为您找到与防火墙的基本概念相关的共200个结果:
我们在使用Photoshop时几乎都会使用到图层功能,但是你对图层的概念和所有应用功能都全面了解了吗?相信图层功能还有许多地方是被你忽视掉的,今天我们就来全面透析Photoshop图层功能,帮助大家详细了解图层这个Photoshop中最基本而又重要的工具。
一、图层概念
使用图层可以在不影响整个图像中大部分元素的情况下处理其中一个元素。我们可以把图层想像成是一张一张叠起来的透明胶片,每张透明胶片上都有不同的画面,改变图层的顺序和属性可以改变图像的最后效果。通过对图层的操作,使用它的特殊功能可以创建很多复杂的图像效果。
图层面板上显示了图像中的所有图层、图层组和图层效果,我们可以使用图层面板上的各种功能来完成一些图像编辑任务,例如创建、隐藏、复制和删除图层等。还可以使用图层模式改变图层上图像的效果,如添加阴影、外发光、浮雕等等。另外我们对图层的光线、色相、透明度等参数都可以做修改来制作不同的效果。图层面板如图1。
图1中显示出了图层面板最简单的功能,1是图层的菜单功能,点击向右的菜单就可以看到它的功能,包括:新建、复制、删除图层,建立图层组,图层属性,混合选项,图层合并等等功能。2就是图层,3是可以看到图层上图像的缩略图。
在Photoshop中在“窗口”菜单下选择“图层”就可以打开上面的面板,如果想改变图1中3缩略图的大小可以,点击1的三角形按钮展开功能菜单选择“调板选项”打开选择对话框(图2),然后设置缩略图的显示大小了。
小提示:为了使计算机运行的速度加快,可以选择关闭“缩略图”功能,即在图2中选择“无”。
三、图层类型
1、背景图层
每次新建一个Photoshop文件时图层会自动建立一个背景图层(使用白色背景或彩色背景创建新图像时),这个图层是被锁定的位于图层的最底层。我们是无法改变背景图层的排列顺序的,同时也不能修改它的不透明度或混合模式。如果按照透明背景方式建立新文件时,图像就没有背景图层,最下面的图层不会受到功能上的限制(如图3)。
如果实在不愿意使用Photoshop强加的受限制背景图层,我们也可以将它转换成普通图层让它不再受到限制。具体方法:在图层调板中双击背景图层,打开新图层对话框(图4),然后根据需要设置图层选项,点击“确定”按钮后再看看图层面板上的背景图层已经转换成普通图层了。
2、图层
我们可以在图层面板上添加新图层然后向里面添加内容,也可以通过添加内容再来创建图层。一般创建的新图层会显示在所选图层的上面(图5)或所选图层组内。
3、图层组
图层组(图6)可以帮助组织和管理图层,使用图层组可以很容易地将图层作为一组移动、对图层组应用属性和蒙版以及减少图层调板中的混乱。
注意:在现有图层组中无法创建新图层组。
浏览量:2
下载量:0
时间:
网络防火墙是保护我们电脑的一种功能,很多人可能都不太了解,下面是读文网小编整理的一些关于防火墙的相关资料,供你参考。
网络层防火墙
网络层防火墙可视为一种 IP 封包过滤器,运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式,只允许符合特定规则的封包通过,其余的一概禁止穿越防火墙(病毒除外,防火墙不能防止病毒侵入)。这些规则通常可以经由管理员定义或修改,不过某些防火墙设备可能只能套用内置的规则。
我们也能以另一种较宽松的角度来制定防火墙规则,只要封包不符合任何一项“否定规则”就予以放行。操作系统及网络设备大多已内置防火墙功能。
较新的防火墙能利用封包的多样属性来进行过滤,例如:来源 IP地址、来源端口号、目的 IP 地址或端口号、服务类型(如 HTTP 或是 FTP)。也能经由通信协议、TTL 值、来源的网域名称或网段...等属性来进行过滤。
应用层防火墙
应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作,您使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火墙可以拦截进出某应用程序的所有封包,并且封锁其他的封包(通常是直接将封包丢弃)。理论上,这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。
防火墙借由监测所有的封包并找出不符规则的内容,可以防范电脑蠕虫或是木马程序的快速蔓延。不过就实现而言,这个方法既烦且杂(软件有千千百百种啊),所以大部分的防火墙都不会考虑以这种方法设计。
XML 防火墙是一种新型态的应用层防火墙。
根据侧重不同,可分为:包过滤型防火墙、应用层网关型防火墙、服务器型防火墙。
数据库防火墙
数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制,实现数据库的访问行为控制、危险操作阻断、可疑行为审计。
数据库防火墙通过SQL协议分析,根据预定义的禁止和许可策略让合法的SQL操作通过,阻断非法违规操作,形成数据库的外围防御圈,实现SQL危险操作的主动预防、实时审计。
数据库防火墙面对来自于外部的入侵行为,提供SQL注入禁止和数据库虚拟补丁包功能。
防火墙的相关
浏览量:1
下载量:0
时间:
将某些类型的连接重定向到审核服务中去。例如,到专用Web服务器的连接,在Web服务器连接被允许之前,可能被发到SecutID服务器(用一次性口令来使用)。
拒绝携带某些数据的网络通信,如带有附加可执行程序的传入电子消息,或包含ActiveX程序的Web页面。
跟踪连接状态的方式取决于包通过防火墙的类型:
TCP包。当建立起一个TCP连接时,通过的第一个包被标有包的SYN标志。通常情况下,防火墙丢弃所有外部的连接企图,除非已经建立起某条特定规则来处理它们。对内部的连接试图连到外部主机,防火墙注明连接包,允许响应及随后再两个系统之间的包,直到连接结束为止。在这种方式下,传入的包只有在它是响应一个已建立的连接时,才会被允许通过。
UDP包。UDP包比TCP包简单,因为它们不包含任何连接或序列信息。它们只包含源地址、目的地址、校验和携带的数据。这种信息的缺乏使得防火墙确定包的合法性很困难,因为没有打开的连接可利用,以测试传入的包是否应被允许通过。可是,如果防火墙跟踪包的状态,就可以确定。对传入的包,若它所使用的地址和UDP包携带的协议与传出的连接请求匹配,该包就被允许通过。和TCP包一样,没有传入的UDP包会被允许通过,除非它是响应传出的请求或已经建立了指定的规则来处理它。对其他种类的包,情况和UDP包类似。防火墙仔细地跟踪传出的请求,记录下所使用的地址、协议和包的类型,然后对照保存过的信息核对传入的包,以确保这些包是被请求的。
浏览量:2
下载量:0
时间:
防火墙可以由软件组成,也可以由软件和硬件设备共同组合而成。通常情况下,网络防火墙作为内部网与外部网之间的一种访问控制设备,常常被安装在内部网和外部网的出口上,用来限制Internet用户对内部网络的访问以及管理内部用户访问外界的权限。随着越来越多企业或组织的内部网连接到Internet上,越来越多的企业组建Intranet,网络的安全变得日趋重要。安全关注如何对进出网络的数据流进行有效的控制与监视,相应的控制措施包括防火墙、物理隔离、远程访问控制、病毒/恶意代码防御和入侵检测等。作为保护网络安全产品,防火墙技术已经逐步趋于成熟,并为广大用户所认可。
1.网络防火墙的主要功能
使用网络防火墙的目的是在网络连接之间建立一个安全的控制点,实现对进、出内部网络的服务和访问的审计和控制。防火墙主要有如下的功能:
(1)实现了网段之间的隔离或控制
(2)记录与Internet之间的通信活动
(3)强化了安全访问策略
(4)提供一个安全策略的检查站
(5)实现了数据包的过滤
(6)网络地址翻译
2.网络防火墙功能的局限
虽然防火墙能够提供基本的安全保证,但功能也还是有它不可避免的缺陷,主要表现在:
(1)防火墙不能防备全部威胁
(2)防火墙一般没有配置防病毒的功能
(3)防火墙不能防范不通过它的连接
(4)防火墙不能完全防范内外部恶意的知情者
因此,尽管防火墙的作用非常重要,但也不能将防火墙当作惟一的安全手段,而是应当结合其他的安全措施,建设全面的安全防御体系。
浏览量:2
下载量:0
时间:
Internet的迅速发展给现代人的生产和生活都带来了前所未有的飞跃,大大提高了工作效率,丰富了人们的生活,弥补了人们的精神空缺;而与此同时给人们带来了一个日益严峻的问题――网络安全。网络的安全性成为当今最热门的话题之一,很多企业为了保障自身服务器或数据安全都采用了防火墙。随着科技的发展,防火墙也逐渐被大众所接受。但是,由于防火墙是属于高科技产物,许多的人对此还并不是了解的十分透彻。这篇是介绍防火墙的分类,希望你能多了解增长知识。
防火墙的基本分类
1.包过滤防火墙
第一代防火墙和最基本形式防火墙检查每一个通过的网络包,或者丢弃,或者放行,取决于所建立的一套规则。这称为包过滤防火墙。
本质上,包过滤防火墙是多址的,表明它有两个或两个以上网络适配器或接口。例如,作为防火墙的设备可能有两块网卡(NIC),一块连到内部网络,一块连到公共的Internet。防火墙的任务,就是作为“通信警察”,指引包和截住那些有危害的包。
包过滤防火墙检查每一个传入包,查看包中可用的基本信息(源地址和目的地址、端口号、协议等)。然后,将这些信息与设立的规则相比较。如果已经设立了阻断telnet连接,而包的目的端口是23的话,那么该包就会被丢弃。如果允许传入Web连接,而目的端口为80,则包就会被放行。
多个复杂规则的组合也是可行的。如果允许Web连接,但只针对特定的服务器,目的端口和目的地址二者必须与规则相匹配,才可以让该包通过。
最后,可以确定当一个包到达时,如果对该包没有规则被定义,接下来将会发生什么事情了。通常,为了安全起见,与传入规则不匹配的包就被丢弃了。如果有理由让该包通过,就要建立规则来处理它。
建立包过滤防火墙规则的例子如下:
对来自专用网络的包,只允许来自内部地址的包通过,因为其他包包含不正确的包头部信息。这条规则可以防止网络内部的任何人通过欺骗性的源地址发起攻击。而且,如果黑客对专用网络内部的机器具有了不知从何得来的访问权,这种过滤方式可以阻止黑客从网络内部发起攻击。
在公共网络,只允许目的地址为80端口的包通过。这条规则只允许传入的连接为Web连接。这条规则也允许与Web连接使用相同端口的连接,所以它并不是十分安全。
丢弃从公共网络传入的包,而这些包都有你的网络内的源地址,从而减少IP欺骗性的攻击。丢弃包含源路由信息的包,以减少源路由攻击。要记住,在源路由攻击中,传入的包包含路由信息,它覆盖了包通过网络应采取得正常路由,可能会绕过已有的安全程序。通过忽略源路由信息,防火墙可以减少这种方式的攻击。
