精品文档--------------------------精品文档,可以编辑修改,等待你的下载,管理,教育文档---------------------- 精品文档--------------------------精品文档,可以编辑修改,等待你的下载,管理,教育文档---------------------- 防火墙的作用是什么1.什么是防火墙 防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间 的一系列部件的组合。 它可通过监测、限制、更改跨越防火墙的数据流,尽可能地对外部 屏蔽网络内部的信息、结构和运行状况, 以此来实现网络的安全保护。 在逻辑上,防火墙是一个分离器,一个限制器,也是一个分析器,有效地监控了内部网和I nternet 之间的任何活动, 保证了内部网络的安全。 2.使用Firewall 的益处 保护脆弱的服务 通过过滤不安全的服务,Firewall 可以极大地提高网络安全和减少子网中主机的风险。例 Firewall可以禁止NIS、NFS 服务通过,Firewall 同时可以拒绝源路由和ICMP 重定向 封包。 控制对系统的访问 Firewall 可以提供对系统的访问控制。如允许从外部访问某些主机,同时禁止访问另外的 主机。例如, Firewall 允许外部访问特定的Mail Server 和Web Server。 集中的安全管理 Firewall 对企业内部网实现集中的安全管理,在Firewall 定义的安全规则可以运行于整个 内部网络系统, 而无须在内部网每台机器上分别设立安全策略。Firewall 可以定义不同的 认证方法, 而不需要在每台机器上分别安装特定的认证软件。外部用户也只需要经过一次 认证即可访问内部网。 精品文档 --------------------------精品文档,可以编辑修改,等待你的下载,管理,教育文档---------------------- 精品文档--------------------------精品文档,可以编辑修改,等待你的下载,管理,教育文档---------------------- 增强的保密性使用Firewall 可以阻止攻击者获取攻击网络系统的有用信息,如Figer 和DNS。 记录和统计网络利用数据以及非法使用数据 Firewall 可以记录和统计通过Firewall 的网络通讯,提供关于网络使用的统计数据,并且, Firewall 可以提供统计数据, 来判断可能的攻击和探测。 策略执行 Firewall 提供了制定和执行网络安全策略的手段。未设置Firewall 时,网络安全取决于每 台主机的用户。 3.防火墙的种类 防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。 数据包过滤(PacketFiltering)技术是在网络层对数据包进行选择,选择的依据是系统内设 置的过滤逻辑, 被称为访问控制表(Access Control Table)。通过检查数据流中每个数据 包的源地址、目的地址、所用的端口号、 协议状态等因素,或它们的组合来确定是否允许 该数据包通过。 数据包过滤防火墙逻辑简单,价格便宜,易于安装和使用, 网络性能和透 明性好,它通常安装在路由器上。路由器是内部网络与Internet 连接必不可少的设备, 因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。 数据包过滤防火墙的缺点有二:一是非法访问一旦突破防火墙,即可对主机上的软件和配置 漏洞进行攻击; 二是数据包的源地址、目的地址以及IP 的端口号都在数据包的头部,很有 可能被窃听或假冒。 精品文档--------------------------精品文档,可以编辑修改,等待你的下载,管理,教育文档---------------------- 精品文档--------------------------精品文档,可以编辑修改,等待你的下载,管理,教育文档---------------------- 应用级网关(ApplicationLevel Gateways)是在网络应用层上建立协议过滤和转发功能。 它针对特定的网络应用服务协议使用指定的数据过滤逻辑,并在过滤的同时,对数据包进行 必要的分析、 登记和统计,形成报告。实际中的应用网关通常安装在专用工作站系统上。 数据包过滤和应用网关防火墙有一个共同的特点,就是它们仅仅依靠特定的逻辑判定是否允 许数据包通过。 一旦满足逻辑,则防火墙内外的计算机系统建立直接联系, 防火墙外部的 用户便有可能直接了解防火墙内部的网络结构和运行状态,这有利于实施非法访问和攻击。 代理服务(ProxyService)也称链路级网关或TCP 通道(Circuit Level Gateways unnels),也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺 点而引入的防火墙技术, 其特点是将所有跨越防火墙的网络通信链路分为两段。