HC110310002 HCNASecurityCBSN 第二章 防火墙基础技术课件.ppt

《HC110310002 HCNASecurityCBSN 第二章 防火墙基础技术课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、修订记录课程编码适用产品产品版本课程版本ISSUEHC1103华为防火墙V300R001V1.0开发/优化者时间审核人开发类型（新开发/优化）陈灵光2011.7余雷第一版本页不打印第二章防火墙基础技术目标学完本课程后，您将能够:了解防火墙的定义和分类理解防火墙的主要功能和技术理解防火墙的转发数据流和基本配置目录防火墙概述防火墙工作模式防火墙安全区域防火墙功能特性防火墙基本配置防火墙概述内网防火墙被入侵路由器防火墙特征：逻辑区域过滤器隐藏内网网络结构自身安全保障主动防御攻击未经防火墙流量可防护吗？防火墙分类按照形态分为硬件防火墙软件防火墙按照保护对象分为

2、单机防火墙网络防火墙按照访问控制方式分为包过滤防火墙代理防火墙状态检测防火墙防火墙分类—包过滤防火墙APP数据链路层TCP层IP层TCP层IP层只检测报头IPTCP1.无法关联数据包之间关系2.无法适应多通道协议3.通常不检查应用层数据数据链路层防火墙分类—代理防火墙发送连接请求外网终端代理防火墙内网Server向Server发送报文A’对请求进行安全检查，不通过则阻断连接通过检查后与Server建立连接通过检查后与Client建立连接向防火墙发送报文A向防火墙发送回应报文B向终端发送回应报文B’1.处理速度慢2.升级困难防火墙分类—状态检测防火墙Ho

3、st10.0.0.1Server20.0.0.110.0.0.1TCPSYN20.0.0.1安全策略检查记录会话信息20.0.0.1TCPACKTCPSYN’10.0.0.110.0.0.1TCPACKTCPSYN20.0.0.1状态错误，丢弃10.0.0.1TCPACK’20.0.0.11.处理后续包速度快2.安全性高防火墙硬件平台分类IntelX86适用于百兆网络，受CPU处理能力和PCI总线速度的限制NP网络处理器是专门为处理数据包而设计的可编程处理器，是X86与ASIC之间的折衷方案防火墙硬件平台多核新一代的硬件平台。多核方案，更高的集成度、更

4、高效的核间通信和管理机制。ASIC硬件集成电路，它把指令或计算逻辑固化到硬件中，获得高处理能力，提升防火墙性能目录防火墙概述防火墙工作模式防火墙安全区域防火墙功能特性防火墙基本配置防火墙工作模式防火墙工作模式路由模式透明模式混合模式路由模式：每接口均有IP地址；透明模式：每接口无IP地址；混合模式：部分接口有IP地址；透明模式的接口一定无IP地址吗？防火墙工作模式—路由模式路由模式特点支持更多安全特性对网络拓扑有所影响Internet192.168.10.1/30192.168.10.5/30192.168.10.129/30192.168.10.13

5、3/30UntrustTrust防火墙工作模式—透明模式透明模式特点对网络拓扑透明Internet192.168.10.1/30192.168.10.2/30TrustUntrust防火墙工作模式—混合模式混合模式特点对网络拓扑透明Internet192.168.10.1/30192.168.10.2/30192.168.10.129/30192.168.10.130/301.1.1.1/301.1.1.2/30单防火墙是否支持混合模式TrustUntrust目录防火墙概述防火墙工作模式防火墙安全区域防火墙功能特性防火墙基本配置防火墙安全区域定义企业内

6、网财务服务器ERP数据服务器OA服务器用户终端ISPBISPA邮件服务器Web服务器缺省安全区域非受信区域Untrust非军事化区域DMZ受信区域Trust本地区域LocalUntrustDMZTrustLocal区域呢？Inbound与Outbound定义企业内网Inbound与Outbound定义什么是Inbound?什么是Outbound？Untrust区域InternetTrust区域高优先级低优先级OutboundInbound防火墙安全区域与接口关系安全区域与接口关系防火墙是否存在两个具有完全相同安全级别的安全区域？防火墙是否允许同一物理接

7、口分属于两个不同的安全区域？防火墙的不同接口是否可以属于同一个安全区域？InternetG0/0/0Trust区域G0/0/1Trust区域G0/0/2DMZ区域G0/0/3Untrust区域目录防火墙概述防火墙工作模式防火墙安全区域防火墙功能特性防火墙基本配置防火墙多业务功能WLAN/WWAN交换统一管理UTM安全路由SNMPv2v3RMONTR069Telnet/SSL/HTTP(s)FTP/TFTPSYSLOG静态路由策略路由RIPv2OSPFv2BGPv4FE,GEVLANTrunk,802.1adACLNATVPN:L2TP/GRE/

8、IPSec/SSL/MPLSP2P/IMAVIPS反垃圾邮件URL过滤WiFi802.11bg