防火牆與VPN

防火牆的原理

防火牆的特性

防火牆種類

堡壘主機

防火牆的配置方式

VPN原理

VPN解決方案

NAT

參考課本第十六章

防火牆的原理

原理：透過「過濾封包」方式保護內部網路。

需求：組織裡面總有些人無法保持安全警覺，我們也難以要求每個組織成員都修補系統安全漏洞。

效益：統計發現，將病毒或入侵者檔在組織網路入口，是最有效益的解決方案

問題：現在「移動運算」相當流行，含病毒、被植入後門的筆記型電腦很容易就可以繞過網路防火牆。

防火牆的特性（一）

內部與外部的網路通訊，都必須經過防火牆

只有經過確認的訊息才能通過防火牆

防火牆本身是安全的

防火牆使用的技巧

服務控制：利用port號碼來決定內外部可以存取的服務種類

流向控制：決定某種特定服務的請求與回應信息進出防火牆的方向。例如：只能看外部的網頁，不能看內部的網頁

使用者控制：看使用者身份決定其權限

行為控制：決定服務的使用方式，擋掉某些郵件，擋掉某些網頁請求。

防火牆的特性（二）

防火牆具備的功能

定義了單一的進出口

防火牆提供了一個監控安全事件的場所，可以在此架設IDS。

是個很方便的平台，可以架設NAT、IPSec、流量管理分析系統。

防火牆的弱點

撥接、無線網路等服務可能可以繞過防火牆

無法阻擋組織內部的威脅

無法完全阻擋病毒（不過可以擋掉不少）

防火牆種類（一）

封包過濾路由器（Packet-Filtering Router)

藉著判斷IP封包的來源與目的位址、port號碼來決定是傳送或是丟棄此封包。

基本上會定義一組規則（rule）來決定如何處理此封包。

如果封包的address或port對應有適當的rule，就照rule的規定處理，否則就按照內定的動作處理，通常內定通過或丟棄。一般建議是「內定丟棄」。

目前許多作業系統內建的防火牆就是這一種

簡易、速度快、無確認性功能、法則訂定困難

內部網路

網際網路

封包過濾路由器

防火牆種類（二）

應用層閘道（Application-Level Gateway）

等於是proxy，代替內部的機器去取得外部 http ftp或telnet的服務。

可以確認使用者，也可以檢查服務內容

比封包過濾器安全，內外網路是不相連通的

必須處理每個連線，每一個正常的連線都必須透過閘道。

對於新的應用程式可能無法支援。

內部網路

網際網路

應用層閘道

telnet

http

ftp

防火牆種類（三）

路徑層閘道（Circuit-Level Gateway）

系統不允許建立點對點的tcp連線，而是建立兩條與防火牆連線的tcp連線。

一旦建立連線，閘道就會自動轉送資料，不會檢查內容。

如何與何時建立連線，就是安全性的關鍵所在。建立連線時必須檢查是否是合法的連線。

SOCKS套件就是這種防火牆，伺服器在防火牆上運作，網頁、telnet與ftp的程式必須修改過，透過SOCKS與外界連線

三種防火牆

也可以混合運作

內部網路

網際網路

路徑層閘道

堡壘主機

堡壘主機（bastion）：防火牆管理員認為最安全的主機，用來實作應用層或路徑層防火牆。

防火牆可以銜接內外網路，防火牆被入侵了，還擋甚麼呢？

特點：

使用安全版的作業系統

只有需要使用的程式才會安裝在堡壘主機上

堡壘主機安裝特殊的精簡版安全程式套件

除了一開始的配置檔外，不會存取硬碟。（可以用光碟配合軟碟）

上面安裝的代理模組也是各自獨立，而且以非特權身份執行的（被破了也無所謂）

防火牆的配置方式（一）

單一系統簡單配置

受保護的防火牆主機，屬於單一網路的堡壘

路由器會控制外部的信息，只有要到堡壘主機的封包可以通過

內部的信息，只有來自堡壘主機的封包可以通過

防火牆的配置方式（二）

受保護的防火牆，屬於兩個網路的堡壘主機

路由器被攻破時，還無法直接入侵內部網路

如果有需要，也可以讓Information Server與外界直接通訊，不透過堡壘主機

防火牆的配置方式（三）

受保護的子網路防火牆

最安全的形式

所謂的DMZ(非軍事區）就是內外router中間的區域，放置較不敏感的網頁或者是電子郵件服務伺服器。

DMZ

VPN原理

VPN：Virtual Private Network

一種讓公眾網路（網際網路）變成像內部專線網路的方法。

根據前面的說明，組織內部網路通常經過相當的安全防護，但如果要在各處成立分支組織，或要由公司外面連進公司內部網路，那就很麻煩了。

拉設專線？很可能要拉兩條，一條接internet，一條接公司內部網路

如果僅拉一條專線，而可以同時當internet與公司內部專線，就可以節省成本

VPN之解決方案（一）

PPTP(Point-to-Point Tunnel Protocol)

使用者驗證方式採用PPP的驗證方式

可以封裝多種網路協定（不一定只用TCP/IP)

目前已經較少使用

L2TP(Layer 2 Tunnel Protocol)

可以封裝多種網路協定（不一定只用TCP/IP)

使用者驗證方式採用PPP的驗證方式

電腦驗證採憑證方式

沒有加密協定、多與IPSec結合

VPN之解決方案（二）

IPSec

只支援IP網路協定（反正目前也是這個協定用的最多）

此標準有自己的身份驗證與資料加密方法

SOCKS v5

工作在較高層（第五層），可以與IPSec、L2TP合用。

這個技術已經是屬於proxy的層次了。

VPN可以自己架設，也可以透過ISP提供服務

NAT

NAT(Network Address Translator):

把內部網路的IP位址翻譯成外部網路的IP位址

是一種最簡單的proxy形式

可以用來隱藏內部網路的IP位址、解決有效IP位址不夠的問題

可以用靜態翻譯或動態翻譯（負載平衡用）

NAT Server透過MAC address來確認內部的機器。

NAT Server扮演gateway的角色，把對外的封包 來源IP位址甚至port改掉，對內封包的目的IP位址與port改掉，再轉送出去。

目前的IP分享器就是用NAT的原理製作的

防火牆與VPN

tjm

1998-09-08T14:53:16