华为防火墙培训胶片.ppt

防火墙培训
学****完本课程,您应该能够:
了解Eudemon产品工作原理
了解Eudemon产品规格和特性
掌握Eudemon产品典型组网及配置
掌握Eudemon产品维护方法
学****目标
1
内容介绍
第一章防火墙技术简介
第二章防火墙体系结构
第三章防火墙原理与特性
第四章防火墙升级指导
第五章 防火墙配置案例
第六章 防火墙产品差异
第七章 防火墙故障处理指导
2
防火墙概述
网络安全问题成为近年来网络问题的焦点
网络安全包括基础设施安全、边界安全和管理安全等全方位策略
防火墙的主要作用是划分边界安全,实现关键系统与外部环境的安全隔离,保护内部网络免受外部攻击
与路由器相比,防火墙提供了更丰富的安全防御策略,提高了安全策略下数据报转发速率
由于防火墙用于边界安全,因此往往兼备NAT、VPN等功能
我司防火墙:Eudemon系列(英文含义---守护神)
一夫当关,万夫莫开
3
防火墙的分类(一)
包过滤防火墙
代理防火墙
状态防火墙
包过滤防火墙
代理防火墙
状态防火墙
4
防火墙的分类(二)
按照防火墙实现的方式,一般把防火墙分为如下几类:
包过滤防火墙(Packet Filtering)
包过滤利用定义的特定规则过滤数据包,防火墙直接获得数据包的IP源地址、目的地址、TCP/ UDP的源端口、和TCP/UDP的目的端口。
包过滤防火墙简单,但是缺乏灵活性,对一些动态协商端口没有办法设置规则。另外包过滤防火墙每包需要都进行策略检查,策略过多会导致性能急剧下降。
代理型防火墙(application gateway)
代理型防火墙使得防火墙做为一个访问的中间节点,对Client来说防火墙是一个Server,对Server来说防火墙是一个Client。
代理型防火墙安全性较高,但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的,因此代理型防火墙不能支持很丰富的业务,只能针对某些应用提供代理支持。
状态检测防火墙
状态检测是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接,每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。
现在防火墙的主流产品都为状态检测防火墙:高性能和高安全的完美结合。
5
防火墙技术发展方向
软件防火墙。一般是直接安装在PC上的一套软件,基于PC提供基本的安全防护,此时防火墙基本上就是一个应用软件。代表产品有CheckPoint公司的防火墙产品。
工控机类型防火墙。采用PC硬件结构,基于linux等开发源代码的操作系统内核,开发了安全防护的一些基本特性构成硬件防火墙产品形态。从外观上面看,该种防火墙是一个硬件防火墙产品,但是其软件、硬件和第一种防火墙产品从硬件上面说没有本质区别。国内大多数防火墙是采用这种技术。
电信级硬件防火墙。采用独立设计的硬件结构,在CPU、电源、风扇、PCI总线设计、扩展插卡等方面优化结构,保证防火墙产品可以得到最优的处理性能和高可靠性。代表产品有华为公司的Eudemon Screen 204等防火墙产品。
基于NP电信级防火墙。由于纯软件设计的防火墙产品在流量很大的地方逐步成为瓶颈,基于网络处理器(NP)的业务加速模式的防火墙产品开始出现。通过网络处理器的高性能,使得防火墙产品可以达到1G线速的处理能力。代表产品有华为公司的Eudemon 500/1000产品。
软件防火墙=> 工控机类型防火墙=>电信级硬件防火墙=>基于NP电信级防火墙
6
基于改进的状态检测安全技术(一)
改进的状态防火墙: Eudemon系列防火墙即采用的这种技术,这是华为特有的ASPF技术(Application specific packet filter),它结合了代理型防火墙安全性高、状态防火墙速度快的优点,因此安全性高,处理能力强。
动态创建和删除过滤规则
监视通信过程中的报文
7
基于改进的状态检测安全技术(二)
ASPF(Application Specific Packet Filter)增强VRP平台上的防火墙功能,提供针对应用层的报文过滤功能。
ASPF是一种高级通信过滤。它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接,每一个连接状态信息都将被ASPF维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。
ASPF不仅能够根据连接的状态对报文进行过滤还能够对应用层报文的内容加以检测,以对一部分攻击加以检测和防范。
8
基于改进的状态检测安全技术(三)
状态防火墙通过检测基于TCP/UDP连接的连接状态,来动态的决定报文是否可以通过防火墙。在状态防火墙中,会维护着一个Session表项,通