计算机网络防火墙的体系结构
计算机网络安全--第九章 防火墙技术
基于网络体系结构的防火墙实现原理
08:02:44
防火墙与OSI 防火墙与OSI
基本防火墙
Network Transport
高级防火墙
DataLink Session Application
防火墙的原理 按照网络的分层体系结构， 按照网络的分层体系结构，在不同的分层结构 实现的防火墙不同，通常有如下几种。 上实现的防火墙不同，通常有如下几种。 1）基于网络层实现的防火墙，通常称为包过滤 ）基于网络层实现的防火墙， 防火墙。 防火墙。 2）基于传输层实现的防火墙，通常称为传输级 ）基于传输层实现的防火墙， 网关。 网关。 层次越高， 层次越高 3）基于应用层实现的防火墙，通常称为应用级 ）基于应用层实现的防火墙， ，能检测的 资源越多，越安全， 资源越多，越安全， 网关。 网关。 但执行效率变差 4）整合上述所有技术，形成混合型防火墙，根 ）整合上述所有技术，形成混合型防火墙， 据安全性能进行弹性管理。 据安全性能进行弹性管理。
08:02:44
防火墙的概念 因此按照企业内部的安全体系结构， 因此按照企业内部的安全体系结构， 防火墙应当满足如下要求。 防火墙应当满足如下要求。 1）保证对主机和应用的安全访问。 ）保证对主机和应用的安全访问。 访问 2）保证多种客户机和服务器的安全性。 ）保证多种客户机和服务器的安全性 安全 3）保护关键部门不受到来自内部和外 ） 部的攻击，为通过Internet与远程访问 部的攻击，为通过 与远程访问 的雇员、客户、供应商提供安全通道。 的雇员、客户、供应商提供安全通道。
08:02:44
防火墙的概念 因此， 因此，防火墙是在两个网络之间执 行控制策略的系统（包括硬件和软件）， 行控制策略的系统（包括硬件和软件）， 目的是保护网络不被可疑目标入侵。 目的是保护网络不被可疑目标入侵。
计算机网络安全基础_第08章_防火墙技术
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
1．试验网络
在大多数情况下，应该在内部防火墙中设置这样的
网络，并给每个试验网络配置一台路由器并连接到参数
网络。而主要的包过滤工作在连接参数网络与内部主网
的路由器上完成。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
2．低保密网络 试验网络比较危险，但它对整个内部网的安全构成
的威胁还不是最大的。而许多内部网组织结构里面的资 源本身就固有一些非安全因素。比如，校园网中那些包 含学生公寓网点的部分就被认为是不安全的，单位企业 网中的那些演示网部分、客户培训网部分和开放实验室 网部分都被认为是安全性比较差的。但这些网又比纯粹 的外部网与内部网其它部分的交互要多得多。这些网络 称为低保密网。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
内部网需要防范的三种攻击有： 间谍：试图偷走敏感信息的黑客、入侵者和闯入者。 盗窃：盗窃对象包括数据、Web表格、磁盘空间和CPU 资源等。 破坏系统：通过路由器或主机／服务器蓄意破坏文件系 统或阻止授权用户访问内部网 （外部网）和服务器。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
8.1.6 内部防火墙
但有时为了某些原因，我们还需要对内部网的部分 站点再加以保护以免受其它站点的侵袭。因此，有时我 们需要在同一结构的两个部分之间，或者在同一内部网 的两个不同组织结构之间再建立防火墙（也被称为内部 防火墙）。
网络安全,防火墙(1)
过滤路由器成为唯一一道防线， 入侵者很容易突破屏蔽路由器， 内部网络不再安全
网络安全,防火墙(1)
屏蔽子网防火墙
