【WA51】毕业论文：基于ISAserver2006的防火墙高级策略研究与实施.doc文档

两块网卡各自与受保护网和外部网相连。

主机上运行着防火墙软件，可以转发应用程序，提供服务等。

双宿主机网关优于屏蔽路由器的地方是堡垒主机的系统软件可用于维护系统日志硬件拷贝日志或远程日志。

这对于日后的检查很有用。

它的源端口号目的端口号及数据包头中的各种标志位等因素来确定是否允许数据包通过，其核心是安全策略即过滤算法的设计。

应用网关技术应用网关技术是建立在网络应用层上的协议过滤，它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。

应用网关对些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。

它的另个功能是对通过的信息进行记录，如什么样的用户在什么时间连应用网关对些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。

应用网关技术应用网关技术是建立在网络应用层上的协议过目的端口号及数据包头中的各种标志位等因素来确定是否允许数据包通过，其核心是安全策略即过滤算法的设计。

部分内容简介数据包过滤，应用网关和代理服务等。

包过滤技术包过滤技术是在网络层中对数据包实施有选择的通过。

依据系统内事先设定的过滤逻辑，检查数据流中每个数据包后，根据数据包的源地址目的地址源端口号目的端口号及数据包头中的各种标志位等因素来确定是否允许数据包通过，其核心是安全策略即过滤算法的设计。

应用网关技术应用网关技术是建立在网络应用层上的协议过滤，它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。

应用网关对些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。

它的另个功能是对通过的信息进行记录，如什么样的用户在什么时间连接了什么站点。

在实际工作中，应用网关般由专用工作站系统来完成代理服务器技术代理服务器作用在应用层，它用来提供应用层服务的控制，起到内部网络向外部网络申请服务时中间转接作用。

内部网络只接受代理提出的服务请求，拒绝外部网络其它接点的直接请求。

防火墙的几种体系结构及组合形式屏蔽路由器这是防火墙最基本的构件。

它可以由厂家专门生产的路由器实现，也可以用主机来实现。

屏蔽路由器作为内外连接的唯通道，要求所有的报文都必须在此通过检查。

路由器上可以装基于层的报文过滤软件，实现报文过滤功能。

许多路由器本身带有报文过滤配置选项，但般比较简单。

单纯由屏蔽路由器构成的防火墙的危险带包括路由器本身及路由器允许访问的主机。

它的缺点是旦被攻陷后很难发现，而且不能识别不同的用户。

双宿主机网关任何拥有多个接口卡的系统都被称为多宿的，双宿主机网关是用台装有两块网卡的主机做防火墙。

两块网卡各自与受保护网和外部网相连。

主机上运行着防火墙软件，可以转发应用程序，提供服务等。

双宿主机网关优于屏蔽路由器的地方是堡垒主机的系统软件可用于维护系统日志硬件拷贝日志或远程日志。

这对于日后的检查很有用。

但这不能帮助网络管理者确认内网中哪些主机可能已被黑客入侵。

双宿主机网关的个致命弱点是旦入侵者侵入堡垒主机并使其只具有路由功能，则任何网上用户均可以随便访问内网。

被屏蔽主机网关屏蔽主机网关易于实现也很安全，因此应用广泛。

例如，个分组过滤路由器连接外部网络，同时个堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为从外部网络唯可直接到达的主机，这确保了内部网络不受未被授权的外部用户的攻击。

如果受保护网是个虚拟扩展的本地网，即没有子网和路由器，那么内网的变化不影响堡垒主机和屏蔽路由器的配置。

危险带限制在堡垒主机和屏蔽路由器。

网关的基本控制策略由安装在上面的软件决定。

如果攻击者设法登录到它上面，内网中的其余主机就会受到很大威胁。

这与双穴主机网关受攻击时的情形差不多。

被屏蔽子网这种方法是在内部网络和外部网络之间建立个被隔离的子网，用两台分组过滤路由器将这子网分别与内部网络和外部网络分开。

在很多实现中，两个分组过滤路由器放在子网的两端，在子网内构成个非军事区。

有的屏蔽子网中还设有堡垒主机作为唯可访问点，支持终端交互或作为应用网关代理。

这种配置的危险带仅包括堡垒主机子网主机及所有连接内网外网和屏蔽子网的路由器。

硬件防火墙与软件防火墙的简单比较随着人们对网络安全意识的提高，防火墙的应用越来越广泛。

有钱的用高级硬件防火墙，没钱的用免费的软件防火墙。

那么，硬件防火墙和软件防火墙相比，有哪些优点呢硬件防火墙采用专用的硬件设备，然后集成生产厂商的专用防火墙软件。

从功能上看，硬件防火墙内建安全软件，使用专属或强化的操作系统，管理方便，更换容易，软硬件搭配较固定。

硬件防火墙效率高，解决了防火墙效率性能之间的矛盾，可以达到线性。

软件防火墙般基于个操作系统平台开发，直接在计算机上进行软件的安装和配置。

由于客户平台的多样性，软件防火墙需支持多操作系统，如等，代码庞大安装成本高售后支持成本高效率低。

性能优势。

防火墙的性能对防火墙来说是至关重要的。

它决定了每秒钟通过防火墙的数据流量。

单位是，从几十到几百不等，还有千兆防火墙甚至达到几的防火墙。

而软件防火墙则不可能达到如此高的速率。

占用率的优势。

硬件防火墙的占用率当然是了，而软件防火墙就不同了，如果处于节约成本的考虑将防火墙软件安装在提供服务的主机上，当数据流量较大时，占用率将是主机的杀手，将拖跨主机服务器防入侵。

