防火墙产品与维护培训培训胶片.ppt

防火墙产品与维护 ISSUE 1.0 学习完本课程，您应该能够： 了解Eudemon产品工作原理 了解Eudemon产品规格和特性 掌握Eudemon产品典型组网及配置 第一章　防火墙技术简介 第二章　防火墙体系结构 第三章　防火墙原理与特性 防火墙概述 网络安全问题成为近年来网络问题的焦点 网络安全包括基础设施安全、边界安全和管理安全等全方位策略 防火墙的主要作用是划分边界安全，实现关键系统与外部环境的安全隔离，保护内部网络免受外部攻击 与路由器相比,防火墙提供了更丰富的安全防御策略，提高了安全策略下数据报转发速率 由于防火墙用于边界安全，因此往往兼备NAT、VPN等功能 我司防火墙：Eudemon系列（英文含义－－－守护神） 防火墙的分类（一） 包过滤防火墙 代理防火墙 状态防火墙 防火墙的分类(二） 按照防火墙实现的方式，一般把防火墙分为如下几类： 包过滤防火墙(Packet Filtering) 包过滤利用定义的特定规则过滤数据包，防火墙直接获得数据包的IP源地址、目的地址、TCP/ UDP的源端口、和TCP/UDP的目的端口。 包过滤防火墙简单，但是缺乏灵活性，对一些动态协商端口没有办法设置规则。另外包过滤防火墙每包需要都进行策略检查，策略过多会导致性能急剧下降。 代理型防火墙（application gateway） 代理型防火墙使得防火墙做为一个访问的中间节点，对Client来说防火墙是一个Server，对Server来说防火墙是一个Client。 代理型防火墙安全性较高，但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。 状态检测防火墙 状态检测是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。 防火墙技术发展方向 软件防火墙。一般是直接安装在PC上的一套软件，基于PC提供基本的安全防护，此时防火墙基本上就是一个应用软件。代表产品有CheckPoint公司的防火墙产品。 工控机类型防火墙。采用PC硬件结构，基于linux等开发源代码的操作系统内核，开发了安全防护的一些基本特性构成硬件防火墙产品形态。从外观上面看，该种防火墙是一个硬件防火墙产品，但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。国内大多数防火墙是采用这种技术。 电信级硬件防火墙。采用独立设计的硬件结构，在CPU、电源、风扇、PCI总线设计、扩展插卡等方面优化结构，保证防火墙产品可以得到最优的处理性能和高可靠性。代表产品有华为公司的Eudemon 200产品、NetScreen 204等防火墙产品。 基于NP电信级防火墙。由于纯软件设计的防火墙产品在流量很大的地方逐步成为瓶颈，基于网络处理器（NP）的业务加速模式的防火墙产品开始出现。通过网络处理器的高性能，使得防火墙产品可以达到1G线速的处理能力。代表产品有华为公司的Eudemon 500/1000产品。 ASPF安全技术（一） ASPF ( Application Specific Packet Filter) 是一种高级通信过滤，它检查应用层协议信息并且监控连接的应用层协议状态。对于特定应用协议的所有连接，每一个连接状态信息都将被ASPF维护并用于动态的决定数据包是否被允许通过防火墙或丢弃. ASPF与ACL的比较 ASPF基本概念 ASPF三个基本概念 会话表（Session）：5元组完成连接； 多通道协议：多通道（控制通道+数据通道） 多通道协议主要包括：数据传输协议（FTP、TFTP等）、 音视频相关（H.323协议族、SIP、MGCP等）、聊天通讯软件（MSN，QQ，ICQ等） Servermap表项：临时通道（三元组） ASPF对单通道协议的支持 在状态防火墙中会动态维护着一个Session表项，通过Session表项来检测基于连接的状态，动态地判断报文是否可以通过，从而决定哪些连接是合法访问，哪些是非法访问 ASPF对多通道协议的支持—FTP 防火墙产品系列 主要防火墙性能衡量指标 吞吐量 其中吞吐量业界一般都是使用1K～1.5K的大包衡量防火墙对报文的处理能力的。因网络流量大部分是200字节报文，因此需要考察防火墙小包转发下性能。因防火墙需要配置ACL规则，因此需要考察防火墙支持大量规则下转发性能。 每秒建立连接速度 指的是每秒钟可以通过防火墙建立起来的完整TCP连接。由于防火墙的连接是动态连接的，是根据当前通信双方状态而动态建立的表项。每