2.状态/动态检测防火墙
状态/动态检测防火墙,试图跟踪通过防火墙的网络连接和包,这样防火墙就可以使用一组附加的标准,以确定是否允许和拒绝通信。它是在使用了基本包过滤防火墙的通信上应用一些技术来做到这点的。
当包过滤防火墙见到一个网络包,包是孤立存在的。它没有防火墙所关心的历史或未来。允许和拒绝包的决定完全取决于包自身所包含的信息,如源地址、目的地址、端口号等。包中没有包含任何描述它在信息流中的位置的信息,则该包被认为是无状态的;它仅是存在而已。
一个有状态包检查防火墙跟踪的不仅是包中包含的信息。为了跟踪包的状态,防火墙还记录有用的信息以帮助识别包,例如已有的网络连接、数据的传出请求等。
例如,如果传入的包包含视频数据流,而防火墙可能已经记录了有关信息,是关于位于特定IP地址的应用程序最近向发出包的源地址请求视频信号的信息。如果传入的包是要传给发出请求的相同系统,防火墙进行匹配,包就可以被允许通过。
一个状态/动态检测防火墙可截断所有传入的通信,而允许所有传出的通信。因为防火墙跟踪内部出去的请求,所有按要求传入的数据被允许通过,直到连接被关闭为止。只有未被请求的传入通信被截断。
如果在防火墙内正运行一台服务器,配置就会变得稍微复杂一些,但状态包检查是很有力和适应性的技术。例如,可以将防火墙配置成只允许从特定端口进入的通信,只可传到特定服务器。如果正在运行Web服务器,防火墙只将80端口传入的通信发到指定的Web服务器。
状态/动态检测防火墙可提供的其他一些额外的服务有:
将某些类型的连接重定向到审核服务中去。例如,到专用Web服务器的连接,在Web服务器连接被允许之前,可能被发到SecutID服务器(用一次性口令来使用)。
拒绝携带某些数据的网络通信,如带有附加可执行程序的传入电子消息,或包含ActiveX程序的Web页面。
跟踪连接状态的方式取决于包通过防火墙的类型:
TCP包。当建立起一个TCP连接时,通过的第一个包被标有包的SYN标志。通常情况下,防火墙丢弃所有外部的连接企图,除非已经建立起某条特定规则来处理它们。对内部的连接试图连到外部主机,防火墙注明连接包,允许响应及随后再两个系统之间的包,直到连接结束为止。在这种方式下,传入的包只有在它是响应一个已建立的连接时,才会被允许通过。
UDP包。UDP包比TCP包简单,因为它们不包含任何连接或序列信息。它们只包含源地址、目的地址、校验和携带的数据。这种信息的缺乏使得防火墙确定包的合法性很困难,因为没有打开的连接可利用,以测试传入的包是否应被允许通过。可是,如果防火墙跟踪包的状态,就可以确定。对传入的包,若它所使用的地址和UDP包携带的协议与传出的连接请求匹配,该包就被允许通过。和TCP包一样,没有传入的UDP包会被允许通过,除非它是响应传出的请求或已经建立了指定的规则来处理它。对其他种类的包,情况和UDP包类似。防火墙仔细地跟踪传出的请求,记录下所使用的地址、协议和包的类型,然后对照保存过的信息核对传入的包,以确保这些包是被请求的。
3.应用程序代理防火墙
应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信。相反,它是接受来自内部网络特定用户应用程序的通信,然后建立于公共网络服务器单独的连接。网络内部的用户不直接与外部的服务器通信,所以服务器不能直接访问内部网的任何一部分。
另外,如果不为特定的应用程序安装代理程序代码,这种服务是不会被支持的,不能建立任何连接。这种建立方式拒绝任何没有明确配置的连接,从而提供了额外的安全性和控制性。
例如,一个用户的Web浏览器可能在80端口,但也经常可能是在1080端口,连接到了内部网络的HTTP代理防火墙。防火墙然后会接受这个连接请求,并把它转到所请求的Web服务器。
这种连接和转移对该用户来说是透明的,因为它完全是由代理防火墙自动处理的。
代理防火墙通常支持的一些常见的应用程序有:
HTTP
HTTPS/SSL
SMTP
POP3
IMAP
NNTP
TELNET
FTP
IRC
应用程序代理防火墙可以配置成允许来自内部网络的任何连接,它也可以配置成要求用户认证后才建立连接。要求认证的方式由只为已知的用户建立连接的这种限制,为安全性提供了额外的保证。如果网络受到危害,这个特征使得从内部发动攻击的可能性大大减少。
4.NAT
讨论到防火墙的主题,就一定要提到有一种路由器,尽管从技术上讲它根本不是防火墙。网络地址转换(NAT)协议将内部网络的多个IP地址转换到一个公共地址发到Internet上。
NAT经常用于小型办公室、家庭等网络,多个用户分享单一的IP地址,并为Internet连接提供一些安全机制。
当内部用户与一个公共主机通信时,NAT追踪是哪一个用户作的请求,修改传出的包,这样包就像是来自单一的公共IP地址,然后再打开连接。一旦建立了连接,在内部计算机和Web站点之间来回流动的通信就都是透明的了。
当从公共网络传来一个未经请求的传入连接时,NAT有一套规则来决定如何处理它。如果没有事先定义好的规则,NAT只是简单的丢弃所有未经请求的传入连接,就像包过滤防火墙所做的那样。
可是,就像对包过滤防火墙一样,你可以将NAT配置为接受某些特定端口传来的传入连接,并将它们送到一个特定的主机地址。
5.个人防火墙
现在网络上流传着很多的个人防火墙软件,它是应用程序级的。个人防火墙是一种能够保护个人计算机系统安全的软件,它可以直接在用户的计算机上运行,使用与状态/动态检测防火墙相同的方式,保护一台计算机免受攻击。通常,这些防火墙是安装在计算机网络接口的较低级别上,使得它们可以监视传入传出网卡的所有网络通信。
一旦安装上个人防火墙,就可以把它设置成“学习模式”,这样的话,对遇到的每一种新的网络通信,个人防火墙都会提示用户一次,询问如何处理那种通信。然后个人防火墙便记住响应方式,并应用于以后遇到的相同那种网络通信。
例如,如果用户已经安装了一台个人Web服务器,个人防火墙可能将第一个传入的Web连接作上标志,并询问用户是否允许它通过。用户可能允许所有的Web连接、来自某些特定IP地址范围的连接等,个人防火墙然后把这条规则应用于所有传入的Web连接。
基本上,你可以将个人防火墙想象成在用户计算机上建立了一个虚拟网络接口。不再是计算机的操作系统直接通过网卡进行通信,而是以操作系统通过和个人防火墙对话,仔细检查网络通信,然后再通过网卡通信。
浏览量:2
下载量:0
时间:
欢迎来到读文网,本文为大家讲解路由器是什么,揭开路由器的神秘面纱,欢迎大家阅读学习。
路由器的一个作用是连通不同的网络,另一个作用是选择信息传送的线路。选择通畅快捷的近路,能大大提高通信速度,减轻网络系统通信负荷,节约网络系统资源,提高网络系统畅通率,从而让网络系统发挥出更大的效益来。
从过滤网络流量的角度来看,路由器的作用与交换机和网桥非常相似。但是与工作在网络物理层,从物理上划分网段的交换机不同,路由器使用专门的软件协议从逻辑上对整个网络进行划分。例如,一台支持IP协议的路由器可以把网络划分成多个子网段,只有指向特 殊IP地址的网络流量才可以通过路由器。对于每一个接收到的数据包,路由器都会重新计算其校验值,并写入新的物理地址。因此,使用路由器转发和过滤数据的速度往往要比只查看数据包物理地址的交换机慢。但是,对于那些结构复杂的网络,使用路由器可以提高网络 的整体效率。路由器的另外一个明显优势就是可以自动过滤网络广播。从总体上说,在网络中添加路由器的整个安装过程要比即插即用的交换机复杂很多。
一般说来,异种网络互联与多个子网互联都应采用路由器来完成。
路由器的主要工作就是为经过路由器的每个数据帧寻找一条最佳传输路径,并将该数据有效地传送到目的站点。由此可见,选择最佳路径的策略即路由算法是路由器的关键所在。为了完成;这项工作,在路由器中保存着各种传输路径的相关数据——路径表(Routi ng Table),供路由选择;时使用。路径表中保存着子网的标志信息、网上路由器的个数和下一个路由器的名字等内容。路径表可以是由系统管理员固定设置好的,也可以由系统动态修改,可以由路由器自动调整,也可以由主机控制。
浏览量:2
下载量:0
时间:
本文是小编带来的CAD基础教程界面布局与基本概念,欢迎大家阅读借鉴,希望能帮到你。
CAD(Computer Aided Design)是指计算机辅助设计,是计算机技术的一个重要的应用领域。AutoCAD是一款自动计算机辅助设计软件,是美国Autodesk公司为计算机上应用CAD技术。
一.界面布局
安装AutoCAD 2006后,初次启动软件后显示的默认界面如图1所示。
观察图1,图中标明了默认界面中各个基本功能面板的名称。在前期的绘图工作中,其中的一些面板是没有任何作用的,例如[图纸集管理器]和[工具选项]面板,因此可以将其关闭,将AutoCAD的绘图区完整的显示出来。
二.基本概念
在正式开始讲解AutoCAD的基础知识以前,首先简单介绍一些AutoCAD的基本概念。
1.工作空间
工作空间是指对绘图时所使用的工具和面板的定制,即根据不同用户个人习惯定义的工作环境。
AutoCAD中的工具或命令面板众多,要定制工作空间,首先需要了解哪些工具最为常用。对于室内建模来说,在AutoCAD中使用的工具相对较少,主要使用到以下几个工具栏。
01 绘图工具——所有基础的图形,无论是矩形、圆形、线形等都由绘图工具实现。
02 修改工具——对象的移动、旋转、缩放,甚至于镜像、偏移、阵列等操作都由修改工具实现。
03 标注工具——顾名思义,就是在图纸上进行各种文字或图形标注。
04 查询工具——用于查询和提取两点间距、封闭图形的面积、质量特性等图形相关信息。
TIPS
所有的工具栏,都可以在任何一个工具栏前端的双竖线上单击鼠标右键,在弹出的快捷菜单中选择打开。打开后的工具栏为浮动工具栏,可以将其拖曳到工作区的任意一边,当出现虚线显示的时候释放鼠标,便成为固定工具栏。
打开常用的工具栏后,根据个人习惯,将各工具栏固定在工作区的四周。对当前的工具栏布局满意后,单击[工作空间]面板上的黑色三角图标打开下拉菜单,选择[将当前工作空间另存为...]命令,在弹出的[保存工作空间]对话框中设置工作空间的名称,单击[保存]按钮。这样自定义的工作空间便被保存下来,以后即使关闭掉部分面板或布局被改变,只要在[工作空间]面板的下拉菜单中选择前面所保存的定制,AutoCAD的界面就会恢复成个人设置的工作空间。
2.光标显示
由于AutoCAD中的绘图是一项十分精确的工作,因此在AutoCAD中鼠标光标的显示也与其他软件有所不同,显示为十字形状。默认状态下光标显示为小十字,根据工作的需要,还可以将十字线往外延伸。执行菜单[工具]|[选项]命令,打开[选项]面板。在[显示]选项卡中的[十字光标大小]属性组中就可以设置十字光标的大小。
