网络安全及网络管理课件

1、第九章网络安全及网络管理 中 北 大 学 电 子 与 计 算 机 科 学 技 术 学 院School of Electronics and Computer Science and Technology . NUC 交换今日汗水，路由明朝辉煌9 网络安全及网络管理 本章内容网络安全概述容错技术加密与认证网络管理黑客文化与安全对策课程议题网络安全概述网络安全概述“安全”一词在字典中被定义为“远离危险的状态或特性”和“为防范间谍活动或蓄意破坏、犯罪、攻击或逃跑而采取的措施”。随着经济信息化的迅速发展，计算机网络对安全要求越来越高，尤其自InternetIntranet应用发展以来，网络的安全已经涉

2、及到国家主权等许多重大问题。随着“黑客”工具技术的日益发展，使用这些工具所需具备的各种技巧和知识在不断减少，从而造成的全球范围内“黑客”行为的泛滥，导致了一个全新战争形式的出现，即网络安全技术的大战。网络安全的概念网络安全从其本质上来讲就是网络上的信息安全。它涉及的领域相当广泛。这是因为在目前的公用通信网络中存在着各种各样的安全漏洞和威胁。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究的领域。下面给出网络安全的一个通用定义： 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，

3、系统连续可靠正常地运行，网络服务不中断。网络安全的定义计算机实体安全系统运行安全信息安全对于网络安全，目前国际上还没有一个统一的定义，它经常与计算安全和计算机信息系统安全两个术语混淆。狭义上认为，计算机网络安全是指通过网络的拓扑结构，构造和网络协议来保证计算机网络系统的可靠、稳定和连续的正常工作。这一定义的重点在于计算机网络系统的设计上，通过技术手段提高网络系统的安全性。广义上的网络安全，则包含计算机安全和计算机信息系统安全。(1) 物理安全计算机实体安全（设备、环境）在一定的环境下，对网络系统中的设备的安全保护。包括设备的防毁、防盗、防电磁辐射或干扰，以及电源保护。是网络安全的前提(2) 系

4、统运行安全容错性、安全审计等网络系统运行安全是指计算机实体安全的前提下，保证网络系统不受偶然的和恶意的威胁的影响，能够正常连续工作。网络系统的拓扑结构、构造（硬件、OS）和协议是影响网络系统运行安全的直接因素。计算机病毒、黑客入侵是影响网络系统运行安全的外在因素。采用有效的技术和管理手段，保证网络系统运行安全是网络安全保护最重要的环节之一。(3) 信息安全计算机网络信息安全是指防治网络上的信息资源被故意的或偶然的泄露、更改、破坏，确保信息的保密性、完整性和可用性。保密性 Confidentiality 指防止信息在未授权的方式下被泄露完整性 Integrity 指信息不能被非法（未授权）更改或

5、破坏可用性 Availability 指在授权的任何情况下，信息必须是可用的，防止延时或拒绝访问网络面临的安全风险与人有关的风险与硬件和网络设计有关的风险与协议和软件有关的风险与Internet访问有关的风险网络系统本身（内部因素）系统外部（外部因素）(1)非授权访问 (2)信息泄露 (3)拒绝服务网络安全措施容错性和数据备份防火墙技术监视、检测程序加密和认证文件访问限制对系统错误和性能趋势跟踪，发现解决问题保持备份、引导盘及紧急修复盘制定实施安全管理的政策和灾难恢复政策课程议题容错技术容错技术容错技术是保证网络系统安全运行的关键技术之一。具有容错性的系统可以做到局部系统故障不影响整个系统的运

6、行。容错性在实现的程度上是不同的。对实施冗余容错措施需要额外的网络开销，因此需要了解网络中容易出错的关键点以及它们的故障对于整个网络的影响是如何产生的。1、环境物理环境：温度湿度自然灾害设备间：空调、温度、湿度监视2、供电常见供电问题：浪涌线扰（电磁干扰）电力不足彻底断电功率、时间、线波动、成本参考指标：UPS 发电机 （柴油、汽油、天然气、蒸汽）后备式（交换式）在线式（持续式）3、拓扑结构星型、总线、环型、网状、层次FDDIAB故障点ABCD故障点4、连接网络设备：（路由器、防火墙、网桥、交换机、Hub）建立冗余的电源、冷却风扇、接口以及I/O模块提供热切换能力 网络连接： （接入网、骨干网

