第二讲：防火墙关键技术计算机科学与技术学院主讲人：吕宏武网络安全防护技术讲义MAIN POINTSp包过滤技术p状态包过滤技术p NAT网络地址转换技术p代理技术MAIN POINTSp 学习的目标l理解包过滤技术l掌握NAT转换的基本原理l了解防火墙代理技术1、包过滤技术p 包过滤原理l分组交换网络，包含信息头部和数据信息两部分l工作在网络层和传输层l根据首部信息决定处理方式l理论上可以对报头的任意数据域进行过滤1、包过滤技术p IPv4的头部1、包过滤技术p TCP的头部1、包过滤技术p 包过滤的规则表l数据包过滤访问控制列表ACLl只有满足规则的数据包才被转发1、包过滤技术p 包过滤的规则表l还可以包含TCP包的序列号、IP校验和、网卡名称等1、包过滤技术p 通常被阻止的数据包l部分内网数据包1、包过滤技术p 包过滤的优缺点l优点是简单l缺点是：过滤依据的信息有限缺少审计和报警机制不能对用户身份验证规则数目受限，规则表太大时，性能受影响对安全管理人员的要求很高由于缺少上下文关联信息，难以处理动态端口连接1、包过滤技术p 包过滤的优缺点l EX1l仅开通内部主机对外部Web服务的访