3.状态栏的使用
AutoCAD的状态栏,显示的是当前十字光标所在处的三维坐标和AutoCAD绘图辅助工具的开关状态,其上的所有按钮都有对应的快捷键。在使用的时候,压下按钮为启用状态,抬起按钮为关闭状态。
4.工具切换与命令窗口
常用的绘图工具栏与修改工具栏上工具按钮众多,如果每次切换工具都在图标上单击选择,会大大降低绘图的效率。在实际的工作中,通常会使用快捷键进行切换,当操作熟练以后,就能得心应手了。在AutoCAD中使用快捷键的方式与其他软件稍有不同,大部分软件的快捷键只需要直接在键盘上按下相应的按键就可以实现工具切换、打开面板或执行命令等操作。而在AutoCAD中,则需要配合空格键使用。
以直线为例,使用时按L键然后再按空格键,就可以在绘图区进行直线绘制了。在进行操作的时候不妨观察一下位于界面下方的命令窗口,可以发现当按下L键时,相当于在命令窗口中输入了L的命令,按下空格键则相当于执行命令。
AutoCAD基础教程:界面布局与基本概念
下表列出绘图工具和修改工具对应的快捷键,以供参考。
在绘制图形的时候,经常需要指定线的长度、圆的半径或距离的大小等,这些数值的精确输入同样可以通过命令窗口来实现。
以圆为例,按下C键然后再按空格键切换到圆工具,在绘图区单击鼠标确定圆心的位置,输入一个数值,如500,按空格键,此时在绘图区中绘制出一个半径为500的圆。
在AutoCAD 2006版本的状态栏上新增加了一个名为[DYN]的功能按钮,意思是动态输入。当按下该按钮时,前面所说的按下快捷键或输入数值的操作,会直接反映在光标右下侧的输入框中,而不是出现在命令窗口。如果不习惯这种方式,可以按F12键取消[DYN]的启用状态。
AutoCAD基础教程:界面布局与基本概念
总的来说,命令窗口中提示了在AutoCAD中绘图时所有的操作及控制信息,按F2键能弹出浮动的命令窗口的文本窗口,在里面能够一目了然地查看到当前文件中曾经执行过的操作信息。
AutoCAD基础教程:界面布局与基本概念
三.鼠标状态与对象选择
本小节主要讲解在AutoCAD中进行操作时,鼠标的显示状态和对象选择的相关方法。
1.鼠标状态
在AutoCAD操作当中,鼠标光标会随着选择的命令或操作方式的不同而改变显示状态,这是在初学AutoCAD时需要留意的一个现象特征。最常见的鼠标状态可分为三种类型,分别是无命令选择状态、绘制状态和有命令选择状态。当然,这是笔者根据使用经验总结的名称,希望能帮助读者更好地理解不同情况下的鼠标状态。
1.无命令选择状态
鼠标光标默认的十字加方格的显示状态,就是这里所说的无命令选择状态。在该状态下,可以选择绘图区中的图形,然后执行下一步操作。
2. 绘制状态
当选择绘图工具栏上的绘图工具时,鼠标光标会变为十字显示,这就是绘制状态。在绘制状态下,可以在绘图区精确地绘制图形。
AutoCAD中的绘制操作,基本都是鼠标的点击操作,即没有按住鼠标不放并拖曳的操作。这种操作方式简单明了,是AutoCAD另一个与其他软件不同的操作方式。
3.重复绘制
在一些绘图软件中,如果绘制了一个图形后,要重复绘制相同的图形,很简单,保持当前状态直接绘制即可。但在AutoCAD中,则需要通过单击右键选择快捷菜单中的[重复]命令,或者按空格/回车键后,才能实现重复绘制操作。否则,鼠标光标会自动恢复成无命令选择状态;重复操作中最常用的方式是按空格键。
4.有命令选择状态
在修改工具栏上单击删除按钮或按E键,空格键,切换到删除命令,鼠标光标会变为方格显示。这就是本文所说的有命令选择状态,意思是当前的鼠标上带着[删除]的命令。
在该状态下,在绘图区中框选图形后,选中的图形会呈现虚线显示,此时只要按空格键进行确定,这些选中的图形就会被删除。如果要继续删除对象,只需按空格键,重复选择对象,并再次按空格键确认操作即可。
Note
在AutoCAD的编辑和修改中,可分为两种操作顺序。以删除操作为例,一种是先在绘图区选择对象,然后单击删除命令;另一种是先切换到删除命令,然后选择对象,按空格键确定。这两种方式的操作结果相同,可以根据个人使用习惯来进行选择。
2.对象选择
在AutoCAD中有多种选择方式。在命令窗口中输入S,然后按空格键,会在命令窗口中列出AutoCAD所有选择对象的方式。对于室内建模来说,不会使用到这么多的选择方式,下面简单介绍几个较为常用的选择方式及其使用技巧。
1.点选
点选,就是点击选择。仍然以删除命令为例,在绘图区中绘制几个图形,按E键及空格键切换到删除命令,在其中一个对象上单击鼠标将其选中,然后继续单击另一个对象,会发现当前进行的是加选操作,上一个对象的选择并没有被取消,此时按下[空格]键,选中的对象就会被删除。
加选是AutoCAD默认的对象选择方式。如果要减选对象,只要配合Shift键,并点击对象即可。
2.框选
框选是AutoCAD中一个比较重要的操作,他可以分为两种方式。
01 按住左键,自左往右方划动鼠标进行选择,画出的选择区为蓝色实线矩形显示,此时只有被蓝色矩形完全包围的对象才能被选中,这种选择方式称为窗口选择
02 按住左键,自右往左方划动鼠标进行选择,画出的选择区为绿色虚线矩形显示,此时只要与绿色矩形有任意重叠部分的对象都能被选中,这种选择方式称为交叉选择。
3.栏选
栏选是指在提示选择时输入F 命令,然后在绘图区中绘制一根栏选的线。同样以删除命令为例,在绘图区中绘制一根线。切换到删除命令,在命令窗口中输入F,然后在绘图区中绘制一根线,此时可以看到只要与栏选选发生交叉的线段都变成虚线的选中状态,按[空格]键就可以将其删除。
四.视图操作
在上一小节了解了鼠标状态和基本的对象选择方式后,本小节将来讲解AutoCAD的视图操作技巧。
配合练习用的AutoCAD文件请参考配套光盘“DVD03附录CADdwg客厅1.dwg”文件。
默认状态下,AutoCAD提供了4个关于视图操作的工具,但在实际工作当中,会使用快捷键进行操作。
[Z]→[空格]——局部放大
输入该命令后,会切换到局部放大方式。此时在绘图区进行框选,就能够放大该选区。
[Z]→[空格]→[A]→[空格]——显示全部
输入该命令后,视图中显示的是全部的绘图区大小。
[Z]→[空格]→[E]→[空格]——显示全图
输入该命令后,视图中显示的是所有的图形对象。
[Z]→[空格]→[空格]——实时缩放
输入该命令后,鼠标光标会变为显示,在视图中按住鼠标左键并拖拽,可以对视图进行实时缩放。
TIPS
在视图中拨动鼠标滚轮也可以缩放视图,但执行的是级别式的缩放;而实时缩放执行的则是平滑缩放。
[按鼠标中键并拖拽]——平移视图
该操作等同于图标的作用
[Z→空格→P→空格]——返回上一个视图
某些时候进行了错误的视图缩放操作,如果想返回到上一个视图显示,可以使用该命令。它等同于图标的作用。
Ctrl+Z——撤销
使用快捷键Ctrl+C也可以撤销视图操作,但与命令不一样的是,撤销后的视图不一定会返回到上一步的视图显示大小。
至此,AutoCAD的界面布局、基本概念、鼠标状态与对象选择、以及视图操作命令介绍完毕。
浏览量:2
下载量:0
时间:
网络安全成为当今最热门的话题之一,很多企业为了保障自身服务器或数据安全都采用了防火墙。随着科技的发展,防火墙也逐渐被大众所接受。但是,由于防火墙是属于高科技产物,许多的人对此还并不是了解的十分透彻。而这篇文章就是给大家讲述了防火墙工作的方式,以及防火墙的基本分类,并且讨论了每一种防火墙的优缺点。
一、防火墙的基本分类
1.包过滤防火墙
第一代防火墙和最基本形式防火墙检查每一个通过的网络包,或者丢弃,或者放行,取决于所建立的一套规则。这称为包过滤防火墙。
本质上,包过滤防火墙是多址的,表明它有两个或两个以上网络适配器或接口。例如,作为防火墙的设备可能有两块网卡(NIC),一块连到内部网络,一块连到公共的Internet。防火墙的任务,就是作为“通信警察”,指引包和截住那些有危害的包。
包过滤防火墙检查每一个传入包,查看包中可用的基本信息(源地址和目的地址、端口号、协议等)。然后,将这些信息与设立的规则相比较。如果已经设立了阻断telnet连接,而包的目的端口是23的话,那么该包就会被丢弃。如果允许传入Web连接,而目的端口为80,则包就会被放行。
多个复杂规则的组合也是可行的。如果允许Web连接,但只针对特定的服务器,目的端口和目的地址二者必须与规则相匹配,才可以让该包通过。
最后,可以确定当一个包到达时,如果对该包没有规则被定义,接下来将会发生什么事情了。通常,为了安全起见,与传入规则不匹配的包就被丢弃了。如果有理由让该包通过,就要建立规则来处理它。
建立包过滤防火墙规则的例子如下:
对来自专用网络的包,只允许来自内部地址的包通过,因为其他包包含不正确的包头部信息。这条规则可以防止网络内部的任何人通过欺骗性的源地址发起攻击。而且,如果黑客对专用网络内部的机器具有了不知从何得来的访问权,这种过滤方式可以阻止黑客从网络内部发起攻击。
在公共网络,只允许目的地址为80端口的包通过。这条规则只允许传入的连接为Web连接。这条规则也允许与Web连接使用相同端口的连接,所以它并不是十分安全。
丢弃从公共网络传入的包,而这些包都有你的网络内的源地址,从而减少IP欺骗性的攻击。
丢弃包含源路由信息的包,以减少源路由攻击。要记住,在源路由攻击中,传入的包包含路由信息,它覆盖了包通过网络应采取得正常路由,可能会绕过已有的安全程序。通过忽略源路2.状态/动态检测防火墙
状态/动态检测防火墙,试图跟踪通过防火墙的网络连接和包,这样防火墙就可以使用一组附加的标准,以确定是否允许和拒绝通信。它是在使用了基本包过滤防火墙的通信上应用一些技术来做到这点的。
当包过滤防火墙见到一个网络包,包是孤立存在的。它没有防火墙所关心的历史或未来。允许和拒绝包的决定完全取决于包自身所包含的信息,如源地址、目的地址、端口号等。包中没有包含任何描述它在信息流中的位置的信息,则该包被认为是无状态的;它仅是存在而已。
一个有状态包检查防火墙跟踪的不仅是包中包含的信息。为了跟踪包的状态,防火墙还记录有用的信息以帮助识别包,例如已有的网络连接、数据的传出请求等。
例如,如果传入的包包含视频数据流,而防火墙可能已经记录了有关信息,是关于位于特定IP地址的应用程序最近向发出包的源地址请求视频信号的信息。如果传入的包是要传给发出请求的相同系统,防火墙进行匹配,包就可以被允许通过。
一个状态/动态检测防火墙可截断所有传入的通信,而允许所有传出的通信。因为防火墙跟踪内部出去的请求,所有按要求传入的数据被允许通过,直到连接被关闭为止。只有未被请求的传入通信被截断。
