第八章 防火墙技术原理.ppt

防火墙技术的发展历程 天融信防火墙的发展历程 天融信防火墙硬件平台的发展 支持众多网络通信协议和应用协议：如DHCP 、 VLAN 、PPPOE、ISL 、802.1Q 、Spanning tree 、IPSEC 、H.323 、 RTSP 、MMS、IGMP、GRE 、ORACLE-SQLNET等,保证用户的网络应用，方便用户扩展IP宽带接入及IP电话、视频会议、VOD 点播等多媒体应用。 支持核心网络中生成树（STP）的计算：通过生成树计算，防火墙能够同核心交换机一起进行生成树计算，实现了核心网络的全连接拓扑结构，能够进行链路的自动切换，保证了整个网络的稳定。 支持交换机主干链路：防火墙的物理接口实现了D0t1q封装格式，能够同交换机的Trunk接口对接，实现了VLAN间路由的功能，保证了防火墙对于各种网络环境的易接入性。 支持动态路由协议，不但可以让动态路由协议穿过防火墙设备，并且防火墙的接口也可以参与动态路由协议的运算，目前支持OSFP/RIP2。 防火墙典型案例（1） 负载模式： 基于轮询 基于加权轮询 最少链接 加权最少链接 对真实主机的自动探测 防火墙典型案例（2） 交换： 多接口 高性能 完全的协议支持 路由： 全面的路由协议 防火墙典型案例（3） 上网行为管理解决方案： 与TA结合 低投入高回报 防火墙典型案例（4） 多层多链路的热备： 完成复杂组网 支持复杂路由交换 完全的协议支持 防火墙典型案例（5） 交换机的接口备份： 支持交换 生成树技术 防火墙典型案例（6） 路由模式的接口备份： 动态路由协议 Trunk 口 Trunk 口 VLAN 1 VLAN 2 支持VLAN的交换机 Trunk 口 Trunk 口 VLAN 1 VLAN 2 Switch1 Switch 2 同一交换机的不同 VLAN 之间通讯 不同交换机的同一 VLAN 之间通讯 不支持TRUNK的防火墙无法在这种环境下工作 不支持TRUNK的防火墙无法在这种环境下工作 防火墙对TRUNK协议的支持 防火墙不禁支持TRUNK数据包穿过防火墙，并且防火墙的接口也可以封装TRUNK数据包。 防火墙对TRUNK协议的支持 防火墙不禁支持TRUNK数据包穿过防火墙，并且防火墙的接口也可以封装TRUNK数据包，即支持VLAN间路由。 Vlan20 Vlan30 Vlan10 TRUNK链路 高可用性的支持 二层环境？ 三层环境？ 抗DOS/DDOS攻击-----SYN代理 防火墙的SYN代理实现原理: 在服务器和外部网络之间部署防火墙系统; 防火墙在收到客户端的Syn包后，防火墙代替服务器向客户端发送Syn/Ack包; 如果防火墙收到客户端的Ack信息，表明访问正常,由防火墙向服务器发送Syn包并完成后续的TCP握手,建立客户端到服务器的连接。 通过这种Syn代理技术，保证每个Syn包源的真实有效性，确保虚假请求不被发往服务器，从而彻底防范对服务器的Syn-Flood攻击。 160万并发连接数 SYN SYN/ACK ACK SYN SYN/ACK ACK SYN SYN/ACK ACK Client Server 支持多种网络应用 Firewall 防火墙基本概念 防火墙分类 防火墙发展趋势 防火墙核心技术 防火墙设计结构 防火墙功能 防火墙性能 防火墙部署 防火墙可靠性 防火墙典型应用 常见防火墙性能指标 吞吐量 延时 丢包率 背靠背 最大并发连接数 最大并发连接建立速率 吞吐量 定义：在不丢包的情况下能够达到的最大速率 衡量标准：吞吐量作为衡量防 火墙性能的重要指标之一,吞吐量小就会造成网络新的瓶颈，以至影响到整个网络的性能 ~;%#@*$^*^#**( Smartbits 6000B 测试仪 101100101000011111001010010001001000 以最大速率发包 直到出现丢包时的最大值 防火墙吞吐量小就会成为网络的瓶颈 100M 60M 数据包首先排队待 防火墙检查后转发 延时 定义：入口处输入帧最后1个比特到达至出口处输出帧的第一个比特输出所用的时间间隔 衡量标准：防火墙的时延能够体现它处理数据的速度 10101001001001001010 Smartbits 6000B 测试仪 101100101000011111001010010001001000 最后1个比特到达 第一个比特输出 时间间隔 1010100111001110 1010100111001110 1010010010100100010100010 101010100100100100100100010 造成数据包延迟到达目标地 丢包率 定义：在连续负载的情况下，防火墙设备由于资源