第三章网络安全1
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第三章：计算机网络安全
第3章
1
信息化社会的现状
国防建设 ������ 全球预警，战区信息化，综合指挥 系统 国家能源、交通 ������ 国家电网的输配电、交通调度指挥 企业生产、经营 ������ 异地生产协调，库存管理，企业动态联 盟 第3章个人学习、生活
2
对网络的依赖
1.网络的特点决定它的广泛应用前景
第3章 22
3.2.2 防火墙的设计准则
2．机构的安全策略
为确保网络的安全性，机构应明确保护什么， 而安全策略的制订则必须建立在安全分析、风 险评估、商务需求等分析的基础之上。 如果一个组织没有详细的安全策略，任何仔 细构建的防火墙都能被绕过，从而使整个内部 网络都暴露在敌手的攻击之中。
安全＝3分技术＋7分管理
第3章 17
防火墙示意图
2. 部门子网 3. 分公司网络
Internet
来自百度文库
1. 企业内联网
第3章 18
防火墙的基本功能模块
内容过滤
用户认证 应用程序代理
VPN
包过滤&状态检测 IDS与报警 日志
19
NAT
第3章
3.2.1 防火墙基本知识
1.防火墙的用途 管理因特网和公司内部网之间互相访问。 简化安全管理，安全管理措施可以从防火 墙上实施。 监视网络安全并产生安全报警。 是逻辑上的网络地址转换器。 审计、记录因特网使用量最佳位置。 部署Web和FTP服务器的理想位置。
第3章 28
3.2.3 包过滤防火墙
2.不依赖于服务的过滤 不依赖于服务的攻击包括三类： IP源地址欺骗攻击：从外部传送的数据包伪 装成从内部主机传送，也就是数据包包含虚 假的内部系统的IP地址。通过丢弃具有内部 IP源地址的数据包达到路由器的一个外部接 口，可防范IP源地址攻击。 源路由攻击：攻击者为为数据包指定穿过因 特网的路由。通过丢弃所以包含源路由选项 的数据包，可防范这种攻击。
第3章 20
3.2.1 防火墙基本知识
2.因特网防火墙的局限性 不能防止不经过防火墙的攻击。 不能防止公司泄密者或职员错误操作产生 的安全威胁。 不能防范已感染病毒软件或文件的传送。 不能防止数据驱动型攻击，指表面上看来 无害的数据，被邮寄或复制到内部网主机 中，一旦执行就发起攻击。
第3章 21
信息 支援 体系
企业信息与网络系统主要安全实施领域
企业信息与网络系统具体安全解决方案
第3章
基于具体安全解决方案的安全产品功能规范
24
3.2.2 防火墙的设计准则
3.防火墙的费用
其费用取决于它的复杂程度和需保护的网络 范围。防火墙系统的管理、维护、软件升级、 安全补漏、事故处理等都需大量的费用支持。
3.操作系统安全
操作系统是计算机中最基本、最重要的 软件。主要防止：一、病毒的威胁；二、 黑客的破坏和侵入。 一些安全性较高、功能较强的操作系统 可以为计算机的每一位用户分配账户。
第3章 8
4.联网安全
1、访问控制服务：用来保护计算 机和联网资源不被非授权使用。 2、通信安全服务：用来认证数据 机要性与完整性，以及各通信方的 可信赖性。
第3章 23
3.2.2 防火墙的设计准则
信息与网络系统安全体系结构
企业信息与网络系统统一安全策略 Policy 安全技术标准Management
密 码 技 术 认证 授权 访问 控 防火 墙技 术 动态 安全 管理 技术 网络 防病 毒技 术
安全管理规范 Administrator
政策 法规
安全 机构 与组 织 安全 管理 人员 安全 管理 流程
第3章
30
3.2.3 包过滤防火墙
3.包过滤路由器的优点 • 速度快，性能高
• 对用户透明 • 网络地址转换NAT-Network Address Translation
4.包过滤路由器的局限性
• • • • • • •
第3章
维护比较困难(需要对TCP/IP了解） 安全性低（IP欺骗等） 不提供有用的日志，或根本就不提供 不防范数据驱动型攻击(缓冲区溢出和输入验证攻击) 不能根据状态信息进行控制 不能处理网络层以上的信息 无法对网络上流动的信息提供全面的控制
