防火墻技術

防火墻技術

　　防火墻技術【1】

　　摘 要： 隨著Internet的迅速發展，網絡應用涉及到各種領域，網絡中的重要、敏感數據也越來越多。

　　由于黑客入侵以及網絡病毒的問題，使得網絡安全問題越來越突出。

　　通過分析網絡安全面臨的威脅和對局部網絡有很好保護作用的防火墻技術，對用戶如何使用防火墻給予一定的參考建議。

　　關鍵詞： 網絡安全;防火墻;包過濾;應用層網關

　　0 引言

　　網絡的快速發展給人們帶來了極大的方便，不出家門便可坐知天下事、完成相應工作。

　　同時因特網也面臨著空前的威脅，各類網絡違法案件逐年劇增，尤其以電子郵件、特洛伊木馬、文件共享等為傳播途徑的混合型病毒愈演愈烈。

　　目前新一代的計算機病毒將具有更多智能化的特征。

　　因此，如何使用有效可行的方法使網絡危險降到人們可接受的范圍之內越來越受到人們的關注。

　　防火墻技術作為內、外網之間的屏障，可以有效的防御網絡攻擊。

　　因此探索防火墻技術及如何選用合適的防火墻是非常必要的。

　　1 網絡安全面臨的威脅

　　計算機網絡系統的安全威脅主要來自三個方面

　　1)計算機病毒。

　　當前，計算機病毒高達數萬種，病毒通過各種途徑進入網絡，破壞網絡資源，造成網絡不能正常工作甚至癱瘓。

　　2)黑客侵襲。

　　黑客以非法的手段進入網絡并使用網絡資源。

　　通過隱蔽通道進行非法活動，通過匿名用戶破壞網絡，通過網絡監聽截取用戶名和密碼，非法獲取網上傳輸的數據，突破防火墻等。

　　3)拒絕服務攻擊。

　　強行占用系統資源，使系統無法完成正常的需求響應。

　　例如“點在郵件炸彈”，它的表現形式是用戶在很短的時間內收到大量無用的電子郵件，從而影響正常業務的運行。

　　嚴重時會使系統關機，網絡癱瘓。

　　針對各種網絡威脅，我們應該采用相應的安全技術，例如數據加密技術、認證技術、防火墻技術、入侵檢測技術、防病毒技術、文件系統安全等技術。

　　2 防火墻技術

　　2.1 防火墻的概念

　　防火墻是設置在不同網絡(如可信任的企業內部網和不可信的公共網)或網絡安全域之間的一系列部件的組合。

　　它可通過監測、限制、更改跨越防火墻的數據流，盡可能地對外部屏蔽網絡內部的信息、結構和運行狀況， 以此來實現網絡的安全保護。

　　在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和Internet之間的任何活動， 保證了內部網絡的安全。

　　2.2 防火墻的分類

　　防火墻總的來說可以分為兩類：軟件防火墻和硬件防火墻。

　　軟件防火墻需要以一臺計算機為載體，通過在操作系統底層工作來實現網絡管理和防御的功能，有時也稱為“個人”防火墻，功能有限。

　　硬件防火墻集成了軟硬件功能，并且軟、硬件都單獨設計，采用專用的網絡芯片處理數據包。

　　有自己特定的系統平臺，避免了通用操作系統的安全性漏洞。

　　功能強大，目前已經普遍使用。

　　我們下面多說的防火墻都只硬防火墻。

　　2.3 硬防火墻技術

　　我們在使用防火墻是首先要考慮是使用硬、還是軟防火墻。

　　硬件防火墻由于獨立的芯片，在性能和自身安全性方面都較軟件防火墻先進許多，在資金允許的情況下，盡量選擇硬防火墻。

　　對于硬防火墻根據采用的過濾技術可分為：

　　2.3.1 包過濾防火墻。

　　包過濾防火墻是最簡單的一種防火墻，又分為動態包過濾和靜態包過濾型防火墻。

　　一般作用在網絡層，故也稱網絡層防火墻或IP過濾器。

　　它工作在IP 層和TCP層，根據防火墻的規則表，來檢測攻擊行為。

　　處理包的速度比應用型防火墻快，且提供透明的服務，用戶不用改變客戶端程序。

　　但因只涉及到TCP層，因此提供的安全級別較低;而且不支持用戶認證;不提供日志功能。

　　目前在廣大中小型企業中應用最廣，主要是價格便宜，性能也不錯。

　　安全性不足的缺點在這類企業中表現的不明顯。

　　2.3.2 應用代理型防火墻。

　　應用代理型防火墻是目前最為主流的防火墻技術，也是應用最廣的防火墻類型。

　　特別是在一些中型或中型以上的網絡中。

　　有非常全面的安全防護技術和措施，可以為企業提供全方位的安全防護和管理，但價格比包過濾型要貴許多。

　　明顯缺點是速度比包過濾型慢。

　　2.3.3 狀態包過濾型防火墻。

　　這類防火墻屬于混合型防火墻，具有包過濾和應用代理兩種技術的優勢。

　　傳輸速率和安全性得到進一步提高。

　　尚處于發展之中，只是一些較大型企業或應用復雜的網絡中采用，如WEB服務器、數據庫應用、電子商務應用等。

　　2.4 防火墻使用參考

　　2.4.1 小型辦公和家用網絡。

　　小型辦公和家用網絡(small office home office.SOHO)要管理的用戶和機器比較少，且只需要訪問極少量的網絡服務，如電子郵件、web以及有時需要的流媒體。