7、）建立冗余链路考虑负载平衡5、服务器廉价冗余磁盘阵列 RAID所谓磁盘阵列是指一组硬盘或驱动器以RAID方式构成的驱动器集合服务器镜像服务事务和数据存储互为副本，建立同步服务器集群 Cluster将多台服务器连起来使它们像一台服务器那样工作的一种容错技术RAIDRedundant Array of Inexpensive Disks6 levels redundancy, 0-5 RAID 0 Stripes data across multiple disks, no parity, so there is no redundancy. RAID 1 Disk mirroring (disk

8、 duplexing) writes data to two identical partitions on separate hard disks. Disk duplexing uses two hard disk controller cardsRAID 2 Writes data across multiple hard disks, with error checking. RAID 3 Stripes data one byte at a time and has a dedicated parity drive. RAID 4 Stripes data one sector at

9、 a time and has a dedicated parity drive. RAID 5 Stripes data and parity across multiple disks (require a minimum of 3 drives). By mixing the parity across all of the disks, a separate parity disk is not required and yet full data redundancy is achieved.RAID0：磁盘条带化192K64K64K64KDisk 1 Disk 2 Disk 3RA

10、ID1：磁盘镜像Disk I/ODisk mirroring softwareRAID5:带奇偶校验的磁盘条带化Disk 1 Disk 2Disk 3 Disk 4 Disk 5Parityinformation课程议题加密与认证加密的历史作为保障数据安全的一种方式，数据加密起源于公元前2000年。埃及人是最先使用特别的象形文字作为信息编码的人。随着时间推移，巴比伦、美索不达米亚和希腊都开始使用一些方法来保护他们的书面信息。密码学的发展密码学的发展可以分为两个阶段：第一个阶段是计算机出现之前的四千年，这是传统密码学阶段，基本上靠人工对消息加密、传输和防破译。第二阶段是计算机密码学阶段：常规密钥

11、密码体制 解密是加密的简单逆过程，两者所用的密钥是可以简单地互相推导的，因此无论加密密钥还是解密密钥都必须严格保密。公开密钥密码体制重要概念 密码编码学(cryptography)是密码体制的设计学，而密码分析学(cryptanalysis)则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学(cryptology)。如果不论截取者获得了多少密文，但在密文中都没有足够的信息来唯一地确定出对应的明文，则这一密码体制称为无条件安全的，或称为理论上是不可破的。如果密码体制中的密码不能被可使用的计算资源破译，则这一密码体制称为在计算上是安全的。 一般的数据加密模型

12、 E加密算法D解密算法加密密钥 K解密密钥 K明文 X明文 X密文 Y = EK(X)截取者截获篡改密钥源安全信道常规密钥密码体制 所谓常规密钥密码体制，即加密密钥与解密密钥是相同的密码体制。这种加密系统又称为对称密钥系统。替代密码替代密码(substitution cipher)的原理可用一个例子来说明。（密钥是 3） abcdefghijklmnopqrstuvwxyzDEFGHIJKLMNOPQRSTUVWXYZABCcaesar cipherFDHVDU FLSKHU明文密文明文 c 变成了密文 F替代密码替代密码(substitution cipher)的原理可用一个例子来说明。（密

13、钥是 3） abcdefghijklmnopqrstuvwxyzDEFGHIJKLMNOPQRSTUVWXYZABCcaesar cipherFDHVDU FLSKHU明文密文明文 a 变成了密文 D替代密码替代密码(substitution cipher)的原理可用一个例子来说明。（密钥是 3） abcdefghijklmnopqrstuvwxyzDEFGHIJKLMNOPQRSTUVWXYZABCcaesar cipherFDHVDU FLSKHU明文密文明文 e 变成了密文 H置换密码置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符顺序。 根

14、据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第 1。同理，E 为第 2，H 为第 3,，R 为第 6。于是得出密钥字母的相对先后顺序为 145326。 CIPHER145326attackbeginsatfour密钥顺序明文置换密码置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符顺序。 根据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第 1。同理，E 为第 2，H 为第 3,，R 为第 6

15、。于是得出密钥字母的相对先后顺序为 145326。 CIPHER145326attackbeginsatfour密钥顺序明文置换密码置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符顺序。 根据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第 1。同理，E 为第 2，H 为第 3,，R 为第 6。于是得出密钥字母的相对先后顺序为 145326。 CIPHER145326attackbeginsatfour密钥顺序明文置换密码置换密码(transposition cipher

16、)则是按照某一规则重新排列消息中的比特或字符顺序。 根据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第 1。同理，E 为第 2，H 为第 3,，R 为第 6。于是得出密钥字母的相对先后顺序为 145326。 CIPHER145326attackbeginsatfour密钥顺序明文置换密码置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符顺序。 根据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第

