最深入的网络安全设备知识讲解VIP免费

第1页共17页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第1页共17页最深入的网络安全设备知识讲解来源于:互联网观念:在网络上，主要的概念是:该如何做才能让封包流量更快、更稳。在资安上，主要的概念是:如何掌握、比对、判断、控制封包。好吧~让我们直接来看在一个网络环境里，我们可以在哪些地方摆入资安设备:(设备实际摆设位置会因为产品不同与客户环境而有所变动)是滴~任何网络设备、任何网络位置都可以看见资安设备的踪影!为什么呢?因为上面提过，资安的概念是如何掌握、比对、判断、控制封包!做个有趣的比喻，你可以想象一个原始封包就像个光着身子的美女，随着OSI模式各层的设计师帮她穿上合适的衣服之后才让它出门，VPN只能看见包裹着白布的木乃衣、Firewall可以看见去掉白布后穿着厚衣服的美女容貌、IPS可以从外套推测美女内在的三围、该死的VirusWall竟然有权可以对美女搜身、上网行为管理可以去掉白色的衬杉看美女身上的内衣裤是否是老板希望的款式…好吧~我们聊的是NetworkSecurity，我必需就此打住!至少我们了解一件事，资安的Solution可以存在网络的任何地上(SI知道一定很开心~生意做不完呀!)资安设备简介:接下来是针对各设备做常识性地说明，让大家对资安设备有一个全盘性的概念!(由于小弟碰的设备有限经验也不足，仅对知道的一小部份说明，任何错误与不足，还望各前辈们指正)。Router:第2页共17页第1页共17页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第2页共17页Router通常是Cisco的Router才能加上资安的解决方案，Cisco新一代Router都叫ISR(IntegratedServiceRouter)，可以整合IPS或Voice模块，在外部的Router通常我们希望它扮演好Router的角色即可，而内部买不动一台IPS设备时，会建议客户从现有的Router上加上IPS模块。。Switch:Switch一般也要到Core等级才可加入IPS模块，就如同Router一样，主要就是加上入侵侦测的功能，在客户环境Switch效能ok，也不打算多买设备，可以加入模块方式来保护网络。第3页共17页第2页共17页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第3页共17页。VPN:VPN即VirtualPrivateNetwork，顾名思义即是要达成一个虚拟的私人网络，让在两个网域的计算机之间可以像在同一个网域内沟通一样。这代表的是必需做到外部网络是不能存取或看见我们之间的封包传送，而这两个网域之间是可以轻易的相互使用网络资源。要做到如此，VPN必需对流经封包进行加密，以让对外传输过程不被外人有机看见传输内容，相对的传过去的目的地需要一台解密的机器，可能也是一台VNP或是一个装在notebook上的软件。也因为传输过程加密之故，许多希望在传输上更安全的需求，也都会寻求VPN。VPN的发展到现在，主要市场以SSLVPN的运作，因为可以利用现有的客户端程序(如IE)即可完成加密、解密、验证的程序，使用端不需一台VPN机器，或是client端程序，在导入一个环境最容易，使用上也最简便。。FireWall:第4页共17页第3页共17页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第4页共17页FireWall肯定是最古老的资安产品，但!也是最经典的产品，简单的说，它就像Port的开关，如上图firewall左边的port可能1~65535都有，但封包想流进来~嘿!得先问问Firewall老大哥，这里他只开放了25,80,443的流量进来，其它都别想!!Firewall的第二个大功能就是可以区别网段，如上图的DMZ也可以从Firewall切出来，如此可以确保网络封包的流向，当流量从外面进来观顾时，只允许流到DMZ区，不可能流至内部区网内，避免外部网络与内部网络封包混杂。第三个功能，也就是能区别从Router上设ACL的功能，SPI(StatefulPacketInspection)封包状态检查，可快速地检查封包的来源与目的地址、通讯协议、通讯port、封包状态、或其它标头信息，以判断允许或拒绝!。IPS/IDS:第5页共17页第4页共17页编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第5页共17页这仍然是很年轻的产品，一开始叫IDS(IntrusionDetectionSystem)入侵侦测系统，顾名思义:在有人攻击或入侵到我的土地内之后我会知道，是一个可以侦测出有...