防火墻 實(shí)驗(yàn)報告

1、一、實(shí)驗(yàn)?zāi)康膌 通過實(shí)驗(yàn)深入理解防火墻的功能和工作原理l 熟悉天網(wǎng)防火墻個人版的配置和使用二、實(shí)驗(yàn)原理l 防火墻的工作原理l 防火墻能增強(qiáng)機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)的安全性。防火墻系統(tǒng)決定了哪些內(nèi)部服務(wù)可以被外界訪問；外界的哪些人可以訪問內(nèi)部的服務(wù)以及哪些外部服務(wù)可以被內(nèi)部人員訪問。防火墻必須只允許授權(quán)的數(shù)據(jù)通過，而且防火墻本身也必須能夠免于滲透。l 兩種防火墻技術(shù)的對比l 包過濾防火墻：將防火墻放置于內(nèi)外網(wǎng)絡(luò)的邊界；價格較低，性能開銷小，處理速度較快；定義復(fù)雜，容易出現(xiàn)因配置不當(dāng)帶來問題，允許數(shù)據(jù)包直接通過，容易造成數(shù)據(jù)驅(qū)動式攻擊的潛在危險。l 應(yīng)用級網(wǎng)關(guān)：內(nèi)置了專門為了提高安全性而編制的Proxy應(yīng)用程

2、序，能夠透徹地理解相關(guān)服務(wù)的命令，對來往的數(shù)據(jù)包進(jìn)行安全化處理，速度較慢，不太適用于高速網(wǎng)（ATM或千兆位以太網(wǎng)等）之間的應(yīng)用 。l 防火墻體系結(jié)構(gòu)l 屏蔽主機(jī)防火墻體系結(jié)構(gòu)：在該結(jié)構(gòu)中，分組過濾路由器或防火墻與 Internet 相連，同時一個堡壘機(jī)安裝在內(nèi)部網(wǎng)絡(luò)，通過在分組過濾路由器或防火墻上過濾規(guī)則的設(shè)置，使堡壘機(jī)成為 Internet 上其它節(jié)點(diǎn)所能到達(dá)的唯一節(jié)點(diǎn)，這確保了內(nèi)部網(wǎng)絡(luò)不受未授權(quán)外部用戶的攻擊。 l 雙重宿主主機(jī)體系結(jié)構(gòu)：圍繞雙重宿主主機(jī)構(gòu)筑。雙重宿主主機(jī)至少有兩個網(wǎng)絡(luò)接口。這樣的主機(jī)可以充當(dāng)與這些接口相連的網(wǎng)絡(luò)之間的路由器；它能夠從一個網(wǎng)絡(luò)到另外一個網(wǎng)絡(luò)發(fā)送IP數(shù)據(jù)包。但

3、是外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)不能直接通信，它們之間的通信必須經(jīng)過雙重宿主主機(jī)的過濾和控制。 l 被屏蔽子網(wǎng)體系結(jié)構(gòu)：添加額外的安全層到被屏蔽主機(jī)體系結(jié)構(gòu)，即通過添加周邊網(wǎng)絡(luò)更進(jìn)一步的把內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)（通常是Internet）隔離開。被屏蔽子網(wǎng)體系結(jié)構(gòu)的最簡單的形式為，兩個屏蔽路由器，每一個都連接到周邊網(wǎng)。一個位于周邊網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間，另一個位于周邊網(wǎng)與外部網(wǎng)絡(luò)（通常為Internet）之間。 四、實(shí)驗(yàn)內(nèi)容和步驟（1）簡述天網(wǎng)防火墻的工作原理天網(wǎng)防火墻的工作原理：在于監(jiān)視并過濾網(wǎng)絡(luò)上流入流出的IP包，拒絕發(fā)送可疑的包?；趨f(xié)議特定的標(biāo)準(zhǔn)，路由器在其端口能夠區(qū)分包和限制包的能力叫包過濾。由于Inter