本质上同屏蔽主机防火墙一样，但增加了一层保 护体系——周边网络(DMZ)。堡垒主机位于周边网 络上，周边网络和内部网络被内部屏蔽路由器分 开
网络安全,防火墙(1)
屏蔽主机防火墙
对于入站连接，根据安全策略，屏蔽路由器可以：
允许某种服务的数据包先到达堡垒主机，然后与内部 主机连接 直接禁止某种服务的数据包入站连接
对于出站连接，根据安全策略：
对于一些服务(Telnet)，可以允许它直接通过屏蔽路由 器连接到外部网络，而不通过堡垒主机 其它服务(WWW和SMTP等)，必须经过堡垒主机才能连 接到Internet，并在堡垒主机上运行该服务的代理服务 器
宿主机完全切断
上图：网络层路由功能未被禁止，数据包绕过防 火墙
网络安全,防火墙(1)
双宿/多宿主机防火墙
两个网络之间的通信 方式：
应用层数据共享，用户 直接登录
应用层代理服务，在双
宿主机上运行代理服务 器
网络安全,防火墙(1)
双宿/多宿主机防火墙
用户直接登录的不足
支持用户账号会降低机器本身的稳定性和可靠 性
网络安全,防火墙(1)
包过滤型防火墙
包过滤型防火墙，往往可以用一台过滤路由器 (Screened Router)来实现，对所接收的每个数据包 做允许/拒绝的决定
包过滤型防火墙一般作用在网络层，故也称网络 层防火墙或IP过滤器
网络安全,防火墙(1)
包过滤型防火墙
计算机网络应用 防火墙的基本结构
计算机网络应用防火墙的基本结构如果我们要想更加真实的认识和了解防火墙，首先还应该从它的基本结构来熟悉它。
从防火墙结构上来看，它与一台计算机结构差不多，同样包括CPU、内存、硬盘和主板等基本组件，且主板上也有南、北桥芯片，但它与一般计算机最主要的区别就是防火墙上都集成了两个以上的以太网卡，因为它需要连接一个以上的内、外部网络。
1．CPUCPU（Central Processing Unit的缩写），被称为“中央处理单元”，是防火墙系统的最主要组成部分之一。
CPU主要用来进行运算和逻辑运算，其物理结果包括逻辑运算单元、控制单元和存储单元组成。
在逻辑运算和控制单元中包括一些寄存器，这些寄存器用于CPU在处理数据过程中数据的暂时保存。
CPU内部核心工作的时钟频率（即主频），单位一般是兆赫兹（MHz）。
2．内存内存指的是防火墙中的存储部件，是CPU直接与之沟通，并用其存储数据的部件，存放当前正在使用的（即执行中）的数据和程序，它的物理实质就是一组或多组具备数据输入输出和数据存储功能的集成电路。
对防火墙来说，有了存储器，才有记忆功能，才能保证正常工作。
存储器的种类很多，按其用途可分为主存储器和辅助存储器，主存储器又称内存储器（简称内存），辅助存储器又称外存储器（简称外存），像硬盘，软盘等。
3．硬盘硬盘是防火墙主要的存储媒介之一，用来存储防火墙所用的基本程序，如包过滤程序和代理服务器程序等，有的防火墙还把日志记录也记录在此硬盘上。
它有一个或者多个铝制/玻璃制的碟片组成。
这些碟片外覆盖有铁磁性材料。
硬盘采用全密封结构，绝大多数硬盘都是固定硬盘，被永久性地密封固定在硬盘驱动器中。
防火墙中使用的硬盘大多为IDE接口或者SCSI接口的。
4．主板主板，又叫主机板（mainboard）、系统板（systemboard）或母板（motherboard），安装在防火墙内部，是防火墙最基本也是最重要的部件之一。
主板即一个电路板，组成了防火墙的主要电路系统，一般有I/O控制芯片、指示灯插接件、扩充插槽及插卡的直流电源供电接插件等组成。
计算机网络应用 防火墙的体系结构
计算机网络应用防火墙的体系结构防火墙主要应用结构可以分为包过滤型结构、双宿网关结构、屏蔽主机结构和屏蔽子网结构。
1．包过滤型结构包过滤型结构是通过专用的包过滤路由器，或是安装了包过滤功能的普通路由器来实现的。
包过滤型结构对进出内部网络的所有信息进行分析，按照一定的安全策略对这些信息进行分析与限制，如图11-10所示。
