DHCP CLIENT以及DHCP RELAY
- 支持VLAN与生成树。
- 支持ADSL接入与链路备份。
- 支持服务器负载均衡功能。
防火墙部署
防火墙的部署位置
-
何信网络与不可信网络之间
-
不同安全级别网络之间
-
两个需要隔离的区域之间
防火墙的部署方式
-
单防火墙(无DMZ)部署方式
区域划分:可信网络、不可信网络
特点:结构简单,易于实施
-
单防火墙(DMZ)部署方式
区域划分:可信网络、不可信网络、DMZ区
特点:提供对外服务安全区域
- 双防火墙部署方式
能提供更为安全的系统结构
实施复杂性和费用较高
防火墙的工作模式
路由模式
在这种模式下,防火墙具备路由器转发数据包的功能,将接收到的数据包的源MAC地址替换为相应接口的MAC地址,然后转发。
该模式适用于每个区域都不在同一个网段的情况。和路由器一样 ,防火墙的每个接口均要根据区域规划配置IP地址。
透明模式
在这种模式下,防火墙的所有接口均作为交换接口工作。也就是说,对于同一VLAN的数据包在转发时不作任何改动,包括IP和MAC地址,直接把包转发出去。
混合模式
这种模式是前两种模式的混合。也就是说某些区域(接口)工作在透明模式下,而其他的区域(接口)工作在路由模式下。该模式适用于较复杂的网络环境。
防火墙的资源对象
防火墙设置策略时,首先要有已定义好的可操作对象,比如地址对象、服务对象、时间对象、区域对象等
对象的类型
地址对象: IP地址、MAC地址、地址范围、子网对象和地址组等
属性对象:属性对象和属性组。 (指接口之类)
区域对象:通过与属性对象绑定,定义区域的访问权限。
时间对象:包括多次循环的时间对象和单次时间对象。
接口和区域是两个不同的概念
接口:防火墙的物理端口一一对应,如Eth0、 Eth1等。
区域:可以把区域看作是一 段具有相似安全属性的网络空间。在区域的
划分上,防火墙的区域和接口并不是一一对应的, 也就是说一- 个区域可
以包括多个接口。在安装防火墙前,首先要对整个受控网络进行分析,
并根据网络设备,如主机、服务器等所需要的安全保护等级来划分区域。