31
3.2.4 应用层网关
包过滤在网络层和传输层对进出内部 网络的数据包进行监控。 但是网络用户对网络资源和服务的访问 是发生在应用层,必须在应用层上实现对用 户身份认证和访问操作分类检查和过滤。
第3章
32
3.2.4 应用层网关
应用层网关可以使网络管理者实现比包 过滤路由器更为严格的安全策略。 应用层网关不用依赖包过滤工具来管理 Internet服务，而是采用在网关上为每 种所需服务安装特殊代码（代理服务程 序）的方式来管理Internet服务。如果 网络管理员没有为某种应用安装代理编 码，那么该项服务就不支持并不能通过 防火墙系统来转发。
第3章 16
3.2.1 防火墙基本知识
防火墙是用于企业内部网和因特网之间实施 安全策略的一个系统或一组系统，它决定内 部服务中那些可被外界访问，外界的哪些人 可以访问内部的哪些服务，同时决定内部人 员可以访问哪些外部服务。 防火墙不单是路由器、堡垒主机或网络安全 的组合，它也是企业信息资源全方位防御体 系的安全策略的组成部分。 安全策略：安全责任、网络访问、服务访问、 本地和远程的认证、拨入和拨出、磁盘和数 据加密、病毒防范措施、职员的培训。
第3章 33
3.2.4 应用层网关
应用层网关 :以存储转发方式,检查和确
定网络请求的合法性,以决定是否转发或丢 弃. 双宿主机
第3章
34
3.2.4 应用层网关
1.堡垒主机的概念
包过滤路由器允许数据包在内部系统和外 部系统之间直接流动。 应用层网关允许信息在系统间流动，但不 允许数据包在系统间直接交换。 一个双归属主机作为应用层网关可以起到 防火墙作用； 处于防火墙关键部位、运行应用层网关软 件的计算机系统叫做堡垒主机。（应用层 网关也经常称为保垒主机 ）
开放的、分布式协同计算环境; 结构松散，分散管理，便于互联; 用户透明，资源共享; 2.网络的应用导致对网络资源的依赖
������
������
从提供通讯向提供数据服务过渡;
封闭的专网向开放的Internet延伸;
������
第3章
电子商务及企业信息化的美好前景
3
网络化vs.网络安全
1. 全球网络化，服务是根本 第一代Internet ：将计算机连起来，email 第二代Internet ：将网页连起来， Web 第三代Internet ：将所有信息资源连起来， 信息网格（GRID） 下一代因特网将是一台分布式计算机 2.安全是服务的保障 网络服务可用性（availability） 网络信息的完整性（integrity） 网络信息的机密性（confidentiality）
4.防火墙系统的基本成份和基本构件
包过滤路由器、应用层网关(即代理服务器)、 线路层网关.
第3章
25
3.2.3 包过滤防火墙
包过滤防火墙对收到的每一数据包作许可或拒绝 决定。 路由器按照系统内部设置的分组过滤规则（即访 问控制表），检查每个分组的源IP地址、目的IP 地址，决定该分组是否应该转发； 包过滤规则一般是基于部分或全部报头的内容。 例如，对于TCP报头信息可以是：
第3章 9
3.1.2 网络安全的必要性
网络需要与外界联系，受到许多方面的威 胁
物理威胁 系统漏洞造成的威胁 身份鉴别威胁 线缆连接威胁 有害程序等方面威胁。
第3章
10
1．物理威胁四个方面
（1）偷窃; 网络安全中的偷窃包括偷窃设备、偷窃 信息和偷窃服务等内容。 （2）废物搜寻; 在微机上，废物搜寻包括从未抹掉有用 东西的软盘或硬盘上获得有用资料。 （3）间谍行为; （4）身份识别错误;
第3章
6
1、物理安全
1)防盗； 2)防火； 3)防静电； 4)防雷击； 5)防电磁泄漏: 电磁发射包括辐射发射和传导发射。这 两种电磁发射可被高灵敏度的接收设备 接收并进行分析、还原，造成计算机的 信息泄露。 屏蔽是防电磁泄漏的有效措施
第3章 7
2.逻辑安全
计算机的逻辑安全需要用口令、文 件许可等方法来实现。
第3章
13
3.1.3 安全级别