图11-10 包过滤型结构包过滤型结构处理速度快、费用低且对用户透明，结构简单，便于管理。
但是，包过滤型结构对于包过滤的判断只限于数据包的头信息，并不涉及包的内容，所以它只能阻止部分IP欺骗的数据包。
另外，包过滤结构的日志功能有限，不能从日志中发现黑客的攻击记录，并且配置比较烦琐。
2．双宿网关结构连接了两个网络的多宿主机（具有多个网络连接的主机）称为双宿主机。
多宿主机是具有多个网络接口卡的主机，每个接口都可以和一个网络连接。
因为它能在不同的网络之间进行数据交换，因此也称为网关。
双宿网关结构是用一台装有两块网卡的主机作为防火墙，将外部网络与内部网络实现物理上的隔开，这台处于防火墙关键部位且运行应用级网关软件的计算机系统称为堡垒主机。
如图11-11所示，为双宿网关结构。
图11-11 双宿网关结构双宿网关的结构的安全性较高，但入侵者一旦得到了双宿网关的访问权，即可入侵内部网络。
所以在设置该应用级网关时应该注意以下几点：●在该应用级网关的硬件系统上运行安全可信任的安全操作系统。
●安全应用代理软件，保留DNS、FTP、SMTP等必要的服务，删除不必要的服务与应用软件。
●设计应用级网关的防攻击方法与被破坏后的应急方案。
3．屏蔽主机结构屏蔽主机结构将所有的外部主机强制与一个堡垒主机相连，从而不允许它们直接与内部网络的主机相连，如图11-12所示。
因此，屏蔽主机结构是由包过滤路由器和堡垒主机组成的。
屏蔽主机可以实现了网络层和应用层的安全，并且安全性较高。
但是堡垒主机一旦被绕过，则堡垒主机和其他内部网络的主机之间没有任何保护网络安全的措施，内网将暴露。
6.3防火墙的体系结构
1.安装防火墙管理器软件。 管理器软件一般安装在单独的管理主机上，管理主机通常位于管理中 心网络的网管主机上，管理中心为内部防火区的子集，同时管理主 机或管理中心与其他安全区域相比有更严格的访问安全策略。（详 见P155） 2.管理网络卫士防火墙 网络管理员可以通过多种方式管理网络卫士防火墙。管理港式包括本 地管理和远程管理，本地管理即通过Console口登录防火墙进行管理； 远程管理包括使用防火墙集中管理器，或通过Telnet及SSH等多种方 式登录防火墙进行配置管理. （1） 使用Console口登录防火墙。具体方法见P155-157 (2)使用防火墙集中管理器。具体方法见P157-158 3.防火墙的一些策略配置 （1）定义网络区域。（2）定义网络对象。（3）配置访问策略 （4）通信策略。
网络与用户的被保护的内部网络之间的附加网络。 如果侵袭着成功地侵入用户的防火墙的外层领域， 周边网络在侵袭着与用户的内部系统之间提供一 个附加的保护层。
（2）堡垒主机 在屏蔽子网体系结构中，用户把堡垒主机 连接到周边网，这台主机既是接收来自外界连接的主要 入口。对于出站服务可以按照如下任一方式进行。 在外部和内部的路由器上设置数据包过滤来允许内部的 客户端直接访问外部的服务器； 设置代理服务器在堡垒主机上允许来允许内部的客户端 间接地访问外部的服务器。用户也可以设置数据包过滤 来允许内部的客户端在堡垒主机上同代理服务器交谈。 反之亦然，但是禁止内部的客户端与外部之间直接通信。
6.3 防火墙的体系结构
1
双重宿主主机体系结构
2 3
屏蔽主机体系结构
基于代理型防火墙结构
4
屏蔽子网体系结构
6.3.1 双重宿主主机体系结构
基于双重宿主主机结构是最基本的防火墙系统结构。该 体系结构是围绕具有双重宿主的主机计算机而构筑的， 该计算机至少有两个网络接口。 这样的主机可以充当与这些接口相连的网络之间的路由 器，它能够从一个网络到另一个网络发送IP数据包，但 是，双重宿主主机防火墙体系结构禁止这种功能。 IP数据包从一个网络并不是直接发送到其他网络，经过 一个安全检查模块检查后，如果是合法的，则转发到另 一块网卡上，以实现网络的正常通信；如果不合法，则 阻止通信。这样，内外网络直接的IP数据流完全在双宿 主主机的控制之中。
