阿姆瑞特防火墙功能详解及配置.ppt

《阿姆瑞特防火墙功能详解及配置.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、洛阳牡丹通讯股份有限公司主讲：董世金阿姆瑞特防火墙功能详解及配置www.peonycomm.com.cn系统组成技术特点阿姆瑞特防火墙功能www.peonycomm.com.cn阿姆瑞特防火墙系统组成防火墙硬件防火墙内核集中管理器日志服务器系统组成防火墙内核------专用系统内核。没有通用操作系统开销，保证了防火墙的高性能。日志服务器------一台防火墙最多可以向8台日志服务器发送日志。支持Syslog日志、提供导入WebTrends和EIQ等其它第三方日志分析工具进行日志的分析防火墙硬件------防火墙采用专用硬件，采用高性能的CPU和大容量的

2、内存保证硬件的高性能。集中管理器------可以对阿姆瑞特所有型号的防火墙管理，最多可管理3千台防火墙。www.peonycomm.com.cn阿姆瑞特防火墙—内核Linux/FreeBSDUNIXO/SInterfaceInterfaceInterfaceNetworkDriversDevicehandlerModifiedTCP/IPStackFirewallSoftware传统防火墙阿姆瑞特防火墙存在操作系统上的漏洞速度慢升级复杂（需要分别升级操作系统和防火墙软件）InterfaceInterfaceInterfaceFirewallCore高安

3、全无通用操作系统漏洞高性能无通用操作系统开销，最大程度的驱动硬件性能升级简单简单的内核升级www.peonycomm.com.cn系统组成技术特点阿姆瑞特防火墙功能www.peonycomm.com.cn全方位安全防护强大的路由功能专业的带宽管理灵活的网络接入丰富的VPN功能安全防护路由功能带宽管理网络接入VPN功能阿姆瑞特防火墙功能便捷的图形管理细微的网络日志图形管理网络日志www.peonycomm.com.cn全状态检测防火墙采用状态检测技术数据包一致性检查防止假冒IP攻击防止非正常连接提高工作效率IllegalAddressesChecksum

4、ControlTTLControlLayerSizeConsistencyIPOptionSizesIPSourceRouteIPTimestampIPBadOptionsIPReservedflagTCPBlindSpoofingProtectionTCPHeaderOptionSizesTCPMSSControlTCPWindowScaleTCPSelectiveACKTCPTimestampTCPAlternateChecksumTCPConnectionCountTCPBadOptionsTCPFlagcombinationsTCPReserv

5、edFieldTCPNULLPacketsICMPResponseControlARPSpoofingProtectionStrictInterfaceMatchingConnectionTimeoutControlPayloadSizeControlReassemblyTimingControlIllegalFragmentsDuplicateFragmentsFragmentedICMPCLOSEDLISTENSYN-SENTSYN-RCVDESTABLISHEDFIN-WAIT-1FIN-WAIT-2CLOSE-WAITCLOSINGTIME-W

6、AITLAST-ACKwww.peonycomm.com.cn状态检测表HostCHostDNo访问控制规则表Yes独特的全状态检测过滤www.peonycomm.com.cn查找对应的控制策略拆开数据包进行分析根据策略决定如何处理该数据包控制策略源和目的地址源和目的端口IP协议号ICMP信息类型IP和TCP中都有的选项IP和TCP标记组合VLAN标识路由协议时间内容IPSEC、PPTP、L2TP等可以灵活地制定的控制策略数据包数据包灵活的访问控制www.peonycomm.com.cn控制某条规则的生效时间基于时间的控制www.peonycomm.c

7、om.cn应用层应用层应用层应用层应用层应用控制可以对常用的高层应用做更细的控制如HTTP的内容、URL过滤等如FTP的GET、PUT命令、内容H.323全面代理物理层链路层网络层传输层会话层表示层物理层链路层网络层传输层会话层表示层内部网络外部网络防火墙内部接口外部接口根据策略检查应用层的数据符合策略应用层过滤www.peonycomm.com.cn内容过滤www.peonycomm.com.cn用户认证www.peonycomm.com.cnOSFingerprinting和Firewalking网络的TCP/UDP端口扫描SYNfloodICMP

8、flood攻击UDPflood攻击死ofping(Pingdeath)攻击IP欺骗(IPspo