第 01 防火墙技术原理(NEW).ppt

1、防火墙技术原理,防火墙概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,桌面型防火墙,普通百兆防火墙,防火墙 + VPN,高端百兆防火墙,高端千兆防火墙,形形色色的防火墙,根据不同网络应用环境选择合适的防火墙,防火墙整体外观介绍,样式：标准1U-4U机箱，根据接口数量、处理性能等不同而异 网络接口数量：标准一般配置3 个 10/100M 自适应接口，根据需要可以定制更多接口，有些还可热拔插 网络接口类型：标准一般是 10/1

2、00-Base-TX接口，也可定制其他类型接口 电源：一般单电源，特殊场合可以配置双电源，但需要定制 硬件平台架构：大多基于X86工控平台，正在开发基于NP加速的新产品 处理器：大多是CPU，极少数CPU+NPU 软件平台：部分自主开发、优化，也有直接基于开放LINUX架构改造，使用免费代码构建,网络接口,内 网,外 网,SSN,控制口,新结构防火墙,老结构防火墙,防火墙模块,防火墙外观的演变,新老结构的变化，体现了防火墙的发展方向： 集成化方向发展 模块化方向发展 选择更加灵活，部署更加方便，处理能力更加强大,防火墙设计结构的变化,防火墙机箱与引擎,防火墙接口模块,防火墙模块封装板,根据需要

3、可以通过扩充模块，增加端口的数量 根据需要可以通过更换模块，改变端口的类型 根据需要可以选择 处理能力更好的机箱与引擎,千兆电信级防火墙结构,GBIC卡插槽,10/100M接口,AUX接口,热拔插冗余电源,大功率散热风扇,防火墙引擎,防火墙连线图,直通线,交叉线,交叉线,串口线,管理机,SSN 区域,外网,内网,Internet,一种高级访问控制设备，置于不同网络安全域之间的一系列部件的组合，它是不同网络安全域间通信流的唯一通道，能根据企业有关的安全政策控制（允许、拒绝、监视、记录）进出网络的访问行为。,两个安全域之间通信流的唯一通道,根据访问控制规则决定进出网络的行为,内部网,防火墙定义,I

4、ntranet,通过部署防火墙，可以实现比VLAN、 路由器更为强大、有效的访问控制功能； 大大提高抗攻击的能力,禁止访问,禁止访问,防火墙作用,防火墙执行标准,GB/T 18019-1999 信息技术包过滤防火墙安全技术要求 GB/T 18020-1999 信息技术应用级防火墙安全技术要求 GB/T 18336-2001 信息技术安全性评估准则 （ ISO 15408 ） GB/T 17900-1999 网络代理服务器的安全技术要求 GB/T 18018-1999 路由器安全技术要求,GB/T 18020-1999,GB/T 18010-1999,GB/T 18336-2001 （ISO/I

5、EC 15408）,国 内 标 准,国 际 标 准,规范需求分析、设计、编码、测试、评估等环节,防火墙概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,Internet,软件防火墙,硬件防火墙,按形态分类,按保护对象分类,Internet,防火墙的分类,保护整个网络,保护单台主机,网络防火墙,单机防火墙,Internet,单机防火墙,网络防火墙,保护单台主机 安全策略分散 安全功能简单 普通用户维护 安全隐患较大 策略设置灵

6、活,保护整个网络 安全策略集中 安全功能复杂多样 专业管理员维护 安全隐患小 策略设置复杂,单机防火墙%#*$&*&#*(&,Smartbits 6000B 测试仪,101100101000011111001010010001001000,以最大速率发包,直到出现丢包时的最大值,防火墙吞吐量小就会成为网络的瓶颈,100M,60M,吞吐量测试结果,数据包首先排队待 防火墙检查后转发,延时,定义：延迟通常是指从测试数据帧的最后一个比特进入被测设备端口开始，至测试数据包的第一个比特从被测设备另一端口离开的时间间隔。 衡量标准：现在网络的应用种类非常复杂，许多应用对延迟非常敏感(例如：音频，视频等)，

7、而网络中加入防火墙必然会增加传输延迟，所以较低的延迟对防火墙来说也是不可或缺的。,10101001001001001010,Smartbits 6000B 测试仪,101100101000011111001010010001001000,最后1个比特到达,第一个比特输出,时间间隔,1010100111001110,1010100111001110,1010010010100100010100010,101010100100100100100100010,造成数据包延迟到达目标地,延时测试结果,丢包率,定义：在连续负载的情况下，防火墙设备由于资源不足应转发但却未转发的帧百分比 衡量标准：是用来确