计算机网络安全体系结构
计算机网络安全体系结构计算机网络安全体系结构是指在计算机网络中，为了保护网络系统和信息不受未经授权的访问、破坏和篡改等威胁而采取的一系列安全措施和安全机制的整体架构。
计算机网络安全体系结构分为三个层次：网络层、主机层和应用层。
网络层主要负责网络边界的安全，包括网络入口、出口的流量控制和数据包过滤等。
网络层安全的主要机制有防火墙、入侵检测和入侵防御系统等。
防火墙是网络边界的安全防御系统，通过设置访问控制规则，对进出网络的数据进行检查和过滤，可以阻止未经授权的访问和攻击。
入侵检测系统可以监测网络中的异常流量和攻击行为，并及时做出响应。
入侵防御系统则更加主动地进行攻击防御和响应。
主机层主要负责保护计算机主机的安全，包括操作系统和基础软件的安全。
主机层安全的主要机制有访问控制、身份认证和安全配置等。
访问控制是限制用户对主机资源的访问权限，通过用户账号和密码来进行认证。
身份认证是确保用户的身份真实可信的过程，可以采用密码、数字证书、生物特征等不同的方式进行认证。
安全配置是对主机的各种安全设置进行调整和优化，包括关闭不必要的服务、增强密码策略、更新操作系统和软件补丁等。
应用层主要负责应用程序和网络服务的安全，包括电子邮件、Web浏览、即时通讯等。
应用层安全的主要机制有加密、身份验证和访问控制等。
加密是将数据转化为密文的过程，通过使用加密算法和密钥来防止数据在传输过程中被窃取和篡改。
身份验证是确保用户的身份真实可信的过程，可以采用用户名和密码、数字证书、多因素认证等方式进行验证。
访问控制是限制用户对网络服务的访问权限，可以通过访问控制列表、访问令牌等方式进行控制。
总体来说，计算机网络安全体系结构是为了保护网络系统和信息不受未经授权的访问、破坏和篡改等威胁而采取的一系列安全措施和安全机制的整体架构。
它包括网络层、主机层和应用层三个层次，通过防火墙、入侵检测和入侵防御系统、访问控制、身份认证、加密等机制来保障网络的安全。
防火墙介绍
防火墙介绍黎狸1.什么是防火墙？防火墙的功能？防火墙是一种用来加强网络之间访问控制的特殊网络互连设备，是一种非常有效的网络安全模型。
功能：（本质特征为隔离内外网络和对进出信息流实施访问控制）①网络安全的屏障；②过滤不安全服务；③阻断特定的网络攻击；④部署NAT机制；⑤提供了监视局域网安全和预警的方便端点。
2.理解防火墙的四种体系结构，掌握分组过滤路由器、双宿主机、屏蔽主机、屏蔽子网四种不同结构的原理。
①个人防火墙：在操作系统之上运行的软件，安装在个人PC上，为个人计算机提供简单的防火功能。
②软件防火墙：网络防火墙的软件防火墙具有比个人防火墙更强的控制功能和更高的性能。
支持Windows，Unix或者Linux系统。
③一般硬件防火墙：嵌入式主机，配件可定制，功能全，性能一般。
④纯硬件防火墙：采用专用芯片，高性能，非常高的并发连接数和吞吐量；⑥分布式防火墙：上述几种均为边界防火墙。
防火墙的体系结构：①分组过滤路由器②双宿主机③屏蔽主机④屏蔽子网3.理解和掌握数据包过滤、代理服务器、NAT、状态监测技术，并解释对应名词：数据包过滤、代理服务器、NAT、DMZ数据包过滤：工作在网络层，在网络的适当位置来对数据包实施有选择的通过的技术。
代理服务器：是运行于连接内部网络与外部网络的主机（堡垒主机）上的一种应用，是一种比较高级的防火墙技术。
状态检测技术：4.数据包过滤和状态检测区别和联系？这两种防火墙的主要区别是，状态监测系统维护一复个状态表，让这些系统跟踪通过防火墙的全部开放的连接。
而数据包过滤防火墙就没有这个功能。
当通讯到达时，这个系统把这个通讯与状态表进行比较，确定这个通讯是不是一个已经建立起来的通讯的一部分。
