《05防火墙.docVIP

防火墙 防火墙(英文：firewall)是一种防止非授权访问的安全软件或安全设备，会依照特定的规则，允许或是限制传输的数据通过。防火墙可以是一台专属的硬件也可以是架设在一般硬件上的一套软件。 防火墙实际上是一种隔离技术， 是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的数据进入你的网络，同时将你“不同意”的数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。（防火墙不能防止病毒侵入）。 ● 主机防火墙 windows自带的防火墙、360防火墙、金山防火墙、ARP防火墙等。 ● 网络防火墙 一种安全设备，通常放在网络边界。连接可信网络与非可信网络。 防火墙是在内网和外网进行访问控制的安全设备，它可以限制内部用户访问外部哪些资源，以及外部用户访问内部哪些资源。 主要作用： 控制内部用户可以访问哪些外部资源，以及外部用户可以使用内部或DMZ区域的哪些资源。 区域 内部区域：内部的可信网络。 DMZ: 非军事化区域，停火区。（对外提供公共服务的区域，WEB、 邮件服务器） 外部区域：非信认区域。 分析： DMZ区域的作用。 防火墙的类型： 包过滤――ACL （3层：协议号、源IP、目标IP； 4层：源端口、目标端口） 状态检测------CBAC，基于上下文检测。 内网用户访问外部时，会建立一个状态检测表。数据从外网返回时，依据状态检测表进行控制。 （单向访问） 应用层代理 proxy 分析：三种类型的区别。 工作模式： 1. 透明模式 接口工作在2层交换模式 2. 路由模式 接口工作在不同网段，需设置不同IP. 单纯路由模式 NAT路由模式 CISCO的防火墙产品 ● 软件防火墙： IOS防火墙，在CISCO路由器上实现。 IOS: 可实现路由、NAT、 防火墙、VPN、IPS等功能。 ● 硬件防火墙： PIX防火墙 早期设备，已停产（现已升级为ASA安全自适应网关）。 ASA安全网关 UTM (统一威胁管理)，集成防火墙、VPN、IPS、病毒网关（包含 路由和NAT功能）。 配置IOS防火墙： WEB 80 FTP 21 ( NAT ) 1.251 1.2 R1 ------------------------------ R2 ----------------------------- R3 F0/0 F0/1 LOOP 1. 外部阻断 （ ACL包过滤 ） FW(config)# ip access-list extend rich # permit tcp any host eq 80 内网的WEB服务器 # permit tcp any host eq 21 内网的FTP服务器 # deny ip any any FW(config)# int f0/1 # ip access-group rich in 状态检测 FW(config)# ip inspect name richedu ftp # ip inspect name richedu http # ip inspect name richedu smtp # ip inspect name richedu telnet FW(config)# int f0/1 # ip inspect richedu out 测试： 1. 在配置ACL包过滤之前，从R1 telnet ，通（无ACL）。 2. 在配置ACL包过滤之后，从R1 telnet ，不通（返回包被ACL阻断）。 3. 在配置状态测试之后，从R1 telnet ，通（状态测试通过）。 国内常用的防火墙产品 /compositor/firewall.html IDS:入侵检测系统 IPS:入侵防护系统 对来自internet的流量进行应用层深度检测，防止各种