如果在防火墙内正运行一台服务器,配置就会变得稍微复杂一些,但状态包检查是很有力和适应性的技术。例如,可以将防火墙配置成只允许从特定端口进入的通信,只可传到特定服务器。如果正在运行Web服务器,防火墙只将80端口传入的通信发到指定的Web服务器。
状态/动态检测防火墙可提供的其他一些额外的服务有:
将某些类型的连接重定向到审核服务中去。例如,到专用Web服务器的连接,在Web服务器连接被允许之前,可能被发到SecutID服务器(用一次性口令来使用)。
拒绝携带某些数据的网络通信,如带有附加可执行程序的传入电子消息,或包含ActiveX程序的Web页面。
跟踪连接状态的方式取决于包通过防火墙的类型:
TCP包。当建立起一个TCP连接时,通过的第一个包被标有包的SYN标志。通常情况下,防火墙丢弃所有外部的连接企图,除非已经建立起某条特定规则来处理它们。对内部的连接试图连到外部主机,防火墙注明连接包,允许响应及随后再两个系统之间的包,直到连接结束为止。在这种方式下,传入的包只有在它是响应一个已建立的连接时,才会被允许通过。
UDP包。UDP包比TCP包简单,因为它们不包含任何连接或序列信息。它们只包含源地址、目的地址、校验和携带的数据。这种信息的缺乏使得防火墙确定包的合法性很困难,因为没有打开的连接可利用,以测试传入的包是否应被允许通过。可是,如果防火墙跟踪包的状态,就可以确定。对传入的包,若它所使用的地址和UDP包携带的协议与传出的连接请求匹配,该包就被允许通过。和TCP包一样,没有传入的UDP包会被允许通过,除非它是响应传出的请求或已经建立了指定的规则来处理它。对其他种类的包,情况和UDP包类似。防火墙仔细地跟踪传出的请求,记录下所使用的地址、协议和包的类型,然后对照保存过的信息核对传入的包,以确保这些包是被请求的。
由信息,防火墙可以减少这种方式的攻击。
3.应用程序代理防火墙
应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信。相反,它是接受来自内部网络特定用户应用程序的通信,然后建立于公共网络服务器单独的连接。网络内部的用户不直接与外部的服务器通信,所以服务器不能直接访问内部网的任何一部分。
另外,如果不为特定的应用程序安装代理程序代码,这种服务是不会被支持的,不能建立任何连接。这种建立方式拒绝任何没有明确配置的连接,从而提供了额外的安全性和控制性。
例如,一个用户的Web浏览器可能在80端口,但也经常可能是在1080端口,连接到了内部网络的HTTP代理防火墙。防火墙然后会接受这个连接请求,并把它转到所请求的Web服务器。
这种连接和转移对该用户来说是透明的,因为它完全是由代理防火墙自动处理的。
代理防火墙通常支持的一些常见的应用程序有:
HTTP
HTTPS/SSL
SMTP
POP3
IMAP
NNTP
TELNET
FTP
IRC
应用程序代理防火墙可以配置成允许来自内部网络的任何连接,它也可以配置成要求用户认证后才建立连接。要求认证的方式由只为已知的用户建立连接的这种限制,为安全性提供了额外的保证。如果网络受到危害,这个特征使得从内部发动攻击的可能性大大减少。
4.NAT
讨论到防火墙的主题,就一定要提到有一种路由器,尽管从技术上讲它根本不是防火墙。网络地址转换(NAT)协议将内部网络的多个IP地址转换到一个公共地址发到Internet上。
NAT经常用于小型办公室、家庭等网络,多个用户分享单一的IP地址,并为Internet连接提供一些安全机制。
当内部用户与一个公共主机通信时,NAT追踪是哪一个用户作的请求,修改传出的包,这样包就像是来自单一的公共IP地址,然后再打开连接。一旦建立了连接,在内部计算机和Web站点之间来回流动的通信就都是透明的了。
当从公共网络传来一个未经请求的传入连接时,NAT有一套规则来决定如何处理它。如果没有事先定义好的规则,NAT只是简单的丢弃所有未经请求的传入连接,就像包过滤防火墙所做的那样。
可是,就像对包过滤防火墙一样,你可以将NAT配置为接受某些特定端口传来的传入连接,并将它们送到一个特定的主机地址。
5.个人防火墙
现在网络上流传着很多的个人防火墙软件,它是应用程序级的。个人防火墙是一种能够保护个人计算机系统安全的软件,它可以直接在用户的计算机上运行,使用与状态/动态检测防火墙相同的方式,保护一台计算机免受攻击。通常,这些防火墙是安装在计算机网络接口的较低级别上,使得它们可以监视传入传出网卡的所有网络通信。
一旦安装上个人防火墙,就可以把它设置成“学习模式”,这样的话,对遇到的每一种新的网络通信,个人防火墙都会提示用户一次,询问如何处理那种通信。然后个人防火墙便记住响应方式,并应用于以后遇到的相同那种网络通信。
例如,如果用户已经安装了一台个人Web服务器,个人防火墙可能将第一个传入的Web连接作上标志,并询问用户是否允许它通过。用户可能允许所有的Web连接、来自某些特定IP地址范围的连接等,个人防火墙然后把这条规则应用于所有传入的Web连接。
基本上,你可以将个人防火墙想象成在用户计算机上建立了一个虚拟网络接口。不再是计算机的操作系统直接通过网卡进行通信,而是以操作系统通过和个人防火墙对话,仔细检查网络通信,然后再通过网卡通信。
二、各类防火墙的优缺点
1.包过滤防火墙
使用包过滤防火墙的优点包括:
防火墙对每条传入和传出网络的包实行低水平控制。
每个IP包的字段都被检查,例如源地址、目的地址、协议、端口等。防火墙将基于这些信息应用过滤规则。
防火墙可以识别和丢弃带欺骗性源IP地址的包。
包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙,绕过是困难的。
包过滤通常被包含在路由器数据包中,所以不必额外的系统来处理这个特征。
使用包过滤防火墙的缺点包括:
配置困难。因为包过滤防火墙很复杂,人们经常会忽略建立一些必要的规则,或者错误配置了已有的规则,在防火墙上留下漏洞。然而,在市场上,许多新版本的防火墙对这个缺点正在作改进,如开发者实现了基于图形化用户界面(GUI)的配置和更直接的规则定义。
为特定服务开放的端口存在着危险,可能会被用于其他传输。例如,Web服务器默认端口为80,而计算机上又安装了RealPlayer,那么它会搜寻可以允许连接到RealAudio服务器的端口,而不管这个端口是否被其他协议所使用,RealPlayer正好是使用80端口而搜寻的。就这样无意中,RealPlayer就利用了Web服务器的端口。
可能还有其他方法绕过防火墙进入网络,例如拨入连接。但这个并不是防火墙自身的缺点,而是不应该在网络安全上单纯依赖防火墙的原因。
2.状态/动态检测防火墙
状态/动态检测防火墙的优点有:
检查IP包的每个字段的能力,并遵从基于包中信息的过滤规则。
识别带有欺骗性源IP地址包的能力。
包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙,绕过是困难的。
基于应用程序信息验证一个包的状态的能力, 例如基于一个已经建立的FTP连接,允许返回的FTP包通过。
基于应用程序信息验证一个包状态的能力,例如允许一个先前认证过的连接继续与被授予的服务通信。
记录有关通过的每个包的详细信息的能力。基本上,防火墙用来确定包状态的所有信息都可以被记录,包括应用程序对包的请求,连接的持续时间,内部和外部系统所做的连接请求等。
状态/动态检测防火墙的缺点:
状态/动态检测防火墙唯一的缺点就是所有这些记录、测试和分析工作可能会造成网络连接的某种迟滞,特别是在同时有许多连接激活的时候,或者是有大量的过滤网络通信的规则存在时。可是,硬件速度越快,这个问题就越不易察觉,而且防火墙的制造商一直致力于提高他们产品的速度。
3.应用程序代理防火墙
使用应用程序代理防火墙的优点有:
指定对连接的控制,例如允许或拒绝基于服务器IP地址的访问,或者是允许或拒绝基于用户所请求连接的IP地址的访问。
通过限制某些协议的传出请求,来减少网络中不必要的服务。
大多数代理防火墙能够记录所有的连接,包括地址和持续时间。这些信息对追踪攻击和发生的未授权访问的事件事很有用的。
使用应用程序代理防火墙的缺点有:
必须在一定范围内定制用户的系统,这取决于所用的应用程序。
一些应用程序可能根本不支持代理连接。
4.NAT
使用NAT的优点有:
所有内部的IP地址对外面的人来说是隐蔽的。因为这个原因,网络之外没有人可以通过指定IP地址的方式直接对网络内的任何一台特定的计算机发起攻击。
如果因为某种原因公共IP地址资源比较短缺的话,NAT可以使整个内部网络共享一个IP地址。
可以启用基本的包过滤防火墙安全机制,因为所有传入的包如果没有专门指定配置到NAT,那么就会被丢弃。内部网络的计算机就不可能直接访问外部网络。
使用NAT的缺点:
NAT的缺点和包过滤防火墙的缺点是一样的。虽然可以保障内部网络的安全,但它也是一些类似的局限。而且内网可以利用现流传比较广泛的木马程序可以通过NAT做外部连接,就像它可以穿过包过滤防火墙一样的容易。
注意:现在有很多厂商开发的防火墙,特别是状态/动态检测防火墙,除了它们应该具有的功能之外也提供了NAT的功能。
5.个人防火墙
个人防火墙的优点有:
增加了保护级别,不需要额外的硬件资源。
个人防火墙除了可以抵挡外来攻击的同时,还可以抵挡内部的攻击。
个人防火墙是对公共网络中的单个系统提供了保护。例如一个家庭用户使用的是Modem或ISDN/ADSL上网,可能一个硬件防火墙对于他来说实在是太昂贵了,或者说是太麻烦了。而个人防火墙已经能够为用户隐蔽暴露在网络上的信息,比如IP地址之类的信息等。
个人防火墙的缺点:
个人防火墙主要的缺点就是对公共网络只有一个物理接口。要记住,真正的防火墙应当监视并控制两
个或更多的网络接口之间的通信。这样一来的话,个人防火墙本身可能会容易受到威胁,或者说是具有这样一个弱点,网络通信可以绕过防火墙的规则。
好了,在上面我们已经介绍了几类防火墙,并讨论了每种防火墙的优缺点。要记住,任何一种防火墙只是为网络通信或者是数据传输提供了更有保障的安全性,但是我们也不能完全依赖于防火墙。除了靠防火墙来保障安全的同时,我们也要加固系统的安全性,提高自身的安全意识。这样一来,数据和通信以及Web站点就会更有安全保障。
浏览量:4
下载量:0
时间:
一. 防火墙的概念
近年来,随着普通计算机用户群的日益增长,“防火墙”一词已经不再是服务器领域的专署,大部分家庭用户都知道为自己爱机安装各种“防火墙”软件了。但是,并不是所有用户都对“防火墙”有所了解的,一部分用户甚至认为,“防火墙”是一种软件的名称……
