• 应用代理防火墙彻底隔断内网与外网的直接通信，所有通 信必须经过代理软件转发。对于客户来说它像一台服务器， 对于外界服务器来说，它又是一台客户机。 • 代理服务器通常有个高速缓存，存放着用户经常访问的站 点内容，当下个用户要访问同一站点时，直接发出缓存内 容，节约了网络资源。 • 从外网只能看到代理服务器，无法获知内部资源，更可靠

　　• 是一种用于把内部IP地址转换成临时的、外部的、注册的 IP地址的标准。

　　• 私有地址：内部网络的主机地址，不会在因特网上被分配， 各个企业可以根据需要选择，不同内部网的网络地址可以 相同。 • RFC1918为私有地址保留了A、B、C类地址范围各一个。  A类：10.0.0.0—10.255.255.255

　　• VPN：虚拟的企业内部专线，也称虚拟私有网。依靠ISP和 其他NSP，在公用网络中建立专用的数据通信网络的技术  虚拟：任意两个节点之间没有传统专网所需的点到点的 物理链路，是利用Internet公众数买球平台据网络线路。  专用：用户可以为自己制定一个最符合自己需求的网络 • VPN产生的背景  企业内部和企业之间数据通信的数量不断增加。  在企业分支机构和中心网络连接上架设专用线路，经济 费用高。  随着互联网主干网速越来越快，企业租用广域网数据专 线实现连接，租用成本高，且互联网存在不安全因素 （泄密、篡改、假冒等）。  VPN技术的出现，可以使租用线%。

　　特点： 内部网络中的每个主机都 为每一个需要地址转换的 被永久映射成外部网络中 报文分配一个公有网络IP地 的某个合法地址，进行一 址。 对一的转换。内部网络中 端口复用：路由器记录地址、应 不能解决IP地址缺乏问题， 有E-MAIL服务器、用程序端口等标识进行转换，可 只能隐藏内部主机的真实身 务器、 FTP 服务器等，必 从系统 IP 地址池中动态选择一个未 以使多个内部地址同时转换为同 《 份。 须采用静态地址转换。 信 使用的地址对内部地址进行一对一 一个 IP 地址对外网访问。 息 转换，当数据传输完毕，路由器将 系 适用于：申请到少量的IP地址， 统 使用完的IP地址放回到地址池中。 却经常有很多用户同时上网。 安 适用于：IP地址数量少，同时上网 全 的用户少 例如：内部网中有100台主机，分 配了30个IP地址，可供任意30台主 机同时通信。

　　个人防火墙是一种能够保护个人计算机系统安 全的软件 直接在用户的计算机上运行，帮助普通用户对 系统进行监控及管理，使个人计算机免受各种 攻击

　　• VPN可以理解为一条穿过公用网络的安全、稳定的 隧道。 • 隧道技术可以模仿点对点连接技术，依靠ISP和 NSP在公用网中建立自己的专用“隧道”传输数据 • 利用公网设施，在一个网络之中的“网络”上传输 数据的方法，被传输的数据执行隧道协议。 • 隧道协议利用附加的报头封装数据包，附加报头提 供了路由信息，封装后的数据包能通过公用网中的 一些路径，这些路径即为隧道。

　　• 静态包过滤是指防火墙根据定义好的包过滤规则审查每个 数据包，确定其是否与某一条包过滤规则匹配。

　　• 此类防火墙遵循“最小特权”原则，即明确允许那些管理 员希望通过的数据包，禁止其它的数据包。

　　 配置包过滤防火墙，需要对IP、TCP等协议深入了解， 否则容易出现因配置不当带来的问题

　　 由于过滤判断的只有网络层和传输层的有限信息，各种 安全要求难以充分满足  由于数据包地址和端口号都在包头部，因此不能彻底防 止地址欺骗

　　• 通过在主机上运行代理的服务程序(核心)，直接对特定的 代理服务器接收到用户访问某站点 应用层进行服务，也称应用型防火墙。 的请求后，检查该请求是否符合规 • 针对不同的应用程序，需要不同的代理模块。 定，如果规则允许访问，代理服务 • 代理服务可以实现用户认证、详细日志、数据加密、应用 器就会像一个客户一样去那个站点 取回所需信息转发给客户。 过滤等功能。

　　防御需要解决多层面的问题，除了安全技术之外，安全管理 也十分重要，实际上提高用户群的安全防范意识、加强安全 管理所能起到效果远远高于应用几个网络安全产品。

　　• 内部网络访问外部网络时，系统将发出数据包的 源地址转换为Internet上的合法地址，以这个合法 地址与外网连接 • NAT应用在防火墙技术中，用伪装的地址对外连 接，隐藏了真实的内部地址。反之外网访问内网 时，并不清楚内网的连接情况，只是通过一个开 放的IP地址来请求访问。 • 防火墙根据预先定义好的映射规则判断访问是否 安全

