CISCO PIX 防火墙及网络安全配置2

信息包进行操作，而不是在应用过程级（代理服务器则采用这种方法），PIX既可以跟踪UDP会话，也可以跟踪TCP连接。当一个计算机希望同外部计算机进行通信时，PIX记录下内部来源地址，然后从外部地址库分配一个地址，并记录下所进行的转换。这就是人们常说的有界NAT（stateful NAT），这样，PIX就能记住它在同谁进行交谈，以及是哪个计算机首先发起的对话。只有已被确认的来自外部网络的信息包才会运行，并进入内部网络。　
　　
　　---- 不过，有时也需要允许外部计算机发起同指定的内部计算机的通信。典型的服务包括电子邮件、WWW服务、以及FTP服务。PIX给一个内部地址硬编码一个外部地址，这个地址是不会过期的。在这种情况下，用到对目标地址和端口号的普通过滤。除非侵入PIX本身，外部用户仍然是无法了解内部网络结构的。在不了解内部网络结构的情况下，恶意用户就无法从内部主机向内部网络实施攻击。　
　　
　　---- PIX另一个关键性的安全特性是对TCP信息包的序列编号进行随机化处理。由于IP地址电子欺骗的方法早已公布，所以，入侵者已经有可能通过这种方法，控制住一个现成的TCP连接，然后向内部局域网上的计算机发送它们自己的信息。要想做到这一点，入侵者必须猜出正确的序列编号。在通常的TCP/IP中实现是很容易的，因为每次初始化连接时，大都采用一个相同的编号来启动会话。而PIX则使用了一种数学算法来随机化产生序列编号，这实际上使得攻击者已经不可能猜出连接所使用的序列编号了。　
　　
　　---- 配置PIX防火墙是一个比较直接的工作，在提供相同级别的安全服务情况下，PIX的配置相比设置代理服务器要简单的多。从理论上讲，所需做的就是指定一个IP地址和一个用来对外部进行访问的地址库，一个针对内部连接的IP地址和网络掩吗、RIP、超时以及其他附属安全

页码：[1] [2] [3] [4] [5] [6] [7] 第2页、共7页

设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明