網(wǎng)絡(luò)技術(shù)培訓(xùn)系列課程：安全技術(shù)-防火墻技術(shù)理論

防火墻技術(shù)理論

防火墻技術(shù)理論學(xué)習(xí)目標(biāo)掌握防火墻技術(shù)原理掌握防火墻對(duì)ALG的處理方式了解防火墻硬件架構(gòu)分類掌握銳捷防火墻產(chǎn)品分類及特點(diǎn)2課程內(nèi)容第一章防火墻技術(shù)原理第二章防火墻硬件架構(gòu)第三章銳捷防火墻產(chǎn)品3什么是防火墻防火墻概述所謂防火墻指的是一個(gè)由軟件和硬件組合而成安全設(shè)備應(yīng)用場(chǎng)景內(nèi)部網(wǎng)和外部網(wǎng)之間專用網(wǎng)與公共網(wǎng)之間

4internetintranetServer根據(jù)訪問(wèn)控制規(guī)則決定網(wǎng)絡(luò)進(jìn)出行為根據(jù)訪問(wèn)控制規(guī)則決定網(wǎng)絡(luò)進(jìn)出行為簡(jiǎn)單包過(guò)濾技術(shù)簡(jiǎn)介概述類似交換機(jī)、路由ACL實(shí)現(xiàn)原理檢查IP、TCP、UDP信息5http:80允許訪問(wèn)簡(jiǎn)單包過(guò)濾技術(shù)優(yōu)缺點(diǎn)優(yōu)點(diǎn)速度快，性能高，可以用硬件實(shí)現(xiàn)實(shí)現(xiàn)原理檢查IP、TCP、UDP信息缺點(diǎn)不能根據(jù)狀態(tài)信息進(jìn)行控制前后報(bào)文無(wú)關(guān)不能處理網(wǎng)絡(luò)層以上的信息狀態(tài)檢測(cè)技術(shù)簡(jiǎn)介概述根據(jù)通信和應(yīng)用程序狀態(tài)確定是否允許包的通行用于識(shí)別或者控制數(shù)據(jù)流是返回的數(shù)據(jù)流還是首發(fā)的數(shù)據(jù)流在數(shù)據(jù)包進(jìn)入防火墻時(shí)就根據(jù)狀態(tài)表進(jìn)行識(shí)別和判斷，無(wú)需重復(fù)查找規(guī)則7狀態(tài)檢測(cè)技術(shù)原理原理示意圖安全規(guī)則表狀態(tài)表（五元組及擴(kuò)展字段）8http:80規(guī)則表：permitany80http狀態(tài)表：permit1234580httppermit8012345http狀態(tài)檢測(cè)技術(shù)原理（續(xù)）原理流程圖優(yōu)點(diǎn)更加安全缺點(diǎn)狀態(tài)表龐大不能檢測(cè)應(yīng)用層協(xié)議內(nèi)容，如URL過(guò)濾9狀態(tài)表規(guī)則表數(shù)據(jù)流轉(zhuǎn)發(fā)規(guī)則NY狀態(tài)檢測(cè)技術(shù)存在的問(wèn)題問(wèn)題FTP協(xié)議（被動(dòng)模式）10ftp:21規(guī)則表：permitany21ftp狀態(tài)表：permit1234521ftp?狀態(tài)檢測(cè)技術(shù)的改進(jìn)ALG一個(gè)應(yīng)用由多個(gè)通道組成（控制面、數(shù)據(jù)面）管理通道或者其他通道由內(nèi)嵌式IP地址或者端口號(hào)例：FTP、H.323、SIP、PPTP等FTP解析（passivemode）識(shí)別FTP協(xié)議讀取協(xié)議字段11應(yīng)用代理防火墻簡(jiǎn)介概述用戶數(shù)據(jù)先到達(dá)代理服務(wù)器，再由代理服務(wù)器進(jìn)行目標(biāo)地址訪問(wèn)分類非透明代理透明代理12應(yīng)用代理防火墻原理原理13http:800應(yīng)用代理防火墻優(yōu)缺點(diǎn)優(yōu)點(diǎn)用戶數(shù)據(jù)不與訪問(wèn)目標(biāo)直接通訊，增強(qiáng)了訪問(wèn)安全性缺點(diǎn)支持的協(xié)議比較少HTTPFTPSMTP/POP3TELNET主要是明文協(xié)議并且基本是比較老的協(xié)議不支持BT這些應(yīng)用程序14防火墻技術(shù)總結(jié)15項(xiàng)目?jī)?yōu)點(diǎn)缺點(diǎn)簡(jiǎn)單包過(guò)濾速度快，性能高不能基于狀態(tài)的檢測(cè)，對(duì)網(wǎng)絡(luò)層以上的信息不能處理，不能識(shí)別動(dòng)態(tài)協(xié)議狀態(tài)檢測(cè)根據(jù)狀態(tài)信息過(guò)濾數(shù)據(jù)包，不用重復(fù)的ACL查找（類似一次路由，多次交換），對(duì)動(dòng)態(tài)協(xié)議支持比較好。不檢查數(shù)據(jù)部分，應(yīng)用層控制比較弱應(yīng)用代理在應(yīng)用層識(shí)別數(shù)據(jù)，更加安全處理速度慢，協(xié)議支持少課程內(nèi)容第一章防火墻技術(shù)原理第二章防火墻硬件架構(gòu)第三章銳捷防火墻產(chǎn)品16防火墻硬件架構(gòu)硬件架構(gòu)分類X86RISC

