当前位置：首页 -> 网络安全 -> 防火墙 -> 黑客眼中的防火墙与路由器

黑客眼中的防火墙与路由器

时间： 2021-07-31 作者：daque

风火墙仍旧变成企业搜集树立中的一个要害构成局部。但有很多用户，觉得搜集中仍旧有了路由器，不妨实行少许大略的包过滤功效，以是，干什么还要用风火墙呢?以次咱们对准风火墙与技术界运用最多、最具代办性的路由器在安定上面的比较，来阐明干什么用户搜集中有了路由器还须要风火墙。　　一、两种摆设爆发和生存的后台各别　　1、两种摆设爆发的基础各别　　路由器的爆发是鉴于对搜集数据包路由而爆发的。路由器须要实行的是将各别搜集的数据包举行灵验的路由，至于干什么路由、能否该当路由、路由事后能否有题目等基础不关怀，所关怀的是:是否将各别的网段的数据包举行路由进而举行通信。　　风火墙是爆发于人们对于安定性的需要。数据包能否不妨精确的达到、达到的功夫、目标等不是风火墙关怀的中心，中心是这个(一系列)数据包能否该当经过、经过后能否会对搜集形成妨害。　　2、基础手段各别　　路由器的基础手段是:维持搜集和数据的“通”。　　风火墙基础的的手段是:保护任何非承诺的数据包“不通”。　　二、中心本领的各别　　cisco路由器中心的acl列表是鉴于大略的包过滤，从风火墙本领实行的观点来说，风火墙是鉴于状况包过滤的运用级消息流过滤。　　一个最为大略的运用:企行业内部网的一台长机，经过路由器对外网供给效劳(假如供给效劳的端口为tcp 1455)。为了保护安定性，在路由器上须要摆设成:外-〉内只承诺client考察 server的tcp 1455端口，其余中断。　　对准此刻的摆设，生存的安定薄弱性如次: 　　1、ip地方捉弄(使贯穿非平常复位) 　　2、tcp捉弄(对话重放和威胁) 　　生存上述心腹之患的因为是，路由器不许监测tcp的状况。即使在前网的client和路由器之间放上风火墙，因为风火墙不妨检验和测定tcp的状况，而且不妨从新随机天生tcp的序列号，则不妨完全取消如许的薄弱性。同声，风火墙的一次性口令认证存户端功效，不妨实行在对运用实足通明的情景下，实行对用户的考察遏制，其认证扶助规范的radius和议和当地认证数据库，不妨实足与第三方的认证效劳器举行互操纵，并不妨实行脚色的分别。　　固然，路由器的"lock-and-key"功效不妨经过动静考察遏制列表的办法，实行对用户的认证，但该个性须要路由器供给telnet效劳，用户在运用使也须要先telnet到路由器上，运用起来不很简单，同声也不够安定(盛开的端口为黑客创作了时机)。 [page_break]三、安定战略拟订的搀杂水平各别　　路由器的默许摆设对安定性的商量不够，须要少许高档摆设本领到达少许提防报复的效率，安定战略的拟订绝大普遍都是鉴于吩咐行的，其对准安定性的准则的拟订对立比拟搀杂，摆设堕落的几率较高。　　风火墙的默许摆设既不妨提防百般报复，到达既用既安定，安定战略的拟订是鉴于全华文的gui的处置东西，其安定战略的拟订人情化，摆设大略、堕落率低。　　四、对本能的感化各别　　路由器是被安排用来转发数据包的，而不是特意安排动作全个性风火墙的，以是用来举行包过滤时，须要举行的演算特殊大，对路由器的cpu和外存的须要都特殊大，而路由器因为其硬件本钱比拟高，其高本能摆设时硬件的本钱都比拟大。　　风火墙的硬件摆设特殊高(沿用通用的intel芯片，本能高且本钱低)，其软硬件也为数据包的过滤举行了特意的优化，其重要模块运转在操纵体例的内核形式下，安排之时更加商量了安定题目，其举行数据包过滤的本能特殊高。　　因为路由器是大略的包过滤，包过滤的准则条数的减少，nat准则的条数的减少，对路由器本能的感化都相映的减少，而风火墙沿用的是状况包过滤，准则条数，nat的准则数对本能的感化逼近于零。　　五、审批功效的强弱分别宏大　　路由器自己没有日记、事变的保存介质，只能经过沿用外部的日记效劳器(如syslog，trap)等来实行对日记、事变的保存;路由器自己没有审批领会东西，对日记、事变的刻画沿用的是不太简单领会的谈话;路由器对报复等安定事变的相映不完备，对于很多的报复、扫描等操纵不不妨爆发精确准时的事变。审批功效的弱化，使处置员不不妨对安定事变举行准时、精确的相应。　　六、提防报复的本领各别　　对于像cisco如许的路由器，其普遍本子不具备运用层的提防功效，不具备侵犯及时检验和测定等功效，即使须要具备如许的功效，就须要生级晋级ios为风火墙个性集，此时不只要接受软硬件的晋级用度，同声因为那些功效都须要举行洪量的演算，还须要举行硬件摆设的晋级，进一步减少了本钱，并且很多厂家的路由器不具备如许的高档安定功效。不妨得出: 　　·具备风火墙个性的路由器本钱 > 风火墙 + 路由器　　·具备风火墙个性的路由器功效 < 风火墙 + 路由器　　·具备风火墙个性的路由器可扩充性 < 风火墙 + 路由器　　综上所述，不妨得出论断:用户的搜集拓扑构造的大略与搀杂、用户运用步调的难易水平不是确定能否该当运用风火墙的规范，确定用户能否运用风火墙的一个基础前提是用户对搜集安定的需要! 　　即运用户的搜集拓扑构造和运用都特殊大略，运用风火墙仍旧是必定的和需要的;即使用户的情况、运用比拟搀杂，那么风火墙将不妨带来更多的长处，风火墙将是搜集树立中不行或缺的一局部，对于常常的搜集来说，路由器将是养护里面网的第一起关隘，而风火墙将是第二道关隘，也是最为庄重的一起关隘。

黑客眼中的防火墙与路由器

相关推荐

推荐下载

热门阅览

最新排行