1999年10月 《计算机信息系统安全保护等级划分准则》: 第一级为用户自主保护级：保护用户的信息免受非法 的读写破坏。 第二级为系统审计保护级：要求创建和维护访问的审 计跟踪记录，使所有的用户对自己的行为的合法性负 责。 第三级为安全标记保护级：要求以访问对象标记的安 全级别限制访问者的访问权限，实现对访问对象的强 制保护。 第四级为结构化保护级：将安全保护机制划分为关键 部分和非关键部分。 第五级为访问验证保护级：这一个级别特别增设了访 问验证功能，负责仲裁访问者对访问对象的所有访问 14 第3章 活动。
可信任计算机标准评价准则
（Trusted Computer Standards Evaluation Criteria：TCSEC）
类别 级别 名称 主要特征
D
C
D
C1 C2
低级保护
自主安全保护 受控存储控制 标识的安全保护 结构化保护
没有安全保护
自主存储控制 单独的可查性，安全标识 强制存取控制，安全标识 面向安全的体系结构，较好的抗渗 透能力 存取监控、高抗渗透能力 形式化的最高级描述和验证
第3章 27
3.2.3 包过滤防火墙
1.依赖于服务的过滤 过滤规则：路由器能够根据特定的服务允许 或拒绝业务流，因为多数服务的接收者都位 于已知的TCP/UDP端口上。 典型规则有： 仅允许进来的Telnet会话连接到指定的一些主机；
仅允许进来的FTP会话连接到指定的一些主机； 允许所有出去的Telnet会话； 允许所有出去的FTP会话； 拒绝从某个指定的外部网络进来的所有业务流。
15
B
B1 B2
B3 A
第3章
安全区域 验证设计
A
3.2.防火墙
什么是防火墙？
防火墙是指设置在不同网络（如可信任的企 业内部网和不可信的公共网）或网络安全域之间 的一系列部件的组合。 它可通过监测、限制、更 改跨越防火墙的数据流，尽可能地对外部屏蔽网 络内部的信息、结构和运行状况， 以此来实现网 络的安全保护。 在逻辑上，防火墙是一个分离器，是一个限制 器，也是一个分析器，可有效地监控内部网和 Internet之间的任何活动， 保证内部网络的安全。
第3章 4
Internet的安全技术、设施和策略
1.防火墙技术; 2.IPsec协议和虚拟专用网; 3.SSL协议; 4.安全邮件协议; 5.计算机病毒防治; 6.网络入侵检测系统.
第3章
5
3.1 网络安全基础
3.1.1 网络安全性体系
从层次体系上，可以将网络安全分成 四个层次上： 1、物理安全； 2、逻辑安全； 3、操作系统安全； 4、联网安全。
第3章 11
2.系统漏洞威胁
乘虚而入、不安全服务、配置和初 始化错误。
3.身份鉴别威胁
口令圈套、口令破解、算法考虑不周 和编辑口令。
第3章 12
4.线缆连接威胁
线缆连接造成的威胁包括三个方面：窃 听、拨号进入和冒名顶替。
5.有害程序威胁
有害程序造成的威胁包括三个方面：病毒、 代码炸弹和特洛伊木马。
第3章 29
3.2.3 包过滤防火墙
2.不依赖于服务的过滤 不依赖于服务的攻击包括三类： 允小分段攻击：攻击者使用IP分段特性以建 立极小的分段，并将 TCP 报头信息分为分开 的数据包分段。通过丢弃协议类型为 TCP 、 IP 报头中字段 FragmentOffset 等于 1 的数据 包，可防范小分段攻击。
3.2.2 防火墙的设计准则
1．防火墙的姿态
(1)拒绝每件未被特别许可的事情(限制政策) 只支持那些仔细选择的服务, 建立一个非常 安全的环境。其缺点是安全性的考虑优于使用 性的考虑，限制了提供给用户的服务范围。 (2)允许未被特别据绝的每—件事情(宽松政策) 建立一个非常灵活的使用环境，能为用户提 供更多的服务。缺点是使用性的考虑优于安全 性的考虑。 多数防火墙都在两种之间采取折衷。
源IP地址 目的IP地址 协议类型 IP选项内容 源TCP端口号 目的TCP端口号 TCP ACK标识
26
第3章
3.2.3 包过滤防火墙
数据包与包过滤规则中的某一条相匹配且包 过滤规则允许数据包通过，则按照路由表中 的信息转发数据包。 如果数据包与包过滤规则中的某一条相匹配 且包过滤规则拒绝数据包通过，则丢弃该数 据包。 如果数据包与包过滤规则没有匹配项，用户 配置的默认参数则决定对该数据包是转发还 是丢弃。