防火墙体系结构
本章主题为防火墙体系结构，包括以下内容：◆防火墙的体系结构◆防火墙的分类◆防火墙的关键技术◆包过滤防火墙◆状态检测防火墙◆代理防火墙1.1 防火墙的体系结构和分类防火墙可以被设置成许多不同的结构，并提供不同级别的安全，而运行维护的费用也不同，各种组织机构应该根据不同的风险评估来确定采用不同的防火墙技术。
下面，将讨论一些典型的防火墙的体系结构和主要技术。
1.1.1 防火墙的体系结构按体系结构可以把防火墙分为屏蔽路由器型防火墙、双宿主机防火墙、屏蔽主机防火墙、屏蔽子网防火墙和一些防火墙结构的变体，下面着重介绍前四种体系结构。
1．屏蔽路由器屏蔽路由器是防火墙最基本的构件，对所接收的每个数据包做允许或拒绝的决定，它可以由厂家专门生产的路由器实现，也可以用主机来实现。
屏蔽路由器作为内外连接的唯一通道，将审查每个数据包以便确定其是否与某一条包过滤规则匹配。
在图中担当屏蔽路由器角色的就是原有路由器，在其中的防火墙包过滤配置中，可以根据数据包包头信息中的IP地址、UDP和TCP端口来过滤数据。
这种防火墙方案有个最大的缺点就是配置复杂，非专业人员很难正确、有效地配置。
如果采用这种措施，就需要对TCP/IP有很好的理解，并能够在路由器上正确地进行有关数据包过滤的设置。
如果不能够正确地进行配置，危险的数据包就有可能透过防火墙进入内部局域网。
如果这是唯一的安全设备，那么黑客们将非常容易地攻破系统，在局域网里为所欲为。
另外一点值得注意的就是采用这种措施，内部网络的IP地址并没有被隐藏起来，并且它不具备监测，跟踪和记录的功能。
纯由屏蔽路由器构成的防火墙，其危险区域包括路由器本身及路由器允许访问的主机。
它的缺点是路由器一旦被控制后很难发现，而且不能识别不同的用户。
2．双宿主机双宿主机，即有两个网络接口的计算机系统，其中一个接口连接内部网络，一个接口连接外部网络。
一个双宿主机是一种防火墙，这种防火墙的最大特点是IP层的通信是被阻止的，两个网络之间的通信可通过应用层数据共享或应用层代理服务来完成。
计算机网络安全简答题
三、简答题（本大题共6小题，每小题5分，共30分）安全系结构定义了哪五类安全服务(1)鉴别服务 (2)访问控制服务 (3)数据机密性服务 (4)数据完整性服务 (5)抗抵赖性服务27.为提高电子设备的抗电磁干扰能力，除提高芯片、部件的抗电磁干扰能力外，主要还可以采取哪些措施(1)屏蔽 (2)隔离 (3)滤波 (4)吸波 (5)接地28.从工作原理角度看，防火墙主要可以分为哪两类防火墙的主要实现技术有哪些(1)从工作原理角度看，防火墙主要可以分为：网络层防火墙和应用层防火墙。
(2)防火墙的主要实现技术有：包过滤技术、代理服务技术、状态检测技术、NAT 技术。
30.简述办理按揭端口扫描的原理和工作过程。
半连接端口扫描不建立完整的TCP连接，而是只发送一个SYN数据包，一个SYN|ACK 的响应包表示目标端口是监听(开放)的，而一个RST的响应包表示目标端口未被监听(关闭)的，若收到SYN|ACK的响应包，系统将随即发送一个RST包来中断连接。
31.按照工作原理和传输方式，可以将恶意代码分为哪几类恶意代码可以分为：普通病毒、木马、网络蠕虫、移动代码和复合型病毒。
三、简答题(本大题共6小题，每小题5分，共30分)26.防火墙的主要功能有哪些防火墙的主要功能：①过滤进、出网络的数据②管理进、出网络的访问行为③封堵某些禁止的业务④记录通过防火墙的信息和内容⑤对网络攻击检测和告警27.在密码学中，明文，密文，密钥，加密算法和解密算法称为五元组。
试说明这五个基本概念。
明文（Plaintext）：是作为加密输入的原始信息，即消息的原始形式，通常用m或p表示。
密文（Ciphertext）:是明文经加密变换后的结果，即消息被加密处理后的形式，通常用c表示。