到底什么才是防火墙?它工作在什么位置,起着什么作用?查阅历史书籍可知,古代构筑和使用木制结构房屋的时候为防止火灾的发生和蔓延,人们将坚固的石块堆砌在房屋周围作为屏障,这种防护构筑物就被称为“防火墙”(FireWall)。时光飞梭,随着计算机和网络的发展,各种攻击入侵手段也相继出现了,为了保护计算机的安全,人们开发出一种能阻止计算机之间直接通信的技术,并沿用了古代类似这个功能的名字——“防火墙”技术来源于此。用专业术语来说,防火墙是一种位于两个或多个网络间,实施网络之间访问控制的组件集合。对于普通用户来说,所谓“防火墙”,指的就是一种被放置在自己的计算机与外界网络之间的防御系统,从网络发往计算机的所有数据都要经过它的判断处理后,才会决定能不能把这些数据交给计算机,一旦发现有害数据,防火墙就会拦截下来,实现了对计算机的保护功能。
防火墙技术从诞生开始,就在一刻不停的发展着,各种不同结构不同功能的防火墙,构筑成网络上的一道道防御大堤。
二. 防火墙的分类
世界上没有一种事物是唯一的,防火墙也一样,为了更有效率的对付网络上各种不同攻击手段,防火墙也派分出几种防御架构。根据物理特性,防火墙分为两大类,硬件防火墙和软件防火墙。软件防火墙是一种安装在负责内外网络转换的网关服务器或者独立的个人计算机上的特殊程序,它是以逻辑形式存在的,防火墙程序跟随系统启动,通过运行在Ring0级别的特殊驱动模块把防御机制插入系统关于网络的处理部分和网络接口设备驱动之间,形成一种逻辑上的防御体系。
在没有软件防火墙之前,系统和网络接口设备之间的通道是直接的,网络接口设备通过网络驱动程序接口(Network Driver Interface Specification,NDIS)把网络上传来的各种报文都忠实的交给系统处理,例如一台计算机接收到请求列出机器上所有共享资源的数据报文,NDIS直接把这个报文提交给系统,系统在处理后就会返回相应数据,在某些情况下就会造成信息泄漏。而使用软件防火墙后,尽管NDIS接收到仍然的是原封不动的数据报文,但是在提交到系统的通道上多了一层防御机制,所有数据报文都要经过这层机制根据一定的规则判断处理,只有它认为安全的数据才能到达系统,其他数据则被丢弃。因为有规则提到“列出共享资源的行为是危险的”,因此在防火墙的判断下,这个报文会被丢弃,这样一来,系统接收不到报文,则认为什么事情也没发生过,也就不会把信息泄漏出去了。
软件防火墙工作于系统接口与NDIS之间,用于检查过滤由NDIS发送过来的数据,在无需改动硬件的前提下便能实现一定强度的安全保障,但是由于软件防火墙自身属于运行于系统上的程序,不可避免的需要占用一部分CPU资源维持工作,而且由于数据判断处理需要一定的时间,在一些数据流量大的网络里,软件防火墙会使整个系统工作效率和数据吞吐速度下降,甚至有些软件防火墙会存在漏洞,导致有害数据可以绕过它的防御体系,给数据安全带来损失,因此,许多企业并不会考虑用软件防火墙方案作为公司网络的防御措施,而是使用看得见摸得着的硬件防火墙。
硬件防火墙是一种以物理形式存在的专用设备,通常架设于两个网络的驳接处,直接从网络设备上检查过滤有害的数据报文,位于防火墙设备后端的网络或者服务器接收到的是经过防火墙处理的相对安全的数据,不必另外分出CPU资源去进行基于软件架构的NDIS数据检测,可以大大提高工作效率。
硬件防火墙一般是通过网线连接于外部网络接口与内部服务器或企业网络之间的设备,这里又另外派分出两种结构,一种是普通硬件级别防火墙,它拥有标准计算机的硬件平台和一些功能经过简化处理的UNIX系列操作系统和防火墙软件,这种防火墙措施相当于专门拿出一台计算机安装了软件防火墙,除了不需要处理其他事务以外,它毕竟还是一般的操作系统,因此有可能会存在漏洞和不稳定因素,安全性并不能做到最好;另一种是所谓的“芯片”级硬件防火墙,它采用专门设计的硬件平台,在上面搭建的软件也是专门开发的,并非流行的操作系统,因而可以达到较好的安全性能保障。但无论是哪种硬件防火墙,管理员都可以通过计算机连接上去设置工作参数。由于硬件防火墙的主要作用是把传入的数据报文进行过滤处理后转发到位于防火墙后面的网络中,因此它自身的硬件规格也是分档次的,尽管硬件防火墙已经足以实现比较高的信息处理效率,但是在一些对数据吞吐量要求很高的网络里,档次低的防火墙仍然会形成瓶颈,所以对于一些大企业而言,芯片级的硬件防火墙才是他们的首选。
有人也许会这么想,既然PC架构的防火墙也不过如此,那么购买这种防火墙还不如自己找技术人员专门腾出一台计算机来做防火墙方案了。虽然这样做也是可以的,但是工作效率并不能和真正的PC架构防火墙相比,因为PC架构防火墙采用的是专门修改简化过的系统和相应防火墙程序,比一般计算机系统和软件防火墙更高度紧密集合,而且由于它的工作性质决定了它要具备非常高的稳定性、实用性和非常高的系统吞吐性能,这些要求并不是安装了多网卡的计算机就能简单替代的,因此PC架构防火墙虽然是与计算机差不多的配置,价格却相差很大。
现实中我们往往会发现,并非所有企业都架设了芯片级硬件防火墙,而是用PC架构防火墙甚至前面提到的计算机替代方案支撑着,为什么?这大概就是硬件防火墙最显著的缺点了:它太贵了!购进一台PC架构防火墙的成本至少都要几千元,高档次的芯片级防火墙方案更是在十万元以上,这些价格并非是小企业所能承受的,而且对于一般家庭用户而言,自己的数据和系统安全也无需专门用到一个硬件设备去保护,何况为一台防火墙投入的资金足以让用户购买更高档的电脑了,因而广大用户只要安装一种好用的软件防火墙就够了。
为防火墙分类的方法很多,除了从形式上把它分为软件防火墙和硬件防火墙以外,还可以从技术上分为“包过滤型”、“应用代理型”和“状态监视”三类;从结构上又分为单一主机防火墙、路由集成式防火墙和分布式防火墙三种;按工作位置分为边界防火墙、个人防火墙和混合防火墙;按防火墙性能分为百兆级防火墙和千兆级防火墙两类……虽然看似种类繁多,但这只是因为业界分类方法不同罢了,例如一台硬件防火墙就可能由于结构、数据吞吐量和工作位置而规划为“百兆级状态监视型边界防火墙”,因此这里主要介绍的是技术方面的分类,即“包过滤型”、“应用代理型”和“状态监视型”防火墙技术。
那么,那些所谓的“边界防火墙”、“单一主机防火墙”又是什么概念呢?所谓“边界”,就是指两个网络之间的接口处,工作于此的防火墙就被称为“边界防火墙”;与之相对的有“个人防火墙”,它们通常是基于软件的防火墙,只处理一台计算机的数据而不是整个网络的数据,现在一般家庭用户使用的软件防火墙就是这个分类了。而“单一主机防火墙”呢,就是我们最常见的一台台硬件防火墙了;一些厂商为了节约成本,直接把防火墙功能嵌进路由设备里,就形成了路由集成式防火墙……
三. 防火墙技术
传统意义上的防火墙技术分为三大类,“包过滤”(Packet Filtering)、“应用代理”(Application Proxy)和“状态监视”(Stateful Inspection),无论一个防火墙的实现过程多么复杂,归根结底都是在这三种技术的基础上进行功能扩展的。
1.包过滤技术
包过滤是最早使用的一种防火墙技术,它的第一代模型是“静态包过滤”(Static Packet Filtering),使用包过滤技术的防火墙通常工作在OSI模型中的网络层(Network Layer)上,后来发展更新的“动态包过滤”(Dynamic Packet Filtering)增加了传输层(Transport Layer),简而言之,包过滤技术工作的地方就是各种基于TCP/IP协议的数据报文进出的通道,它把这两层作为数据监控的对象,对每个数据包的头部、协议、地址、端口、类型等信息进行分析,并与预先设定好的防火墙过滤规则(Filtering Rule)进行核对,一旦发现某个包的某个或多个部分与过滤规则匹配并且条件为“阻止”的时候,这个包就会被丢弃。适当的设置过滤规则可以让防火墙工作得更安全有效,但是这种技术只能根据预设的过滤规则进行判断,一旦出现一个没有在设计人员意料之中的有害数据包请求,整个防火墙的保护就相当于摆设了。也许你会想,让用户自行添加不行吗?但是别忘了,我们要为是普通计算机用户考虑,并不是所有人都了解网络协议的,如果防火墙工具出现了过滤遗漏问题,他们只能等着被入侵了。一些公司采用定期从网络升级过滤规则的方法,这个创意固然可以方便一部分家庭用户,但是对相对比较专业的用户而言,却不见得就是好事,因为他们可能会有根据自己的机器环境设定和改动的规则,如果这个规则刚好和升级到的规则发生冲突,用户就该郁闷了,而且如果两条规则冲突了,防火墙该听谁的,会不会当场“死给你看”(崩溃)?也许就因为考虑到这些因素,至今我没见过有多少个产品会提供过滤规则更新功能的,这并不能和杀毒软件的病毒特征库升级原理相提并论。为了解决这种鱼与熊掌的问题,人们对包过滤技术进行了改进,这种改进后的技术称为“动态包过滤”(市场上存在一种“基于状态的包过滤防火墙”技术,即Stateful-based Packet Filtering,他们其实是同一类型),与它的前辈相比,动态包过滤功能在保持着原有静态包过滤技术和过滤规则的基础上,会对已经成功与计算机连接的报文传输进行跟踪,并且判断该连接发送的数据包是否会对系统构成威胁,一旦触发其判断机制,防火墙就会自动产生新的临时过滤规则或者把已经存在的过滤规则进行修改,从而阻止该有害数据的继续传输,但是由于动态包过滤需要消耗额外的资源和时间来提取数据包内容进行判断处理,所以与静态包过滤相比,它会降低运行效率,但是静态包过滤已经几乎退出市场了,我们能选择的,大部分也只有动态包过滤防火墙了。
基于包过滤技术的防火墙,其缺点是很显著的:它得以进行正常工作的一切依据都在于过滤规则的实施,但是偏又不能满足建立精细规则的要求(规则数量和防火墙性能成反比),而且它只能工作于网络层和传输层,并不能判断高级协议里的数据是否有害,但是由于它廉价,容易实现,所以它依然服役在各种领域,在技术人员频繁的设置下为我们工作着。
2.应用代理技术
由于包过滤技术无法提供完善的数据保护措施,而且一些特殊的报文攻击仅仅使用过滤的方法并不能消除危害(如SYN攻击、ICMP洪水等),因此人们需要一种更全面的防火墙保护技术,在这样的需求背景下,采用“应用代理”(Application Proxy)技术的防火墙诞生了。我们的读者还记得“代理”的概念吗?代理服务器作为一个为用户保密或者突破访问限制的数据转发通道,在网络上应用广泛。我们都知道,一个完整的代理设备包含一个服务端和客户端,服务端接收来自用户的请求,调用自身的客户端模拟一个基于用户请求的连接到目标服务器,再把目标服务器返回的数据转发给用户,完成一次代理工作过程。那么,如果在一台代理设备的服务端和客户端之间连接一个过滤措施呢?这样的思想便造就了“应用代理”防火墙,这种防火墙实际上就是一台小型的带有数据检测过滤功能的透明代理服务器(Transparent Proxy),但是它并不是单纯的在一个代理设备中嵌入包过滤技术,而是一种被称为“应用协议分析”(Application Protocol Analysis)的新技术。