17、 1。同理，E 为第 2，H 为第 3,，R 为第 6。于是得出密钥字母的相对先后顺序为 145326。 CIPHER145326attackbeginsatfour密钥顺序明文置换密码置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符顺序。 根据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第 1。同理，E 为第 2，H 为第 3,，R 为第 6。于是得出密钥字母的相对先后顺序为 145326。 CIPHER145326attackbeginsatfour密钥顺序明文密文

18、的得出先读顺序为 1 的明文列，即 aba CIPHER145326attackbeginsatfour密钥顺序明文密文aba密文的得出先读顺序为 1 的明文列，即 cnu CIPHER145326attackbeginsatfour密钥顺序明文密文abacnu密文的得出先读顺序为 1 的明文列，即 aio CIPHER145326attackbeginsatfour密钥顺序明文密文abacnuaio密文的得出先读顺序为 1 的明文列，即 tet CIPHER145326attackbeginsatfour密钥顺序明文密文abacnuaiotet密文的得出先读顺序为 1 的明文列，即 tgf

19、CIPHER145326attackbeginsatfour密钥顺序明文密文abacnuaiotettgf密文的得出先读顺序为 1 的明文列，即 ksr CIPHER145326attackbeginsatfour密钥顺序明文密文abacnuaiotettgfksr接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文先写下第 1 列密文 aba 接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文先写下第 1 列密文 aba 再写下第 2

20、列密文 cnu 接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文先写下第 1 列密文 aba 再写下第 2 列密文 cnu 再写下第 3 列密文 aio 接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文先写下第 1 列密文 aba 再写下第 2 列密文 cnu 再写下第 3 列密文 aio 再写下第 4 列密文 tet 接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfo

21、ur密钥顺序明文先写下第 1 列密文 aba 再写下第 2 列密文 cnu 再写下第 3 列密文 aio 再写下第 4 列密文 tet 再写下第 5 列密文 tgf 接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文先写下第 1 列密文 aba 再写下第 2 列密文 cnu 再写下第 3 列密文 aio 再写下第 4 列密文 tet 再写下第 5 列密文 tgf 最后写下第 6 列密文 ksr 接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥

22、顺序明文最后按行读出明文明文attackbeginsatfour接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文最后按行读出明文明文attackbeginsatfour接收端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密钥顺序明文最后按行读出明文明文attackbeginsatfour序列密码序列码体制是将明文 X 看成是连续的比特流(或字符流) x1x2 ，并且用密钥序列K k1k2中的第 i 个元素 ki对明文中的xi进行加密，即 序列密码体

23、制 密钥序列产生器种子 I0发端ki密钥序列产生器种子 I0收端ki密文序列明文序列明文序列xixiyiyi在开始工作时种子 I0 对密钥序列产生器进行初始化。按照模 2加 进行运算，得出： 序列密码体制 密钥序列产生器种子 I0发端ki密钥序列产生器种子 I0收端ki密文序列明文序列明文序列xixiyiyi序列密码又称为密钥流密码在收端，对 yi 的解密算法为：序列密码体制的保密性 序列密码体制的保密性完全在于密钥的随机性。如果密钥是真正的随机数，则这种体制就是理论上不可破的。这也可称为一次一密乱码本体制。严格的一次一密乱码本体制所需的密钥量不存在上限，很难实用化。密码学家试图模仿这种一次一

24、密乱码本体制。目前常使用伪随机序列作为密钥序列。关键是序列的周期要足够长，且序列要有很好的随机性（这很难寻找）。 分组密码它将明文划分成固定的 n 比特的数据组，然后以组为单位，在密钥的控制下进行一系列的线性或非线性的变化而得到密文。这就是分组密码。分组密码一次变换一组数据。分组密码算法的一个重要特点就是：当给定一个密钥后，若明文分组相同，那么所变换出密文分组也相同。分组密码的一个重要优点是不需要同步 分组密码体制 输入输出加密算法密钥明文输入输出解密算法密钥明文n bitn bitn bitn bit密文密文数据加密标准 DES数据加密标准 DES 属于常规密钥密码体制，是一种分组密码。在加

