Netscreen防火墙培训

2008, # 2008, # 了解 防火墙 的基本概念 熟悉 能够对 学习完本课程，您应该能够： 学习目标 2008, # 防火墙基础知识 2008, # ，防火墙是保护一个网络免受“不信任”的网络的攻击，但是同时还必须允许两个网络之间可以进行合法的通信。防火墙具有如下基本特征： 经过防火墙保护的网络之间的通信必须都经过防火墙。 只有经过各种配置的策略验证过的合法数据包才可以通过防火墙。 防火墙本身必须具有很强的抗攻击、渗透能力。 防火墙可以保护内部网络的安全，可以使受保护的网络避免遭到外部网络的攻 击。 硬件防火墙应该可以支持若干个网络接口，这些接口都是 这些接口用来连接几个网络。在这些网络中进行的连接都必须经过硬件防火墙，防火墙来控制这些连接，对连接进行验证、过滤。 连接不受信网络区域 连接受信网络区域 在连接受信网络区域和非受信网络区域之间的区域，一般称为 防火墙的概念 2008, # ： 1、一般是直接安装在 于 时防火墙基本上就是一个应用软件。代表产品有 2、采用 于 发了安全防护的一些基本特性构成硬件防火墙产品形态。国内大部分防火墙产品都是采用这种方式开发。从外观上面看，该种防火墙是一个硬件防火墙产品，但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。代表产品有天融信公司的防火墙产品 3、采用独立设计的硬件结构，在 源、风扇、 展插卡等方面优化结构，保证防火墙产品可以得到最优的处理性能。代表产品有08产品、 00等防火墙产品。 防火墙的发展历程 2008, # ？ 网络 互联互通？过来一个报文立刻转发一个报文。 网络 A 网络 B 交流路由信息 这个访问是否允许到 B？这个 个访问是否是一个攻击行为？ 路由器的特点： 保证互联互通。 按照最长匹配算法逐包转发。 路由协议是核心特性。 防火墙的特点： 逻辑子网之间的访问控制，关注边界安全 基于连接的转发特性。 安全防范是防火墙的核心特性。 由于防火墙具有基于连接监控的特性，因此防火墙对业务支持具有非常强的优势。而路由器基于逐包转发的特点，因此路由器设备不适合做非常复杂的业务，复杂的业务对路由器的性能消耗比较大。防火墙支持的接口不如路由器丰富，支持的路由协议不如路由器丰富，因此防火墙不适合做为互联互通的转发设备。防火墙适合做为企业、内部局域网的出口设备，支持高速、安全、丰富的业务特性。 防火墙和路由器的差异 2008, # ，一般把防火墙分为如下几类： 包过滤防火墙 (包过滤防火墙简单，但是缺乏灵活性。另外包过滤防火墙每包需要都进行策略检查，策略过多会导致性能急剧下降。 代理型防火墙（ 代理型防火墙使得防火墙做为一个访问的中间节点，对 理型防火墙安全性较高，但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。 状态检测防火墙 状态检测是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被 现在防火墙的主流产品为状态检测防火墙。 防火墙的分类 2008, # 。 对防火墙需要转发的数据包， 防火墙直接获得其 的地址、 的端口等 包头信息 。 然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制策略 ( 司总部 内部网络 未授权用户 办事处 2008, # 一个 下图所示（图中 数据 协议号 源地址 目的地址 源端口 目的端口 对于 5个元素组成了一个 问控制列表就是利用这些元素定义的规则 2008, # ，来动态的决定报文是否可以通过防火墙。在状态防火墙中，会维护着一个 过 些是非法访问。 状态检测技术 2008, # 2008, # 区域 防火墙的内部划分为多个区域，所有的转发接口都唯一的属于某个区域 接口 1 接口 2 接口 3 接口 4 2008, # 防火墙上主要有 4个安全区域： 非受信区（ 低级的安全区域 . 非军事化区（ 中度级别的安全区域 . 受信区（ 较高级别的安全区域 . 管理区域（ 管理区 此外，如认为有必要，用户还可以自行设置新的安全区域并定义其安全优先级别。 