密钥（Key）：是参与密码变换的参数，通常用K表示。
加密算法：是将明文变换为密文的变换函数，相应的变换过程称为加密，即编码的过程，通常用E表示，即c=Ek（p）解密算法：是将密文恢复为明文的变换函数，相应的变换过程称为解密，即解码的过程，通常用D表示，即p=Dk（c）28.入侵检测技术的原理是什么入侵检测的原理（P148图）：通过监视受保护系统的状态和活动，采用误用检测或异常检测的方式，发现非授权或恶意的系统及网络行为，为防范入侵行为提供有效的手段。
防火墙的体系结构
1.3 屏蔽子网结构
1.3 屏蔽子网结构
❖ 屏蔽子网防火墙体系结构添加额外的安全层到主机屏蔽体 系结构，即通过添加周边网络更进一步地把内部网络与外 网隔离。
❖ 屏蔽子网体系结构的最简单的形式为使用两个屏蔽路由器， 这两个路由器分别位于堡垒主机的两端，一端连接内网， 一端连接外网。为了入侵这种类型的体系结构，入侵者必 须穿透两个屏蔽路由器。即使入侵者控制了堡垒主机，他 仍然需要通过内网端的屏蔽路由器才能到达内网。
ቤተ መጻሕፍቲ ባይዱ
1.4 组合结构
❖ 在构造防火墙体系时，一般很少使用单一的技术，通常都是使用多种解决方 案的组合。这种组合主要取决于网管中心向用户提供什么服务以及网管中心 能接受什么等级的风险。还要看投资经费、技术人员的水平和时间等。一般 包括下面几种形式：
❖ （1）使用多个堡垒主机。 ❖ （2）合并内部路由器和外部路由器。 ❖ （3）合并堡垒主机和外部路由器。 ❖ （4）合并堡垒主机和内部路由器。 ❖ （5）使用多个内部路由器。 ❖ （6）使用多个外部路由器。 ❖ （7）使用多个周边网络。 ❖ （8）使用双重宿主主机与屏蔽子网。
1.2 屏蔽主机结构
1.屏蔽路由器
1.2 屏蔽主机结构
❖ 屏蔽主机结构的防火墙比双重宿主主机防火墙更安全。屏蔽主 机防火墙体系结构是在防火墙的外面增加了屏蔽路由器。
❖ 蔽路由器是屏蔽主机结构防火墙的有机组成部分，是保护堡垒 主机或服务主机以及内部网络的第一道防线。
❖ 屏蔽路由器一般遵循如下规则进行数据过滤： ❖ ❖ ❖
1.1 双重宿主主机结构
❖ 在双重宿主主机结构中，与外部网络直接相连的主机需要 承担堡垒主机的角色。它作为一种被强化的可防御进攻的 计算机，提供进入内部网络的一个检查点，以达到对整个 网络的安全问题集中解决的目的。
计算机网络形考作业3)(参考答案)
5、TESEC将网络安全分为（7）个级别，（D）是最低级别，（A）是最高级别。（注：四类七个级别，分别为D、C1、C2、B1、B2、B3、A）
6、网络安全技术可分为（身份验证）技术、（数据完整性）技术、（跟踪审计）技术和（信息伪装）技术四大类。P184
广域网是将地理位置上相距较远的多个计算机系统，通过通信线路按照网络协议连接起来，实现计算机之间相互通信的计算机系统的集合。
主要类型：电路交换网、分组交换网和专用线路网三咱。
典型的广域网：
电路交换网：电话拨号网和ISDN网；
分组交换网：X.25网、帧中继网；
专用线路网：DDN网。
6、DDN的主要特点有哪些？P142
服务器可能会被告知连接一个用户计算机的保留端口。
6、Telnet远程登录的根本目的是使本地用户访问远程资源。主要用途表现在哪能些方面？P165
主要用途表现在：
远程登录缩短了空间距离；
远程登录计算机具有广泛的兼容性；
通过Telnet访问其他因特网服务。
7、HTTP协议的主要特点有哪些？P172
HTTP的主要特点概括如下：
5、根据网关的作用不同，可以将网关分为：（协议网关）、（应用网关）和（安全网关）。P135
6、NAT实现方式有（静态NAT）、（动态NAT）和（端口多路复用NAT）三种技术类型。P148
7、IPV6地址采用（128）位二进制结构。P151
8、网络互联实质上就是（协议）之间的转换，这种转换必须有一定的理论依据，有一定的标准可循。P120
