安全连入Internet防火墙课件

安全连入安全连入Internet防火墙防火墙2024/6/16安全连入Internet防火墙安全连入Internet防火墙2023/8/9安全连入Int1背景Internet的设计就是为资源共享为目标的用户数量的增加，恶劣的用户也在增加许多TCP/IP的服务有漏洞，特别网管服务窃听和假冒比较容易服务策略的缺乏导致许多不需要的服务开放存取控制设置复杂导致安全漏洞防火墙：一个经济的解决方案防火墙：一个经济的解决方案安全连入Internet防火墙背景Internet的设计就是为资源共享为目标的安全连入In2本节内容Internet及其安全防火墙的基本知识防火墙的功能分类防火墙的布置与环境安全连入Internet防火墙本节内容Internet及其安全安全连入Internet防火3Internet及其安全Internet的基本协议Internet的基本服务与安全相关的问题安全连入Internet防火墙Internet及其安全Internet的基本协议安全连入I4Internet以TCP/IP协议为基础初始目标是在研究人员之间进行通信（原型系统为ARPANET，DARPA资助）1980后迅速推广到教育、政府、商业与国际机构目前一般用户为商业用户成为了国家信息基础设施（NII）安全连入Internet防火墙Internet以TCP/IP协议为基础安全连入Intern5Internet提供的基本服务SMTP：简单邮件传送协议Simple Mail Transfer ProtocolTELNET：对远地主机的基本的终端仿真FTP：文件传送协议File Transfer ProtocolDNS：域名系统Domain Name Service信息提供服务Gopher、WAIS、WWW/http进程调用服务安全连入Internet防火墙Internet提供的基本服务SMTP：简单邮件传送协议安全6Internet主机操作系统的特点就是并行和共享Unix系统Sun,IBM,LinuxWindows系统NT,XP,2000VMS、AS400、其他系统OS/2，Macintosh安全连入Internet防火墙Internet主机操作系统的特点就是并行和共享安全连入In7网络分层的思路书信邮件的例子应用：信的内容与将来如何投递没有关系网络：加信封，信封及地址与如何投递没有关系物理：加邮包，运邮件的车跟具体信封地址没有关系两个人的合同谈判翻译秘书传真安全连入Internet防火墙网络分层的思路书信邮件的例子安全连入Internet防火墙8邮件示意信件信件信件信件安全连入Internet防火墙邮件示意信件信件安全连入Internet防火墙9合同谈判英语：I like德语：I likeFax to:德语：I likeFax from:德语：I like德语：I like中文：I like安全连入Internet防火墙合同谈判英语：I like德语：I likeFax to10英语：I like德语：I likeFax to:德语：I likeFax from:德语：I like德语：I like中文：I like合同谈判安全连入Internet防火墙英语：I like德语：I likeFax to:Fa11网络的视角-系统互连(OSI)第一层：物理层 Physical第二层：数据链路 Data Link第三层：网络层 Network第四层：传输层 Transport第五层：会话 Session第六层：表示层 Presentation第七层：应用层 Application安全连入Internet防火墙网络的视角-系统互连(OSI)第一层：物理层 Physic12网络中的数据传送物理层链路层网络层传输层会话层表示层应用层物理层链路层网络层安全连入Internet防火墙网络中的数据传送物理层链路层网络层传输层会话层表示层应用层物13TCP/IP协议层次结构物理/数据链路层(Ethernet)网络层 Network(IP,ICMP)传输层 Transport(TCP,UDP)应用层 Application(FTP,Telnet,DNS,NFS,PING)安全连入Internet防火墙TCP/IP协议层次结构物理/数据链路层(Ethernet14ARP：Address Resolution Protocol地址解析协议IP数据包发送前查找对应IP地址主机的物理地址在网络上广播ARP请求缓存已经找到的硬件地址参见RFC826安全连入Internet防火墙ARP：Address Resolution Protoco15ICMP互连网控制报文协议Internet Control Message Protocol用于传送错误和控制报文，控制IP协议主机关闭/网关阻塞或不通/其他故障PING是一个著名的应用RFC792安全连入Internet防火墙ICMP互连网控制报文协议Internet Control16IP(Internet Protocol)协议接收物理层（Ethernet）发来的数据将数据传送到高层协议，如TCP、UDP不可靠的数据报协议不保障报文顺序，不检查错误，不保证对方收到包含源IP地址和目的IP地址Source Address&Destination Address上层协议（TCP、UDP）认为这些地址都是正确的，不对原IP地址进行认证。