“应用协议分析”技术工作在OSI模型的最高层——应用层上,在这一层里能接触到的所有数据都是最终形式,也就是说,防火墙“看到”的数据和我们看到的是一样的,而不是一个个带着地址端口协议等原始内容的数据包,因而它可以实现更高级的数据检测过程。整个代理防火墙把自身映射为一条透明线路,在用户方面和外界线路看来,它们之间的连接并没有任何阻碍,但是这个连接的数据收发实际上是经过了代理防火墙转向的,当外界数据进入代理防火墙的客户端时,“应用协议分析”模块便根据应用层协议处理这个数据,通过预置的处理规则(没错,又是规则,防火墙离不开规则)查询这个数据是否带有危害,由于这一层面对的已经不再是组合有限的报文协议,甚至可以识别类似于“GET /sql.asp?id=1 and 1”的数据内容,所以防火墙不仅能根据数据层提供的信息判断数据,更能像管理员分析服务器日志那样“看”内容辨危害。而且由于工作在应用层,防火墙还可以实现双向限制,在过滤外部网络有害数据的同时也监控着内部网络的信息,管理员可以配置防火墙实现一个身份验证和连接时限的功能,进一步防止内部网络信息泄漏的隐患。最后,由于代理防火墙采取是代理机制进行工作,内外部网络之间的通信都需先经过代理服务器审核,通过后再由代理服务器连接,根本没有给分隔在内外部网络两边的计算机直接会话的机会,可以避免入侵者使用“数据驱动”攻击方式(一种能通过包过滤技术防火墙规则的数据报文,但是当它进入计算机处理后,却变成能够修改系统设置和用户数据的恶意代码)渗透内部网络,可以说,“应用代理”是比包过滤技术更完善的防火墙技术。
但是,似乎任何东西都不可能逃避“墨菲定律”的规则,代理型防火墙的结构特征偏偏正是它的最大缺点,由于它是基于代理技术的,通过防火墙的每个连接都必须建立在为之创建的代理程序进程上,而代理进程自身是要消耗一定时间的,更何况代理进程里还有一套复杂的协议分析机制在同时工作,于是数据在通过代理防火墙时就不可避免的发生数据迟滞现象,换个形象的说法,每个数据连接在经过代理防火墙时都会先被请进保安室喝杯茶搜搜身再继续赶路,而保安的工作速度并不能很快。代理防火墙是以牺牲速度为代价换取了比包过滤防火墙更高的安全性能,在网络吞吐量不是很大的情况下,也许用户不会察觉到什么,然而到了数据交换频繁的时刻,代理防火墙就成了整个网络的瓶颈,而且一旦防火墙的硬件配置支撑不住高强度的数据流量而发生罢工,整个网络可能就会因此瘫痪了。所以,代理防火墙的普及范围还远远不及包过滤型防火墙,而在软件防火墙方面更是几乎没见过类似产品了——单机并不具备代理技术所需的条件,所以就目前整个庞大的软件防火墙市场来说,代理防火墙很难有立足之地。
3.状态监视技术
这是继“包过滤”技术和“应用代理”技术后发展的防火墙技术,它是CheckPoint技术公司在基于“包过滤”原理的“动态包过滤”技术发展而来的,与之类似的有其他厂商联合发展的“深度包检测”(Deep Packet Inspection)技术。这种防火墙技术通过一种被称为“状态监视”的模块,在不影响网络安全正常工作的前提下采用抽取相关数据的方法对网络通信的各个层次实行监测,并根据各种过滤规则作出安全决策。
“状态监视”(Stateful Inspection)技术在保留了对每个数据包的头部、协议、地址、端口、类型等信息进行分析的基础上,进一步发展了“会话过滤”(Session Filtering)功能,在每个连接建立时,防火墙会为这个连接构造一个会话状态,里面包含了这个连接数据包的所有信息,以后这个连接都基于这个状态信息进行,这种检测的高明之处是能对每个数据包的内容进行监视,一旦建立了一个会话状态,则此后的数据传输都要以此会话状态作为依据,例如一个连接的数据包源端口是8000,那么在以后的数据传输过程里防火墙都会审核这个包的源端口还是不是8000,否则这个数据包就被拦截,而且会话状态的保留是有时间限制的,在超时的范围内如果没有再进行数据传输,这个会话状态就会被丢弃。状态监视可以对包内容进行分析,从而摆脱了传统防火墙仅局限于几个包头部信息的检测弱点,而且这种防火墙不必开放过多端口,进一步杜绝了可能因为开放端口过多而带来的安全隐患。
由于状态监视技术相当于结合了包过滤技术和应用代理技术,因此是最先进的,但是由于实现技术复杂,在实际应用中还不能做到真正的完全有效的数据安全检测,而且在一般的计算机硬件系统上很难设计出基于此技术的完善防御措施(市面上大部分软件防火墙使用的其实只是包过滤技术加上一点其他新特性而已)。
四. 技术展望
防火墙作为维护网络安全的关键设备,在目前采用的网络安全的防范体系中,占据着举足轻重的位置。伴随计算机技术的发展和网络应用的普及,越来越多的企业与个体都遭遇到不同程度的安全难题,因此市场对防火墙的设备需求和技术要求都在不断提升,而且越来越严峻的网络安全问题也要求防火墙技术有更快的提高,否则将会在面对新一轮入侵手法时束手无策。
多功能、高安全性的防火墙可以让用户网络更加无忧,但前提是要确保网络的运行效率,因此在防火墙发展过程中,必须始终将高性能放在主要位置,目前各大厂商正在朝这个方向努力,而且丰富的产品功能也是用户选择防火墙的依据之一,一款完善的防火墙产品,应该包含有访问控制、网络地址转换、代理、认证、日志审计等基础功能,并拥有自己特色的安全相关技术,如规则简化方案等,明天的防火墙技术将会如何发展,让我们拭目以待。
浏览量:2
下载量:0
时间:
随着计算机技术应用的普及,各个组织机构的运行越来越依赖和离不开计算机,各种业务的运行架构于现代化的网络环境中。企业计算机系统作为信息化程度较高、计算机网络应用情况比较先进的一个特殊系统,其业务也同样地越来越依赖于计算机。保证业务系统和工作的正常、可靠和安全地进行是信息系统工作的一个重要话题。但是由于计算机系统的安全威胁,给组织机构带来了重大的经济损失,这种损失可分为直接损失和间接损失:直接损失是由此而带来的经济损失,间接损失是由于安全而导致工作效率降低、机密情报数据泄露、系统不正常、修复系统而导致工作无法进行等。间接损失往往是很难以数字来衡量的。在所有计算机安全威胁中,外部入侵和非法访问是最为严重的事。
一提到网络安全人们首先想到的是防火墙。防火墙系统针对的是来自系统外部的攻击,一旦外部入侵者进入了系统,他们便不受任何阻挡。认证手段也与此类似,一旦入侵者骗过了认证系统,便成为了内部人员。
防火墙的基本类型有:包过滤型、代理服务型和状态包过滤型复合型。
(一)包过滤型防火墙
包过滤(Packet Filter)通常安装在路由器上,并且大多数商用路由器都提供了包过滤的功能。包过滤是一种保安机制,它控制哪些数据包可以进出网络而哪些数据包应被网络所拒绝。
网络中的应用虽然很多,但其最终的传输单位都是以数据包的形式出现,这种做法主要是因为网络要为多个系统提供共享服务。例如,文件传输时,必须将文件分割为小的数据包,每个数据包单独传输。每个数据包中除了包含所要传输的数据(内容),还包括源地址、目标地址等。
数据包是通过互联网络中的路由器,从源网络到达目的网络的。路由器接收到的数据包就知道了该包要去往何处,然后路由器查询自身的路由表,若有去往目的的路由,则将该包发送到下一个路由器或直接发往下一个网段;否则,将该包丢掉。与路由器不同的是,包过滤防火墙,除了判断是否有到达目的网段的路由之外,还要根据一组包过滤规则决定是否将包转发出去。
1、工作机制
包过滤技术可以允许或禁止某些包在网络上传递,它依据的是以下的判断:
对包的目的地址作出判断
对包的源地址作出判断
对包的传送协议(端口号)作出判断
一般地,在进行包过滤判断时不关心包的具体内容。包过滤只能让我们进行类似以下情况的操作,比如:不让任何工作站从外部网用Telnet登录、允许任何工作站使用SMTP往内部网发电子邮件。
但包过滤不能允许我们进行如下的操作,如:允许用户使用FTP,同时还限制用户只可读取文件不可写入文件、允许某个用户使用Telnet登录而不允许其他用户进行这种操作。
包过滤系统处于网络的IP层和TCP层,而不是应用层,所以它无法在应用层的具体操作进行任何过滤。以FTP为例,FTP文件传输协议应用中包含许多具体的操作,如读取操作、写入操作、删除操作等。再有,包过滤系统不能识别数据包中的用户信息。
2、性能特点
因为包过滤防火墙工作在IP和TCP层,所以处理包的速度要比代理服务型防火墙快
提供透明的服务,用户不用改变客户端程序
因为只涉及到TCP层,所以与代理服务型防火墙相比,它提供的安全级别很低
不支持用户认证,包中只有来自哪台机器的信息却不包含来自哪个用户的信息
不提供日志功能
包过滤防火墙的典型代表是早期的CISCO PIX防火墙。
(二)代理服务型防火墙
代理服务(Proxy Service)系统一般安装并运行在双宿主机上。双宿主机是一个被取消路由功能的主机,与双宿主机相连的外部网络与内部网络之间在网络层是被断开的。这样做的目的是使外部网络无法了解内部网络的拓扑。这与包过滤防火墙明显不同,就逻辑拓扑而言,代理服务型防火墙要比包过滤型更安全。
由于内部网络和外部网络在网络层是断开的,所以要实现内外网络之间的应用通讯就必须在网络层之上。代理系统是工作在应用层,代理系统是客户机和真实服务器之间的中介,代理系统完全控制客户机和真实服务器之间的流量,并对流量情况加以记录。目前,代理服务型防火墙产品一般还都包括有包过滤功能。
1、工作机制
代理服务型防火墙按如下标准步骤对接收的数据包进行处理:
接收数据包
检查源地址和目标地址
检查请求类型
调用相应的程序
对请求进行处理
下面,我们以一个外部网络的用户通过Telnet访问内部网络中的主机为例,详细介绍这些标准步骤。
接收数据包
外部网络的路由器将外部网络主机对内部网络资源的请求路由至防火墙的外部网卡。同样,内部网络中的主机通过内部网络中的路由选择信息将对外部网络资源的请求路由至防火墙的内部网卡。
在本例中,当外部网络用户通过Telnet请求对内部网络中的主机进行访问时,路由信息将该请求传送至防火墙的外部网卡上。
检查源地址和目标地址
一旦防火墙接收到数据包,它必须确定如何处理该数据包。首先,防火墙检查数据包中的源地址并确定该包是由哪块网卡接收的。这样做是为了确定数据包是否有IP地址欺骗的行为,例如,如果发现从外部网卡接收的一个数据包中的源地址属于内部网络的地址范围,则表明这是地址欺骗行为,防火墙将拒绝继续对该包进行处理并将此事件记录到日志中。