8、定防火墙在不同传输速率下丢失数据包的百分数，目的在于测试防火墙在超负载情况下的性能 较低的丟包率，意味着防火墙在强大的负载压力下，能够稳定地工作，以适应各种网络的复杂应用和较大数据流量对处理性能的高要求。,发送了1000个包,防火墙由于资源不足只转发了800个包,丢包率=（1000-800）/1000=20%,10010101001010010001001001,10010101001010010001001001,丢包率测试结果,背靠背,定义：从空闲状态开始，以达到传输介质最小合法间隔极限的传输速率发送相当数量的固定长度的帧，当出现第一个帧丢失时，发送的帧数。即以最小帧间隔发送最多数据包而不

9、引起丢包时的数据包数量 衡量标准：背对背包的测试结果能体现出被测防火墙的缓冲容量 ,网络上经常有一些应用会产生大量的突发数据包（例如：NFS,备份，路由更新等），而且这样的数据包的丢失可能会产生更多的数据包，强大缓冲能力可以减小这种突发对网络造成的影响,时间（t）,包数量（n）,少量包,包增多,峰值,包减少,没有数据,背靠背指标体现防火墙对突发数据的处理能力,背靠背测试结果,并发连接数,定义：指穿越防火墙的主机之间或主机与防火墙之间能同时建立的最大连接数 。 衡量标准：并发连接数的测试主要用来测试被测防火墙建立和维持TCP连接的性能，同时也能通过并发连 接数的大小体现被测防火墙对来自于客户端的

10、TCP连接请求的响应能力 理解细化：是防火墙能够同时处理的点对点会话连接的最大数目，它反映防火墙对多个连接的访问控制能力和连接状态跟踪能力。这个参数的大小可以直接影响到防火墙所能支持的最大信息点数,并发连接数指标可以用来衡量穿越防火墙的主机之间能同时建立的最大连接数,最大并发连接数建立速率,定义：指穿越防火墙的主机之间或主机与防火墙之间单位时间内建立的最大连接数 。 衡量标准：最大并发连接数建立速率主要用来衡量防火墙单位时间内建立和维持TCP连接的能力 测试防火墙每秒所能建立起的TCP/HTTP连接数及防火墙所能保持的最大TCP/HTTP连接数,单位时间内增加的并发连接数,防火墙概述 防火墙分

11、类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,Intranet,DOS/DDOS攻击,遭受拒绝服务攻击,产生的后果： 服务器计算资源被耗尽 网络带宽资源被耗尽,防火墙如何在抗DOS/DDOS攻击中发挥作用？,抗DOS/DDOS攻击-SYN代理,Syn-Cookie（主机）/Syn-Gate（网关） 在服务器和外部网络之间部署代理服务器 通过代理服务器发送Syn/Ack报文，在收到客户端的Syn包后，防火墙代替服务器向客户端发送Syn/

12、Ack包，如果客户端在一段时间内没有应答或中间的网络设备发回了ICMP错误消息，防火墙则丢弃此状态信息 如果客户端的Ack到达，防火墙代替客户端向服务器发送Syn包，并完成后续的握手最终建立客户端到服务器的连接。 通过这种Syn-Cookie技术，保证每个Syn包源的真实有效性，确保服务器不被虚假请求浪费资源，从而彻底防范对服务器的Syn-Flood攻击。,SYN,SYN/ACK,ACK,SYN,SYN/ACK,ACK,SYN,SYN/ACK,ACK,Client,Server,抗DOS/DDOS攻击-Random Drop算法,Random Drop算法 当流量达到一定的数量限度时，所采取的

13、一种通过降低性能，保证服务的不得已的方法。 具体过程是：当流量达到一定的阀值的时候，开始按照一定的算法丢弃后续的报文，保持主机的处理能力，这样对于用户而言，许多合法的请求可能被主机随机丢弃，但是有部分请求还是可以得到服务器响应，保证服务不间断运行的。,SYN,SYN/ACK,ACK,Client,Server,连接表,丢弃连接,丢弃连接,抗DOS/DDOS攻击-带宽限制和QoS保证,带宽限制和QoS 保证 通过对报文种类、来源等各种特性设置阀值参数，保证主要服务稳定可靠的资源供给。 保证在高强度攻击环境下一定的连接保持率和新连接发起成功率,内部网络,Internet,防火墙概述 防火墙分类 防

14、火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,防火墙的“胖”与“瘦”,由于防火墙在网络中所处的重要位置，因此，人们对防火墙可以说是寄予厚望。现在防火墙正在不断增加各种各样的新功能，因此防火墙正在急剧“长胖”。,“胖”防火墙是指功能大而全的防火墙，它力图将安全功能尽可能多地包含在内，从而成为用户网络的一个安全平台； “瘦”防火墙是指功能少而精的防火墙，它只作访问控制的专职工作，对于综合安全解决方案，则采用多家安全厂商联盟的方式来实现。,“胖”

15、、“瘦”防火墙的定义,访问控制,病毒防护,入侵检测,交换路由,内容过滤,信息审计,传输加密,其他,胖防火墙,胖防火墙的优势,首先是功能全 其次是控制力度细 第三是协作能力强 降低采购和管理成本,胖防火墙的不足,主要表现在性能降低 其次是自身安全性差 还有专业性不强，表现为功能模块的拼凑 第四是稳定性差，系统越大，BUG越多 最后是配置复杂，不合理的配置会带来更大的安全隐患。,瘦防火墙的优势,访问控制,病毒防护,入侵检测,交换路由,内容过滤,信息审计,传输加密,其他,瘦防火墙,性能高 注重核心功能，专业性强 整体安全性高 配置简单，简化对管理员的专业要求,相互联动,瘦防火墙的不足,首先是功能单一

16、 其次是整体防护能力较弱,胖瘦防火墙之争,一种观点认为，要采取分工协作，防火墙应该做得精瘦，只做防火墙的专职工作，可采取多家安全厂商联盟的方式来解决； 另一种观点认为，把防火墙做得尽量的胖，把所有安全功能尽可能多地附加在防火墙上，成为一个集成化的网络安全平台。,用户的价值取向一,“胖”防火墙追求的是一站式服务，目前它只适应中小型企业，尤其是低端用户。他们出于经济上的考虑以及管理上的成本，更主要的是出于安全的实际需求，希望一个设备可以为这种小型网络实现整体安全防护，所以对这种大而全的“胖”东西非常感兴趣。,用户的价值取向二,大型用户倾向使用独立安全设备，发挥每种产品最大效果。安全需求广泛，专业性

17、要求强，安全投入较大，自身安全管理能力较高。 针对这类用户，为了要满足多种安全需求，在设计安全解决方案时，通常会考虑以安全管理为核心，以多种安全产品的联动为基础，如防火墙与IDS和防病毒全面互动形成动态防御体系。,防火墙：胖瘦总相宜,随着安全需求的细化、硬件计算能力的增加，胖防火墙和瘦防火墙之间的界限也会逐步走向统一。 一方面硬件处理能力的大幅度提高（ASIS芯片、NP等）使得防火墙可以集成更多的功能模块成为可能； 另一方面安全标准技术的推进，使得不同安全产品之间的联动变得更加容易，这样推出功能更简单性能更高且支持标准联动协议的专业防火墙更为适应市场的需要。 以后更多的趋势是考虑现有成熟安全产

18、品之间如何通过标准的协议和接口进行更好的互动，从而构建一个相当于“胖防火墙”作用的整体防御体系，这个体系将更加灵活、方便、易于构建，而且会具有更大的可扩展性。,构建联动一体的安全体系,无论是“胖”防火墙的集成，还是“瘦”防火墙的联动，安全产品正在朝着体系化的结构发展，所谓“胖瘦”不过是这种体系结构的两种表现方式，“胖”将这种体系表现在一个产品中，而“瘦”将这种体系表现在一组产品或是说一个方案中。 同时，这种体系化的结构需要完善的安全管理，也就是说，通过安全管理中心产品，整合系列安全产品，构架成联动一体的产品体系，实现对用户、资源和策略的统一管理，确保整体解决方案的安全一致性，是构建网络安全系统

19、的大趋势。,防火墙概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,受保护网络,Internet,如果防火墙支持透明模式，则内部网络主机的配置不用调整,,同一网段,透明模式下，这里不用配置IP地址,透明模式下，这里不用配置IP地址,Default Gateway=,防火墙相当于网桥，原网络结构没有改变,NO.1 透明接入,Internet,内部网,,ETH0：

20、,ETH1：,ETH2：,0/24 网段,0/24 网段,外网、SSN、内网在同一个广播域，防火墙做透明设置。此时防火墙为透明模式。,透明模式的典型应用,受保护网络,Internet,,Default Gateway=,防火墙相当于一个简单的路由器,6,7,提供简单的路由功能,,NO.2 路由接入,Internet,内部网,,ETH0：202.99.88.

21、2,ETH1：,ETH2：,/24 网段,/24 网段,外网、SSN区、内网都不在同一网段，防火墙做路由方式。这时，防火墙相当于一个路由器。,路由模式的典型应用,NO.3 综合接入,ETH1：02,ETH2：,00/24 网段,/24 网段,此时整个防火墙工作于透明+路由模式，我们称之为综合模式或者混合模式,/24 网段,ETH1：,两接口在不同网段，防火墙处于路由模式,两接口在不同网段，

22、防火墙处于路由模式,两接口在同一网段，防火墙处于透明模式,防火墙概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,管理机,本地串口管理,本地串口管理比较安全 但是缺乏灵活性，用户必须在现场才能进行操作 防火墙的初始化配置一般都通过串口来进行设置，比如各个接口的IP地址、路由信息等,防火墙集中管理,广域网,通过集中管理器 实现了对防火墙的集中管理,防火墙集中管理器,防火墙集中管理 DEMO 演示,受保护网络,SNMP报文,获取

23、硬件配置信息 资源使用状况信息 防火墙的流量信息 防火墙的连接信息 防火墙的版本信息 防火墙的用户信息 防火墙的规则信息 防火墙的路由信息 ,SNMP服务器端,SNMP客户端(HP OpenView),SNMP 管理,SNMP 管理演示,防火墙概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,防火墙双机热备,内部网,外网或者不信任域,Eth 0,Eth 0,Eth1,Eth1,Eth2,Eth2,心跳线,Active Fir

24、ewall,Standby Firewall,检测Active Firewall的状态,发现出故障，立即接管其工作,正常情况下由主防火墙工作,主防火墙出故障以后，接管它的工作,Hub or Switch,Hub or Switch,通过STP协议可以交换两台防火墙的状态信息,当一台防火墙故障时，这台防火墙的连接不需要重新建立就可以透明的迁移到另一台防火墙上，用户不会察觉到,防火墙接口备份,子网A,外网或者不信任域,Hub,Hub,子网B,Hub,eth0,eth1,eth2,eth3,eth0,eth1,eth2,eth3,前提：防火墙工作在负载均衡模式下 如果某台防火墙的一个接口出现故障，另

25、外一台均衡防火墙的接口将接管故障接口的全部通信 故障防火墙的其他接口则继续参与通信,eth1 发生故障,0# 墙,1# 墙,eth2 接管 eth1接口的全部通信,eth2,0# 墙的其他接口继续参与通信,状态同步端口,防火墙负载均衡,内部网,外网或者不信任域,Eth 0,Eth 0,Eth1,Eth1,Eth2,Eth2,心跳线,0 #,1 #,检测 0 # Firewall的状态,发现出故障，立即接管其工作,防火墙根据,与0 # 防火墙一起工作,Hub,Hub,防火墙引擎,内置专门的 WatchDog 电路 通过编程可以控制 WatchDog 电路在适当的时候产生高低电平信号 通过 Wat

26、chDog 电路产生的高低电平信号可以让防火墙在出现意外故障时自动恢复到工作状态 WatchDog 产生高低电平的条件可以通过软件编程设定，比如核心软件出现严重错误，防火墙自身遭遇DOS/DDOS攻击、发生非常不安全事件等,防火墙的自动检测与恢复能力,防火墙概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,总部,如何保证防火墙的状态同步,101001001,101001001,下列情况部署防火墙遇到的问题？,包过滤防火墙可以

27、正常部署 状态检测防火墙部署后将会导致业务时断时通 如果该网络工作于备份模式，则至少需要两台对称防火墙的状态同步 如果该网络工作于均衡模式，必须保证四台防火墙的状态都同步,大型行业用户总部,分支机构 A,分支机构 B,办事处 A,办事处 B,大型行业用户防火墙解决方案,Modem 池,F R,PSTN/ISDN,骨干网可以考虑：NGFW4000,营业点接入网考虑：ARES防火墙,互联网可以考虑：NGFW3000,总 部,分支机构A,分支机构B,移动用户A,移动用户B,黑 客,企业用户防火墙方解决方案？,NGFW4000 NGFW3000,ARES,ARES,Internet,高端 低端,防火墙

28、概述 防火墙分类 防火墙硬件技术 防火墙软件技术 防火墙分级 防火墙功能 防火墙性能 防火墙安全性 防火墙的“胖”与“瘦” 防火墙部署 防火墙管理 防火墙可靠性 防火墙典型应用 防火墙技术发展展望 怎样选择防火墙,提 纲,IPS让防火墙与IDS走向统一,内部网络,IPS（Intrusion Prevention System，入侵防御系统） IDS（Intrusion Detection System，入侵检测系统）,内部网络,交换机,防火墙,IDS传感器,防火墙,规则变更,TCP重置,在线IPS,攻击被阻截,攻击源,攻击源,IPS注重接入控制，而IDS则进行网络监控； IPS基于策略实现，IDS则只能进行审核跟踪； IDS的职责不是保证网络安全，而是告知网络安全程度几何。 IPS不仅仅是IDS的演化，它具备一定程度的智能处理功能，能实时阻截攻击。 传统的IDS只能被动监视通信，这是通