RFC760安全连入Internet防火墙IP(Internet Protocol)协议接收物理层（17TCP协议Transmission Control ProtocolIP数据报包含了封装的TCP报文通过连接建立和报文序号以及检错编码保证数据完整性TCP协议将数据送往应用层处理TELNET，FTP，X Window，SMTP等都是基于有连接的TCP协议安全连入Internet防火墙TCP协议Transmission Control Pro18UDP协议User Datagram Protocol与TCP在同一个层次，直接为应用服务不检错，不重发，不排序无连接的协议NTP,DNS使用UDP安全连入Internet防火墙UDP协议User Datagram Protocol与T19TCP/UDP的地址结构源IP地址（32bits）源端口(16bits)目的IP地址目的端口安全连入Internet防火墙TCP/UDP的地址结构源IP地址（32bits）安全连入I20一个连接的例子Telnet服务器运行在192.168.0.1上，在端口23上听是否有连接请求Telnet客户端在192.168.20.1中申请了一个未用的端口，如3987，然后向服务器发连接请求当连接成功后，双方都记下自己以及对方的地址和端口。192.168.20.1:3987 192.168.0.1:23安全连入Internet防火墙一个连接的例子Telnet服务器运行在192.168.0.121Internet上安全事件不断服务安全问题/协议安全问题Sendmail、Free FTP发现漏洞Telnet/FTP/X window易于窃听蠕虫病毒泛滥主机配置错误导致的安全问题弱口令、口令破解程序、NFS协议不能认证用户管理人员的变动和水平安全连入Internet防火墙Internet上安全事件不断服务安全问题/协议安全问题安全22一些安全问题：窃听、假冒IP假冒，同一网段内，改就行原路径问题（source route）改变IP设计原路径发送请求获得回应Email假冒，不仅是地址，而且还从正确的服务器来。安全连入Internet防火墙一些安全问题：窃听、假冒IP假冒，同一网段内，改就行安全连入23Internet及其安全总结Internet是以TCP/IP协议为基础的ARP,IP,TCP,UDP,ICMPISO的七层开放系统模型与Internet的5层模型数据传送方法Internet很不安全协议本身，服务，配置以及系统本身安全连入Internet防火墙Internet及其安全总结Internet是以TCP/IP24防火墙的基本知识防火墙的主要目标是控制对一个受保护网络的访问，强迫所有连接都接受防火墙的检查和评估。可以是路由器、计算机或一群计算机。防火墙通过边界控制保护整个网络，而不需要对每个网内的主机进行单独的保护，为内网仍旧可以采用相互信任的模式提供了一定的安全基础。安全连入Internet防火墙防火墙的基本知识防火墙的主要目标是控制对一个受保护网络的访问25防火墙能够做什么保护内网有漏洞的服务控制对内网系统的访问将安全问题集中解决增加隐私保护内网系统不可见审计和统计网络使用和错误强制执行统一的安全策略安全连入Internet防火墙防火墙能够做什么保护内网有漏洞的服务安全连入Internet26防火墙的缺陷?外网获得内网的服务不如原来方便后门并没有完全堵住通过MODEM的外拨通过MODEM的内拨内部攻击者无法防止逃避防火墙的监管其他问题新的攻击，数据驱动的攻击，新的病毒，通信瓶颈，依赖（all eggs in single basket）安全连入Internet防火墙防火墙的缺陷?外网获得内网的服务不如原来方便安全连入Inte27防火墙运行的网络层次数据链路层(Ethernet)网络层 Network(IP,ICMP)传输层 Transport(TCP,UDP)应用层 Application(FTP,Telnet,DNS,NFS,PING)简单防火墙运行的层次少，而复杂防火墙运行的层次就多安全连入Internet防火墙防火墙运行的网络层次数据链路层(Ethernet)网络28防火墙的功能分类包过滤防火墙状态检查机制防火墙应用代理网关防火墙专用代理防火墙混合型防火墙网络地址转换基于主机的防火墙个人防火墙个人防火墙设备安全连入Internet防火墙防火墙的功能分类包过滤防火墙安全连入Internet防火墙29包过滤防火墙最基本的防火墙功能包含有许多过滤规则最基本的工作模式是工作在第二，第三层存取控制一般基于以下参数原地址：数据包从哪里来目标地址：数据包要进入哪个系统通信类型：通信协议，IP、IPX或其他协议其他信息，IP数据包头的其他信息第二层工作可以增加冗余和完成负载均衡安全连入Internet防火墙包过滤防火墙最基本的防火墙功能安全连入Internet防火墙30边界路由器包过滤Boundary Router Packet FilterISP边界路由器包过滤外部DMZ受保护的内网主防火墙demilitarized zone安全连入Internet防火墙边界路由器包过滤Boundary Router