第3章
1
信息化社会的现状
国防建设 ������ 全球预警，战区信息化，综合指挥 系统 国家能源、交通 ������ 国家电网的输配电、交通调度指挥 企业生产、经营 ������ 异地生产协调，库存管理，企业动态联 盟 第3章个人学习、生活
2
对网络的依赖
1.网络的特点决定它的广泛应用前景
第3章 22
3.2.2 防火墙的设计准则
2．机构的安全策略
为确保网络的安全性，机构应明确保护什么， 而安全策略的制订则必须建立在安全分析、风 险评估、商务需求等分析的基础之上。 如果一个组织没有详细的安全策略，任何仔 细构建的防火墙都能被绕过，从而使整个内部 网络都暴露在敌手的攻击之中。
安全＝3分技术＋7分管理
第3章 17
防火墙示意图
2. 部门子网 3. 分公司网络
Internet
来自百度文库
1. 企业内联网
第3章 18
防火墙的基本功能模块
内容过滤
用户认证 应用程序代理
VPN
包过滤&状态检测 IDS与报警 日志
19
NAT
第3章
3.2.1 防火墙基本知识
1.防火墙的用途 管理因特网和公司内部网之间互相访问。 简化安全管理，安全管理措施可以从防火 墙上实施。 监视网络安全并产生安全报警。 是逻辑上的网络地址转换器。 审计、记录因特网使用量最佳位置。 部署Web和FTP服务器的理想位置。
第3章 28
3.2.3 包过滤防火墙
2.不依赖于服务的过滤 不依赖于服务的攻击包括三类： IP源地址欺骗攻击：从外部传送的数据包伪 装成从内部主机传送，也就是数据包包含虚 假的内部系统的IP地址。通过丢弃具有内部 IP源地址的数据包达到路由器的一个外部接 口，可防范IP源地址攻击。 源路由攻击：攻击者为为数据包指定穿过因 特网的路由。通过丢弃所以包含源路由选项 的数据包，可防范这种攻击。
第3章 20
3.2.1 防火墙基本知识
2.因特网防火墙的局限性 不能防止不经过防火墙的攻击。 不能防止公司泄密者或职员错误操作产生 的安全威胁。 不能防范已感染病毒软件或文件的传送。 不能防止数据驱动型攻击，指表面上看来 无害的数据，被邮寄或复制到内部网主机 中，一旦执行就发起攻击。
第3章 21
信息 支援 体系
企业信息与网络系统主要安全实施领域
企业信息与网络系统具体安全解决方案
第3章
基于具体安全解决方案的安全产品功能规范
24
3.2.2 防火墙的设计准则
3.防火墙的费用
其费用取决于它的复杂程度和需保护的网络 范围。防火墙系统的管理、维护、软件升级、 安全补漏、事故处理等都需大量的费用支持。
3.操作系统安全
操作系统是计算机中最基本、最重要的 软件。主要防止：一、病毒的威胁；二、 黑客的破坏和侵入。 一些安全性较高、功能较强的操作系统 可以为计算机的每一位用户分配账户。
第3章 8
4.联网安全
1、访问控制服务：用来保护计算 机和联网资源不被非授权使用。 2、通信安全服务：用来认证数据 机要性与完整性，以及各通信方的 可信赖性。
第3章 23
3.2.2 防火墙的设计准则
信息与网络系统安全体系结构
企业信息与网络系统统一安全策略 Policy 安全技术标准Management
密 码 技 术 认证 授权 访问 控 防火 墙技 术 动态 安全 管理 技术 网络 防病 毒技 术
安全管理规范 Administrator
政策 法规
安全 机构 与组 织 安全 管理 人员 安全 管理 流程
第3章
30
3.2.3 包过滤防火墙
3.包过滤路由器的优点 • 速度快，性能高
• 对用户透明 • 网络地址转换NAT-Network Address Translation
4.包过滤路由器的局限性
• • • • • • •
第3章
维护比较困难(需要对TCP/IP了解） 安全性低（IP欺骗等） 不提供有用的日志，或根本就不提供 不防范数据驱动型攻击(缓冲区溢出和输入验证攻击) 不能根据状态信息进行控制 不能处理网络层以上的信息 无法对网络上流动的信息提供全面的控制
31
3.2.4 应用层网关
