防火墙知识.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,防火墙基础知识,安全产品事业部,2006.04,防火墙指的是隔离在本地网络与外界网络之间的一道防御系统。它可以使内部局域网（,LAN）,网络与,Internet,之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络,什么叫防火墙,采用,安全策略机制,一、允许的才可进入,二、,“没有明确允许的,一律禁止”,防火墙的工作机制,内部网络和外部网络之间的所有网络数据流都必须经过防火墙,只有符合安全策略的数据流才能通过防火墙,防火墙自身应具有非常强的抗攻击免疫力,防火墙的特性,从软、硬件形式上分为软件防火墙和硬件防火墙以及芯片级防火墙,从防火墙技术分为“包过滤型”和“应用代理型”两大类,从防火墙结构分为单一主机防火墙、路由器集成式防火墙和分布式防火墙三种,按防火墙的应用部署位置分为边界防火墙、个人防火墙和混合防火墙三大类,按防火墙性能分为百兆级防火墙和千兆级防火墙两类,防火墙类型,防火墙硬件参数,防火墙硬件参数是指设备使用的处理器类型或芯片及主频，内存容量，闪存容量，网络接口，存储容量类型等数据,并发连接数,并发连接数是指防火墙或代理服务器对其业务信息流的处理能力，是防火墙能够同时处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大信息点数,吞吐量,网络中的数据是由一个个数据包组成，防火墙对每个数据包的处理要耗费资源。吞吐量是指在不丢包的情况下单位时间内通过防火墙的数据包数量,对于中小型企业来讲，选择吞吐量为百兆级的防火墙即可满足需要，而对于电信、金融、保险等大公司大企业部门就需要采用吞吐量千兆级的防火墙产品,安全过滤带宽,安全过滤带宽是指防火墙在某种加密算法标准下，如,DES(56,位)或3,DES（168,位）下的整体过滤性能。它是相对于明文带宽提出的。一般来说，防火墙总的吞吐量越大，其对应的安全过滤带宽越高,用户限制数,防火墙的用户数限制分为固定限制用户数和无用户数限制两种。前者比如,SOHO,型防火墙一般支持几十到几百个用户不等，而无用户数限制大多用于大的部门或公司,VPN,支持,VPN,的英文全称是“,Virtual Private Network”，,即,“虚拟专用网络”。它可以通过特殊的加密的通讯协议在连接在,Internet,上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。目前，绝大部分防火墙产品都支持,VPN,功能,。,控制端口,防火墙的控制端口通常为,Console,端口，防火墙的初始配置也是通过控制端口（,Console）,与,PC,机（通常是便于移动的笔记本电脑）的串口（,RS-232）,连接，再通过,Windows,系统自带的超级终端（,HyperTerminal）,程序进行选项配置,管理功能,防火墙的管理一般分为本地管理、远程管理和集中管理等。,本地管理：是指管理员通过防火墙的,Console,口或防火墙提供的键盘和显示器对防火墙进行配置管理。远程管理：是指管理员通过以太网或防火墙提供的广域网接口对防火墙进行管理，管理的通信协议可以基于,FTP、TELNET、HTTP,等。集中管理:是防火墙的一种管理手段，通常利用一个界面来管理网络中的多个防火墙。其效果和用一个遥控器管理家中所有电器一样简单，可大大简化管理员的管理工作。,DoS,是英文“,Denial of service”,的缩写，中文意思是“拒绝服务”。,DoS,攻击专门设计用来阻止授权用户对系统以及系统数据进行访问，通常采用的攻击方式是让系统服务器超载或者让系统死机。,DdoS,是英文“,distribution Denial of service”,的缩写，中文意思是“分布式拒绝服务攻击”，这种攻击方法使用与普通的拒绝服务攻击同样的方法，但是发起攻击的源是多个,。,什么是,DOS,NAT,英文全称是“,Network Address Translation”，,中文意思是“网络地址转换”，它是一个,IETF(Internet Engineering Task Force,Internet,工程任务组)标准，允许一个整体机构以一个公用,IP（Internet Protocol）,地址出现在,Internet,上。顾名思义，它是一种把内部私有网络地址（,IP,地址）翻译成合法网络,IP,地址的技术。,什么是,NAT,什么是,DMZ,DMZ,是英文“,demilitarized zone”,的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业,Web,服务器、,FTP,服务器和论坛等。另一方面，通过这样一个,DMZ,区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。,