Packe31包过滤防火墙特点非常快，可以安装在最外的边界上根据策略，如阻止SNMP,允许HTTP可能的弱点应用相关的漏洞没有办法保护审计不够详细无法支持高级的用户认证无法防止高级攻击，如IP地址假冒目前，很难找到只有包过滤功能的防火墙路由器，SOHO防火墙，操作系统自带的防火墙安全连入Internet防火墙包过滤防火墙特点非常快，可以安装在最外的边界上安全连入Int32包过滤防火墙的过滤规则原地址原端口目标地址目标端口操作说明AnyAny192.1.1.01024Allow回答192.1.1.0 AnyAnyAnyAllow内访外AnyAny192.1.1.2SMTPAllow邮件AnyAny192.1.1.3HTTPAllowWebAnyAnyAnyAnyDeny拒绝安全连入Internet防火墙包过滤防火墙的过滤规则原地址原端口目标地址目标端口操作说明A33过滤规则动作：允许(Accept/Allow)拒绝(Deny)丢弃(Discard)规则间的关系凡是没有定义的就禁止允许？一条禁止和一条允许禁止还是允许？一般：不要忘记最后禁止所有的通信外出通信和进入通信同等重要安全连入Internet防火墙过滤规则动作：安全连入Internet防火墙34状态检查防火墙Stateful Inspection Firewallsw工作在2，3，4层w不是简单开放大于1023的端口而是记住每个TCP连接或UDP通信的状态192.1.1.61098210.9.8.380Established192.1.1.16 1046173.32.5.125Established192.1.1.98 1356216.1.1.5580Established安全连入Internet防火墙状态检查防火墙Stateful Inspection Fi35应用代理网关防火墙Application-Proxy Gateway Firewalls代理网关防火墙主要工作在应用层(2,3,4,7)部分语义的检查可以进行用户认证身份认证,基于生物特征的认证可以进行原地址检查不足慢,不适合快速网络针对新的应用,升级麻烦安全连入Internet防火墙应用代理网关防火墙Application-Proxy Ga36一个代理网关防火墙的例子DNSFingerFTPHTTPHTTPSLDAPNNTPSMTPTelnet内网外网Proxy Agent安全连入Internet防火墙一个代理网关防火墙的例子DNS内网外网Proxy Agent37代理网关的运行步骤用户Telnet网关并输入内部主机名网关检查用户的IP地址决定是否允许连接网关要求用户进行认证，可以是基于硬件的或生物基础的代理服务建立一个从代理到内部主机的Telnet连接代理在这两个连接中传输数据网关记录这次连接安全连入Internet防火墙代理网关的运行步骤用户Telnet网关并输入内部主机名安全连38专用代理防火墙Dedicated Proxy Servers安全连入Internet防火墙专用代理防火墙Dedicated Proxy Server39混合的防火墙Hybrid Firewall现有的防火墙基本都是混合功能的配置，安装更加复杂考察功能参数就很重要后面介绍防火墙的一些其他基本功能安全连入Internet防火墙混合的防火墙Hybrid Firewall现有的防火墙基本40NAT:网络地址转换Network Address Traslation目的：隐藏内部网络地址减少真实IP地址的使用方法：静态地址转换（Static NAT）隐藏网络地址转换(Hiding NAT)端口地址转换(Port Address Translation)安全连入Internet防火墙NAT:网络地址转换Network Address Tra41防火墙功能总结包过滤防火墙状态检查机制防火墙应用代理网关防火墙专用代理防火墙混合型防火墙网络地址转换基于主机的防火墙个人防火墙个人防火墙设备安全连入Internet防火墙防火墙功能总结包过滤防火墙安全连入Internet防火墙42防火墙的布置与环境布置防火墙及环境的四条建议非军事区(DMZ)VPN及其的布置IDSDNS一个服务器布放的例子安全连入Internet防火墙防火墙的布置与环境布置防火墙及环境的四条建议安全连入Inte43布置防火墙的建议（NIST Guidelines）越简单越好(Keep It Simple)不要追求复杂方案,要能够易懂才能易于管理和维护,和进行事件处理；复杂必然不安全。按照设计使用设备不要用路由器中的包过滤当防火墙，不要指望交换机中的安全机制。这样容易错误地配置设计有深度的防御(Defense in Depth)安全分层：路由安全，多防火墙墙，操作系统注意内部威胁并非怀疑同事的攻击，攻击可能越过Firewall安全连入Internet防火墙布置防火墙的建议（NIST Guidelines）越简单越好44重要建议所有的规则都会被打破在防火墙布置时牢记在防火墙设计时牢记各自的系统有各自的需求，应该具针对具体应用设计有针对性的防火墙的布置安全连入Internet防火墙重要建议所有的规则都会被打破安全连入Internet防火墙45DMZ网络(DeMilitarized Zone)ISP边界包过滤防火墙受保护内网外部DMZ网络外部WEB服务器主防火墙内部DMZ网络内网防火墙内部邮件服务器安全连入Internet防火墙DMZ网络(DeMilitarized