包过滤在网络层和传输层对进出内部 网络的数据包进行监控。 但是网络用户对网络资源和服务的访问 是发生在应用层,必须在应用层上实现对用 户身份认证和访问操作分类检查和过滤。
第3章
32
3.2.4 应用层网关
应用层网关可以使网络管理者实现比包 过滤路由器更为严格的安全策略。 应用层网关不用依赖包过滤工具来管理 Internet服务，而是采用在网关上为每 种所需服务安装特殊代码（代理服务程 序）的方式来管理Internet服务。如果 网络管理员没有为某种应用安装代理编 码，那么该项服务就不支持并不能通过 防火墙系统来转发。
第3章 16
3.2.1 防火墙基本知识
防火墙是用于企业内部网和因特网之间实施 安全策略的一个系统或一组系统，它决定内 部服务中那些可被外界访问，外界的哪些人 可以访问内部的哪些服务，同时决定内部人 员可以访问哪些外部服务。 防火墙不单是路由器、堡垒主机或网络安全 的组合，它也是企业信息资源全方位防御体 系的安全策略的组成部分。 安全策略：安全责任、网络访问、服务访问、 本地和远程的认证、拨入和拨出、磁盘和数 据加密、病毒防范措施、职员的培训。
第3章 33
3.2.4 应用层网关
应用层网关 :以存储转发方式,检查和确
定网络请求的合法性,以决定是否转发或丢 弃. 双宿主机
第3章
34
3.2.4 应用层网关
1.堡垒主机的概念
包过滤路由器允许数据包在内部系统和外 部系统之间直接流动。 应用层网关允许信息在系统间流动，但不 允许数据包在系统间直接交换。 一个双归属主机作为应用层网关可以起到 防火墙作用； 处于防火墙关键部位、运行应用层网关软 件的计算机系统叫做堡垒主机。（应用层 网关也经常称为保垒主机 ）
开放的、分布式协同计算环境; 结构松散，分散管理，便于互联; 用户透明，资源共享; 2.网络的应用导致对网络资源的依赖
������
������
从提供通讯向提供数据服务过渡;
封闭的专网向开放的Internet延伸;
������
第3章
电子商务及企业信息化的美好前景
3
网络化vs.网络安全
1. 全球网络化，服务是根本 第一代Internet ：将计算机连起来，email 第二代Internet ：将网页连起来， Web 第三代Internet ：将所有信息资源连起来， 信息网格（GRID） 下一代因特网将是一台分布式计算机 2.安全是服务的保障 网络服务可用性（availability） 网络信息的完整性（integrity） 网络信息的机密性（confidentiality）
4.防火墙系统的基本成份和基本构件
包过滤路由器、应用层网关(即代理服务器)、 线路层网关.
第3章
25
3.2.3 包过滤防火墙
包过滤防火墙对收到的每一数据包作许可或拒绝 决定。 路由器按照系统内部设置的分组过滤规则（即访 问控制表），检查每个分组的源IP地址、目的IP 地址，决定该分组是否应该转发； 包过滤规则一般是基于部分或全部报头的内容。 例如，对于TCP报头信息可以是：
第3章 9
3.1.2 网络安全的必要性
网络需要与外界联系，受到许多方面的威 胁
物理威胁 系统漏洞造成的威胁 身份鉴别威胁 线缆连接威胁 有害程序等方面威胁。
第3章
10
1．物理威胁四个方面
（1）偷窃; 网络安全中的偷窃包括偷窃设备、偷窃 信息和偷窃服务等内容。 （2）废物搜寻; 在微机上，废物搜寻包括从未抹掉有用 东西的软盘或硬盘上获得有用资料。 （3）间谍行为; （4）身份识别错误;
第3章
6
1、物理安全
1)防盗； 2)防火； 3)防静电； 4)防雷击； 5)防电磁泄漏: 电磁发射包括辐射发射和传导发射。这 两种电磁发射可被高灵敏度的接收设备 接收并进行分析、还原，造成计算机的 信息泄露。 屏蔽是防电磁泄漏的有效措施
第3章 7
2.逻辑安全
计算机的逻辑安全需要用口令、文 件许可等方法来实现。
第3章
13
3.1.3 安全级别