防火墙基础 区域 2008, # 区域 2008, # 转发规则 路由器的安全规则定义在接口上，而防火墙的安全规则定义在安全区域之间 不允许来自 数据报从这个接口出去 接口 1 接口 2 接口 3 接口 4 禁止所有从 转发到 2008, # 域间的数据流分两个方向： 入方向（ 数据由低级别的安全区域向高级别的安全区域传输的方向； 出方向（ 数据由高级别的安全区域向低级别的安全区域传输的方向。 接口 1 接口 2 接口 3 接口 4 n n n 火墙基础 转发规则 2008, # 本域内不同接口间不过滤直接转发 进、出接口相同的报文被丢弃 接口没有加入域之前不能转发报文 接口 1 接口 2 接口 3 接口 4 n n n 火墙基础 转发规则 2008, # 路由模式 透明模式 混合模式 防火墙基础 模式分类 2008, # 路由模式 可以把路由模式理解为象路由器那样工作。防火墙每个接口连接一个网络，防火墙的接口就是所连接子网的网关。报文在防火墙内首先通过入接口信息找到进入域信息，然后通过查找转发表，根据出接口找到出口域，再根据这两个域确定域间关系，然后使用配置在这个域间关系上的安全策略进行各种操作。 2008, # 透明模式 透明模式的防火墙则可以被看作一台以太网交换机。防火墙的接口不能配 个设备处于现有的子网内部，对于网络中的其他设备，防火墙是透明的。报文转发的出接口，是通过查找桥接的转发表得到的。在确定域间之后，安全模块的内部仍然使用报文的 2008, # 混合模式 混合模式是指防火墙一部份接口工作在透明模式，另一部分接口工作在路由模式。提出混合模式的概念，主要是为了解决防火墙在纯粹的透明模式下无法使用双机热备份功能的问题。双机热备份所依赖的 透明模式无法实现这一点。 目前很多新型防火墙已经支持透明模式下的双机热备。 2008, # 双机热备 什么是双机热备？ 所谓双机热备其实是双机状态备份，当两台防火墙，在确定主从防火墙后，由主 防火墙进行业务的转发，而从防火墙处于监控状态，同时主防火墙会定时向从防 火墙发送状态信息和需要备份的信息，当主防火墙出现故障后，从防火墙会及时 接替主防火墙上的业务运行。 N e t s c r e e n AM a s t e rN e t s c r e e n BB a c k u pT r u s t 区 域D M Z 区 域U n t r u s t 区 域P ( 1 )( 2 )( 3 )( 4 )( 7 )会 话 表 项S e r v e r( 5 )( 6 )( 8 )实 际 连 线报 文 流 径心跳线 2008, # 防火墙基础知识 2008, # 火墙的简介 全架构 专用硬件平台 集成安全网关（ 列 特性与优势 件特性 性能参数 2008, # ，优化用于最大限度地提供性能，由安全性特定的实时操作系统 跨越大量高密度的局域网 /广域网接口提供集成安全性和局域网 /广域网路由功能，满足中小企业、大型分布式企业及电信运营商的许多需求。这些集成产品可保护网络免遭所有形式的攻击和恶意软件威胁，同时促进企业间的安全通信。 2008, # 通过新一代体系结构完成业界领先的性能和安全保护 专用加密加速 处理 3速 , 解析 , 认证 , 随即数产生和策略查询 (每秒 25 . 超级性能 与 理板 基于需求定制，安全优化的操作系统 核心技术高度集成 基于状态过滤的防火墙 攻击检测与保护 流量管理 /带宽管理 端到端的解决方案提供灵活的网络结构 全面的设备管理方法 2008, # 2008, # 专用硬件平台 2008, # （ 一种专用安全解决方案，它采用了第四代安全 及高性能微处理器，能够提供无与伦比的防火墙和 000 和 000 非常适合因需要运行 营商和数据中心环境。 000和 000 将最佳深层检测防火墙、 靠的连接，还能为重要的高流量网段提供网络和应用级保护。 000： 000是一个完全集成的 有千兆性能、模块化架构和丰富的虚拟化功能。基础 0/100/1000接口，以及两个额外的 I/支持接口扩展。 000： 000 是一种完全集成的 有千兆性能、模块化架构和丰富的虚拟化功能。基础 ，以支持 成。 