,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,1,防火墙在网络中的部署,1防火墙在网络中的部署,防火墙是一种,网络边界访问控制设备,，能根据,安全策略,阻止在网络之间或主机与网络之间的未授权的通信。即控制进出网络的,访问行为,。它是不同网络安全域间之间通信的,唯一通道,。,防火墙是一种网络边界访问控制设备，能根据安全策略阻止在网络之,内网和外网之间需要防火墙,企业或者机构局域网,Host A,Host B,Internet,内网和外网之间需要防火墙企业或者机构局域网Host A Ho,内网中不同安全域之间需要防火墙,安全域,1,Host A,Host B,安全域,2,Host C,Host D,内网中不同安全域之间需要防火墙安全域1Host A Host,防火墙在网络中的位置与防火墙体系结构,DB,Internet,区域,1,区域,5,区域,4,区域,3,区域,2,Web,服务器,Mail,服务器,服务器,人事部,研发部,防火墙在网络中的位置与防火墙体系结构DBInternet区域,主要内容,1.,双宿,/,多宿主机防火墙,(Dual-Homed/Multi-Homed Host Firewall),2.,屏蔽主机防火墙,(Screened Host Firewall),3.,屏蔽子网防火墙,(Screened Subnet Firewall),主要内容1.双宿/多宿主机防火墙(Dual-Homed/,基本概念,堡垒主机（,Bastion Host,）：,堡垒主机是一种配置了安全防范措施的网络上的计算机，堡垒主机为网络之间的通信提供了一个阻塞点，也就是说如果没有堡垒主机，网络之间将不能相互访问。可以配置成过滤型、代理型或混合型。,双宿主机（,Dual-homed Host,）：,有两个网络接口的计算机系统，一个接口连接内部网，一个接口连接外部网,.,基本概念 堡垒主机（Bastion Host）：堡垒主机是一,一种拥有两个或多个连接到不同网络上的网络接口的防火墙；,1.,双宿,/,多宿主机防火墙,优点：,结构简单,缺点：,隔开内外网络的唯一屏障，一旦被入侵，内部网络便完全暴露。,一种拥有两个或多个连接到不同网络上的网络接口的防火墙；1,由包过滤路由器和堡垒主机组成；,过滤路由器为堡垒主机建立安全屏障；,堡垒主机是内外信息的唯一通道。,2.,屏蔽主机防火墙,由包过滤路由器和堡垒主机组成；2.屏蔽主机防火墙,特点：,堡垒主机成为从外部网络唯一可直接到达的主机，确保了内部网络不受未被授权的外部用户的攻击；,同时实现网络层安全,(,包过滤,),和应用层安全,(,代理服务,),；安全等级比包过滤防火墙系统高；,过滤路由器的配置是关键之一。,2.,屏蔽主机防火墙,特点：堡垒主机成为从外部网络唯一可直接到达的主机，确保了内,3.,屏蔽子网防火墙,3.1 双包过滤路由器架构,3.2 单一防火墙架构,3.3 双重防火墙架构,3.屏蔽子网防火墙3.1 双包过滤路由器架构,3.1,双包过滤路由器架构,采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网。,3.,屏蔽子网防火墙,3.1 双包过滤路由器架构3.屏蔽子网防火墙,特点：,将堡垒主机，各种公用服务器放在非军事区网络中；,内部网络和外部网络均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信；,外部路由器把入站的数据包路由到堡垒主机。,3.1,双包过滤路由器架构,特点：将堡垒主机，各种公用服务器放在非军事区网络中；3.1,特点（续）,内部路由器保护内部网络不受外部网络和周边网络的侵害；执行大部分过滤工作。,即使堡垒主机被入侵者控制，内部网仍受到内部包过滤路由器的保护。,多个堡垒主机运行各种代理服务，可以更有效地提供服务。,3.1,双包过滤路由器架构,特点（续）内部路由器保护内部网络不受外部网络和周边网络的侵,3.,屏蔽子网防火墙,3.1,双包过滤路由器架构,3.2,单一防火墙架构（,4,个层次）,外部路由器,外部路由器与防火墙间网络分段区域,DMZ,分段区域,防火墙,3.3,双重防火墙架构,3.屏蔽子网防火墙3.1 双包过滤路由器架构,3.2,单一防火墙架构,3.2 单一防火墙架构,3.2,单一防火墙架构,3.2 单一防火墙架构,3.2,单一防火墙架构,增加入侵检测,/,防护系统,3.2 单一防火墙架构增加入侵检测/防护系统,3.3,双重防火墙架构,双重防火墙架构由,5,个层次组成,外部路由器,外部路由器与外部防火墙之间网络分段区域,外部防火墙,DMZ,分段区域,内部防火墙,3.3 双重防火墙架构双重防火墙架构由5个层次组成,3.3,双重防火墙架构,用来实现更加细化的控制功能,3.3 双重防火墙架构用来实现更加细化的控制功能,3.3,双重防火墙架构,增加入侵检测,/,防护系统,3.3 双重防火墙架构增加入侵检测/防护系统,22,小结,22小结,