混合其他安全設(shè)備硬件架構(gòu)UTMAVIDS/IPS17x86硬件架構(gòu)18X86通用PC，又稱工控機(jī)。X86構(gòu)架優(yōu)點(diǎn)

X86平臺(tái)防火墻具有比較成熟可靠的技術(shù)，功能的實(shí)現(xiàn)方法靈活多樣，具有較多的功能。X86構(gòu)架缺點(diǎn)系統(tǒng)控制和數(shù)據(jù)轉(zhuǎn)發(fā)都使用相同的CPU資源，CPU成為系統(tǒng)瓶頸。X86構(gòu)架的應(yīng)用防火墻，UTM，IDS，AV，VPN等X86構(gòu)架的防火墻銳捷RG-WALL120/160/160A/1600/1600A、國(guó)內(nèi)大部分防火墻、PIX/ASA、juniper中低端防火墻、阿姆瑞特防火墻等RISC硬件架構(gòu)NPIXP—IXP425,IXP2400Hifn-5NP4G（即IBM的4GS3）RMI最高款是一個(gè)8核的，每個(gè)核1.2Ghz，總的處理能力也是9.6GhzCAVIUM最高款是一個(gè)16核的，每個(gè)核600Mhz，總的處理能力是9.6Ghz19混合平臺(tái)X86+ASICRG-WALL2000X86+FPGA天融信-獵豹20ASIC硬件構(gòu)架21ASIC使用ASIC來(lái)完成防火墻的功能，即將大部分或全部的防火墻功能都固化到ASIC芯片中，由ASIC芯片完成主要的防火墻功能。ASIC構(gòu)架優(yōu)點(diǎn)具有較高處理速度和吞吐量，系統(tǒng)運(yùn)行效率高，功耗相對(duì)較低。ASIC構(gòu)架缺點(diǎn)ASIC架構(gòu)的防火墻功能相對(duì)固定可升級(jí)空間小，此外防火墻功能多樣靈活，需要處理的數(shù)據(jù)含蓋第二到第七層，許多功能難以用硬件實(shí)現(xiàn)。另外ASIC設(shè)計(jì)和生產(chǎn)費(fèi)用龐大、周期長(zhǎng)ASIC構(gòu)架的應(yīng)用高速度交換機(jī)，路由器，防火墻等ASIC構(gòu)架的防火墻銳捷RG-WALL2000、juniper5400等高端防火墻課程內(nèi)容第一章防火墻技術(shù)原理第二章防火墻硬件架構(gòu)第三章銳捷防火墻產(chǎn)品22RG-WALL160系列防火墻Roadmap23Y：接口/參數(shù)4口8口RG-WALL160E并發(fā)1000用戶RG-WALL160M并發(fā)500用戶X：性能/規(guī)模RG-WALL60并發(fā)50用戶RG-WALL160T并發(fā)750個(gè)用戶RG-WALL60RG-WALL160MRG-WALL160TRG-WALL160ERG-WALL160系列防火墻參數(shù)24技術(shù)參數(shù)參數(shù)描述產(chǎn)品型號(hào)RG-WALL160ERG-WALL160TRG-WALL160MRG-WALL60物理特性