售后支持。

硬件防火墙厂家会对防火墙产品有跟踪的服务支持，而软件防火墙的用户能得到这种机会的相对较少，而且厂家也不会在软件防火墙上下太大的功夫和研发经费。

第章的主要功能及特色简称，是微软公司推出的款重量级的网络安全产品，被公认为架构下最优秀的企业级路由软件防火墙。

具备着防火墙应用层防护与网页缓存等优异功能，凭借其灵活的多网络支持易于使用且高度集成的配置可扩展的用户身份验证模型深层次的过滤功能经过改善的管理功能，在企业中有着广泛的应用。

安装在服务器上，可以说与地址如图图的内网和外网地址截图北京分公司的地址如图图的内网和外网地址截图上海总公司服务器上配置的基于站点到站点的连接图上基于的连接截图北京总公司服务器上配置的基于站点到站点的连接图上基于的连接截图测试基于站点到站点连接方法是操作用上海总公司的域控制器分别北京分公司域控制器的地址和域名如图所示图上海内网北京内网的地址和域名截图从上图可以看出上海总公司能够通北京分公司。

用同样的方法在北京分公司的域控制器上分别上海总公司的域控制器的地址和域名如图所示图北京内网上海内网的地址和域名截图从上图可以看出北京分公司能够通上海总公司。

综上场景的基于站点到站点的连接配置和测试完成。

场景二的实验图和测试截图实验说明由于用配置单网卡缓存服务器，我们需要了解下几点确认担任缓存服务器的主机，在现有防火墙的保护网络范围中确认在目前的防火墙访问规则配置中，已开放缓存服务器的对外访问协议，这些包含了以及。

对于单网卡的缓存服务器来说，它将无法使用下列功能防火墙客户端程序安装网络的架设数据包筛选多重网络架构的防火墙策略企业内部服务器的发布功能应用程序级的数据包过滤我们具体的实验环境如下图所示，是内网的单网卡服务器，我们准备把部署成缓存服务器，大致需要进行下列操作使用模板配置创建访问规则启用代理启用缓存功能创建缓存规则创建计划内容下载作业使用模板配置打开网络模版如图图网络模板配置界面点击下步，配置的内部网络地址，因为他只有块网卡所以内部的网络地址为除了以外所有的地址，配置如下图内部网络配置界面点击下步，选择系统应用默认代理和缓存配置图默认代理和存储选择界面网络模板配置完成如图图网络模板配置完成界面创建访问规则防火墙策略创建名称为允许访问的访问规则如图图创建访问规则界面配置代理选择系统默认的选项保证端口为图访问规则内部属性界面启用代理再在客户端上启用代理，点击游览器右击，在属性选项里配置连接选项，代理服务器地址填内网地址，端口填端口图客户端启用代理截图启用缓存功能在缓存选项点击右键配置缓存服务器磁盘的空间大小，本实验设置盘最大缓存为图配置缓存功能界面创建缓存规则图配置缓存规则界面图缓存规则配置完成截图图缓存规则配置完成截图二创建内容下载作业截图图启用计划内容下载作业选项界面图内容下载作业名称填写界面图作业下载的频率选择界面图作业下载起始时间填写界面图内容下载的链接网址填写界面图计划内容下载作业完成界面场景三的实验和测试截图用户限制策略首先在上创建个的全局安全组，创建允许访问的两个用户，图创建组的两个用户截图在防火墙策略选项的工具箱里创建用户限制规则图创建用户集名称截图创建完成如图图创建用户集完成界面创建名称为用户上网限制策略的访问规则图创建访问规则名称截图图用户上网策略的行为限制截图图用户限制策略的协议选择截图图上网限制策略的用户范围图限制策略中选择限制协议截图设置协议，限制用户从上下载可运行程序图限制用户从网上下载可运行程序截图限制用户使用等聊天工具图阻止用户使用聊天工具截图测试结果使用上网进入个下载页面如图图用户在网上打开的个下载界面点击下载按钮之后，我们可以看到不能进行下载说明规则生效图点击下载按钮后的效果截图使用登录结果会出现下面的结果图试图登录后的效果截图场景三的实验测试完成。

场景四的截图内部的发布首先我们要确保内网的用户能够通外网的用户，如图设置条允许内部用户通外网的访问规则。

图创建名为外网的访问规则截图图访问规则的协议编辑截图测试结果表明内部用户能够通外网用户图内部客户端外网主机的效果截图开始创建发布规则图创建发布规则界面图完成发布规则截图上图完成发布规则截图下在外网上的用户的外网卡地址，结果表明我们的内部