1999年10月 《计算机信息系统安全保护等级划分准则》: 第一级为用户自主保护级：保护用户的信息免受非法 的读写破坏。 第二级为系统审计保护级：要求创建和维护访问的审 计跟踪记录，使所有的用户对自己的行为的合法性负 责。 第三级为安全标记保护级：要求以访问对象标记的安 全级别限制访问者的访问权限，实现对访问对象的强 制保护。 第四级为结构化保护级：将安全保护机制划分为关键 部分和非关键部分。 第五级为访问验证保护级：这一个级别特别增设了访 问验证功能，负责仲裁访问者对访问对象的所有访问 14 第3章 活动。
可信任计算机标准评价准则
（Trusted Computer Standards Evaluation Criteria：TCSEC）
类别 级别 名称 主要特征
D
C
D
C1 C2
低级保护
自主安全保护 受控存储控制 标识的安全保护 结构化保护
没有安全保护
自主存储控制 单独的可查性，安全标识 强制存取控制，安全标识 面向安全的体系结构，较好的抗渗 透能力 存取监控、高抗渗透能力 形式化的最高级描述和验证
第3章 27
3.2.3 包过滤防火墙
1.依赖于服务的过滤 过滤规则：路由器能够根据特定的服务允许 或拒绝业务流，因为多数服务的接收者都位 于已知的TCP/UDP端口上。 典型规则有： 仅允许进来的Telnet会话连接到指定的一些主机；
仅允许进来的FTP会话连接到指定的一些主机； 允许所有出去的Telnet会话； 允许所有出去的FTP会话； 拒绝从某个指定的外部网络进来的所有业务流。
15
B
B1 B2
B3 A
第3章
安全区域 验证设计
A
3.2.防火墙
什么是防火墙？
防火墙是指设置在不同网络（如可信任的企 业内部网和不可信的公共网）或网络安全域之间 的一系列部件的组合。 它可通过监测、限制、更 改跨越防火墙的数据流，尽可能地对外部屏蔽网 络内部的信息、结构和运行状况， 以此来实现网 络的安全保护。 在逻辑上，防火墙是一个分离器，是一个限制 器，也是一个分析器，可有效地监控内部网和 Internet之间的任何活动， 保证内部网络的安全。
第3章 4
Internet的安全技术、设施和策略
1.防火墙技术; 2.IPsec协议和虚拟专用网; 3.SSL协议; 4.安全邮件协议; 5.计算机病毒防治; 6.网络入侵检测系统.
第3章
5
3.1 网络安全基础
3.1.1 网络安全性体系
从层次体系上，可以将网络安全分成 四个层次上： 1、物理安全； 2、逻辑安全； 3、操作系统安全； 4、联网安全。
第3章 11
2.系统漏洞威胁
乘虚而入、不安全服务、配置和初 始化错误。
3.身份鉴别威胁
口令圈套、口令破解、算法考虑不周 和编辑口令。
第3章 12
4.线缆连接威胁
线缆连接造成的威胁包括三个方面：窃 听、拨号进入和冒名顶替。
5.有害程序威胁
有害程序造成的威胁包括三个方面：病毒、 代码炸弹和特洛伊木马。
第3章 29
3.2.3 包过滤防火墙
2.不依赖于服务的过滤 不依赖于服务的攻击包括三类： 允小分段攻击：攻击者使用IP分段特性以建 立极小的分段，并将 TCP 报头信息分为分开 的数据包分段。通过丢弃协议类型为 TCP 、 IP 报头中字段 FragmentOffset 等于 1 的数据 包，可防范小分段攻击。
3.2.2 防火墙的设计准则
1．防火墙的姿态
(1)拒绝每件未被特别许可的事情(限制政策) 只支持那些仔细选择的服务, 建立一个非常 安全的环境。其缺点是安全性的考虑优于使用 性的考虑，限制了提供给用户的服务范围。 (2)允许未被特别据绝的每—件事情(宽松政策) 建立一个非常灵活的使用环境，能为用户提 供更多的服务。缺点是使用性的考虑优于安全 性的考虑。 多数防火墙都在两种之间采取折衷。
源IP地址 目的IP地址 协议类型 IP选项内容 源TCP端口号 目的TCP端口号 TCP ACK标识
26
第3章
3.2.3 包过滤防火墙
数据包与包过滤规则中的某一条相匹配且包 过滤规则允许数据包通过，则按照路由表中 的信息转发数据包。 如果数据包与包过滤规则中的某一条相匹配 且包过滤规则拒绝数据包通过，则丢弃该数 据包。 如果数据包与包过滤规则没有匹配项，用户 配置的默认参数则决定对该数据包是转发还 是丢弃。