接下来,防火墙对包中的目标地址进行检查并确定是否需要对该包做进一步处理。这一点与包过滤类似,即检查是否允许对目标地址进行访问。
本例中,Telnet的目标地址是内部网络的某台主机,防火墙是通过外部网卡收到该Telnet请求的,且发现请求包中没有地址欺骗行为,防火墙接收了该数据包。
检查请求类型
防火墙检查数据包的内容(请求的服务端口号)并对照防火墙中已配置好的各种规则,以便确定是否向数据包提供相应的服务。如果防火墙对所请求的端口号不提供服务,则将这一企图作为潜在的威胁记录下来并拒绝该请求。
本例中,数据包的内容表明请求服务是Telnet,即请求端口号为23且防火墙的配置规则是支持这类请求的服务。
调用相应的程序
由于防火墙对所请求的服务提供支持,所以防火墙利用其他配置信息将该服务请求传送至相应的代理服务。
本例中,防火墙将Telnet请求传送给Telnet代理进行处理。
对请求进行处理
现在代理服务以目的主机的身份并采用与应用请求相同的协议对请求进行响应。应用请求方认为它是与目标主机进行对话。
然后,代理服务通过另一块网卡以自己真实的身份代替客户方,向目标主机发送应用请求。如果应用请求成功,则表明客户端至目标主机之间的应用连接成功地建立了。注意,与包过滤防火墙不同,代理服务型防火墙是通过两次连接实现客户机至目标主机之间的连接的,即客户机至防火墙、防火墙至目标主机。
另外,通过对防火墙进行适当的配置,可以在防火墙替客户机向目标主机发送应用请求之前对客户方进行身份验证。验证方法包括SecureID、S/Key、RADIUS等。
本例中,客户方现与防火墙建立Telnet连接,然后防火墙立即向客户方发出身份验证要求。若验证通过,则防火墙替客户方向目标主机发送应用请求;否则,防火墙断开它与客户方已建立的连接。
2、性能特点
提供的安全级别高于包过滤型防火墙
代理服务型防火墙可以配置成唯一的可被外部看见的主机以保护内部主机免受外部攻击
可以强制执行用户认证
代理工作在客户机和真实服务器之间,完全控制会话,所以能提供较详细的审计日志
代理的速度比包过滤慢
代理服务型防火墙中的佼佼者AXENT Raptor完全是基于代理技术的软件防火墙。
随着因特网络技术的发展,不论在速度上还是在安全上都要求防火墙技术也要更新发展,基于上下文的动态包过滤防火墙就是对传统的包过滤型和代理服务型防火墙进行了技术更新。
浏览量:2
下载量:0
时间:
网络诊断是一门综合性技术,涉及网络技术的各个面。为方便下面的讨论,首先简单回顾一下网络和路由器的基本概念。
计算机网络是由计算机集合加通信设施组成的系统,即利用各种通信手段,把地理上分散的计算机连在一起,达到相互通信而且共享软件、硬件和数据等资源的系统。计算机网络按其计算机分布范围通常被分为局域网和广域网。局域网覆盖地理范围较小,一般在数米到数十公里之间。广域网覆盖地理范围较大,如校园、城市之间、乃至全球。计算机网络的发展,导致网络之间各种形式的连接。采用统一协议实现不同网络的互连,使互联网络很容易得到扩展。因特网就是用这种方式完成网络之间联结的网络。因特网采用TCP/IP协议作为通信协议,将世界范围内计算机网络连接在一起,成为当今世界最大的和最流行的国际性网络。
为了完成计算机间的通信,把每部计算机互连的功能划分成定义明确的层次,规定了同层进程通信的协议及相邻层之间的接口和服务,将这些层、同层进程通信的协议及相邻层之间的接口统称为网络体系结构。国际标准化组织(ISO)提出的开放系统互连参考模型(OSI)是当代计算机网络技术体系的核心。该模型将网络功能划分为7个层次:物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
TCP/IP即传输控制协议和网间互联协议是一组网络协议。TCP/IP起源于美国ARPANET网,发展至今已成为因特网使用的标准通信协议。使用TCP/IP能够使采用不同操作系统的计算机以有序的方式交换数据。
路由器是一种网络设备,是用于网络连接、执行路由选择任务的专用计算机。路由器工作于网络层,对信包转发,并具有过滤功能。路由器能够将使用不同技术的两个网络互连起来,能够在多种类型的网络之间(局域网或广域网)建立网络连接。它将处在七层模型中的网络层的信息,根据最快、最直接的路由原理从一个网络的网络层传输到另一个网络的网络层,以达到最佳路由选择。同时在内部使用高档微处理器,用高速的内部总线连接适合各种网络协议的接口卡。并具有多种网管功能,能监视与路由器相连接的一些网络设备和它们的配置运行情况。
CISCO路由器是目前网络建设中使用最多的一种路由器,有多种档次、多种系列,目前常用的当属2500系列,本文以2500系列为例讨论。2500系列路由器是固定接口的多协议路由器,支持CISCO IOS全部功能。根据特定的协议环境分为以下四种类型:固定配置的路由器(2501)、带HUB口的路由器(2507)、摸块化的路由器(2514)和访问服务器(2511)。它们结构简单、操作方便、易于配置和管理,是一种用于小规模局域网和广域网网络层中继的路由设备。
CISCO IOS是CISCO所特有的互连网操作系统,所有的CISCO产品都运行IOS,IOS将它们无缝连接在一起协同工作。给用户提供一个可支持任意硬件界面、任意链路层、网络层协议的可扩展的开放型网络。IOS支持众多的协议,包括各种网络通信协议和路由协议等。CISCO IOS已成为工业界网际网互联的事实标准。CISCO IOS提供几种不同的操作模式,每一种模式提供一组相关的命令集、不同的操作权限和操作功能。基于安全目的,CISCO用户界面中有两级访问权限:用户级和特权级。第一级访问允许查看路由状态,叫做用户EXEC模式,又称为查看模式;第二级访问允许查看路由器配置、修改配置和运行调试命令,叫做特权EXEC模式,又称为配置模式。在特权级中,按不同的配置内容,可进入不同的配置模式,如全球配置模式、接口配置模式、线配置模式等。 网络故障诊断概述
网络故障诊断应该实现三方面的目的:确定网络的故障点,恢复网络的正常运行;发现网络规划和配置中欠佳之处,改善和优化网络的性能;观察网络的运行状况,及时预测网络通信质量。
网络故障诊断以网络原理、网络配置和网络运行的知识为基础。从故障现象出发,以网络诊断工具为手段获取诊断信息,确定网络故障点,查找问题的根源,排除故障,恢复网络正常运行。
网络故障通常有以下几种可能:物理层中物理设备相互连接失败或者硬件及线路本身的问题;数据链路层的网络设备的接口配置问题;网络层网络协议配置或操作错误;传输层的设备性能或通信拥塞问题;上三层CISCO IOS或网络应用程序错误。诊断网络故障的过程应该沿着OSI七层模型从物理层开始向上进行。首先检查物理层,然后检查数据链路层,以此类推,设法确定通信失败的故障点,直到系统通信正常为止。
网络诊断可以使用包括局域网或广域网分析仪在内的多种工具:
路由器诊断命令;网络管理工具和其它故障诊断工具。CISCO提供的工具足以胜任排除绝大多数网络故障。查看路由表,是解决网络故障开始的好地方。
ICMP的ping、trace命令和Cisco的show命令、debug命令是获取故障诊断有用信息的网络工具。我们通常使用一个或多个命令收集相应的信息,在给定情况下,确定使用什么命令获取所需要的信息。譬如,通过IP协议来测定设备是否可达到的常用方法是使用ping命令。ping从源点向目标发出ICMP信息包,如果成功的话,返回的ping信息包就证实从源点到目标之间所有物理层、数据链路层和网络层的功能都运行正常。
如何在互联网络运行后了解它的信息,了解网络是否正常运行,监视和了解网络在正常条件下运行细节,了解出现故障的情况。监视那些内容呢?利用show interface命令可以非常容易地获得待检查的每个接口的信息。另外show buffer命令提供定期显示缓冲区大小、用途及使用状况等。Show proc命令和 show proc mem命令可用于跟踪处理器和内存的使用情况,可以定期收集这些数据,在故障出现时,用于诊断参考。
网络故障以某种症状表现出来,故障症状包括一般性的(象用户不能接入某个服务器)和较特殊的(如路由器不在路由表中)。对每一个症状使用特定的故障诊断工具和方法都能查找出一个或多个故障原因。一般故障排除模式如下:
第一步,当分析网络故障时,首先要清楚故障现象。应该详细说明故障的症侯和潜在的原因。为此,要确定故障的具体现象,然后确定造成这种故障现象的原因的类型。例如,主机不响应客户请求服务。可能的故障原因是主机配置问题、接口卡故障或路由器配置命令丢失等。
第二步,收集需要的用于帮助隔离可能故障原因的信息。向用户、网络管理员、管理者和其他关键人物提一些和故障有关的问题。广泛的从网络管理系统、协议分析跟踪、路由器诊断命令的输出报告或软件说明书中收集有用的信息。
第三步,根据收集到的情况考虑可能的故障原因。可以根据有关情况排除某些故障原因。例如,根据某些资料可以排除硬件故障,把注意力放软件原因上。对于任何机会都应该设法减少可能的故障原因,以至于尽快的策划出有效的故障诊断计划。
第四步,根据最后的可能的故障原因,建立一个诊断计划。开始仅用一个最可能的故障原因进行诊断活动,这样可以容易恢复到故障的原始状态。如果一次同时考虑一个以上的故障原因,试图返回故障原始状态就困难的多了。
第五步,执行诊断计划,认真做好每一步测试和观察,直到故障症状消失。
第六步,每改变一个参数都要确认其结果。分析结果确定问题是否解决,如果没有解决,继续下去,直到解决。
1. 物理层及其诊断
物理层是OSI分层结构体系中最基础的一层,它建立在通信媒体的基础上,实现系统和通信媒体的物理接口,为数据链路实体之间进行透明传输,为建立、保持和拆除计算机和网络之间的物理连接提供服务。
物理层的故障主要表现在设备的物理连接方式是否恰当;连接电缆是否正确;MODEM、CSU/DSU等设备的配置及操作是否正确。
确定路由器端口物理连接是否完好的最佳方法是使用show interface命令,检查每个端口的状态,解释屏幕输出信息,查看端口状态、协议建立状态和EIA状态。
浏览量:2
下载量:0
时间:
现如今,网络无处不在,那么,肯定会有一些网络的相关问题,比如:防火墙的概念是什么?读文网小编来告诉大家吧,希望能帮到大家。
