9.3 制定连接安全策略（教学设计）-高一《计算机网络技术基础》同步精品课堂（电子工业出版社）

9.3 制定连接安全策略 一、教学目标 1.掌握防火墙的概念和基本功能。 2.掌握防火墙的分类和局限性。 3.熟悉打开和关闭Windows防火墙、设置防火墙例外、配置Windows高级防火墙入站规则的步骤。 二、重点难点 1.重点：理解防火墙的概念、组成和基本功能。 2.难点:熟悉打开和关闭Windows防火墙、设置防火墙例外、配置Windows高级防火墙入站规则的步骤。 三、教学时间 本任务教学，课内计划1课时。 4、 教学过程 教学过程 教学环节 教师活动 学生活动 设计意图 导入新课 Internet的安全风险 纷繁复杂的Internet - 网络复杂 - 用户层次复杂 - 情况瞬息变化 企业网络出于商业目的向公众开放 TCP/IP协议的自身弱点 攻击工具非常容易取得 安全教育严重不足 Internet上没有人能免于攻击 观察、讨论、思考 展示Internet当下面临的风险引发思考，激发学生学习兴趣 讲授新课 一、防火墙及其功能 1.概念 防火墙(Firewal) 是一项协助确保信息安全的设备，它在内部网和外部网之间、专用网与公共网之间构造安全网关(Security Gateway),从而保护内部网免受非法用户的侵入。 防火墙的基本设计目标： （1）对于一个网络来说，所有通过“内部”和“外部”的网络流量都要经过防火墙 （2）通过一些安全策略，来保证只有经过授权的流量才可以通过防火墙 （3）防火墙本身必须建立在安全操作系统的基础上 2.防火墙的要求 防火墙的要求： 双向数据流必须经过它 合法(只有被安全政策允许)的数据才可以通过它 防火墙本身具有预防入侵的功能,并且自身具有较高的抗攻击能力 3.防火墙的功能 防火墙就像家门上的锁，主要职能是保护内部网络的安全，其工作示意图如图9-7所示。由于其处于“网络边界”这个特殊位置，因而集成了较多的安全防护功能及网络连接管理功能。 (1)访问控制。这是防火墙最基本的功能，其作用就是对经过防火墙的所有通信进行连通或阻断的安全控制。例如，根据网络协议、网络地址及端口进行过滤。 (2)防止外部攻击。通过防火墙的内置入侵检测与防范机制来防止黑客攻击。 (3)进行网络地址转换。通过NAT技术，能有效地隐藏内部网络，使之免受外部扫描和攻击。 (4)提供日志与报警，用户可以随时掌握网络中发生的各种情况。 (5)对用户进行身份认证。对特定用户的身份进行校验，判断其是否合法，并根据认证的情况动态地调整安全策略，实现用户对网络的授权访问。 二、防火墙简单分类 如果从防火墙的软、硬件形式来分，可以分为软件防火墙和硬件防火墙以及芯片级防火墙。软件防火墙运行于特定的计算机上，最有名的是Checkpoint。 如果从防火墙实现技术方式来分，可以分为包过滤型防火墙和应用代理型防火墙两大类。下面分述之。 1.包过滤型防火墙 包过滤型防火墙工作在OSI参考模型的网络层和传输层，它根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。大多数的路由器提供了包过滤功能，所以包过滤方式是一种通用、廉价和有效的安全手段。 包过滤的技术原理 根据系统设置的过滤规则，在网络的适当位置对数据包实施过滤，只允许符合过滤规则的数据包通过，并被转发到目的地，不满足规则的数据包被丢弃。 过滤系统是一种路由器或是一台主机。过滤系统根据过滤原则来决定是否让数据包通过。不符合规定的IP地址的信息包会被过滤掉，以保证网络系统的安全。这是一种基于网络层的安全技术，对于应用层的黑客行为是无能为力的。 2.状态监测防火墙 状态检测防火墙在传统包过滤防火墙上进行了功能扩展，在防火墙的核心部分建立了状态表，该表随着数据包来回经过防火墙而实时更新。当新的连接通过验证时，防火墙在状态表中添加连接条目。下次该连接将被防火墙直接放行，不再进入过滤环节。当一条连接完成通信任务被拆除时，状态表的该条目将自动被删除。可见，状态检测防火墙比传统包过滤防火墙具有更高的效率。 3.应用代理型防火墙 应用代理型防火墙(或称应用级网关)工作在OSI的最高层——应用层。 其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流。 三、防火墙的组成、位置与局限性 1.防火墙的组成 防火墙既可以由一台路由器、一台PC或一台主机构成，也可以是由多台主机构成的体系。一般将防火墙放置在网络的边界。也就是说，本地网络通过输入点和输出点与其他网络相连，这些连接点都应该装有防火墙。 2.局限性 防火墙并不是万能的，它的局限性表现在以下几方面: 不能防范不经过防火墙的攻击;不能阻止来自内部的攻击;只能按照配置的规则