Amaranten防火墙配置培训2.pptx

2
9.1.2 iptables简介
网络服务器搭建、配置与管理——Linux版
早期的Linux系统采用过ipfwadm作为防火墙，但在2.2.0核心中 被ipchains所取代。
Linux 2.4版本发布后，netfilter/iptables信息包过滤系统正式使用。 Netfilter/iptables IP数据包过滤系统实际由netfilter和iptables两
就如192同.16直8.0接.25通4 信一样实 。现如N图AT 的计算机
Web 服务器
14
9.1.4 NAT的基本知识
网络服务器搭建、配置与管理——Linux版
15
9.1.4 NAT的基本知识
网络服务器搭建、配置与管理——Linux版
16
9.1.4 NAT的基本知识
网络服务器搭建、配置与管理——Linux版
9.3.2 任务2 认识iptables的基本语法
iptable -I INPUT 2 -p tcp --dport 80 -j ACCEPT
26
网络服务器搭建、配置与管理——Linux版
9.3.2 任务2 认识iptables的基本语法
3．匹配选项
匹配选项用来指定需要过滤的数据包所具备的条件。换句话说就是在过 滤数据包的时候，iptables根据什么来判断到底是允许数据包通过，还是不允 许数据包通过，过滤的角度通常可以是源地址、目的地址、端口号或状态等信 息。如果使用协议进行匹配的话，就是告诉iptables从所使用的协议来进行判 断是否丢弃这些数据包。在TCP/IP的网络环境里，大多数的数据包所使用的协 议不是TCP类型的就是UDP类型的，还有一种是ICMP类型的数据包，例如 ping命令所使用的就是ICMP协议。下面先来介绍一些较为常用的匹配选项。 更多介绍请参考相关文献。

域（Zone） 域是防火墙上引入的一个重要的逻辑概念；通过将接口加入域并在安全区域之间启动安全检查（称 为安全策略），从而对流经不同安全区域的信息流进行安全过滤。常用的安全检查主要包括基于ACL 和应用层状态的检查
接口2 DMZ区域 Untrust区域 Local区域 接口1 接口3
Trust区域
防火墙的内部划分为多个区域，所有的转发接口都唯一的属于某个区域


状态检测防火墙


状态检测防火墙 状态检测是一种高级通信过滤。它检查应用层协议信息并且监控 基于连接的应用层协议状态。对于所有连接，每一个连接状态信 息都将被ASPF维护并用于动态地决定数据包是否被允许通过防 火墙或丢弃。 状态检测技术在网络层实现所有需要的防火墙能力，它既有包过 滤机制的速度和灵活，也有代理型防火墙安全的优点。


域间（InterZone）： 防火墙在引入域概念的同时也引入了域间概念；任何不同的安全域之间 形成域间关系，SecPath 防火墙上大部分规则都是配置在域间上，为了便于 描述同时引入了域间方向的概念： inbound ： 报文从低优先级区域进入高优先级区域为入方向； outbound ： 报文从高优先级区域进入低优先级区域为出方向 ；
。
用户A初始化一个telnet会话 其它telnet报文被阻塞
创建Session表项
用户A的telnet会话返回报文被允许
防火墙基本概念——多通道协 议
多通道协议 是指某个应用在进行通讯或提供服务时需要建立两个以上的会话（通道），其中有一个控 制通道，其他的通道是根据控制通道中双方协商的信息动态创建的，一般我们称之为数 据通道或子通道；多通道协议在防火墙应用以及NAT设备的应用中需要特殊处理，因为 数据通道的端口是不固定的（协商出来的）其报文方向也是不固定的