4、net 與Intranet 的連接多數(shù)都要使用路由器，所以Router成為內(nèi)外通信的必經(jīng)端口，Router的廠商在Router上加入IP 過濾功能，過濾路由器也可以稱作包過濾路由器或篩選路由器。防火墻常常就是這樣一個具備包過濾功能的簡單路由器，這種Firewall應(yīng)該是足夠安全的，但前提是配置合理。然而一個包過濾規(guī)則是否完全嚴(yán)密及必要是很難判定的，因而在安全要求較高的場合，通常還配合使用其它的技術(shù)來加強(qiáng)安全性。 路由器逐一審查數(shù)據(jù)包以判定它是否與其它包過濾規(guī)則相匹配。每個包有兩個部分：數(shù)據(jù)部分和包頭。過濾規(guī)則以用于IP順行處理的包頭信息為基礎(chǔ)，不理會包內(nèi)的正文信息內(nèi)容。包頭信息包括：IP 源地

5、址、IP目的地址、封裝協(xié)議(TCP、UDP、或IP Tunnel)、TCP/UDP源端口、ICMP包類型、包輸入接口和包輸出接口。如果找到一個匹配，且規(guī)則允許這包，這一包則根據(jù)路由表中的信息前行。如果找到一個匹配，且規(guī)則拒絕此包，這一包則被舍棄。如果無匹配規(guī)則，一個用戶配置的缺省參數(shù)將決定此包是前行還是被舍棄。 （2）實(shí)驗(yàn)過程步驟：（1） 運(yùn)行天網(wǎng)防火墻設(shè)置向?qū)?，根?jù)向?qū)нM(jìn)行基本設(shè)置。（2）啟動天網(wǎng)防火墻，運(yùn)用它攔截一些程序的網(wǎng)絡(luò)連接請求，如啟動Microsoft Baseline Security Analyzer，則天網(wǎng)防火墻會彈出報警窗口。此時選中“該程序以后都按照這次的操作運(yùn)行”，允許

6、MBSA對網(wǎng)絡(luò)的訪問。 （3）打開應(yīng)用程序規(guī)則窗口，可設(shè)置MBSA的安全規(guī)則，如使其只可以通過TCP協(xié)議發(fā)送信息，并制定協(xié)議只可使用端口21和8080等。了解應(yīng)用程序規(guī)則設(shè)置方法。（4）使用IP規(guī)則配置，可對主機(jī)中每一個發(fā)送和傳輸?shù)臄?shù)據(jù)包進(jìn)行控制；ping局域網(wǎng)內(nèi)機(jī)器，觀察能否收到reply；修改IP規(guī)則配置，將“允許自己用ping命令探測其他機(jī)器”改為禁止并保存，再次ping局域網(wǎng)內(nèi)同一臺機(jī)器，觀察能否收到reply。改變不同IP規(guī)則引起的結(jié)果：規(guī)則是一系列的比較條件和一個對數(shù)據(jù)包的動作，即根據(jù)數(shù)據(jù)包的每一個部分來與設(shè)置的條件比較，當(dāng)符合條件時，就可以確定對該包放行或者阻擋。通過合理設(shè)置規(guī)則

7、就可以把有害的數(shù)據(jù)包擋在機(jī)器之外。（5）將“允許自己用ping命令探測其他機(jī)器”改回為允許，但將此規(guī)則下移到“防御ICMP攻擊”規(guī)則之后，再次ping 局域網(wǎng)內(nèi)的同一臺機(jī)器，觀察能否收到reply。（6）添加一條禁止鄰居同學(xué)主機(jī)連接本地計(jì)算機(jī)FTP服務(wù)器的安全規(guī)則；鄰居同學(xué)發(fā)起FTP請求連接，觀察結(jié)果。（7）觀察應(yīng)用程序使用網(wǎng)絡(luò)的狀態(tài)，有無特殊進(jìn)程在訪問網(wǎng)絡(luò)，若有，可用“結(jié)束進(jìn)程”按鈕來禁止它們。（8）察看防火墻日志，了解記錄的格式和含義。日志的格式和含義：天網(wǎng)防火墻將會把所有不符合規(guī)則的數(shù)據(jù)包攔截并且記錄下來，如圖 15 所示。每條記 錄從左到右分別是發(fā)送接受時間、發(fā)送 IP 地址、數(shù)據(jù)傳輸封包類型、本機(jī)通信端口、標(biāo) 志位和防火墻的操作。五、實(shí)驗(yàn)總結(jié)通過該實(shí)驗(yàn)了解了個人防火墻的工作原理和