25、密前，先对整个明文进行分组。每一个组长为 64 bit。然后对每一个 64 bit 二进制数据进行加密处理，产生一组 64 bit 密文数据。最后将各组密文串接起来，即得出整个的密文。使用的密钥为 64 bit（实际密钥长度为 56 bit，有 8 bit 用于奇偶校验)。 数据加密标准 DESDES 的明显缺点 DES 实际上就是一种单字符替代，而这种字符的长度是 64 bit。也就是说，对于 DES 算法，相同的明文就产生相同的密文。这对 DES 的安全性来说是不利的。为了提高 DES 的安全性，可采用加密分组链接的方法。 加密分组的链接 X0Y0X1Y1X2Y2X3Y3X0Y0X1Y1X

26、2Y2X3Y3初始向量初始向量密钥密钥明文明文密文密文加密解密EEEEDDDDDES 的保密性DES 的保密性仅取决于对密钥的保密，而算法是公开的。尽管人们在破译 DES 方面取得了许多进展，但至今仍未能找到比穷举搜索密钥更有效的方法。DES 是世界上第一个公认的实用密码算法标准，它曾对密码学的发展做出了重大贡献。目前较为严重的问题是 DES 的密钥的长度。现在已经设计出来搜索 DES 密钥的专用芯片。 三重 DES (Triple DES) 三重 DES 使用两个密钥，执行三次 DES 算法。下图中的方框 E 和 D 分别表示执行加密和解密算法。因此加密时是 E-D-E，解密时是 D-E-D

27、。EDEK1K2K1明文密文DEDK1K2K1密文明文加密解密公开密钥密码体制公开密钥密码体制使用不同的加密密钥与解密密钥，是一种“由已知加密密钥推导出解密密钥在计算上是不可行的”密码体制。 公开密钥密码体制的产生主要是因为两个方面的原因，一是由于常规密钥密码体制的密钥分配问题，另一是由于对数字签名的需求。现有三种公开密钥密码体制，其中最著名的是RSA 体制，它基于数论中大数分解问题的体制，由美国三位科学家 Rivest, Shamir 和 Adleman 于 1976 年提出并在 1978 年正式发表的。加密密钥与解密密钥 在公开密钥密码体制中，加密密钥(即公开密钥) PK 是公开信息，而解

28、密密钥(即秘密密钥) SK 是需要保密的。加密算法 E 和解密算法 D 也都是公开的。虽然秘密密钥 SK 是由公开密钥 PK 决定的，但却不能根据 PK 计算出 SK。 明文密文加密私钥加密程序明文解密公钥解密程序应当注意 任何加密方法的安全性取决于密钥的长度，以及攻破密文所需的计算量。在这方面，公开密钥密码体制并不具有比传统加密体制更加优越之处。 由于目前公开密钥加密算法的开销较大，在可见的将来还看不出来要放弃传统的加密方法。公开密钥还需要密钥分配协议，具体的分配过程并不比采用传统加密方法时更为简单。 加密算法按照密钥和相关加密程序的类型可以把加密分为三类：散列编码散列编码是用散列算法求出某

29、个消息的散列值的过程。散列值相当于消息的指纹，因而对于每条消息都是唯一的。具有不可逆性。非对称（公开密钥）加密用两个数学上相关的密钥对信息进行处理。在此系统中，其中一个为公开密钥，可以发给期望进行安全通信的人，另一个为私有密钥，属于密钥持有人。1977年，麻省理工学院，RSA。对称（共享密钥）加密只用一个密钥对信息进行加密和解密。由于加密和解密使用统一密钥，所以发送者和接收者必须都知道该密钥。美国政府信息标准DES/国际数据加密IDEA。信息在传输中可能泄密数据被黑客窃听总 部分支机构移动用户A黑 客我的密码是CAF我的密码是CAF数据机密性保护移动用户BInternet信息在传输中可能失真总

30、 部分支机构移动用户A黑 客同意2000元成交数据完整性保护移动用户BInternet黑客篡改数据同意 5000 元成交信息的来源可能伪造的总 部分支机构黑 客交易服务器数据源发性保护移动用户Internet谁是真的Bob？我是Bob，请求交易“我是Bob”，请求交易数据机密性保护的实现1100111001010001010010101001000100100100000100000011001110010100010100101010010001001001000001000000明文加密解密明文保证数据在传输途中不被窃取发起方接受方密文#￥&(%#%$%&*(!#$%*(_%$#$%*&*

31、)%$#数据完整性保护的实现发起方接受方1001000101010010100001000000110110001010100010101001000101010010100001000000110110001010HashHash100010101001000101010010100001000000110110001010是否一样？防止数据被篡改100010101001000101010010100001000000110110001010数据源发性保护的实现BobAlice假冒的“Bob”假冒VPNInternet101011011110100110010100验证签名，证实数据来源私钥

