网络安全隔离.ppt

* * * * * * * * * * * * * * * * * 资源隔离的基本方法（续） 不同子网的资源隔离 广播子网与其他子网隔离 * 资源隔离的基本方法（续） 不同子网的资源隔离 公共子网和内部子网隔离 内部服务器 外部服务器 工作站 内部服务器 外部服务器 工作站 * 实现资源隔离的技术 路由器 防火墙 交换机 VLAN * 实现资源隔离的技术（续） 路由器 Internet * 实现资源分隔的技术（续） 防火墙 Internet * 实现资源分隔的技术（续） 防火墙 Internet * 实现资源分隔的技术（续） VLAN VLAN是实现资源隔 离的有效方法 VLAN1 VLAN3 VLAN2 * 实现资源分隔的技术（续） VLAN的原理 App TCP,UDP IP DL Physical App TCP,UDP IP DL Physical 传统的交换机：两层交换 VLAN中的交换机：三层交换 * 实现资源分隔的技术（续） VLAN的原理 App TCP,UDP IP DL Physical VLAN中的交换机：三层交换 路由 ACL 。。。 * 资源隔离实例分析 邮件服务器分隔 Internet 内部邮件服务中心服务器 公共邮件中继服务器 * 资源隔离实例分析 DNS服务器分隔 Internet 内部DNS服务器 公共DNS服务器 * 资源隔离实例分析（续） 无线接入分隔 Internet 内部服务器区 公共服务器区 边界防火墙 内部防火墙 * 总结 广义的资源隔离包括网络隔离 资源隔离可以在一定程度上降低安全风险，从而优化安全体系结构 资源隔离的内容包括：子网隔离、主机隔离、服务隔离、用户隔离、数据隔离 资源隔离的技术包括：路由器、防火墙，交换机和VLAN 网络地址转换(NAT: Network Address Translation) 将每个局域网节点的地址转换成一个IP 地址，反之亦然。 交换机 port:5133 port:5134 port:5120 路由器(NAT) Internet 3:5133 3:5134 3:5120 网络地址转换与网络安全 如果改变源地址的话，数字签名不再有效 给网络取证带来了巨大的困难 依赖于IP和端口的防火墙过滤规则需要改变 … 解决方案 指处于不同安全域的网络之间不能以直接或间接的方式相连接。 物理隔离 物理隔离(cont.) 单向隔离 在端上依靠由硬件访问控制信息交换分区实现信息在不同的安全域信息单向流动。 协议隔离 通过协议转换的手段保证受保护信息在逻辑上是隔离的，只有被系统要求传输的、内容受限的信息可以通过 网闸 网闸（gap）是位于两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息可以通过。（最常用） * 教材与参考书 教材： 周世杰 陈伟 罗绪成，计算机系统与网络安全技术，高等教育出版社，2011 参考书 李毅超 曹跃，网络与系统攻击技术 电子科大出版社 2007 周世杰 陈伟 钟婷，网络与系统防御技术 电子科大出版社 2007 Stephen Northcutt， 深入剖析网络边界安全，机械工业出版社，2003 冯登国，计算机通信网络安全，2001 蔡皖东，网络与信息安全，西北工业大学出版社，2004 * Any Question? QA * * * * * * * * * * * * * * 总结 网络隔离的主要方法 网络隔离的基本内容 网络隔离的基本概念 第3章 网络隔离技术 路由器与安全体系结构 * 总结 网络隔离的主要方法 网络隔离的基本内容 网络隔离的基本概念 第3章 网络隔离技术 路由器与安全体系结构 * 目标 掌握路由器的工作原理 掌握路由器在信息安全体系结构中的作用 了解路由器与防火墙的协同工作方法 * TCP/IP基础 TCP/IP协议栈 * TCP/IP基础（续） 协议数据的封装 * 路由器的基本概念 路由器（Router）是用于连接两个或者多个网络的网络互连设备 路由器工作在TCP/IP协议栈中的IP层 Network 1 Network 1 * 路由器的工作原理（续） 路由器的协议层次 应用层 传输层 网络层 数据链路层 物理层 应用层 传输层 网络层 数据链路层 物理层 网络层 数据链路层 物理层 * 路由器的工作原理（续） 路由器的路由功能 202.115.22 202.115.24 202.115.23 IP 地址？ * 路由器与安全体系结构 路由器作为安全体系结构的边界控制组建 两种部署方案： 路由器作为整个安全体系的一部分 路由器作为唯一的边界安全设备 其他安 全设备 路由器作为安全体系的一部分 路由器是唯