網(wǎng)絡(luò)安全技術(shù)之防火墻的概念及分類

一．防火墻的基本概念

定義:是一款具備安全防護(hù)功能網(wǎng)絡(luò)設(shè)備

隔離網(wǎng)絡(luò):將需要保護(hù)的網(wǎng)絡(luò)與不可信任網(wǎng)絡(luò)進(jìn)行隔離，隱藏信息并進(jìn)行安全防護(hù)

二．防火墻的基本功能

訪問控制攻擊防護(hù)冗余設(shè)計(jì)路由、交換日志記錄虛擬專網(wǎng)VPNNAT

三．防火墻產(chǎn)品及廠家

防火墻產(chǎn)品:H3C U200系列

?

四．區(qū)域隔離

防火墻區(qū)域概念: 內(nèi)部區(qū)域

DMZ區(qū)域:稱為”隔離區(qū)”，也稱”非軍事化區(qū)/?；饏^(qū)”

外部區(qū)域

五．防火墻的分類

1.按防火墻形態(tài):

軟件防火墻

硬件防火墻

按技術(shù)實(shí)現(xiàn):

包過濾防火墻

狀態(tài)檢測包過濾防火墻

應(yīng)用(代理)防火墻

WAF防火墻

應(yīng)用層防火墻

六．防火墻的發(fā)展歷史

包過濾防火墻(分組過濾防火墻)

最早的防火墻技術(shù)之一，功能簡單，配置復(fù)雜

根據(jù)分組包的源、目的地址，端口號及協(xié)議類型，標(biāo)志位確定是否允許分組包通過。

所根據(jù)的信息來源于IP、ICMP、TCP、UDP等協(xié)議的數(shù)據(jù)包頭

優(yōu)點(diǎn):高效、透明

缺點(diǎn):對管理員要求高、處理信息能力有限

狀態(tài)檢測包過濾防火墻

現(xiàn)在主流防火墻，速度快，配置方便，功能較多

從傳統(tǒng)包過濾發(fā)展而來，除了包過濾檢測的特性外，對網(wǎng)絡(luò)連接設(shè)置狀態(tài)特性加以檢測

優(yōu)點(diǎn):減少檢查工作量，提高效率 連接狀態(tài)可以簡化規(guī)則的設(shè)置

缺點(diǎn):對應(yīng)用層檢查不夠深入

應(yīng)用(代理)防火墻最早的防火墻技術(shù)之二，連接效率低，速度慢

優(yōu)點(diǎn):安全性高，檢測內(nèi)容

缺點(diǎn):連接性差，可伸縮性差

DPI防火墻(Deep packet Inspection)

未來防火墻的發(fā)展方向，能夠高速的對第七層數(shù)據(jù)進(jìn)行檢測

七．防火墻的工作模式及部署類型標(biāo)準(zhǔn)應(yīng)用

透明模式

一般用于用戶網(wǎng)絡(luò)已經(jīng)建設(shè)完畢，網(wǎng)絡(luò)功能基本已經(jīng)實(shí)現(xiàn)的情況下，用戶需要加裝防火墻以實(shí)現(xiàn)安全區(qū)域隔離的要求

路由模型

路由/NAT模式一般用于防火墻當(dāng)作路由器和NAT設(shè)備連接上網(wǎng)的同時(shí)，提高安全過濾功能

混雜模型

一般網(wǎng)絡(luò)情況為透明模式和路由模式的混合

八．衡量防火墻性能的5大指標(biāo)

吞吐量:在不丟包的情況下單位時(shí)間內(nèi)通過的數(shù)據(jù)包數(shù)量

時(shí)延:數(shù)據(jù)包第一個(gè)比特進(jìn)入防火墻到隨后一個(gè)比特從防火墻輸出的時(shí)間間隔

丟包率:通過防火墻時(shí)所丟失數(shù)據(jù)包數(shù)量占所發(fā)送數(shù)據(jù)包的比率

并發(fā)連接數(shù):防火墻能夠同時(shí)處理的點(diǎn)對點(diǎn)連接的最大數(shù)目

新建連接數(shù):在不丟包的情況下每秒可以建立的最大連接數(shù)

編輯：黃飛

?