1.4登录防火墙
认证方式
A.电子钥匙认证
需要安装电子钥匙驱动程序和防火墙管理员登录认 证程序。
B.证书认证
需要导入IE证书，和防火墙证书(IE证书与防火墙 证书要一一对应)，防火墙证书支持页面与串口两种方 式。
1.4登录防火墙
电子钥匙认证
• 安装电子钥匙驱动程序将随机光盘放入管理主机的光 驱，进入随机附带的光盘的key目录， 执行该目录下 的INSTDRV.EXE，提示“退出请重新插锁”。
据抓包。
• 2、tcpdump –i eth0 dst host 83.16.16.1 and port 53 • dst host 83.16.16.1是指对目标主机83.16.16.1进行数据抓包。 • port 53是指对目标主机83.16.16.1的53端口进行数据抓包。 • 此条命令是指：在防火墙eth0网口对目标主机83.16.16.1的53端口上进
高可用性HA、连接管理、地址绑定、 产品许可证、VPN相关……
2防火墙界面介绍
HA双机热备
2防火墙界面介绍
HA探测网口
2防火墙界面介绍
HA探测ip
2防火墙界面介绍
地址绑定
2防火墙界面介绍
IPSec VPN
2防火墙界面介绍
IPSec VPN
2防火墙界面介绍
IPSec VPN
2防火墙界面介绍
1.4登录防火墙
电子钥匙认证
• 在管理主机上，运行随机光盘administrator目录下的 ikeyc.exe程序, 程序将提示用户输入PIN口令。
• 首次使用默认PIN为“12345678”
1.4登录防火墙
电子钥匙认证
通过后弹出管理员身份认证对话框,首次登录点击“连接” 成功后,会显示“通过认证”对话框。退出防火墙管理之 前请不要关闭此页面。

• 了解恶意进攻手段
现代信息安全系统
•现代信息安全系统＝
–防火墙 –＋合适的安全策略 –＋全体人员的参与
防火墙的应用设计原则
• Affordability
– 我准备为安全支付多少费用?
• Functionality
– 我是否还能使用我的资源?
• Cultural Compatibility
– 是否符合人们的工作方式?
地址翻译-NAT(一)
• RFC1918规定了私有地址
– 下面三类地址不能用于Internet主机地址
地址翻译-NAT(二)
• 实现方式
– 静态地址翻译 – 动态地址翻译 – 端口地址翻译(PAT)
• 优点：节约地址资源，有一定的安全保 护作用
• 缺点：有些服务不能支持
NAT-静态地址翻译
NAT-端口地址翻译
• 两种缺省选择
– 没有被明确允许的即为禁止 – 没有被明确禁止的即为允许
防火墙的安全策略
• 防火墙的物理安全 • 防火墙的认证加密 • 防火墙的过滤策略 • 防火墙的预警能力 • 防火墙的记录设置
名词解释
• 堡垒主机（Bastion Host）
– 一个高度安全的计算机系统。通常是暴露于 外部网络，作为连接内部网络用户的桥梁， 易受攻击。
回路层代理服务
全状态检测(Stateful Inspection)
Application Presentation
Session Transport Network DataLink Physical
Application Presentation
Session Transport Network
– TCP or UDP

●PREROUTING：路由之前，修改接受的数据包。 ●INPUT：应用于发送给本机的数据包。 ●FORWARD：修改经过本机路由的数据包。 ●OUTPUT：路由之前，修改本地产生的数据包。 ●POSTROUTING：数据包发送出去之前，修改该包。
10
9.1.3 iptables工作原理
网络服务器搭建、配置与管理——Linux版
8
9.1.3 iptables工作原理
网络服务器搭建、配置与管理——Linux版
② nat。当数据包建立新的连接时，该nat表能够修改数据包， 并完成网络地址转换。它包含以下3个内置链。
●PREROUTING：修改到达的数据包。 ●OUTPUT：路由之前，修改本地产生数据包。 ●POSTROUTING：数据包发送前，修改该包。 nat表仅用于网络地址转换，也就是转换包的源或目标地址，其具 体的动作有DNAT、SNAT以及MASQUERADE，下面的内容将会详 细介绍。
（1）从Intranet传出的数据包由NAT将它们的专用地址转换为公用地址。 （2）从Internet传入的数据包由NAT将它们的公用地址转换为专用地址。 （3）支持多重服务器和负载均衡。 （4）实现透明代理。
这样在内网中计算机使用未注册的专用IP地址，而在与外部网络通信时使用注 册的公用IP地址，大大降低了连接成本。同时NAT也起到将内部网络隐藏起来，保 护内部网络的作用，因为对外部用户来说只有使用公用IP地址的NAT是可见的，类 似于防火墙的安全措施。
2．iptables工作流程
iptables拥有3个表和5个链，其整个工作流程如图
11
9.1.—Linux版
12
9.1.4 NAT的基本知识
网络服务器搭建、配置与管理——Linux版