二、简答题
1、什么是网络互连？网络互连主要类型有哪些？P120
计算机网络应用基础——期末复习题
中国石油大学（北京）远程教育学院《计算机网络应用基础》期末复习题一、选择题1.属于计算机网络安全的特征的是（A）A.保密性、完整性、可控性B.可用性、可控性、可选性C.真实性、保密性、机密性D.完整性、真正性、可控性2.数据完整性指的是（ A ）A.保护网络中各系统之间交换的数据，防止因数据被截获而造成泄密B.提供连接实体身份的鉴别C. 防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的信息完全一致D.确保数据数据是由合法实体发出的3.PPDR模型由四个主要部分组成：（C）、保护、检测和响应。
A.安全机制B.身份认证C.安全策略D.加密4.ISO/OSI参考模型共有（D）层。
A.4B.5C.6D.75.以下关于对称密钥加密说法正确的是：（ C ）A.加密方和解密方可以使用不同的算法B.加密密钥和解密密钥可以是不同的C.加密密钥和解密密钥必须是相同的D.密钥的管理非常简单6.以下关于非对称密钥加密说法正确的是：（ B ）A.加密方和解密方使用的是不同的算法B.加密密钥和解密密钥是不同的C.加密密钥和解密密钥匙相同的D.加密密钥和解密密钥没有任何关系7.不属于数据流加密的常用方法的是（D）。
A.链路加密B.节点加密C.端对端加密D.网络加密8. 以下算法中属于非对称算法的是（ B ）。
A.DESB.RSA 算法C.IDEAD.三重 DES9.以下选项中属于常见的身份认证形式的是（A）。
A.动态口令牌B.IP卡C.物理识别技术D.单因素身份认证10.数字签名利用的是（A）的公钥密码机制。
A. PKIB.SSLC.TCPD.IDS11. （B）机制的本质特征是：该签名只有使用签名者的私有信息才能产生出来。
A.标记B.签名C.完整性D.检测12.以下关于数字签名说法正确的是：（D）A.数字签名是在所传输的数据后附加上一段和传输数据毫无关系的数字信息B.数字签名能够解决数据的加密传输，即安全传输问题C.数字签名一般采用对称加密机制D.数字签名能够解决篡改、伪造等安全性问题13.数字签名常用的算法有（ B）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1 双宿主主机防火墙结构 双宿主主机结构是围绕着至少具有两个网络接口的双宿主主机而构成的。
双宿主主机的内网与外网均可与双宿主主机间实现互通,然而它的内网与外
网间IP 数据流被双宿主主机完全切断, 内网与外网间是不能互通的。在使用 的时候, 用户可以选择直接登录双宿主机或者是在双宿主机上运行代理服务 器。若是用户自己登陆的话, 会在不经意间给入侵者提供了相对容易的入侵 途径; 若是选择后者的话, 先要通过服务器认证, 再通过代理服务器访问, 则相
对安全些。因为代理服务器它也能像应用程序一样回应输入封包，同时封锁
其他的封包，达到类似于和防火墙一样的效果。但我们也应该看到, 双宿主 主机防火墙拒绝所有的网络服务, 其中也含有DNS, 要使他运行必须要满足应
用网关有代理模块的网络服务才行。所以我们应该认识到, 双宿主主机防火
墙最大的弊端就是不具有灵活性, 但在一些领域它仍然被使用着。 2 主机过滤防火墙结构
石家庄造价培训
现在是信息时代, 互联网在飞速的发展,计算机的应用也越来越广泛, 对
计算机的安全性也越来越严格。我们都知道, 计算机上储存着大量的信息, 个 人的或是公司的等等。若是计算机存在着安全隐患, 这些重要的信息可能会
泄露出去, 可能会造成个人的财产损失, 公司机密的泄露, 或者是对国家安全
全隐患。
3 子网屏蔽防火墙结构 屏蔽子网是在内部网络和外部网络之间建立一个被隔离的子网，用两台