　　将局域网中的节点从逻辑上 网络安全防御体系第一道防 划分成多个网段，每个网段 线，部署在网络出入口处或 都包含一组有相同需求的工 者不同安全等级区域的连接 作站。（控制流量、简化网 路径上，依据安全规则检查 络管理、提高安全性） 每一个通过的数据包。 IPS：部署像防火墙，工作机制接近 入侵检测系统，将检测方法细分到 攻击检测防御的每个阶段中。

　　• 包过滤防火墙  面向网络底层数据流进行审计和控管  其安全策略主要根据数据包头的源地址、目的地址、端口 号和协议类型等标志来制定，可见其主要工作在网络层和 《 信 传输层。 息

　　• 基于代理（Proxy）技术，使防火墙参与到每一个内外网 络之间的连接过程 • 防火墙需要理解用户使用的协议，对内部节点向外部节点 的请求进行还原审查后，转发给外部服务器； • 外部节点发送来的数据也需要进行还原审查，然后封装转 发给内部节点。

　　• 网络流量过滤：通过在防火墙上进行安全规则配置，可以对 流经防火墙的网络流量进行过滤。

　　• 网络监控审计：防火墙记录访问并生成网络访问日志，提供 网络使用情况的统计数据。 • 支持NAT部署：NAT（网络地址翻译）是用来缓解地址空间 短缺的主要技术之一。

　　• 支持DMZ：DMZ是英文“Demilitarized Zone”的缩写,它是 设立在非安全系统与安全系统之间的缓冲区。

　　• 防火墙指的是一个由软件和硬件设备组合而成、在内部网 络和外部网络之间构造的安全保护屏障，从而保护内部网 络免受外部非法用户的侵入。 • 目标：有效地控制内外网之间的网络数据流量。 • 满足条件： ①内网和外网之间的所有网络数据流必须经过防火墙； ②只有符合安全政策的数据流才能通过防火墙。 ③防火墙自身具有高可靠性，应对渗透具有免疫力。

　　• 支持VPN：通过VPN，企业可以将分布在各地的局域网有机 地连成一个整体。

　　• 防火墙无法检测不经过防火墙的流量，如通过内 部提供拨号服务接入公网的流量；

　　• 私有地址与公有地址间的转换  使用私有地址的主机不能直接访问Internet  Internet也不可能访问到使用私有地址的主机  IP地址资源有限，许多局域网内的计算机不得不采用私 有地址，访问Internet时就需要NAT • 目的  解决IP地址空间不足问题  向外界隐藏内部网结构

　　• VPN通过一个私有的通道来创建一个安全的私有连 接，将远程用户、公司分支机构、业务伙伴等跟企 业网连接起来，形成一个扩展的公司企业网。 • 提供高安全性能、低价位的因特网接入解决方案。

　　为主，在传输层上实施访问控制策略，是在内外网络之间 建立一个虚拟电路，进行通信。

　　• 电路级网关监控受信任的客户或服务器与不受信任的主机 间的TCP握手信息，在握手过程中，检查双方的SYN、 ACK和序列数据是否为合理逻辑，来判断会话是否合法。 • 一旦网关认为会话合法，就为双方建立连接，进而复制、 传递数据，但不进行过滤。 • 网关转发的数据包被提交给用户的应用层处理，通过网关

　　 记录的日志更详细，包含应用程序文件名、URL等信息  可以与认证、授权、加密等安全手段方便的集成

　　 代理速度比包过滤慢  代理对用户不透明，给用户带来不便  代理技术需要针对每种协议设置一个不同的代理服务器

　　• 动态包过滤是指防火墙采用动态配置包过滤规则的方法 • 采用了一个在网关上执行安全策略的软件引擎，即检测模块

　　• 检测模块抽取相关数据对通信的各层实施监测分析，提取相 关的通信状态信息，并对动态连接表进行信息存储和更新， 为下一个通信检查提供积累数据。 • 这些监测分析数据可以作为制定安全策略的参考。一旦某个 访问违反安全规定，安全报警器会拒绝该访问并记录报告。 • 状态监测原理图

　　防火墙不只用于INTERNET，也可用于内部网各部 门网络之间（内部防火墙）

　　 企业防火墙：使企业内部局域网与internet之间互相隔 离、限制网络互访，保护企业网络内网。

　　 个人防火墙：一种软件服务，为个人计算机提供简单的 防火墙功能，可以随操作系统附带，价格较低。 • 从存在形式上划分  硬件防火墙：采用特殊的硬件设备，有较高性能，可做 为独立的设备部署，企业防火墙多数是硬件防火墙；  软件防火墙：是一套安装在某台计算机系统上来执行防 护任务的安全软件，个人防火墙都是软件防火墙。

　　–Access Control List是允许和拒绝匹配规则的集合。 –规则告诉防火墙哪些数据包允许通过、哪些被拒绝。