网络安全ch4-网络隔离技术课件

《网络安全ch4-网络隔离技术课件》由会员分享，可在线阅读，更多相关《网络安全ch4-网络隔离技术课件（71页珍藏版）》请在金锄头文库上搜索。

1、网络安全,张磊 华东师范大学 软件学院,路由器与网络隔离,VLAN与网络隔离,交换机与网络隔离,网络隔离的基本概念,第4章 网络隔离技术,网络隔离的主要方法,防火墙与网络隔离,路由器与网络隔离,VLAN与网络隔离,交换机与网络隔离,网络隔离的基本概念,第3章 网络隔离技术,网络隔离的主要方法,防火墙与网络隔离,网络隔离技术的目标,面对新型网络攻击手段的出现和高安全度网络对安全的特殊需求，全新安全防护防范理念的网络安全技术“网络隔离技术”应运而生。 网络隔离技术的目标是确保把有害的攻击隔离，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。 网络隔离技术是在原有安全技术

2、的基础上发展起来的，它弥补了原有安全技术的不足，突出了自己的优势。,网络隔离概念,网络隔离，英文名为Network Isolation：两个或两个以上的计算机或网络在断开连接的基础上，实现信息交换和资源共享 物理隔离 协议隔离 网络隔离的核心是物理隔离 物理隔离的一个特征，就是内网与外网永不连接，内网和外网在同一时间最多只有一个同隔离设备建立非TCPIP协议的数据连接。 协议隔离是在密码技术的支持下，采用专用安全通信协议隔离技术实现的。,网络隔离技术的概念来源,网络隔离的概念源于 人工烤盘 Sneakernet 轮渡,人工烤盘,人工拷盘是已知的最早的网络隔离技术。 最早的计算机是单机的，不同的

3、计算机还没有联网。没有联网的两个计算机之间要交换数据，最简单的办法是人工拷盘。 要特别强调，在人工拷盘的任何时刻，两个计算机之间是完全断开的，没有联网的。 在拷盘的时候，当计算机操作人员在一台计算机里拷盘时，与另外一台计算机是完全断开的； 当计算机操作人员把磁盘拿出的时候，与两台计算机都是完全断开的； 当计算机操作人员把文件数据复制到目的计算机时，与原来的计算机是完全断开的。 在任何时候，两台交换文件数据的计算机，总是断开的。,Sneakernet（人力网）,人在两台计算机或两个网络之间使用软盘、移动硬盘等可以移动的存储介质来交换文件或数据，这样两个隔离的计算机或网络与人一起便构成了一个逻辑上

4、的虚拟网络,轮渡,网络隔离有多种方式，其中最重要的一种方式是网闸。网闸的概念主要是源于轮渡。 对轮渡的工作机理的借鉴，大大地推动了网络隔离的研究发展，直接导致网闸技术的出现。 “下车改乘轮船”的现象启发人们研究协议的剥离技术， “下船改成汽车”的现象启发人们研究协议的重建技术， “轮船载人渡河”启发人们研究文件“摆渡”，最后实现了在两网断开的情况下可以进行数据交换。从两台主机在断开的情况下可以实现数据交换，到两个网络之间在断开的情况下也可以实现数据交换,网络隔离技术的发展历史,隔离概念是在为了保护高安全度网络环境的情况下产生的； 隔离产品的大量出现，也是经历了五代隔离技术不断的实践和理论相结合

5、后得来的。,网络隔离技术的发展历史（续）,第一代隔离技术完全的隔离 此方法使得网络处于信息孤岛状态，做到了完全的物理隔离，需要至少两套网络和系统，更重要的是信息交流的不便和成本的提高，这样给维护和使用带来了极大的不便。 第二代隔离技术硬件卡隔离 在客户端增加一块硬件卡，客户端硬盘或其他存储设备首先连接到该卡，然后再转接到主板上，通过该卡能控制客户端硬盘或其他存储设备。而在选择不同的硬盘时，同时选择了该卡上不同的网络接口，连接到不同的网络。但是，这种隔离产品有的仍然需要网络布线为双网线结构，产品存在着较大的安全隐患。,网络隔离技术的发展历史（续）,第三代隔离技术数据转播隔离 利用转播系统分时复制

