防火墙概述

防火墙的核心任务:控制和防护

防火墙的原理:通过安全策略来对流量进行控制和防护

防火墙的性能评判标准:吞吐量:单位时间内防护墙处理的数据量

防火墙一定程度上就是二层交换机和三层路由器的集合

一、防火墙发展历程

1、包过滤防火墙---一个严格的规则表(ACL相当于)

防火墙的安全策略在进行匹配时,自上向下逐一匹配,匹配上则不再向下匹配,结尾隐含一条 拒绝所有的规则。

判断信息:源IP、源端口、目标IP、目标端口、协议(五元组)

工作范围:网络层、传输层

缺点:

        1,因为只关注三四层数据,无法检测应用层,则无法充分的识别安全风险

        2,需要逐包匹配检测,则效率较低。可能会成为网络的瓶颈。

        路由器解决转发效率低是这样:路由器解决包转发太慢的办法是:首包检测,只有第一个包进行查询路由表,后面的包都不需要;其他路由器也是一样,只有首包需要进行查询路由表,后面的按着转发就行;

2、应用代理防火墙---(每个应用都要添加代理)

缺点:

        1,效率变低  

        2,可伸缩性变差:每一种应用都需要开发对应的代理功能,否则无法代理

3、状态检测防火墙---首次检查建立会话表

优点:有会话表技术

        会话表技术:说白了就是首包检测,后面的包就不必须要检测了,直接对着会话表看就行,表上是允许就允许;通过5元组进行一个数据流的识别(五元组相同就是同一个数据流)

4、入侵检测系统IDS    ---网络摄像头,检测已知威胁

IDS可以发现安全风险,可以记录,分析以及反馈,但是,并不会直接处理或者消除风险 --- 一种侧重于风险管理的安全设备 --- 存在一定的滞后性

5、入侵防御系统IPS   ---抵御已知威胁,侧重于风险控制的安全设备

IPS和IDS是针对具有威胁的许多行为,如暴力破解,而不是针对含有木马的文件,它是一种控制的病毒

6、防病毒网关  --AV  ---针对的是病毒的文件

        IPS和IDS是针对行为方面的;AV是针对含有病毒的文件,威胁的文件

7、Web应用防火墙(WAF)---专门用于保护Web应用

8、统一威胁管理(UTM)---多合一安全网关:串联部署

每个安全设备都有一个安全侧重点,如IDS是对内网里面的数据进行一个监控,而IPS主要是对检查出来的威胁进行一个处理,所以每个安全系统的侧重点都不相同;

UTM就是对FW,IDS,IPS,AV,WAF 这些安全系统进行了一个单纯简单的总和;(但是不具有web应用的防护功能)

UTM:把多个功能进行集中串联,所以他是具备着大多数的防御设备的功能,但是因为是串联的,所以还是需要层层筛选;

9、下一代防火墙(NGFW) ---升级版的UTM

功能基本都同 UTM统一威胁管理一样,最重要的是UTM是串行连接,NGFW是并行连接

升级点:并行连接,只检测一次,将检测出来的值供给所有功能用;

二、防火墙其他功能

1、访问控制,对进来或出去的数据流量进行一个目标访问控制,当目标网站是爱奇艺时直接禁止掉;

2、地址转换:通常都是在防火墙上面进行NAT地址转换

3、网络环境支持:支持多种网络环境,适应多种网络环境

4、带宽管理:内外网的数据交换都是要通过防火墙的,所以可以对内网与外网的胡数据交换量进行控制,俗称带块管理

5、入侵检测和攻击防御:对进来的数据流量进行一个威胁检测和防御

6、用户认证:防火墙服务器可被用户登录认证

7、高可用性:NGFW防护墙是集合多个功能为一身的,且适用场合很多;几乎所有要访问公网的设备都需要NGFW防火墙

三、防火墙的组网

1、防火墙的管理方式

        带内管理:通过网络对设备进行远程管理  如:telnet,SSH,web,SNMP(这个是一次连接多个设备进行同时操作多个设备)

