第四章 防火墙访问控制列表v1

幻灯片 8

包过滤

包过滤作为一种网络安全保护机制，用于控制在两个不同安全级别的网络之间流入和流出网络的数据。在防火墙转发数据包时，先检查包头信息（例如包的源地址/目的地址、源端口/目的端口和上层协议等），然后与设定的规则进行比较，根据比较的结果决定对该数据包进行转发还是丢弃处理。

幻灯片 9

地址转换

NAT（Network Address Translation）是将数据报报头中的IP地址转换为另一个IP地址的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。

在实际应用中，我们可能仅希望某些内部主机（具有私有IP地址）具有访问Internet（外部网络）的权利，而其他内部主机则不允许。这是通过将ACL和NAT地址池进行关联来实现的，即只有满足ACL条件的数据报文才可以进行地址转换，从而有效地控制地址转换的使用范围。

路由策略

路由策略是指在发送与接收路由信息时所实施的策略，它能够对路由信息进行过滤。路由策略有多种过滤方法。其中，ACL作为它的一个重要过滤器被广泛使用，即用户使用ACL指定一个IP地址或子网的范围，作为匹配路由信息的目的网段地址或下一跳地址 QoS

QoS（Quality of Service）用来评估服务方满足客户需求的能力。在Internet上保证QoS的有效办法是增加网络层在流量控制和资源分配上的功能，为有不同服务需求的业务提供有区别的服务。

流分类是有区别地进行服务的前提和基础。实际应用中，首先制定流分类策略（规则），流分类规则既可以使用IP报文头的ToS字段内容来识别不同优先级特征的流量，也可以通过ACL定义流分类的策略。例如综合源地址/目的地址/MAC地址、IP协议或应用程序的端口号等信息对流进行分类，然后在流量监管、流量整形、拥塞管理和拥塞避免等具体实施上引用流分类策略或ACL。 IPSec

IPSec（IP Security）协议族是IETF制定的一系列协议，它通过IP层的加密与数据源验证机制，确保在Internet上参与通信的两个网络节点之间传输的数据包具有私有性、完整性和真实性。

IPSec能够对不同的数据流施加不同的安全保护。例如防火墙对不同的数据流使用不同的安全协议、算法和密钥。实际应用中，数据流首先通过ACL来定义，匹配同一个ACL的所有流量在逻辑上作为一个数据流。然后，通过在安全策略中引用该ACL，从而确保指定的数据流受到保护。

幻灯片 10