32、签名私钥签名101011011110100110010100安全传输私有密钥共享密钥明文私有密钥摘要算法加密算法加密算法签名算法已加密的密钥已签名的摘要密文组 包压缩解 包 解压缩网络传输已加密的密钥已签名的摘要密文解密算法签名算法公开密钥共享密钥明文公开密钥摘要算法摘要比解密算法用户验证和证明权威如何知道在每次通信或交易中所使用的密钥对实际上就是用户的密钥对呢？这就需要一种验证公用密钥和用户之间的关系的方法。解决这一问题的方法是引入一种叫做证书或凭证的特种签名信息。证书包含识别用户的信息：特异的名字、公用密钥和有效期，全都由一个叫做证明权威（CA）的可靠网络实体进行数字签名。数字证书首先，用

33、户产生密钥对，并把该密钥对的公用部分以及其它识别信息提交给CA。当CA一旦对用户的身份（人员、机构或主计算机）表示满意，就取下用户的公用密钥，并对它制作信息摘要。然后，信息摘要用CA的专用密钥进行加密，制作用户公用密钥的CA签名。最后，用户的公用密钥和验证用户公用密钥的CA签名组合在一起制作证书。CA结构证明权威，即CA，它签发并管理正式使用公用密钥与用户相关联的证书。证书只在某一时间内有效，因而CA保存一份有效证书及其有效期清单。有时，证书或许要求及早废除，因而CA保存一份废除的证书以及有效证书的清单。CA把其有效证书、废除证书或过期证书的清单提供给任何一个要获得这种清单的人。证书有两种常用

34、的方法：CA的分级系统和信任网。在分级证明中，顶部即根CA，它验证它下面的CA，第二级CA再验证用户和它下属的CA，依此类推。口令和权限控制NO ACCESSREADREADEXECUTEWRITEDELETENO ACCESSUser 3User 2User 1用户名/口令用户名/口令方式最常见的访问控制方法用户名：明文口令：密文时间段登录总时间源地址不成功登录次数关于口令维护不要将口令告诉别人，也不要几个人共享一个口令，不要把它记在本子上或计算机周围。不要用系统指定的口令，如 root、demo和test等，第一次进入系统就修改口令，不要沿用系统给用户的缺省口令，关闭掉随操作系统配备的所有

35、缺省账号，这个操作也要在每次系统升级或系统安装之后来进行。最好不要用电子邮件传送口令，如果一定需要这样做，则最好对电子邮件进行加密处理。如果账户长期不用，管理员应将其暂停。如果雇员离开公司，则管理员应及时把他的账户消除，不要保留一些不用的账号，这是很危险的。关于口令维护管理员也可以限制用户的登录时间，比如说只有在工作时间，用户才能登录到计算机上。限制登录次数。为了防止对账户多次尝试口令以闯入系统，系统可以限制登记企图的次数，这样可以防止有人不断地尝试使用不同的口令和登录名。最后一次登录，该方法报告最后一次系统登录的时间、日期，以及在最后一次登录后发生过多少次未成功的登录企图。这样可以提供线索了

36、解是否有人非法访问。通过使用TFTP获取口令文件。为了检验系统的安全性，通过TFTP命令连接到系统上，然后获取/etc/passwd文件。如果用户能够完成这种操作，那么网络上的任何人都能获取用户的passwd文件。关于口令维护定期地查看日志文件，以便检查登录成功和不成功的使用，一定要定期地查看登录末成功的消息日志文件。根据场所安全策略，确保除了必要之外没有任何公共的用户账号。也就是说，一个账号不能被两个或两个以上的用户知道。去掉guest账号，或者更安全的方法是，根本就不创建guest账号。 身份鉴别身份鉴别是对网络中的主体进行验证的过程，通常有三类方法：只有该主体了解的秘密，如口令、密钥。一

37、次密码、基于时间的密码等主体携带的物品，如智能卡和令牌卡。 只有该主体具有的独一无二的特征或能 力，如指纹、声音、视网膜或签字等。课程议题防火墙技术防火墙防火墙位于内部网络和Internet之间，阻断来自外部通过网络对本网络的威胁和入侵， 提供扼守本网络的安全和审计的关卡。所有来自和去往Internet的信息都必须经过防火墙，接受防火墙的检查；防火墙必须只允许授权的数据通过，并且防火墙本身也必须能够免于渗透；内部网外部网防火墙防火墙的基本功能从逻辑上讲，防火墙是分离器、限制器和分析器。从物理角度看，各站点防火墙物理实现的方式有所不同。通常防火墙是一组硬件设备，即路由器、主计算机或者是路由器、计