2008, # 2008, # 硬件特性 第四代安全 多总线结构 : 独立的管理和数据总线 可靠的设计 冗余热插拔电源 (DC C)、热插拔风扇 2U, 19”模块化架构， 2 个 I/O 接口插槽 4个 10/100/1000太口，可用于冗余 高端的性能 千兆性能 丰富的虚拟化功能 2008, # ,000 256,000 最多同步 1,000 1,000 0 100 路由协议支持 仅 可用性 主用 /备用 主用 /备用 层检测防火墙） 不提供 不提供 集成 提供 不提供 支持的高可用性模式 主用 /备用 主用 /备用 集成 / 重新定向 否 / 是 否 / 是 2008, # ( 或最多 8个 10/100/1000，或最多 20个 10/100 最多 8个 最多 28 个 10/100 可信接口中的最多 无限 无限 最大吞吐量 1G 64字节 ) 1G 32G 64字节 ) 4256 1G 3多会话数 250,000 512,000 最多 2,000 10,000 最多策略数 10,000 30,000 最多虚拟系统数 默认设置为 0个，最多可增加 10个 默认设置为 0个，最多可增加 50个 2008, # ，可选为 20个 默认为 26个，可选为 100个 最多虚拟路由器数 默认为 3个，可选为 10个 默认为 3个，可选为 50个 高可用性支持 主用 /备用 主用 /主用 主用 /主用，全网状 主用 /备用 主用 /主用 主用 /主用，全网状 路由协议支持 层检测防火墙） 是 是 集成 - 可选升级 * 是 - 可选升级 集成 / 重新定向 否 / 是 否 / 是 2008, # 防火墙基础知识 2008, # 网 管 / 计 费 / C R M P 平 台省 I S A P G 业 务 引 擎I V 短 信L B P H S 短 信省 门 户C i s c o A S A 5 5 1 0N e t s c r e e n I S G 1 0 0A l c a t e l 7 7 5 0 S R 7 2008, # 防火墙基础知识 2008, # 主机名规划 区域及接口用途规划 路由规划 地址映射规划 安全策略规划 2008, # ： 省名 +设备型号 _网名 _序号 本次工程中防火墙型号主要有 例：安徽电信 63公网的 2台防火墙分别命名为 2008, # 虚拟路由器（ 默认只有 1个 络复杂，可使用多个虚拟路由器，虚拟路由器之间可使用动态路由协议或静态路由通信。 般将这几个所用的区域全部放到 个 个 然访问控制更加灵活，但 区域（ 4个 单网络只需要 以把 接口（ 2个流量板，接口命名及用途规划参考 2008, # 2008, # 各接口区域均在一个 ，路由配置较简单。只需要在 网的回程路由以及 各接口区域不在一个 每个 需要配置 杂情况，可启用动态路由协议。 2008, # ，各接口机和门户服务器需做地址映射以提供网外访问。 示例如下： 主机名 机说明 163 CN 7 数据库主机 7 数据库 /控制中心备机 7 控制中心主机 7 数据库浮动 7 控制中心浮动 7 7 7 接口机主机 7 接口机 /门户机备机 7 门户机主机 7 接口机浮动 7 门户机浮动 2008, # 设备登录控制 网络设备配置需要保护，防止非授权访问非常重要。各种登录账户、权限需求在实施配置前也必须进行详细调研规划。 可主要考虑 限及密码规划。 2008, # 业务访问控制 主机 内网 网 放端口 备注 9081 护台 1 5631、 5632 护台 2 5631、 5632 护台 3 5631、 5632 门户服务器 80、 8080、 8181、5631、 5632 016、 5631、 5632 3G 5631、 5632 5631、 5632 短信网关 2 631、 5632 2008, # 、 单网络管理协议。需要规划确认只读、可写字符串（ 钟同步。 个备用时钟。 志系统。需要规划确认日志服务器的 名系统。 设备域名后缀。 其他（略） 2008, # 防火墙基础知识 2008, # 主机名、 ） 配置区域 配置端口 /加入域 配置 机） 验证双机配置 配置地址转换 定义 在域间应用 校验业务配置 2008, # 2008, # 2008, # 2008, # （双机） 2008, # （双机） 定义优先级 ,如果两台防火墙定义的优先级相同 ,则根据序列号的大小决定主备关系 可以定义对端口 /域进行监控 ,作为双机切换的依据 2008, # 2008, # 2008, # 2008, # ( 2008, # 2008, # 2008, # 2008, # 2008, # 校验双机状态 检查双机切换对于业务是否有影响 校验配置同步情况 检查主备机的配置是否同步的，可以通过比较配置来实现 校验业务是否正常 2008, # 防火墙基础知识 2008, # 2008, # 2008, # !