容錯(cuò)/電源備份100-240V/50-60Hz100-240V/50-60Hz100-240V/50-60Hz100-240V/50-60Hz電源雙電源單電源單電源單電源系統(tǒng)性能

產(chǎn)品架構(gòu)x86x86x86NP接口4個(gè)GE口+1個(gè)FE口4個(gè)GE口+2個(gè)SFP口+1個(gè)FE口固化4個(gè)GE口+1個(gè)FE口固化7個(gè)FE口擴(kuò)展插槽提供1個(gè)模塊化插槽，支持4GE/4SFP/2GE/2SFP擴(kuò)展無(wú)提供1個(gè)模塊化插槽，支持4GE/4SFP/2GE/2SFP擴(kuò)展無(wú)安全策略數(shù)65535655356553510000VLAN數(shù)量4096409640964096吞吐性能400-600Mbps300-400Mbps200-300Mbps60Mbps以下RG-WALL1600系列防火墻Roadmap25Y：固化接口8口RG-WALL2000并發(fā)10000用戶RG-WALL1600T/M并發(fā)4000用戶X：性能/規(guī)模RG-WALL1600S并發(fā)2000用戶RG-WALL1800/1600E并發(fā)6000個(gè)用戶RG-WALL2000RG-WALL1600MRG-WALL1600T4口12口RG-WALL1600ERG-WALL1800RG-WALL1600SRG-WALL1600系列防火墻參數(shù)26技術(shù)參數(shù)參數(shù)描述產(chǎn)品型號(hào)RG-WALL1600SRG-WALL1600MRG-WALL1600T物理特性

容錯(cuò)/電源備份100-240V/50-60Hz100-240V/50-60Hz100-240V/50-60Hz電源雙電源雙電源雙電源系統(tǒng)性能

產(chǎn)品架構(gòu)x86多核x86多核x86多核接口固化6GE接口＋2SFP接光口固化6GE電口+2個(gè)SPF光口固化6GE電口+6個(gè)SPF光口擴(kuò)展插槽2個(gè)擴(kuò)展插槽，支持8GE/SFP、4GE/SFP擴(kuò)展2個(gè)擴(kuò)展插槽，支持8GE/SFP、4GE/SFP擴(kuò)展2個(gè)擴(kuò)展插槽，支持8GE/SFP、4GE/SFP擴(kuò)展安全策略數(shù)655356553565535VLAN數(shù)量409640964096吞葉性能600-800Mbps800-1000Mbos800-1000MbpsRG-WALL1600系列防火墻參數(shù)（續(xù)）27技術(shù)參數(shù)參數(shù)描述產(chǎn)品型號(hào)RG-WALL1600ERG-WALL1800RG-WALL2000物理特性

容錯(cuò)/電源備份100-240V/50-60Hz100-240V/50-60Hz100-240V/50-60Hz電源雙電源雙電源雙電源系統(tǒng)性能

產(chǎn)品架構(gòu)x86多核x86多核ASIC+x86接口全模塊化4個(gè)GE口+4個(gè)SFP口4個(gè)10/100/1000BaseT+4個(gè)SFP口+2個(gè)百兆管理口擴(kuò)展插槽3個(gè)擴(kuò)展插槽，支持8GE/