　　在這種情況下，簡單的數據包過濾防火墻就可以了。

　　現在大部分的SOHO路由器都具有防火墻、VPN、地址映射、端口映射、DHCP服務、自動撥號、支持虛擬服務器以及動態DNS功能。

　　華為Quidway R1600，清華同方D-link、Netgear，3Com等公司的寬帶路由。

　　Cisco和check point也提供小型辦公版本的PIX和FireWall-1，但價格要高一些。

　　2.4.2 中小企業網絡。

　　中小型企業網絡以及遠程辦公環境需要提供WEB服務、電子郵件、流媒體以及文件傳輸和終端訪問。

　　防火墻多考慮高容量、高速度、低延時、高可靠性以及防火墻本身的健壯性，并且開始支持雙機熱備份。

　　東軟NetEye、WatchGuard Firebox、和SonicWall等產品比較適合這種場合。

　　2.4.3 大型網絡。

　　大型企業、校園網和服務提供商面對的是復雜的大型環境，擁有眾多用戶并提供眾多復雜服務，有些服務看似簡單，但需要防護墻開發多個端口，如：VoIP和NetMeeting，這兩種服務都需要為25種以上的不同服務開放端口。

　　固在復雜的網絡中，應該使用支持集中式防火墻管理和配置功能的防火墻。

　　如：Cisco PIX、Check Point FireWall-1和NetScreen等。

　　3 總結

　　防火墻在網絡安全中的重要性是眾所周知的，選擇合適的防火墻是在組建網絡時應首先考慮的問題。

　　但我們要明白盡管利用防火墻可以保護內部網免受外部黑客的攻擊，但其只能提高網絡的安全性，不可能保證網絡的絕對安全。

　　參考文獻：

　　[1]王東海，計算機網絡安全技術的分析與研究[J].科技廣場，2005，10：109-111.

　　[2]李偉超、張宏亮，淺析新形勢下的計算機及網絡安全[J]，電腦知識與技術，2005：73-74.

　　[3]魏利華，防火墻技術及其性能研究，能源研究與信息，2004，20(l)：57-62 .

　　[4]趙輝，防火墻技術淺析[J].科技資訊，2009，06：18.

　　[5]薛質、蘇波等，信息安全技術基礎和安全策略[M].北京：清華大學出版社，2007.

　　[6]王艷，淺析計算機安全[J].電腦知識與技術，2010，10：56-61.

　　[7]周筱連，計算機網絡安全防護[J].電腦知識與技術，2007(1)：148.

　　防火墻技術【2】

　　摘要：防火墻是目前網絡安全領域廣泛使用的設備，其主要目的就是限制非法流量，保護內部子網。

　　關鍵詞：防火墻 智能 分布式 嵌入式

　　網絡技術的突飛猛進，給人們的生活帶來了全新的感受，人類社會各種活動對信息網絡的依賴程度也越來越大。

　　但是因特網提供給人們的不僅僅是精彩，還存在各種各樣的危險和陷阱，據有人統計在互聯網上大約有將近20%以上的用戶曾經遭受過黑客的困擾，網絡安全問題已經日益突出地擺在各類用戶的面前。

　　大量事實證明，正確安裝使用防火墻，是提高網絡安全性能、解決網絡非法入侵行之有效的辦法。

　　1、防火墻的概念及作用

　　防火墻的本義原是指古代人們房屋之間修建的那道墻，這道墻可以防止火災發生的時候蔓延到別的房屋。

　　而這里所說的防火墻是指隔離在本地網絡與外界網絡之間的一道防御系統，是這一類防范措施的總稱。

　　在互聯網上防火墻是一種非常有效的網絡安全模型，通過它可以隔離風險區域與安全區域的連接，同時不會妨礙人們對風險區域的訪問。

　　防火墻的作用是防止不希望的、未授權的通信進出被保護的網絡。

　　防火墻可以監控進出網絡的通信量，僅讓安全、核準了的信息進入，同時又抵制對網絡內容構成威脅的數據。

　　2、防火墻的基本類型

　　目前市場上的防火墻形式多樣，有以軟件形式運行在普通計算機之上的，也有以固件形式設計在路由器之中的。

　　總的來說可以分為三種：包過濾防火墻、代理服務器和狀態監視器。

　　2.1 包過濾防火墻

　　包過濾防火墻檢查所有通過信息包里的IP地址，并按照系統管理員所給定的過濾規則過濾信息包。

　　如果防火墻設定某一IP為危險的話，從這個地址而來的所有信息都會被防火墻屏蔽掉。

　　這種防火墻的用法很多，比如國家有關部門可以通過包過濾防火墻來禁止國內用戶去訪問那些違反我國有關規定或者“有問題”的國外站點。

　　2.2 代理服務器

　　代理服務器通常也稱作應用級防火墻，它像真的墻一樣擋在內部用戶和外界之間，特別是從外面來的訪問者只能看到代理服務器而看不到任何的內部資源，而內部客戶可以自由訪問外部站點，根本感覺不到它的存在。