分组过滤路由器将内网与外网分开。这种配置的危险带仅包括堡垒主机、子
网主机及所有连接内网、外网和屏蔽子网的路由器。 在使用时, 若是侵入者想要破坏这种防火墙, 需要重新配置连接三个网的 路由器或者是侵入者先侵入堡垒主机，然后进入内网主机，再返回来破坏屏 蔽路由器。侵入者要想在能入侵成功的同时, 但又不被发现, 不能引起警报,
防火墙指的是一个由软件和硬件设备组合而成, 是一种位于内部网络与 外部网络之间的网络安全系统。它能允许你“同意”的人和数据进入你的网 络，同时将你“不同意”的人和数据拒之门外, 所有的进出信息必须要经过
防护网, 它是安全问题的检查点。防火墙本身要具有非常强的抗攻击免疫力,
要像个卫士一样时刻保护着互联网的安全, 它对阻止非法入侵起着很大的作 用。因此对防护墙的装置需要有一定的技巧和智慧, 一个不经意间的疏忽就 会给电脑带来巨大的安全隐患。下面我将详细地介绍计算机网络防火墙的五 种体系结构。
它是最简单的一种防火墙。它的特殊之处就是在一般的路由器中加入了 过滤的功能。由于有了这种功能, 任何非法的入侵都不能立马的侵入到我们 的电脑, 它能起到透明化的作用, 及时的发现问题, 并采取措施。但是与此同
时, 一旦这种过滤的功能出现了问题, 网络对于入侵者来说就是一种直通状态,
他们可以为所欲为。所以我们应该认识到, 这种防火墙它所提供的安全性不 是很有效, 现在已经基本不使用, 在早期的互联网中才能见到它的身影。 5 吊带式防火墙的结构
燕郊空调移机
吊带式防火墙除了有代理和认证服务器外, 还有内部过滤器用来保证内
网的安全。这就增加了互联网的安全性。入侵者要想非法入侵, 首先要通过
代理服务器和认证服务器的认证, 即使通过这两项认证, 还有内部过滤器来保
证互联网的安全性。黑客们要想侵入电脑,就必须要通过吊带式防火墙为互 联网的安全性提供了双层的保障。所以我们应该认识到, 吊带式防火墙它是 一种最简单的防入侵的安全模式, 但是它的应用并没有得到一个很好的推广, 在实际中的应用并不常见, 希望在未来可以更加广泛的使用它, 使互联网更加 的安全。
造成隐患。为了能更好的发挥计算机强大的功能, 我们需要提供安全有效的 防火墙体系, 让计算机的安全能得到保证。但现在的防火墙体系结构并不是 那么的完备, 不能完全的阻止黑客的入侵,希望在不久的将来, 能有更多的关于 这方面的人才, 他们能够完善现在的防火墙体系结构,同时能把更加高端的防
火墙技术推广出去, 提高计算机的安全性, 让计算机达到一个新的发展高度。
这对他们来说还是有一定的难度。但是子网屏蔽防火墙的配置并不是那么难
的可见, 可以很容易获得。所以我们应该认识到, 这种防火墙的安全性是有保 障的, 侵入者并不是那么容易侵入的, 它应该算得上是一种比较好的墙结构
过滤路由器防火墙是基于所收到的数据包的源地址、目的地址、 TCP/UDP、源端口号及目的端口号、分组出入接口、协议类型和数据包中的 各种标志位等参数，与管理者预定的访问控制表( 拟定一个提供接收和服务 对象的清单，一个不接受访问或服务对象的清单) 进行比较，按所定安全政 策允许或拒绝访问，决定数据是否符合预先制定的安全策略，决定数据分组 的转发或丢弃，即实施信息过滤。
大厂搬家公司
主机过滤防火墙是通过过滤路由器来实现其功能的。它会更加仔细地检 查数据包，除了决定是否有到达目标地址的路径外，还要决定是否应该发送
数据包。
这种主机虽然可实现认证与互交, 能为互联网的使用提供更加完备的服 务, 但它依赖一个单一的部件来保护系统。我们应该看到, 如果这个单一的保 护系统出现问题, 互联网的安全性就得不到保证, 对于黑客来说, 他们会更加容 易侵入到用户的电脑。所以我们应该认识到, 这种防火墙虽然使用的资金并 不多, 成本不高, 使用起来也容易、方便, 但它的安全性得不到保证, 存在着安