网络防火墙简称防火墙,当然,既然打算由浅入深的来了解,就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中,利用防火墙把乘客和引擎隔开,以便汽车引擎一旦著火,防火墙不但能保护乘客安全,而同时还能让司机继续控制引擎。再电脑术语中,当然就不是这个意思了,我们可以类比来理解,在网络中,所谓“防火墙”,是指一种将内部网和公众访问网(如Internet)分开的方法,它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度,它能允许你“同意”的人和数据进入你的网络,同时将你“不同意”的人和数据拒之门外,最大限度地阻止网络中的黑客来访问你的网络。换句话说,如果不通过防火墙,公司内部的人就无法访问Internet,Internet上的人也无法和公司内部的人进行通信。
所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法,它是一种计算机硬件和软件的结合,使Internet与Intranet之间建立起一个安全网关(Security Gateway),从而保护内部网免受非法用户的侵入,防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成,防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。在网络中,所谓“防火墙”,是指一种将内部网和公众访问网(如Internet)分开的方法,它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度,它能允许你“同意”的人和数据进入你的网络,同时将你“不同意”的人和数据拒之门外,最大限度地阻止网络中的黑客来访问你的网络。换句话说,如果不通过防火墙,公司内部的人就无法访问Internet,Internet上的人也无法和公司内部的人进行通信。
一个防火墙(作为阻塞点、控制点)能极大地提高一个内部网络的安全性,并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙,所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络,这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击,如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
浏览量:2
下载量:0
时间:
如果从防火墙的软、硬件形式来分的话,防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙,那么下面读文网小编就为大家介绍下防火墙的基本分类,希望对你有帮助!
芯片级防火墙基于专门的硬件平台,没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快,处理能力更强,性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS(操作系统),因此防火墙本身的漏洞比较少,不过价格相对比较高昂。
浏览量:2
下载量:0
时间:
internet防火墙基本功能有哪些呢?其实有很多的!小编来为你讲述!下面由读文网小编给你做出详细的介绍!希望对你有帮助!
1. 创建一个阻塞点
防火墙在一个公司内部网络和外部网络间建立一个检查点。这种实现要求所有的流量都要通过这个检查点。一旦这些检查点清楚地建立,防火墙设备就可以监视,过滤和检查所有进来和出去的流量。这样一个检查点,在网络安全行业中称之为“阻塞点”。通过强制所有进出流量都通过这些检查点,网络管理员可以集中在较少的地方来实现安全目的。如果没有这样一个供监视和控制信息的点,系统或安全管理员则要在大量的地方来进行监测。
2. 隔离不同网络,防止内部信息的外泄
这是防火墙的最基本功能,它通过隔离内、外部网络来确保内部网络的安全。也限制了局部重点或敏感网络安全问题对全局网络造成的影响。企业秘密是大家普遍非常关心的问题,一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣,甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger,DNS等服务。Finger显示了主机的所有用户的注册名、真名,最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所截获,攻击者通过所获取的信息可以知道一个系统使用的频繁程度,这个系统是否有用户正在连线上网等信息。防火墙可以同样阻塞有关内部网络中的DNS信息,这样一台主机的域名和IP地址就不会被外界所了解。
3. 强化网络安全策略
通过以防火墙为中心的安全方案配置,能将所有安全软件(如口令、加密、身份认证、审计等)配置在防火墙上。与将网络安全问题分散到各个主机上相比,防火墙的集中安全管理更经济。各种安全措施的有机结合,更能有效地对网络安全性能起到加强作用。
4. 有效地审计和记录内、外部网络上的活动
防火墙可以对内、外部网络存取和访问进行监控审计。如果所有的访问都经过防火墙,那么,防火墙就能记录下这些访问并进行日志记录,同时也能提供网络使用情况的统计数据。当发生可疑动作时,防火墙能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。这为网络管理人员提供非常重要的安全管理信息,可以使管理员清楚防火墙是否能够抵挡攻击者的探测和攻击,并且清楚防火墙的控制是否充足。
看了“ internet防火墙基本功能有哪些”文章的还看了:
浏览量:2
下载量:0
时间:
在共享局域网联机的时候有需要关闭防火墙,否则会引起冲突,那么Win10系统怎样关闭防火墙呢?今天读文网小编与大家分享下Win10系统关闭防火墙的具体操作步骤,有需要的朋友不妨了解下。
第一步:打开“控制面板”界面,找到 Windows防火墙选项打开。
第二步:单击“启用或关闭windows 防火墙”选项。
第三步:选择“关闭windows 防火墙(不推荐)”。
浏览量:2
下载量:0
时间:
对于win7用户来说,一些应用程序有时会自动连接网络,来获取软件窗口中的广告或弹窗,而虽然用户可通过第三方辅助工具来限制这些程序联网,但是对于不经常使用第三方辅助软件的用户来说,那么你知道win7系统怎么利用防火墙限制指定程序连接网络吗?下面是读文网小编整理的一些关于win7系统利用防火墙限制指定程序连接网络的相关资料,供你参考。
1、在开始菜单下,打开控制面板,选择系统与安全,然后点击“Windows 防火墙”。
2、点击左边的高级设置,会出现高级安全windows防火墙设置。
3、点击左边的出站规则,新建一个出站规则。
4、在新建规则下面,选择程序,再选择该程序的安装路径。
5、点击阻止连接,并将下面的3个选框全部勾上。
6、在名称和描述里面,尽量写的稍微详细点,方面后期查看,再点击下一步,直到完成。
win7系统利用防火墙限制指定程序连接网络的相关
浏览量:2
下载量:0
时间:
有时候网络访问开启了防火墙会有影响。那么怎么关闭Win7系统防火墙呢?今天读文网小编与大家分享下关闭Win7系统防火墙的具体操作步骤,有需要的朋友不妨了解下。
关闭防火墙步骤①开始→控制面板→程序和功能→Windows防火墙
关闭防火墙步骤②打开或关闭Windows防火墙
关闭防火墙步骤③关闭 Windows 防火墙(不推荐)→确定
关闭防火墙步骤④也可以通过关闭服务关闭防火墙。
开始→运行里输入:services.msc,回车,打开服务。找到Windows Defender和Windows Firewall设置为自动启动即可。打不开点击属性,将启动类型设置成自动,之后再启动→确定。
看过“怎么关闭Win7系统防火墙”
浏览量:2
下载量:0
时间:
win7自带防火墙影响一些程序的正常运行,那么win7自带防火墙如何关闭呢?读文网小编分享了关闭win7自带防火墙的方法,希望对大家有所帮助。
步骤一:首先,点击开始菜单,再点击“控制面板”,如图所示
步骤二:在控制面板中找到“Windows 防火墙”,如图所示
步骤三:然后在防火墙设置中,点击左侧的“打开或关闭 Windows 防火墙”,如图所示
步骤四:接下来,在专用网络设置和公用网络设置里,分别把防火墙关闭,最后点击“确定”,如图所示
Win7简介
win7 即 Windows 7 。
Windows 7 同时也发布了服务器版本——Windows Server 2008 R2。
2011年2月23日凌晨,微软面向大众用户正式发布了Windows 7升级补丁——Windows 7 SP1(Build7601.17514.101119),另外还包括Windows Server 2008 R2 SP1升级补丁。
Win7特点
Windows 7 的设计主要围绕五个重点——针对笔记本电脑的特有设计;基于应用服务的设计;用户的个性化;视听娱乐的优化;用户易用性的新引擎。 跳跃列表,系统故障快速修复等,这些新功能令Windows 7成为最易用的Windows。
易用:Windows 7简化了许多设计,如快速最大化,窗口半屏显示,跳转列表(Jump List),系统故障快速修复等。
简单:Windows 7将会让搜索和使用信息更加简单,包括本地、网络和互联网搜索功能,直观的用户体验将更加高级,还会整合自动化应用程序提交和交叉程序数据透明性。
效率:Windows 7中,系统集成的搜索功能非常的强大,只要用户打开开始菜单并开始输入搜索内容,无论要查找应用程序、文本文档等,搜索功能都能自动运行,给用户的操作带来极大的便利。
看过“win7自带防火墙如何关闭”
浏览量:2
下载量:0
时间:
防火墙,有利也有弊,各种功能各种阻止,使用远程桌面连接就受到防火墙的阻止了,那么Win8系统防火墙阻止远程桌面连接怎么办呢?接下来大家跟着读文网小编一起来了解一下Win8系统防火墙阻止远程桌面连接的解决方法吧。
1、打开Win8系统的控制面板,接着就依次打开下面的几个选项:系统、安全、远程桌面、高级设置等;
2、接着对设置进行相关的更改,这时候就会弹出来一个新的界面,选中里面的选项-“远程桌面”,将其直接打上勾勾;
3、接着找到里面其他自己需要的选项,比如说括远程的,将其前面全部都打上勾勾;
4、上面的都勾选好之后,就直接点击确定按键对其进行保存,最后直接退出就可以了,这样就能够有效解决防火墙阻止相关的问题了,就可以正常连接了。
防火墙阻止各种应用和程序也是比较正常的,这是windows系统的一种安全机制,除了直接关闭防火墙功能之外,用户还可以自定义对防火墙功能允许指定程序和功能。
看过“Win8系统防火墙阻止远程桌面连接怎么办”
浏览量:2
下载量:0
时间: