项目13防火墙的配置.pptx

防火墙通常是运行在一台单独计算机之上的一个特别 的服务软件，它可以识别并屏蔽非法的请求，保护内 部网络敏感的数据不被偷窃和破坏，并记录内外网通 信的有关状态信息日志，如通信发生的时间和进行的 操作等。
防火墙技术是一种有效的网络安全机制，它主要用于 确定哪些内部服务允许外部访问，以及允许哪些外部 服务访问内部服务。其基本准则就是：一切未被允许 的就是禁止的；一切未被禁止的就是允许的。
天网防火墙把网络分为本地网和互联网，可针对来自 不同网络的信息，来设置不同的安全方案，适合于任 何方式上网的用户。
13.3 相关知识点
13.3.1 防火墙概述
传统情况下，当构筑和使用木结构房屋的时候，为防 止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋 周围作为屏障，这种防护构筑物被称为防火墙 (FireWall)。
再者，隐私是内部网络非常关心的问题，一个内部网络中 不引人注意的细节可能包含了有关安全的线索而引起外部 攻击者的兴趣，甚至因此而暴露了内部网络的某些安全漏 洞。使用防火墙就可以隐蔽那些透漏内部细节的服务。
防火墙也有局限性，存在着一些防火墙不能 防范的安全威胁，
如防火墙不能防范不经过防火墙的攻击(例如， 如果允许从受保护的网络内部向外拨号，一 些用户就可能形成与因特网的直接连接)。
③ 对网络存取和访问进行监控审计。如果所有的访问都经过 防火墙，那么，防火墙就能记录下这些访问并做出日志记 录，同时也能提供网络使用情况的统计数据。当发生可疑 动作时，防火墙能进行适当的报警，并提供网络是否受到 探测和攻击的详细信息。另外，收集一个网络的使用和误 用情况也是非常重要的。
④ 防止内部信息的外泄。通过利用防火墙对内部网络的划分， 可实现对内部网络重点网段的隔离，从而限制局部重点或 敏感网络安全问题对全局网络造成的影响。
在微软管理控制台(MMC)中，添加“IP安全策略管理” 后，通过“IP筛选器表”和“IP筛选器操作”，创建 IP安全策略，阻止或许可特定的网络连接，完成自建 简易的防火墙。
用得较多的还是第三方防火墙软件，如天网防火墙软 件等。天网防火墙软件是一款网络安全程序，根据用 户设定的安全规则把守网络，提供强大的访问控制、 信息过滤等功能，从而抵御网络入侵和攻击，防止信 息泄露。
Windows系统自带了防火墙，能满足一般用户的需要。 用Internet Explorer、Outlook Express等Windows 系统自带的程序进行网络连接，Windows防火墙是默 认不干预的。
Windows 防火墙能限制从其他计算机发送来的信息， 使用户可以更好地控制自己计算机上的数据，并针对 那些未经邀请而尝试连接的用户或程序(包括病毒和 蠕虫)提供了一条安全防线。
防火墙具有如下作用：
① 防火墙是网络安全的屏障。由于只有经过精心选择 的应用协议才能通过防火墙，所以防火墙(作为阻塞 点、控制点)能极大地提高内部网络的安全性，并通 过过滤不安全的服务而降低风险，使网络环境变得更 安全。
② 防火墙可以强化网络安全策略。通过以防火墙为中 心的安全方案配置，能将所有安全软件(如口令、加 密、身份认证、审计等)配置在防火墙上。与将网络 安全问题分散到各个主机上相比，防火墙的集中安全 管理更经济。
防火墙应该是不同网络或网络安全域之间信息的唯一 出入口，能根据企业的安全策略控制(允许、拒绝、监 测)出入网络的信息流，且本身具有较强的抗攻击能力， 是提供信息安全服务，实现网络和信息安全的基础设 施。
在逻辑上，防火墙是一个分离器，一个限制器，也是 一个分析器，它能有效监控内部网和外部网之间的任 何活动，保证了内部网络的安全。其结构如图13-1所 示。
如今，人们借助这个概念，使用“防火墙”来保护敏 感的数据不被窃取和篡改。不过，这种防火墙是由先 进的计算机系统构成的。
防火墙犹如一道护栏隔在被保护的内部网与不安全的 非信任网络之间，用来保护计算机网络免受非授权人 员的骚扰与黑客的入侵。
防火墙可以是非常简单的过滤器，也可能是精心配置 的网关，但它们的原理是一样的，都是监测并过滤所 有内部网和外部网之间的信息交换。
学习情境六 网络安全与网络编程 项目13 防火墙的配置
项目1 双机互连对等网络的组建
13.1 项目提出
在目前网络受攻击案件数量直线上升的情况下，用户 随时都可能遭到各种恶意攻击。
张飞近期备受计算机病毒的骚扰，虽然了安装了反病 毒软件，但还是存在很多安全隐患，如上网账号被窃 取、冒用、银行账号被盗用、电子邮件密码被修改、 财务数据被利用、机密档案丢失、隐私曝光等。
由于内部主机与外部主机不进行直接的通信连接，而是 通过防火墙的应用层进行传达转交，所以可以较好地保 证安全性。但是它要求应用层数据中不包含加密、压缩 的数据，否则应用层的代理很难实现安全检测。
优点：一高。
缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据 包过滤；正常的数据包过滤路由器无法执行某些安全策略。
2．应用代理技术
应用代理也叫应用网关，它工作在应用层，采用代理服 务器来代替内部网络的用户接收外部的数据，取出应用 层的信息并经过检查后，通过建立一条新的会话连接将 数据转交给内部用户主机。
另外，防火墙很难防范来自于网络内部的攻 击以及病毒的威胁等。
13.3.2 防火墙技术
1．分组(包)过滤技术
分组过滤器是目前使用最为广泛的防火墙，其作用于网络层 和传输层，通常安装在路由器上。它根据分组中的源地址、 目的地址、端口号、协议类型等标志，确定是否允许数据包 通过。只有满足过滤逻辑的数据包才被转发到相应的目的地 出口端，其余数据包则从数据流中丢弃。
为了进一步提高计算机及网络的安全性，张飞请诸葛 亮帮助安装一款防火墙软件，并合理设置一些安全规 则，拦截一些来历不明、有害敌意访问或攻击行为， 消除安全隐患。
13.2 项目分析
网络的发展虽然为人们带来了许多方便，可也带来了 很多隐患。随着网络的普及，病毒、木马、网络攻击 等安全事故层出不穷，安装一款好的防火墙软件必不 可少。