        带外管理:console,MINI USB;不是通过远程连接,而是通过物理线连接进行管理

2、防火墙等级

3、防火墙管理员

本地认证 --- 用户密码信息存储在防火墙本地,有防火墙判断是否通过认证

服务器认证 --- 对接第三方服务器,用户信息存储在第三方服务器上,由防火墙将用户信息推 送给服务器,由服务器进行判断,并返回结果,防火墙做出登录与否的操作。

服务器/本地认证 --- 正常情况使用服务器认证,如果服务器认证失败,则直接认证失败,不 进行本地认证,只有在服务器对接失败的时候,才采取本地认证。

4、防火墙接口

三层接口:可以配置IP地址的接口

二层接口:

        普通二层接口

        接口对---“透明网线”:可以讲一个或两个接口配置成一个接口进,将不需要查看MAC地址表,直接从另一个接口处;可以进行拦截流量

        旁路检测接口:知识检查流量,但是不能拦截

        虚拟接口:环回接口、子接口、Vlanif、Tunnel、链路聚合

        虚拟系统--VRF:互通使用的接口,每创建一个虚拟系统,将自动生成一个虚拟接口,仅需要配置IP地址即可 

5、防火墙安全区域

Trust---信任区域

Untrust--非信任区域

Local--防火墙上所有的接口都属于这个区域

将一个接口划入某一个区域,则代表将这个接口所连接的网络划分到对应区域中,而接口本身,永远属于local区域

Dmz:非军事化管理区域:放置一些对外开放的服务器

优先级:

1---100:从优先级高的区域到优先级低的区域是出方向(outbound)

                从优先级低的区域到优先级高的区域是入方向(inbound)

6、防火墙模式

        1、路由模式:

                1,接口IP地址,区域划分

                2,写内网的回报路由

                3,安全策略

                4,内到外的NAT

                5,服务器映射

        2、透明模式

                1,接口配置VLAN,以及划分区域

                2,安全策略                 

                3,增加设备的管理接口,用于控制管理设备以及设备的自我升级

        3、旁路检测模式

        4、混合模式

相关推荐

  1. 01-Linux系统概述,安装网络和防火墙配置

    2024-07-20 13:38:06       48 阅读

最近更新

  1. docker php8.1+nginx base 镜像 dockerfile 配置

    2024-07-20 13:38:06       141 阅读
  2. Could not load dynamic library ‘cudart64_100.dll‘

    2024-07-20 13:38:06       154 阅读
  3. 在Django里面运行非项目文件

    2024-07-20 13:38:06       129 阅读
  4. Python语言-面向对象

    2024-07-20 13:38:06       141 阅读

热门阅读

  1. 082、Python 读文本文件

    2024-07-20 13:38:06       32 阅读
  2. Linux绑定硬件IRQ到指定CPU核

    2024-07-20 13:38:06       27 阅读
  3. 使用内网穿透工具 frp 发布内网 web 站点

    2024-07-20 13:38:06       32 阅读
  4. 【WebRTC】Duplex通信是什么意思?

    2024-07-20 13:38:06       31 阅读
  5. TCP Socket编程示例

    2024-07-20 13:38:06       31 阅读
  6. windows上安装Apache

    2024-07-20 13:38:06       22 阅读
  7. 信息查询_社工

    2024-07-20 13:38:06       22 阅读
  8. Clickhouse 物化视图-optimize无效

    2024-07-20 13:38:06       28 阅读
  9. 07.16_111期_linux_网络通信

    2024-07-20 13:38:06       25 阅读
  10. 我为什么要使用Vim编辑器?

    2024-07-20 13:38:06       21 阅读
  11. 微服务概念篇-服务提供者/服务消费者

    2024-07-20 13:38:06       26 阅读