扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
在本页阅读全文(共2页)
内容与目录
控制网络访问
Firewall的工作原理
适应性安全算法
多个接口和安全等级
数据在PIX Firewall中的移动方式
内部地址的转换
切入型代理
访问控制
AAA集成
访问列表
管线
防范攻击
向路径发送
Flood Guard
Flood Defender
FragGuard和虚拟重组
DNS控制
ActiveX阻挡
Java过滤
URL过滤
启动专有协议和应用
第2版本
可配置的代理呼叫
Mail Guard
多媒体支持
支持的多媒体应用
RAS第2版本
RTSP
Cisco IP电话
H.323
SIP
NETBIOS over IP
创建VPN
VPN?
IPSec
互联网密钥交换(IKE)
认证机构
使用站点到站点VPN
使用远程接入VPN
防火墙的系统管理
Device Manager
Telnet界面
SSH第1版本
使用SNMP
TFTP配置服务器
XDMCP
使用系统日志服务器
FTP和URL登录
与IDS集成
PIX热备份
PIX Firewall的用途(Using PIX Firewall)
借助Cisco PIX Firewall,您只需用一台设备就能建立状态防火墙保护和安全的VPN接入。PIX Firewall不但提供了可扩展的安全解决方案,还为某些型号提供故障恢复支持,以便提供最高的可靠性。PIX Firewall使用专用操作系统,与使用通用操作系统,因而常常遇到威胁和袭击的软件防火墙相比,这种操作系统更安全、更容易维护。在本章中,我们将介绍使用PIX Firewall保护网络资产和建立安全VPN接入的方法。本章包括以下几节:
控制网络访问
防范攻击
启动专有协议和应用
建立虚拟专用网
防火墙的系统管理
防火墙的故障恢复
控制网络访问(Controlling Network Access)
本节将介绍PIX Firewall提供的网络防火墙功能,包含以下内容:
PIX Firewall的工作原理
适应性安全算法
多个接口和安全等级
数据在PIX Firewall中的移动方式
内部地址的转换
切入型代理
访问控制
PIX Firewall的工作原理(How the PIX Firewall Works)
PIX Firewall的作用是防止外部网络(例如公共互联网)上的非授权用户访问内部网络。多数PIX Firewall都可以有选择地保护一个或多个周边网络(也称为非军管区,DMZ)。对访问外部网络的限制最低,对访问周边网络的限制次之,对访问内部网络的限制最高。内部网络、外部网络和周边网络之间的连接由PIX Firewall控制。
为有效利用机构内的防火墙,必须利用安全政策才能保证来自受保护网络的所有流量都只通过防火墙到达不受保护的网络。这样,用户就可以控制谁可以借助哪些服务访问网络,以及怎样借助PIX Firewall提供的特性实施安全政策等。
PIX Firewall保护网络的方法如图1-1所示,这种方法允许实施带外连接并安全接入互联网。
图1-1: 网络中的PIX Firewall
在这种体系结构中,PIX Firewall将形成受保护网络和不受保护网络之间的边界。受保护网络和不受保护网络之间的所有流量都通过防火墙实现安全性。互联网可以访问不受保护的网络。PIX Firewall允许用户在受保护网络内确定服务器的位置,例如用于Web接入、SNMP、电子邮件(SMTP)的服务器,然后控制外部的哪些用户可以访问这些服务器。
除PIX 506和PIX 501外,对于所有的PIX Firewall,服务器系统都可以如图1-1那样置于周边网络上,对服务器系统的访问可以由PIX Firewall控制和监视。PIX 506和PIX 501各有两个网络接口,因此,所有系统都必须属于内部接口或者外部接口。
PIX Firewall还允许用户对来往于内部网络的连接实施安全政策。
一般情况下,内部网络是机构自身的内部网络,或者内部网,外部网络是互联网,但是,PIX Firewall也可以用在内部网中,以便隔离或保护某组内部计算系统和用户。
周边网络的安全性可以与内部网络等同,也可以配置为拥有各种安全等级。安全等级的数值从0(最不安全)到100(最安全)。外部接口的安全等级总为0,内部接口的安全等级总为100。周边接口的安全等级从1到99。
内部网络和周边网络都可以用PIX Firewall的适应性安全算法(ASA)保护。内部接口、周边接口和外部接口都遵守RIP路由更新表的要求,如果需要,所有接口都可以广播RIP默认路径。
适应性安全算法(Adaptive Security Algorithm)
适应性安全算法(ASA)是一种状态安全方法。每个向内传输的包都将按照适应性安全算法和内存中的连接状态信息进行检查。业界人士都认为,这种默认安全方法要比无状态的包屏蔽方法更安全。
ASA无需配置每个内部系统和应用就能实现单向(从内到外)连接。ASA一直处于操作状态,监控返回的包,目的是保证这些包的有效性。为减小TCP序列号袭击的风险,它总是主动对TCP序列号作随机处理。
ASA适用于动态转换插槽和静态转换插槽。静态转换插槽用static命令产生,动态转换插槽用global命令产生。总之,两种转换插槽都可以称为“xlates”。ASA遵守以下规则:
如果没有连接和状态,任何包都不能穿越PIX Firewall;
如果没有访问控制表的特殊定义,向外连接或状态都是允许的。向外连接指产生者或客户机的安全接口等级高于接收者或服务器。最安全的接口总是内部接口,最不安全的接口总是外部接口。周边接口的安全等级处于内部接口和外部接口之间;
如果没有特殊定义,向内连接或状态是不允许的。向内连接或状态指产生者或客户机的安全接口/网络等级低于接收者或服务器。用户可以为一个xlate(转换)应用多个例外。这样,就可以从互联网上的任意机器、网络或主机访问xlate定义的主机;
如果没有特殊定义,所有ICMP包都将被拒绝;
违反上述规则的所有企图都将失败,而且将把相应信息发送至系统日志。
PIX Firewall处理UDP数据传输的方式与TCP相同。为使DSN、Archie、StreamWorks、H.323和RealAudio能安全操作,PIX Firewall执行了特殊处理。当UDP包从内部网络发出时,PIX Firewall将生成UDP“连接”状态信息。如果与连接状态信息相匹配,这些流量带来的答复包将被接受。经过一小段时间的静默之后,连接状态信息将被删除。
多个接口和安全等级(Multiple Interfaces and Security Levels)
所有PIX Firewall都至少有两个接口,默认状态下,它们被称为外部接口和内部接口,安全等级分别为0和100。较低的优先级说明接口受到的保护较少。一般情况下,外部接口与公共互联网相连,内部接口则与专用网相连,并且可以防止公共访问。
许多PIX Firewall都能提供八个接口,以便生成一个或多个周边网络,这些区域也称为堡垒网络或非军管区(DMZ)。DMZ的安全性高于外部接口,但低于内部接口。周边网络的安全等级从0到100。一般情况下,用户需要访问的邮件服务器或Web服务器都被置于DMZ中的公共互联网上,以便提供某种保护,但不致于破坏内部网络上的资源。
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者