等
05
防火墙配置：规 则设置、端口管 理、日志记录等
06
网络设备安装与 调试：硬件连接、 软件配置、测试
验证等
实际操作演示
01
设备安装：选择合适的位置， 按照说明书进行安装
02
设备调试：检查设备是否正 常工作，并进行必要的调整
03
防火墙配置：设置防火墙规 则，保护网络免受攻击
04
故障排除：遇到故障时，根 据提示进行排除和解决
设备兼容性：与 其他网络设备的 兼容性，如操作 系统、协议等
设备可扩展性： 未来网络升级和 扩展的需求
设备价格：性 价比、预算限 制等
设备售后服务： 技术支持、保修 期等
安装步骤
准备网络设备：选择合适的 网络设备，如路由器、交换
机等
规划网络拓扑：设计网络拓 扑结构，包括设备位置、连
接方式等
连接设备：按照规划的拓扑 结构，将网络设备连接到网
防火墙配置
防火墙功能
01
保护内部网络免受 外部攻击
02
控制网络流量，防 止网络拥塞
03
防止病毒和恶意软 件的传播
04
保护用户隐私和数 据安全
05
提供网络访问控制， 限制特定网络访问
06
记录网络活动，便 于监控和审计
配置方法
01
登录防火墙管理 界面
02
配置网络参数， 如IP地址、子网
掩码等
03
配置安全策略， 如允许/拒绝访 问、端口开放等
05
总结：回顾操作过程，总结 操作要点和注意事项
常见问题解答
01
02
03
防火墙的基本原理 是什么？
04
如何选择合适的防 火墙？

防火墙配置手册
防火墙形态
类似于一台路由器设备，是一台特殊的计算机。
配置目标
以天融信防火墙(TOPSEC FireWall ARES－M)为实例，来测试防火墙各 区域的访问控制机制：
目标一： 了解访问策略的原理与作用。通过设置访问策略，测试Intranet（企
业内联网）,SSN（安全服务区，即DMZ（非军事区）,Internet（互联网） 区域之间访问控制机制。
通过地址映射后，访问虚口地址即实际转向访问到节点B.
说明： Internet
必外须网针对不D同M区Z域设区置访问权限，同一区域2内.的25主0机防火墙是不能控制6权.2限5的0，设置的策In略t也er是n无et用外的。网
报 2通、头过禁这止种1网S方9S数式关N2据主.，1：机互618访联9.问2网2.互.上510联主6/86网机.0。2可/.7不205需/08路0由/9（0 网关）到企业内网。
特别注意：访问策略应在被访问对象所在的目标区域设 置策略。如：访问SSN区域内主机，则应在SSN区域内设 置策略。
访问控制测试
2) 在本区域内增加‘包过滤策略’，建立禁止对方主机（策略源）访 问本机（策略目的）的访问策略，测试对方区域的主机到本机的连通性。
Connection to inside network
Intranet 内部网络
Internet
Web e-mail FTP
防火墙
为网络用户提供安全 的 Internet 接 入
DMZ WEB服务层
Connection to www network
• Web 站 点 访 问 过 滤
Web Site Filter
– 限制对非本企业 业务目的的
Internet 资 源 的 访 问