6、文件的途径来实现隔离，切换时间非常之久，甚至需要手工完成，不仅明显地减缓了访问速度，更不支持常见的网络应用，失去了网络存在的意义。 第四代隔离技术空气开关隔离 它是通过使用单刀双掷开关，使得内外部网络分时访问临时缓存器来完成数据交换的，但在安全和性能上存在有许多问题。,网络隔离技术的发展历史（续）,第五代隔离技术安全通道隔离 此技术通过专用通信硬件和专有安全协议等安全机制，来实现内外部网络的隔离和数据交换，不仅解决了以前隔离技术存在的问题，并有效地把内外部网络隔离开来，而且高效地实现了内外网数据的安全交换，透明支持多种网络应用，成为当前隔离技术的发展方向。,路由器与网络隔离,VLAN与网络隔离

7、,交换机与网络隔离,网络隔离的基本概念,第4章 网络隔离技术,网络隔离的主要方法,防火墙与网络隔离,物理隔离,网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。 它所连接的两个独立主机系统之间不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有“读”和“写”两个命令。 网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，是“黑客”无法入侵、无法攻击、无法破坏、实现真正的安全。,通过两个开关的不能同时闭合来保证OSI模型物理层的断开，可能的三种情况是：K1接通，K2断开；K1断开，

8、K2接通；K1断开，K2断开。,网络隔离的断开原理,物理隔离,协议隔离,“协议隔离”技术在内部网络与外部网络的连接端点处，配置协议隔离器来隔离内外网。 协议隔离器使用了两台不同设备上的通用网络接口分别连接内部与外部网，而设备之间通过使用专用密码通信协议的专用接口卡进行互联。 通常情况下，内外网之间是断开的，只有当有信息交换时，内外网才会可能通过协议隔离器连通。 协议隔离是在密码技术的支持下，采用专用安全通信协议隔离技术实现的。在外人看来，协议隔离器能“通”能“断”，是一个不可见的黑箱。 黑箱内部的核心技术，摒弃了标准化的部件，而采用多项设计的独有技术。对那些“程序性穿透”攻击设置了一道不可迂越

9、的障碍，使依靠攻击程序盗取内网的信息成为不可能。,路由器与网络隔离,VLAN与网络隔离,交换机与网络隔离,网络隔离的基本概念,第4章 网络隔离技术,网络隔离的主要方法,防火墙与网络隔离,交换机,集线器？,交换机（续）,交换机在网络中已经成为一种非常重要的设备，在现在组建的局域网中交换机是一种最主要的网络设备。主要用于连接计算机等网络终端设备。 交换机通常工作在数据链路层，在网络中提供各网段间的帧交换。利用交换机，可以解决带宽缺乏引起的性能问题，提高网络的总带宽 交换机允许连接在交换机上的设备并行通讯，设备间通讯不会再发生冲突，因此交换机打破了冲突域，交换机每个接口是一个冲突域，不会与其他接口发

10、生通讯冲突。,交换机（续）,交换机会在开机后构造一张MAC地址与端口对照表，通过比较数据帧中的目的地址与对照表，将数据帧转发到正确的端口。若收到的数据帧的目的地址不在对照表中，则用广播的方式转发。 交换机可以在同一时刻建立多个并发的连接，同时转发多个帧，从而达到带宽加倍的效果。 传统交换机连接的主机都属于同一个局域网, 这些主机有相同的广播域。交换机不能隔离广播，因此引入了VLAN技术，进一步改善互联网络的性能和安全性。,路由器与网络隔离,VLAN与网络隔离,交换机与网络隔离,网络隔离的基本概念,第4章 网络隔离技术,网络隔离的主要方法,防火墙与网络隔离,VLAN,什么是VLAN？ VLAN（

