（计算机应用技术专业论文）防火墙冗余协议的设计与实现.pdf

东北大学硕士学位论文 防火墙冗余协议的设计与实现 摘要 防火墙作为保护内部网络不受外部入侵和破坏的网络安全设备，已被人们广泛 地接受，但防火墙一般安装在内部网络和不可信任网络的临界点，是内外网络所 有往来流量的集中地。一旦防火墙发生硬件或软件故障，将使内外网络的连接中 断，对外的关键业务也将无法进行，因此防火墙也应采用高可用性的解决方案。 本论文以网络防火墙为研究对象，重点研究了防火墙的各种工作模式；深入学 习了交换机和路由器在网络中的冗余实现；细致分析比较了当前几种常见的防火 墙联网方式，提出了一种适用于各种防火墙冗余配置的协议，称为f w r p ( f i r e w a l l r e d u n d a n c yp r o t o c 0 1 ) 。f w r p 为提高防火墙的高可用性提供了强有力的理论支持。 在论文中对f w r p 进行了详细设计，包括对协议使用的算法、数据包格式、协 议状态机以及协议的安全措施等。f w r p 支持多种网络结构，同时支持路由模式 和网桥模式下防火墙a c t i v e s t a n d b y 和a c t i v e a c t i v e 配置。f w r p 能同时实现防 火墙的负载均衡和高可用性功能，节省用户投资。f w r p 协议具有高性能，高安 全性、易实现性和易维护性等优点。 在论文的最后一章使用实例阐述了采用f w r p 为防火墙提供快速、高效的冗余 能力的可行性和必要性。最后并进行了总结并展望下一步工作。 关键词：防火墙：冗余；备份；高可用性 一i i 东北大学硕士学位论文 a b s t r a c t d e s i g na n di m p l e m e n t a t i o n o f f i r e w a l lr e d u n d a n c yp r o t o c o l a b s t r a c t n e t w o r kf i r e w a l lh a sb e e nw i l d l ya c c e p t e da sn e t w o r ks e c u r i t ye q u i p m e n t ，w h i c h p r o t e c t st r u s tn e t w o r kc a n n o tb ei n v a d e da n dd e s t r o y e d b u tn e t w o r kf i r e w a l ln o r m a l l y b ei n s t a l l e db e t w e e nt r u s t yn e t w o r ka n du n t r u s t yn e t w o r ka sac r i t i c a lp o i n t ，w h i c hi s t h ec e n t r a l i z e dp l a c eo fn e t w o r kt r a f f i c 。o n c et h eh a r d w a r ef a i l u r eo rs o f t w a r ef a i l u r e o ff i r e w a l lh a p p e n s ，t h en e t w o r kc o n n e c t i o nw i l lb ei n t e r r u p t e d ；t h ee s s e n t i a ls e r v i c e w i l la l s ob eu n a b l et o c a r r yo n t h e r e f o r et h e f i r e w a l ls h o u l da d o p tt h eh i g h a v a i l a b i l i t ys o l u t i o n t h i st h e s i st a k e st h en e t w o r kf i r e w a l la sr e s e a r c ho b j e c t ，s e r i o u s l yr e s e a r c h e so n a l lk i n d so ft h ew o r k i n gp a t t e r n so ff i r e w a l l ，t h o r o u g h l ys t u d i e st h er e d u n d a n c y i m p l e m e n t a t i o no fs w i t c ha n dr o u t e r ，c a r e f u l l ya n a l y s i sa n dc o m p a r e se a c hk i n do f f i r e w a l l sn e t w o r k i n gs c h e m e ，p u t sf o r w a r dan e wf i r e w a l lr e d u n d a n c yp r o t o c o l ，c a l l e d f w r pr f i r e w a l lr e d u n d a n c yp r o t o c 0 1 ) f w r pp r o v i d e sap o w e r f u lt h e o r ys u p p o r t e n h a n c i n gt h ef i r e w a l l sh i g ha v a i l a b i l i t y t h ef w r pi sd e s c r i b e dd e t a i l e di nt h i st h e s i s ，i n c l u d i n gt h ea l g o r i t h m ，t h ep a c k e t s f o r m a ta n dt h es t a t e st r a n s i t i o n a sw e l la st h es e c u r i t ym e a s u r eu s e di nf w r p t h e f w r ps u p p o r t sm a n yk i n d so fn e t w o r ks t r u c t u r e ，s i m u l t a n e o u s l ys u p p o r t st h e a c t i v e s t a n d b ya n dt h e a c t i v e a c t i v ec o n f i g u r a t i o n ，w h i c hw o r k i n gu n d e rr o u t e p a t t e r na n db r i d g ep a t t e r n t h ef w r pc a ns i m u l t a n e o u s l yi m p l e m e n tl o a db a l a n c i n g a n dh i g ha v a i l a b i l i t y ，s a v i n gi n v e s t m e n t t h ef w r pa l s oh a ss e v e r a lm e r i t s ，s u c ha s h i g hp e r f o r m a n c e ，h i g hs e c u r i t y ，e a s yr e a l i z a t i o na n de a s ym a i n t e n a n c ea n ds oo n s o m ee x a m p l e sa r eg i v e ni nl a s tc h a p t e r ，w h i c hi l l u s t r a t i n gt h ea p p l i c a t i o no f f w r pc a no f f e rm o r ee f f e c t i v e l yr e d u n d a n ta b i l i t yo ff i r e w a l l c o n c l u s i o n sa n d a d v i c e sa r ea l s og i v e nf i n a l l y k e yw o r d s ：f i r e w a l l ；r e d u n d a n c y ；b a c k u p ；h i g ha v a i l a b i l i t y i i i 独创性声明 本人声明，所呈交的学位论文是在导师的指导下完成的。论文中取得的 研究成果除加以标注和致谢的地方外，不包含其他人己经发表或撰写过的 研究成果，也不包括本人为获得其他学位而使用过的材料。与我一同工作 的同志对本研究所做的任何贡献均己在论文中作了明确的说明并表示谢 意。 学位论文作者签名：三一1 日期： 学位论文版权使用授权书 本学位论文作者和指导教师完全了解东北大学有关保留、使用学位论文 的规定：即学校有权保留并向国家有关部门或机构送交论文的复印件和磁 盘，允许论文被查阅和借阅。本人同意东北大学可以将学位论文的全部或 部分内容编入有关数据库进行检索、交流。 ( 如作者和导师不同意网上交流，请在下方签名；否则视为同意。) 学位论文作者签名： 签字日期： 导师签名： 签字日期： 东北大学硕士学位论文 第一章绪论 第一章绪论 1 1 引言 互联网的发展已经深入到社会生活的各个方面。对个人而言，互联网改变了人 们的生活方式；对企业而言，互联网改变了企业传统的营销方式及其内部管理机 制。虽然互联网带来了极大的便利，但是一切安全隐患也来自互联网。最初互联 网的设计只考虑到兼容性和互通性，并没有考虑到随之而来的一系列安全问题， 伴随互联网的迅速发展，网络安全问题越来越严峻。 信息系统建设中充满安全危机，一个小小的硬件故障或误操作都有可能造成网 络停滞或瘫痪，使业务蒙受损失。同时，信息系统建设的目标是对来自内外的业 务信息、业务数据、重要信息、安全保密信息的综合有效的利用和管理，随着信 息的膨胀、网络技术及产品的发展，安全性问题日趋严重，系统中断、信息的泄 密、丢失、篡改、毁坏、盗用等等对所有的单位来说都是一种灾难，可能将面对 财政损失、人力、物力耗费、遗失机会、内部责任推诿、信誉下降等各种问题。 从信息系统建设的安全性考虑，我们可将其分为物理安全和逻辑安全，包括硬 件安全、网络安全、系统安全、数据安全、人员安全等，而主机安全、电源安全、 线路安全、设备安全是信息系统正常运行的基础，这就要求信息系统有越来越高 的可用性。 无论是从目前的现实状况还是从长远发展来看，安全问题已经成为计算机网络 最重要，也是最值得关注的问题。随着基础设施自动化、网络化程度不断提高， 人们将越来越多的关键业务主机和数据放到了信息网络中，借以提高业务效率， 实现自动化管理，因此必须高度重视网络信息系统的安全性。目前各种网络安全 机制的主要目的是为网络信息系统提供机密性、完整性、可用性、真实性和抗抵 赖性等安全服务，其中可用性是网络信息系统安全的前提。而防火墙而作为抵御 外界干扰的第一道墙，也被推上了一个众人关注的舞台。防火墙经过几年的快速 发展，产品概念和应用已经深入人心，这主要得益于防火墙作为网关设备，直接 保护着内部网络免受外部访问的侵害。既然防火墙是网关设备，那就不得不考虑 网络中的重要特性高可用性( h i g h a v a i l a b i l i t y ) 。网络的高可用性是指系统以 有限的代价换取最大的运行时间，将故障引起的服务中断损失降到最低。 防火墙是目前使用最为广泛的网络安全设备，是作为保护内部资源网络不受外 部非法侵扰和破坏的屏障。但防火墙一般安装在内部网络和不可信任网络的f 临界 东北大学硕士学位论文第一章绪论 点，是内外网络流量的集中地，所有的对外应用和服务都需要经过防火墙，一旦 临界点发生硬件和线路故障，将使内外网络的链接中断，对外的关键业务将无法 进行，甚至影响整个企业的运作。 因此防火墙的可用性直接影响穿越网络边界通信的可用性。为了保障网络不问 断运转，关键业务的连续服务，除考虑高可用性的关键业务主机、冗余及备份的 网络设备和线路外，作为信息流量集中地的防火墙也应采用高可用性的解决方案。 1 2 课题的研究背景及意义 目前一般的防火墙都是以会话管理为核心，同时具备代理功能和状态检测功 能，不可能同时维护分散在几个不同的网络上的会话信息，所以除单纯的包过滤 防火墙( 本身无需会话信息) 外均无法实现a c t i v e a c t i v e 模式的高可用性( h i g h a v a i l a b i l i t y ) 结构。 现在防火墙厂商大多采用a c t i v e s t a n d b y 模式来实现h a 结构，如需要做到防 火墙h a 结构的负载均衡，则需要在防火墙上端安装专门的负载均衡器来实现防 火墙的负载均衡功能。 上面所述a c t i v e s t a n d b y 结构，即除主控防火墙外，还有一台防火墙处于备份 状态，被定义为“备份防火墙”。两台防火墙总是只有一个在运行，另一个则一直 在备用；主控防火墙不时的发送数据包告知其可用性，备份防火墙则通过监听数 据包的方式发现系统故障或线路故障，只有在正常运转的防火墙出现问题的时候， 备用防火墙才接手，提供防火墙的安全防护功能。 a c t i v e s t a n d b y 结构简单、成本较低，但主备切换需要消耗一定的时间，在切 换中会丢失部分网络数据，可用性不是很高；一般只支持两个节点，可扩展性不 高；备份防火墙不参与处理网络业务数据，主控防火墙处理全部的网络流量，造 成了一定的资源浪费。主备防火墙同步保存网络连接状态表，同步整个网络连接 的相关信息，在主备防火墙切换后仍然能够保留活动会话和v p n 隧道。 国内外一些防火墙厂商推出了适用于高可用环境的防火墙，如n e t s c r e e n 防火 墙【1 1 、联想“超五”防火墙【2 1 ，满足了用户对防火墙可用性的部分要求。其中一部分 防火墙厂商通过扩展v r r p 协议( v r r p 描述了一个协议，该协议可以动态地为 局域网中的每个v r r p 路由器分配一个对应的虚拟路由器) 来支持防火墙的双机 备份，实现防火墙冗余，如n o k i a 防火墙、捷普f 3 0 0 0 g 硬件防火墙，天清汉马防 火墙等。n o k i a 在v r r p 的基础上提出了一个用于防火墙冗余的协议v r r p - h a ， 即利用v r r p 虚拟冗余路由协议，通过将i p 地址与虚拟物理层地址绑定，让终端 用户使用缺省网关的v m a c ( v i r t u a lm a c ) 地址转发数据，并赋予v m a c 最高 2 一 东北大学硕士学位论文第一章绪论 优先权。当数据进行切换时，再把虚拟地址分配给与前一设备容错的第二个设备， 即可实现防火墙高可靠。其优点是实施简单、切换速度快，缺陷是不支持动态负 载均衡、可伸缩性差，适用于允许l 2 点故障的网络环境。 在此提出对防火墙冗余协议的重新设计与实现，防火墙冗余协议不但能很好的 解决了防火墙单点故障的问题，同时能最大限度的利用防火墙资源( 采用 a c t i v e a c t i v e 结构) ，支持防火墙之间的负载均衡；运行冗余协议的防火墙探测主 控防火墙的运行状况；定时同步核心数据，一旦探测到主控防火墙出现故障，备 份防火墙迅速接管主控防火墙，不影响到任何数据包的处理。 随着防火墙市场的扩大，以及防火墙功能的不断提升，会有越来越多的防火墙 厂商关注防火墙高可用性的。就目前来说，提高防火墙的高可用性对扩大防火墙 的市场有深远的意义。 1 3 课题的研究内容 本课题的主要工作是在对现有防火墙冗余技术进行研究的基础上，开发出一套 更具广泛性的冗余协议，即防火墙冗余协议f w r p ，为解决适用于不同网络应用 环境的防火墙冗余系统提供了可行的理论依据和工程方法。主要内容包括以下几 个方面。 ( 1 ) 主控防火墙的选举算法 通过选举算法让局域网中多个实现了f w r p 的防火墙动态承担虚拟防火墙的 责任，防火墙冗余系统中所有防火墙协同工作，对用户而言就像一个防火墙设备 在工作一样，一旦某一个防火墙发生故障后，其上的网络负载可以迅速迁移到其 它防火墙上，保证网络的正常通信，使得防火墙冗余系统具有更高的灵活性和可 靠性。 ( 2 ) 防火墙系统的状态维护 状态维护是整个防火墙冗余系统的核心，控制着整个系统的运行。模块维护系 统所有备份组的状态信息，控制主备防火墙的状态迁移。通过监听主备防火墙之 间的通信数据包，根据需要对这些数据包进行处理。对于处于主控状态和备份状 态的防火墙，模块分别维护一个定时器，以完成协议状态的迁移。 ( 3 ) 防火墙系统的心跳监测 心跳监测完成防火墙冗余系统对运行环境的要求，保证性能良好的防火墙具有 更高的优先级，从而取代性能较差的防火墙，提供防火墙实际防护功能。目前实 现两种探测方式，其一是探测防火墙自身接口设备的工作情况，以使相关备份组 可用及时调整自身的优先级；其二是探测到防火墙外某一地址的可达性，这是通 3 东北大学硕士学位论文第一章绪论 过p i n g 的方式实现的。 ( 4 ) 各模块之间的通信控制 模块之间的通信控制主要负责在各个模块阃传递消息和数据，模块问的控制也 是传递消息实现的，本课题研究设计的防火墙冗余协议充分考虑通信的效率，在 很大的程度上避免了网络风暴的产生。 ( 5 ) 协议数据包的处理。 根据主备防火墙之间的通信需求，将数据格式进行抽象、统一，提出一个适合 防火墙冗余协议的数据包格式，并对主各防火墙如何处理数据包进行了详细阐述。 ( 6 ) 协议运行的本地测试 通过对防火墙冗余协议f w r p 的实现，并将之运用于现实网络环境中，检验协 议设计l 作是否按照要求完成。 