防火墙在网络中的部署

1、1v防火墙是一种防火墙是一种网络边界访问控制设备网络边界访问控制设备，能根据，能根据安安全策略全策略阻止在网络之间或主机与网络之间的未授阻止在网络之间或主机与网络之间的未授权的通信。即控制进出网络的权的通信。即控制进出网络的访问行为访问行为。它是不。它是不同网络安全域间之间通信的同网络安全域间之间通信的唯一通道唯一通道。内网和外网之间需要防火墙内网和外网之间需要防火墙企业或者机构局域网企业或者机构局域网Host A Host B Internet内网中不同安全域之间需要防火墙内网中不同安全域之间需要防火墙安全域1Host A Host B 安全域2Host C Host D v防火墙在网络中的

2、位置与防火墙体系结构防火墙在网络中的位置与防火墙体系结构Internet人事部研发部主要内容v1. 双宿/多宿主机防火墙(Dual-Homed /Multi-Homed Host Firewall)v2. 屏蔽主机防火墙(Screened Host Firewall )v3. 屏蔽子网防火墙(Screened Subnet Firewall)基本概念 v 堡垒主机（堡垒主机（Bastion HostBastion Host）：）：堡垒主机是一种配置了安全防范措施的网络上的计算机，堡垒主机为网络之间的通信提供了一个阻塞点，也就是说如果没有堡垒主机，网络之间将不能相互访问。可以配置成过滤型、代理型

3、或混合型。v 双宿主机（双宿主机（Dual-homed HostDual-homed Host）：）：有两个网络接口的计算机系统，一个接口连接内部网，一个接口连接外部网. . 一种拥有两个或多个连接到不同网络上的网络接口的一种拥有两个或多个连接到不同网络上的网络接口的防火墙；防火墙； 1. 1. 双宿双宿/ /多宿主机防火墙多宿主机防火墙 优点：优点： 结构简单结构简单 缺点：缺点： 隔开内外网络的唯一屏障，一旦被入侵，内隔开内外网络的唯一屏障，一旦被入侵，内部网络便完全暴露。部网络便完全暴露。 由包过滤路由器和堡垒主机组成；由包过滤路由器和堡垒主机组成； 过滤路由器为堡垒主机建立安全屏障；过

4、滤路由器为堡垒主机建立安全屏障； 堡垒主机是内外信息的唯一通道。堡垒主机是内外信息的唯一通道。2. 2. 屏蔽主机防火墙屏蔽主机防火墙特点：特点： 堡垒主机成为从外部网络唯一可直接到达的堡垒主机成为从外部网络唯一可直接到达的主机，确保了内部网络不受未被授权的外部用户主机，确保了内部网络不受未被授权的外部用户的攻击；的攻击； 同时实现网络层安全同时实现网络层安全( (包过滤包过滤) )和应用层安全和应用层安全( (代理服务代理服务) )；安全等级比包过滤防火墙系统高；安全等级比包过滤防火墙系统高；过滤路由器的配置是关键之一。过滤路由器的配置是关键之一。2. 2. 屏蔽主机防火墙屏蔽主机防火墙3.

5、 3. 屏蔽子网防火墙屏蔽子网防火墙v3.1 3.1 双包过滤路由器架构双包过滤路由器架构v3.2 3.2 单一防火墙架构单一防火墙架构v3.3 3.3 双重防火墙架构双重防火墙架构 3.1 3.1 双包过滤路由器架构双包过滤路由器架构采用了两个包过滤路由器和一个堡垒主机，在内采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网。外网络之间建立了一个被隔离的子网。3. 3. 屏蔽子网防火墙屏蔽子网防火墙特点：特点： 将堡垒主机，各种公用服务器放在非军事区网将堡垒主机，各种公用服务器放在非军事区网络中；络中； 内部网络和外部网络均可访问屏蔽子网，但禁内部网络和外部网络均可访

6、问屏蔽子网，但禁止它们穿过屏蔽子网通信；止它们穿过屏蔽子网通信； 外部路由器把入站的数据包路由到堡垒主机。外部路由器把入站的数据包路由到堡垒主机。3.13.1双包过滤路由器架构双包过滤路由器架构特点（续）特点（续） 内部路由器保护内部网络不受外部网络和周内部路由器保护内部网络不受外部网络和周边网络的侵害；执行大部分过滤工作。边网络的侵害；执行大部分过滤工作。 即使堡垒主机被入侵者控制，内部网仍受到即使堡垒主机被入侵者控制，内部网仍受到内部包过滤路由器的保护。内部包过滤路由器的保护。 多个堡垒主机运行各种代理服务，可以更有多个堡垒主机运行各种代理服务，可以更有效地提供服务。效地提供服务。3.1

7、3.1 双包过滤路由器架构双包过滤路由器架构3. 3. 屏蔽子网防火墙屏蔽子网防火墙3.1 3.1 双包过滤路由器架构双包过滤路由器架构3.2 3.2 单一防火墙架构（单一防火墙架构（4 4个层次）个层次） 外部路由器 外部路由器与防火墙间网络分段区域 DMZ分段区域 防火墙3.3 3.3 双重防火墙架构双重防火墙架构3.2 3.2 单一防火墙架构单一防火墙架构3.2 3.2 单一防火墙架构单一防火墙架构3.2 3.2 单一防火墙架构单一防火墙架构增加入侵检测增加入侵检测/ /防护系统防护系统3.3 3.3 双重防火墙架构双重防火墙架构v双重防火墙架构由双重防火墙架构由5 5个层次组成个层次组成 外部路由器 外部路由器与外部防火墙之间网络分段区域 外部防火墙 DMZ