　　代理可以提供極好的訪問控制、登錄能力以及地址轉換功能，對進出防火墻的信息進行記錄，便于管理員監視和管理系統。

　　2.3 狀態監視器

　　狀態監視器作為防火墻技術其安全特性最佳，它采用了一個在網關上執行網絡安全策略的軟件引擎，稱之為檢測模塊。

　　檢測模塊在不影響網絡正常工作的前提下，采用抽取相關數據的方法對網絡通信的各層實施監測，抽取部分數據，即狀態信息，并動態地保存起來作為以后制定安全決策的參考。

　　檢測模塊支持多種協議和應用程序，并可以很容易地實現應用和服務的擴充。

　　當用戶訪問到達網關的操作系統前，狀態監視器要抽取有關數據進行分析，結合網絡配置和安全規定作出接納、拒絕、鑒定或給該通信加密等決定。

　　一旦某個訪問違反安全規定，安全報警器就會拒絕該訪問，并作下記錄向系統管理器報告網絡狀態。

　　3、防火墻的不足

　　防火墻雖然能對網絡威脅進行極好的防范，但是它不是安全解決方案的全部。

　　防火墻也存在許多不足之處，如：(1)防火墻可以阻斷攻擊，但不可消滅攻擊源。

　　設置得當的防火墻能夠阻擋互聯網上的病毒、惡意試探等的攻擊行為，使得攻擊無法滲透防火墻，但是無法消除攻擊源，各種攻擊仍然會源源不斷地向防火墻發出嘗試。

　　(2)防火墻不能夠抵抗最新的未設置策略的攻擊漏洞。

　　(3)防火墻的并發連接數限制容易導致擁塞或者溢出。

　　由于要判斷處理流經防火墻的每一個包，因此防火墻在某些流量大，并發請求多的情況下，很容易導致擁塞，成為整個網絡的瓶頸影響性能。

　　而當防火墻溢出的時候，整個防線就如同虛設，原本被禁止的連接也能從容通過了。

　　(4)防火墻對服務器合法開放的端口攻擊大多無法阻止。

　　(5)防火墻對待內部主動發起連接的攻擊一般無法阻擊。

　　(6)防火墻本身也會出現問題和受到攻擊。

　　防火墻也有著其硬件系統和軟件系統，依然有著漏洞和bug，所以其本身也有可能受到攻擊和出現軟、硬件方面的故障。

　　4、新一代防火墻技術

　　4.1 智能防火墻技術

　　智能防火墻主要是利用了統計、概率、記憶與決策等先進的智能方法，對各類數據進行安全識別，并且達到對訪問進行控制的目的。

　　智能防火墻技術的類型主要有防攻擊技術、入侵防御技術和防掃描技術，不僅可以實現對各類惡意數據流量的準確識別，有效阻斷各類惡意數據的攻擊，還可以準確判定所檢測的攻擊類型，實現對黑客惡意掃描行為的智能識別，有效阻斷、欺騙惡意掃描者。

　　4.2 分布式防火墻技術

　　從狹義的角度進行分析，分布式防火墻技術主要是指駐留在服務器、桌面等網絡主機，并且對于主機系統具有安全防護功能的新型軟件產品;從廣義的角度進行分析，分布式防火墻技術是一種新型的防火墻體系結構。

　　分布式防火墻技術的類型主要有主機防火墻技術、中心管理技術和網絡防火墻技術。

　　4.3 嵌入式防火墻技術

　　嵌入式防火墻技術主要是指內潛在路由器或者交換機內部的專用防火墻。

　　主要應用于某些專業的路由器中，并且被作為其基本配置之一，用戶可以根據自己的實際需求購買相應防火墻模塊，并且安裝于已有的路由器或者交換機中，以保證在無監控的狀態下，實現各類傳遞信息包的安全防護，確保在局域網絡的拓撲結構無論發生何種變更時，安全防護措施都可以自動延伸至網絡邊緣，為局域網絡提供相應的安全保護。

　　5、結語

　　隨著互聯網技術的飛速發展，網絡安全防護問題的重要性已經日漸凸顯，特別是隨著各種非法入侵、病毒危害的影響不斷加劇，在現代計算機與網絡技術的研究中，必須將新一代防火墻技術作為重要的研究課題之一，在不斷總結技術研發與應用經驗的基礎上，加快技術的創新與發展，同時還需要有其它技術和非技術因素的考慮，如信息加密技術、身份驗證技術、制定網絡法規、提高網絡管理人員的安全意識等等，從而全面滿足計算機系統的安全防護需求。

【防火墻技術】相關文章：

10-10

09-30

10-09

10-05

02-04

08-18

10-08

10-09

09-16