9.2 认识和设置防火墙（课件）-高一《计算机网络技术基础》同步教学课件 （电工版·第5版）

计算机网络技术基础（第5版） 任务9.2认识和设置防火墙（第29课时） 工作单元9网络安全与管理 9.2认识和设置防火墙 9.2.1防火墙的功能 9.2.2防火墙的实现技术 9.2.3防火墙的组网方式 目 录 9.2.4Windows防火墙 9.2.1防火墙的功能 防火墙的功能 9.2.1 防火墙能防止非法用户进入内部网络，禁止安全性低的服务进出网络，并抗击来自各方面的攻击。 能够利用NAT（网络地址变换）技术，既实现了私有地址与共有地址的转换，又隐藏了内部网络的各种细节，提高了内部网络的安全性。 能够通过仅允许“认可的”和符合规则的请求通过的方式来强化安全策略，实现计划的确认和授权。 防火墙的功能 9.2.1 所有经过防火墙的流量都可以被记录下来，可以方便的监视网络的安全性，并产生日志和报警。 防火墙是审计和记录Internet使用费用的一个最佳地点，也是网络中的安全检查点。 防火墙可以允许用户通过Internet访问WWW和FTP等提供公共服务的服务器，而禁止外部对内部网络上的其他系统或服务的访问。 9.2.2防火墙的实现技术 防火墙的实现技术 9.2.2 1. 包过滤型防火墙 　　数据包过滤技术是在网络层对数据包进行分析、选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表。通过检查数据流中每一个数据包的源地址、目的地址、所用端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。 防火墙的实现技术 9.2.2 如果检查数据包所有的条件都符合规则，则允许进行路由；如果检查到数据包的条件不符合规则，则阻止通过并将其丢弃。数据包检查是对IP层的首部和传输层的首部进行过滤，一般要检查下面几项： 源IP地址 目的IP地址 TCP/UDP源端口 TCP/UDP目的端口 协议类型 TCP报头中的ACK位 ICMP消息类型 防火墙的实现技术 9.2.2 2. 应用层代理防火墙 　　应用层代理防火墙技术是在网络的应用层实现协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、记录和统计，形成报告。 　　应用层代理防火墙能够理解应用层上的协议，进行复杂一些的访问控制，但其最大的缺点是每一种协议需要相应的代理软件，使用时工作量大，当用户对内外网络网关的吞吐量要求比较高时，应用层代理防火墙就会成为内外网络之间的瓶颈。 9.2.3防火墙的组网方式 防火墙的组网方式 9.2.3 1. 边缘防火墙结构 　　边缘防火墙结构是以防火墙为网络边缘，分别连接内部网络和外部网络（Internet）的网络结构，当选择该结构时，内外网络之间不可直接通信，但都可以和防火墙进行通信，可以通过防火墙对内外网络之间的通信进行限制，以保证网络安全。 防火墙的组网方式 9.2.3 2. 三向外围网络结构 　　在三向外围网络结构中，防火墙有三个网络接口，分别连接到内部网络、外部网络和外围网络（也称DMZ区、网络隔离区或被筛选的子网） 防火墙的组网方式 9.2.3 3. 前端防火墙和后端防火墙结构 　　在这种结构中，前端防火墙负责连接外围网络和外部网络，后端防火墙负责连接外围网络和内部网络 9.2.4 Windows防火墙 Windows防火墙 9.2.4 　　Windows系统内置了Windows防火墙，它可以为计算机提供保护。在Windows系统中，不同的网络位置可以有不同的Windows防火墙设置，因此为了增加计算机在网络内的安全，管理员应将计算机设置在适当的网络位置。可以选择的网络位置主要包括： 1. 专用网 　　专用网包含家庭网络和工作网络。在该网络位置中，系统会启用网络搜索功能使用户在本地计算机上可以找到该网络上的其他计算机；同时也会通过设置Windows防火墙（开放传入的网络搜索流量）使网络内其他用户能够浏览到本地计算机。 Windows防火墙 9.2.4 2. 公用网络 　　公用网络主要指外部的不安全的网络（如机场、咖啡店的网络）。在该网络位置中，系统会通过Windows防火墙的保护，使其他用户无法在网络上浏览到本地计算机，并可以阻止来自Internet的攻击行为；同时也会禁用网络搜索功能，使用户在本地计算机上也无法找到网络上其他计算机。 感谢观看 $