任务6.2 配置硬件防火墙.pptx

项目6使用防火墙保护网络安全;;某电子商务公司为了保证公司内部销售数据安全，购买了一台防火墙安装办公网出口。安装在网络中心防火墙和核心交换机，采用网桥模式连接，在提升办公网安全同时，增加网络传输速率。;互联网上的木马、蠕虫、勒索软件层出不穷，针对互联网上安全攻击事件，在企业的出口网络中部署防火墙，防火墙能记录这些访问，作日志记录。当发生可疑动作，防火墙能进行适当的报警，提供网络攻击详细信息，保护内网安全。;6.2.1了解防火墙的发展历史

防火墙分软件防火墙和硬件防火墙。其中，硬件防火墙有效监控内网（TrustZone）和Internet（UntrustZone）之间活动，将服务器隔离在DMZ（DemilitarizedZone，非军事区或停火区）区，保证内网安全。;6.2.1了解防火墙的发展历史

网络防火墙经历从简单到复杂，日臻完善，发展成为今天全面网络安全防护功能。;6.2.1了解防火墙的发展历史

1.了解包过滤防火墙

第一代防火墙与路由器同时出现，采用包过滤(PacketFilter)技术，检查每个IP数据包，查看包中可用信息（源地址和目的地址、端口号、协议等），如果规则允许通过，则放行；如果规则拒绝通过，则阻断。;6.2.1了解防火墙的发展历史

1.了解包过滤防火墙

包过滤防火墙检查元素：包源IP地址、目的IP地址、协议类型、源端口、目的端口（五元组）。配置安全检查规则，匹配通过的IP数据包，允许或拒绝通过。

;6.2.1了解防火墙的发展历史

1.了解包过滤防火墙

包过滤防火墙具有特征。

?工作范围：网络层、传输层（3-4层）。

?技术应用：包过滤技术。

?优势：对于小型站点容易实现，处理速度快，价格便宜。

?劣势：规则表很快会变得庞大复杂难运维，并且只能基于五元组。;6.2.1了解防火墙的发展历史

2.了解状态检测防火墙

状态监测防火墙工作在传输层，使用各种状态表追踪TCP会话，根据连接状态动态地建立一个连接状态表，并且这个把这个连接状态表用于后续报文的处理。

1994年，以色列的CheckPoint公司开发出第一款采用这种技术的防火墙产品。;6.2.1了解防火墙的发展历史

2.了解状态检测防火墙

状态检测防火墙根据TCP3次握手，基于TCP连接，根据IP数据包状态变化，决定网络安全访问控制策略。;6.2.1了解防火墙的发展历史

2.了解状态检测防火墙

状态检测防火墙具有如下特征。

?判断信息：IP地址、端口号、TCP标记。

?工作范围：数据链路层、网络层、传输层（2-4层）。

?技术应用：状态检测技术。

?优势：主要检查3-4层能够保证效率，对TCP防御较好。

?劣势：应用层控制较弱，不检查数据区。;6.2.1了解防火墙的发展历史

3.了解应用代理防火墙

应用代理（ApplicationProxy）防火墙也称应用层网关（ApplicationGateway），工作在应用层，根据应用对数据过滤。也就是代理服务器、应用网关（ApplicationGateway）防火墙。;6.2.1了解防火墙的发展历史

3.了解应用代理防火墙

应用代理防火墙通过代理（Proxy）参与TCP连接过程。通过特定代理程序，实现对应用层监督与控制。;6.2.1了解防火墙的发展历史

3.了解应用代理防火墙

应用代理防火墙核心是代理进程，隔断内网与外网通信。内网用户对外访问，变成防火墙对外网访问，由防火墙把访问结果，转给内网用户。

;6.2.1了解防火墙的发展历史

3.了解应用代理防火墙

应用代理防火墙具有如下特征。

?判断信息：所有应用层的信息包。

?工作范围：应用层（7层）。

?技术应用：应用代理技术。

?优势：检查了应用层的数据。

?劣势：检测效率低，配置运维难度极高，可伸缩性差。;6.2.1了解防火墙的发展历史

4.了解统一威胁管理防火墙

UTM指硬件、软件和网络技术组成专门设备要提供多项安全功能，将多种安全特性集成于一个硬设备里，构成一个标准的统一管理平台。;6.2.2了解防火墙的技术参数

1.吞吐量

吞吐量是防火墙不丢包情况下，能够达到最大速率，实际每秒传输有效速率为有效吞吐量。;6.2.2了解防火墙的技术参数

2.时延

时延是一个数据包第一比特进入防火墙，到最后一比特输出防火墙时间间隔。测量防火墙处理速度，测试存储转发（StoreandForward）性能。

衡量标准：延时越小，性能越高。;6.2.2了解防火墙的技术参数

3.丢包率

丢包率在连续负载情况下，由于资源不足，应转发但未转发百分比。

防火墙丢包率测试，过载流量考查设备正常转发性能的响。

衡量标准：丢包率越小，防火墙的性能越高。;6.2.2了解防火墙的技术参数

4.背靠背

背靠背指防火墙