Zone)ISP边界46另一种DMZ网络ISP边界包过滤防火墙外部DMZ网络应用代理服务器主防火墙服务DMZ网络受保护内网安全连入Internet防火墙另一种DMZ网络ISP边界包过滤防火墙外部DMZ网络应用代理47VPN(Virtual Private Network)VPN Gateway内部网络Internet安全连入Internet防火墙VPN(Virtual Private Network)V48VPN的类型PPTP(Point-to-point Tunneling Protocol)用户到NAS之间的连接保密口令机制CHAPL2TP(Layer2 Tunneling Protocol)第二层安全，IPSEC(Internet Protocol Security)最完善的安全机智安全连入Internet防火墙VPN的类型PPTP(Point-to-point Tun49VPN与专用网相比的优势租线路昂贵无须专用接入设备移动时节约长途电话开销大规模造成的复杂问题不存在管理更容易扩展方便安全连入Internet防火墙VPN与专用网相比的优势租线路昂贵安全连入Internet防50VPN与专用网相比的优势的缺点设备成本，如果需要高性能的话技术门槛，维护和管理开销法律问题性能问题，服务质量安全连入Internet防火墙VPN与专用网相比的优势的缺点设备成本，如果需要高性能的话安51IPSEC的主要内容IP Authentication Header(AH)IP Encapsulating Security Payload(ESP)IP Payload compression(IPComp)Internet Key Exchange(IKE)安全连入Internet防火墙IPSEC的主要内容IP Authentication He52IPSec的两种工作模式传输模式用于主机之间的通信IP地址不变，只加密内容隧道模式主要用于有Gateway参与的通信加密所有的内容，包括原IP头安全连入Internet防火墙IPSec的两种工作模式传输模式安全连入Internet防火53VPN的布置内网Internet内网Internet内网Internet安全连入Internet防火墙VPN的布置内网Internet内网Internet内网In54IDS（Intrusion Detection System）能够与防火墙连动基于主机的IDS装在主机上，可检测高层攻击，影响性能，不能检测网络型攻击，使系统不稳定。基于网络的IDS协议分析，更有效，分段攻击检测困难，在交换型网络上运行困难，可能被发现（网卡运行模式问题），DOS攻击安全连入Internet防火墙IDS（Intrusion Detection System55防火墙与IDS联合布置ISP边界包过滤防火墙受保护内网外部DMZ网络外部WEB服务器主防火墙内部DMZ网络内网防火墙内部邮件服务器Network IDSNetwork IDS安全连入Internet防火墙防火墙与IDS联合布置ISP边界包过滤防火墙受保护内网外部D56DNS在网络上做名字解析210.17.12.15相互通信用TCP查询用UDP有防火墙的网络一般将DNS分开内部的域名不让外部知道，保护隐私安全连入Internet防火墙DNS在网络上做名字解析安全连入Internet防火墙57防火墙和DNS的布置ISP边界包过滤防火墙受保护内网外部DMZ网络外部WEB服务器主防火墙内部DMZ网络内网防火墙内部邮件服务器Internal DNSExternal DNS安全连入Internet防火墙防火墙和DNS的布置ISP边界包过滤防火墙受保护内网外部DM58服务器与防火墙放置的考虑没有适合所有情况的解决方案一些建议：用边界包过滤防火墙保护外部服务器不要将可以外部存取的服务器放在内网将内部服务器放在内部服务器后面隔离容易受攻击的服务器安全连入Internet防火墙服务器与防火墙放置的考虑没有适合所有情况的解决方案安全连入I59服务器布放的例子外部存取服务器(如www服务器)放在外部DMZ中，在边界包过滤防火墙和主防火墙之间VPN和拨号服务器外部DMZ中，以保证这些通信受检查内部服务器(邮件服务器，目录服务器)内部DMZ，如果WWW服务器有外部Proxy安全连入Internet防火墙服务器布放的例子外部存取服务器(如www服务器)安全连入In60服务器布放的例子（续）外部DMZ网络外部WEB服务器主防火墙/VPN内部DMZ网络内网防火墙邮件服务器Network IDSDNS拨号服务器DNS内网外网安全连入Internet防火墙服务器布放的例子（续）外部DMZ网络外部WEB服务器主防火墙61防火墙的布置与环境总结如何布置防火墙及环境非军事区DMZVPN及其的布置IDSDNS一个服务器布放的例子安全连入Internet防火墙防火墙的布置与环境总结如何布置防火墙及环境安全连入Inter62本讲义小节Internet及其安全防火墙的基本知识防火墙的功能分类防火墙的布置与环境安全连入Internet防火墙本讲义小节Internet及其安全安全连入Internet防63演讲完毕，谢谢听讲!再见，see you again3rew3rew2024/6/16安全连入Internet防火墙演讲完毕，谢谢听讲!再见，see you again3rew64