11、Virtual Local Area Network）为“虚拟局域网”， VLAN是一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术 能够在逻辑上把一个广播域划分成多个广播域 划分VLAN的目的： 如果仅有一个广播域，有可能会影响到网络整体的传输性能,VLAN 的原理,App,TCP,UDP,IP,DL,Physical,App,TCP,UDP,IP,DL,Physical,传统的交换机：两层交换,VLAN中的交换机：三层交换,VLAN的原理（续）,App,TCP,UDP,IP,DL,Physi

12、cal,VLAN中的交换机：三层交换,路由 ACL 。,VLAN的原理（续）,每个VLAN对应一个IP网段。在二层上，VLAN之间是隔离的，这点跟二层交换机中交换引擎的功能是一模一样的。 不同IP网段之间的访问要跨越 VLAN，要使用三层转发引擎提供的VLAN间路由功能。 在使用二层交换机和路由器的组网中，每个需要与其他IP网段通信的IP网段都需要使用一个路由器接口作为网关。而第三层转发引擎就相当于传统组网中的路由器，当需要与其他VLAN通信时也要在三层交换引擎上分配一个路由接口，用来做VLAN的网关。 三层交换机上的这个路由接口是在三层转发引擎和二层转发引擎上的，是通过配置转发芯片来实现的，

13、与路由器的接口不同，它是不可见的。,VLAN 在交换机上的实现方法,基于端口划分 基于MAC地址划分 基于网络层划分 根据IP组划分 其他,基于端口划分的VLAN,适合于任何大小的网络,基于端口划分的VLAN（续）,优点 定义成员时非常简单,只要将所有的端口都指定一下即可 缺点 若某个用户离开了原来的端口,到了一个新的交换机的某个端口,需重新定义,基于MAC地址划分VLAN,适用于小型局域网,MAC A,MAC D,MAC C,MAC B,交换机系统建立了主机MAC地址与VLAN tag的映射关系,主机A,主机D,主机C,主机B,VLAN表,基于MAC地址划分VLAN （续）,优点 用户物理位

14、置移动时, VLAN不需重新配置,基于MAC地址划分VLAN （续）,缺点 初始化时, 所有用户都需进行配置 因每个端口可能存在很多VLAN组成员, 交换机执行效率降低, 无法限制广播包 若网卡更换需重新配置VLAN,基于网络层划分VLAN,VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk等VLAN网络。 适用于需要同时运行多协议的网络,基于网络层划分VLAN （续）,优点 用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，并且可以减少网络通信量，可使广播域跨越多个VLAN交换机。 缺点 效率低下, 需检查每个数据包的网络层

15、地址,根据IP组播划分VLAN,IP 组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN 适合于不在同一地理范围的局域网用户组成一个VLAN,根据IP组播划分VLAN（续）,优点：更大的灵活性，而且也很容易通过路由器进行扩展。 缺点：不适合局域网，主要是效率不高。,按策略划分VLAN,基于策略的VLAN能实现多种分配，包括端口、MAC地址、IP地址、网络层协议等 适用于需求比较复杂的环境,按策略划分VLAN（续）,优点：网络管理人员可根据自己的管理模式和需求来决定选择哪种类型的VLAN 。 缺点：建设初期步骤繁复。,按用户定义、非用户授权划分VLAN,是指为了适应特别的VL

16、AN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。 适用于安全性较高的环境,路由器与网络隔离,VLAN与网络隔离,交换机与网络隔离,网络隔离的基本概念,第4章 网络隔离技术,网络隔离的主要方法,防火墙与网络隔离,路由器的基本概念,路由器,Internet,路由器的基本概念（续）,路由器（Router）是用于连接两个或者多个网络的网络互连设备 路由器工作在TCP/IP协议栈中的IP层,路由器的工作原理（续）,路由器的路由功能,202.115.22,202.115.24,202.115.23,IP 地址？,路由器的工作原理（续）,寻径的依据是经过每个路由器中的路由表。 路由表指明了从源站点到目的站点的一条路径。 路由协议是生成路由表的方法，分为静态路由协议和动态路由协议。,路由器的工作原理（续）,静态路由协议：手工为每台路由器编写一