38、算机和配有适当软件的网络的多种组合。防火墙能够强化安全策略防火墙能有效地记录因特网上的活动防火墙限制暴露用户点防火墙是一个安全策略的检查站网络策略 防火墙的功能实现功能分类为：包过滤（路由器）代理服务（应用级网关） 一切未被允许的就是禁止的防火墙封锁所有信息流，然后对希望提供的服务逐项开放 一切未被禁止的就是允许的 防火墙就转发所有信息流，然后逐项屏蔽可能有害的服务 包过滤每个数据包都包含有特定信息的一组报头，其主要信息是：（1）IP协议类型（TCP、UDP，ICMP等）；（2）IP源地址；（3）IP目标地址；（4）IP选择域的内容；（5）TCP或UDP源端口号；（6）TCP或UDP目标端口号

39、；（7）ICMP消息类型。路由器也会得到一些在数据包头部信息中没有得到的关于数据包的其他信息。代理服务代理服务是运行在防火墙主机上的一些特定的应用程序或者服务程序。防火墙主机可以是有一个内部网络接口和一个外部网络接口的双重宿主主机，也可以是一些可以访问因特网并可被内部主机访问的堡垒主机。防火墙体系结构参数网络（中介子网）堡垒主机（代理服务器）（双重宿主主机）内部路由器外部路由器双重宿主主机双重宿主主机的防火墙体系结构是相当简单的，双重宿主主机位于两者之间，并且被连接到因特网和内部的网络。主机过滤体系结构在主机过滤体系结构中提供安全保护的主机仅仅与内部网相连；在这种体系结构中，主要的安全由数据包

40、过滤提供子网过滤体系结构子网过滤体系结构添加了额外的安全层到主机过滤体系结构中，即通过添加参数网络，更进一步地把内部网络与因特网隔离开。子网过滤体系结构的最简单的形式为两个过滤路由器，每一个都连接到参数网，一个位于参数网与内部的网络之间，另一个位于参数网与外部网络之间。防火墙的不足之处由软件和硬件组成的防火墙应该具有以下功能：所有进出网络的信息流都应该通过防火墙；所有穿过防火墙的信息流都必须有安全策略和计划的确认和授权；理论上防火墙是穿不透的，但实际中存在如下问题：不能防范恶意的知情者防火墙不能防范不通过它的连接防火墙不能防备全部的威胁防火墙不能防范病毒课程议题网络管理网络管理的定义按照国际标

41、准化组织（ISO）的定义，网络管理是指规划、监督、设计和控制网络资源的使用和网络的各种活动，以使网络的性能达到最优。通俗的讲，网络管理就是通过某种方式对网络状态进行调整，使网络能够正常、高效地运行，使网络中的各种资源得到更高效的利用，当网络出现故障时能及时做出报告和处理，并协调、保持网络的高效运行。网络管理的目标网络管理的根本目标就是满足运营者及用户对网络的有效性、可靠性、开放性、综合性、安全性和经济性的要求。 有效性 网络要能准确而及时地传递信息，并且网络的服务要有质量保证。可靠性 网络必须保证能够稳定地运转，不能时断时续，要对各种故障以及自然灾害有较强的抵御能力和有一定的自愈能力。开放性

42、网络要能够接受多厂商生产的异种设备。网络管理的目标网络管理的根本目标就是满足运营者及用户对网络的有效性、可靠性、开放性、综合性、安全性和经济性的要求。 综合性 网络业务不能单一化。安全性 网络传输信息的安全性要高。经济性 网络管理者而言，网络的建设、运营、维护等费用要求尽可能少。网络管理的标准化进程ISO网络管理标准公共管理信息服务CMIS：支持管理进程和管理代理之间的通信要求公共管理信息协议CMIP：提供管理信息传输服务的应用层协议 IETF的网络管理标准 简单网络管理协议SNMPv1/v2/v3电信网络管理标准网络管理的体系结构网络管理者网管代理模型网络管理的五大功能国际标准化组织在ISO/IEC7498- 4文档中定义了网络管理的五大功能：故障管理计费管理配置管理性能管理安全管理 故障管理故障管理的主要任务是发现和排除网络故障 。典型功能包括：（1）维护并检查错误日志（2）接受错误检测报告并做出响应