第九講

網(wǎng)絡(luò)安全

主講:Email:電話:881952261網(wǎng)絡(luò)安全教學(xué)目的通過本講的學(xué)習(xí)，應(yīng)能掌握防火墻、IPsec，VPN，VLAN教學(xué)重點

1、防火墻

2、IPsec，VPN和VLAN教學(xué)難點

1、防火墻

2、IPsec，VPN和VLAN2網(wǎng)絡(luò)安全防火墻IP安全I(xiàn)PsecVPNVLAN3防火墻DMZ：停火區(qū)（DemilitarizedZone非軍事區(qū)），公用局域網(wǎng)。內(nèi)部的主機為堡壘主機。實際上外界可以有限訪問（只開有限端口）4好的防火墻特性從內(nèi)到外/從外到內(nèi)只允許本地安全策略授權(quán)的通信流經(jīng)過防火墻本身要足夠強大，不會被破解（Netscreen)5防火墻的分類防火墻硬件（Netscreen,Juniper、CHECKPOINT、CISCO等等軟件InternetSecurityandAcceleration(ISA)Server2006諾頓網(wǎng)絡(luò)安全特警F-SecureMcAfee

Desktop

Firewall天網(wǎng)防火墻瑞星防火墻6防火墻類型兩大類分組過濾應(yīng)用網(wǎng)關(guān)7分組過濾防火墻Packetfilter對分組采用一組規(guī)則，來確定是轉(zhuǎn)發(fā)還是丟棄。又稱為掃描路由器或掃描過濾過濾規(guī)則基于IP與TCP/UDP頭中的幾個字段源地址/目的地址源端口/目的端口要保護(hù)某一臺電腦，采用IP地址規(guī)則。要保護(hù)某臺電腦上的程序（服務(wù)），則采用IP地址：端口規(guī)則8應(yīng)用網(wǎng)關(guān)也稱為代理服務(wù)器七層設(shè)備，可以過濾應(yīng)用層病毒。比如郵件病毒過濾防火墻。速度比分組過濾防火墻慢，但針對應(yīng)用。9防火墻的局限無法防止內(nèi)部攻擊必須是企業(yè)或園區(qū)網(wǎng)絡(luò)的唯一出口，否則會被繞過無法防止病毒對內(nèi)部網(wǎng)絡(luò)的攻擊有些防火墻廠商將防火墻和病毒軟件捆綁10IP安全性IPSec數(shù)據(jù)鏈路層5應(yīng)用層SHTTP4運輸層3網(wǎng)絡(luò)層2數(shù)據(jù)鏈路層1物理層4.5SSL層數(shù)據(jù)鏈路層5應(yīng)用層SHTTP4運輸層3網(wǎng)絡(luò)層2數(shù)據(jù)鏈路層1物理層4.5SSL層3.5IPSec11IPSecIPSec協(xié)議是一個應(yīng)用廣泛，開放的VPN安全協(xié)議，目前已經(jīng)成為最流行的VPN解決方案。具備完整性、重放攻擊保護(hù)功能12虛擬專用網(wǎng)VPN13IPSecVPN/SSLVPN現(xiàn)在實現(xiàn)VPN聯(lián)網(wǎng)方案的主要技術(shù)是IPSEC

VPN與SSL

VPNIPSEC

VPN出現(xiàn)得較早，商用化程度較高，技術(shù)較成熟，安全性較優(yōu)越。但缺憾是設(shè)備成本支出較多，分部和移動人員需要硬件IPSec

VPN客戶端設(shè)備和軟件IPSec

VPN客戶端，設(shè)置工作較復(fù)雜，維護(hù)工作較多，需要專業(yè)網(wǎng)管支持。SSL

VPN是一項近兩年才發(fā)展起來新的虛擬專網(wǎng)技術(shù)，由于無須安裝VPN客戶端（不管是硬件客戶端還是軟件客戶端）的便捷性和因此大幅降低的實施管理成本，在國內(nèi)外得到了迅速的應(yīng)用和發(fā)展。

14VPN具備加密、鑒別和完整性保護(hù)使得我們可以在Internet網(wǎng)上建立可信任的專用網(wǎng)（如同一個內(nèi)部局域網(wǎng)一樣）15VLAN虛擬局域網(wǎng)VirtualLocalAreaNetworkVLAN的劃分有三種方式：基于端口（Port）、基于MAC地址和基于IP地址16VLAN的好處通過劃分虛擬網(wǎng)，可以把廣播限制在各個虛擬網(wǎng)的范圍內(nèi)，從而減少整個網(wǎng)絡(luò)范圍內(nèi)廣播包的傳輸，提高了網(wǎng)絡(luò)的傳輸效率同時各虛擬網(wǎng)之間不能直接進(jìn)行通訊，而必須通過路由器轉(zhuǎn)發(fā)，為高級的安全控制提供了可能，增強了網(wǎng)絡(luò)的安全性使網(wǎng)絡(luò)結(jié)構(gòu)變得靈活、方便17以太網(wǎng)交換機A4B1以太網(wǎng)交換機VLAN3C3B3VLAN1VLAN2C1A2A1A3C2B2以太網(wǎng)交換機以太網(wǎng)交換機三個虛擬局域網(wǎng)VLAN1,VLAN2和VLAN3

的構(gòu)成18以太網(wǎng)交換機A4B1以太網(wǎng)交換機VLAN3C3B3VLAN1VLAN2C1A2A1A3C2B2以太網(wǎng)交換機以太網(wǎng)交換機三個虛擬局域網(wǎng)VLAN1,VLAN2和VLAN3

的構(gòu)成當(dāng)B1

向VLAN2

工作組內(nèi)成員發(fā)送數(shù)據(jù)時，工作站B2和B3將會收到廣播的信息。19以太網(wǎng)交換機A4B1以太網(wǎng)交換機VLAN3C3B3VLAN1VLAN2C1A2A1A3C2B2以太網(wǎng)交換機以太網(wǎng)交換機三個虛擬局域網(wǎng)VLAN1,VLAN2和VLAN3

的構(gòu)成B1發(fā)送數(shù)據(jù)時，工作站A1,A2和C1都不會收到B1發(fā)出的廣播信息。20以太網(wǎng)交換機A4B1以太網(wǎng)交換機VLAN3C3B3VLAN1VLAN2C1A2A1A3C2B2以太網(wǎng)交換機以太網(wǎng)交換機三個虛擬局域網(wǎng)VLAN1,VLAN2和VLAN3

的構(gòu)成虛擬局域網(wǎng)限制了接收廣播信息的工作站數(shù)，使得網(wǎng)絡(luò)不會因傳播過多的廣播信息(即“廣播風(fēng)暴”)而引起性能惡化。21虛擬局域網(wǎng)協(xié)議允許在以太網(wǎng)的幀格式中插入一個4字節(jié)的標(biāo)識符，稱為VLAN標(biāo)記(tag)，用來指明發(fā)送該幀的工作站屬于哪一個虛擬局域網(wǎng)。4.5.2虛擬局域網(wǎng)使用的

以太網(wǎng)幀格式802.3MAC幀字節(jié)66246~15004MAC幀目地地址源地址長度/類型數(shù)據(jù)FCS長度/類型=802.1Q標(biāo)記類型標(biāo)記控制信息

1000000100000000VI