研究中涉及到的关键技术有： ( 1 ) 对虚拟i p 地址，虚拟m a c 地址的处理。让虚拟防火墙可以正确转发目 的地址为本子网以外报文，同时保证协议内部报文的正确收发。 ( 2 ) 对定时器的处理。 ( 3 ) 对协议报文的封装、收发和处理等。 ( 4 ) 协议的安全性。 1 4 论文的组织结构 论文是按j 研究和开发工作来编写的，论文的重点包括防火墙冗余协议的设训 和实现两方面。论文的结构如下。 第一章介绍了一下课题的研究背景、内容以及研究意义。 第二章对课题所涉及的相关基础知识、技术做了简单扼要的阐述，包括防火墙 的基本概念、工作原理、工作模式等，并对目前防火墙常用的联网方式实现做了 详细的阐述，从i 瓜引出了下一步的工作重点。 第三章主要工作是根据防火墙的实际应用，提出了一种用于防火墙冗余备份的 协议f w r p ，并且具体描述了系统的总体设计，包括协议使用的算法，主各防火 墙通信使用的数据包格式，主各防火墙状态机等。 第四章是整篇论文的重点所在，是对协议设计研究的具体实现，在本章具体描 述r 防火墙冗余系统的各个组成模块，各个模块的具体功能及实现等。 第五章主要是对协议实现的应用，论证了系统的正确性与可行性，并展望了下 一步的工作的研究方向。 第六章是对课题研究成果以及实现中存在的问题进行总结。 第六章是对课题研究成果以及实现中存在的问题进行总结。 4 东北大学硕士学位论文第二章理论基础及相关技术 第二章理论基础及相关技术 2 1 防火墙基础知识 2 1 1 防火墙的定义 防火墙 4 】指设置在不同网络( 如可信任的企业内部网和不可信任的公共网) 之 间的一系列部件的组合，它是不同网络之间信息的唯一出口，如下图2 1 ，通过检 测、限制、更改通过防火墙的网络数据流，根据设定的安全策略允许或拒绝出入 的网络信息流，尽可能地对外屏蔽网络内部的信息、结构和运行状况，以此来实 现网络的安全保护。 图2 1 防火墙功能不意图 f i g 2 1t h ef u n c t i o no ff i r e w a l l 防火墙本身具有较强的抗攻击能力，它是提供信息安全服务，实现网络和信息 安全的基础设施。在逻辑上，防火墙是一个分离器、限制器，也是一个分析器， 有效的监控了内部网和i n t e r n e t 之间的任何活动，保证了内部网络的安全。 从工作原理看，防火墙监控通过它的所有的数据包，是一种有效的网络安全模 型，只允许授权的数据包通过，并且可以记录非法授权的访问和入侵者的行为信 息，供管理员分析使用。 防火墙技术根据工作原理和工作方式的不同可以分为多种类型，但总体来讲可 分为包过滤和代理型两大类。包过滤防火墙又可以分为静态包过滤和状态包过滤。 从实现方式看，防火墙又可分为硬件防火墙和软件防火墙。 一5 东北大学硕士学位论文g - - 章理论基础及相关技术 总的来说，一个高质量的防火墙应该具有下面五个方面的特性； ( 1 ) 网络安全的屏障 所有内部网络和外部网络之间传输的通信数据都必须通过防火墙。防火墙能极 大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只 有经过精心选择的应有协议才能通过防火墙，从某种角度弥 h 网络协议设计的缺 陷和系统漏洞，使网络安全性在防火墙系统上得到加固，网络环境更安全。 ( 2 ) 强化网络安全策略 防火墙可以控制只有授权的协议和服务才能通过防火墙，从而屏蔽内部子网， 提高网络的安全性。 ( 3 ) 对网络存取和访问进行监控审计 防火墙可以记录所有的访问，记录网络连接的日志信息和使用统计，从雨可以 很方便的监视网络的安全性，并产生报警网。这些日志记录是对一些可能的攻击 进行分析和防范的十分重要的情报。另外，防火墙也能统计正常的网络使用情况， 通过对统计结果的分析，可以使网络资源得到更好的使用。 ( 4 ) 防止内部网络信息外泄 i p 地址越来越少，使得想进入i n t e r n e t 的机构可能申请不到足够的i p 地址来 满足其内部用户的需要，防火墙可以使用n a t ( n e t w o r k a d d r e s s t r a n s l a t i o n ，网 络地址转换) 来缓解地址空间短缺的问题。n a t 功能可以起到保护内网，防止内 部网络信息外泄的作用。 ( 5 ) 人机界面良好，用户配置使用方便，易管理。管理员可以方便地对防火 墙进行设置，对访问者、被访问者、使用的访问协议以及访问方式进行控制。 然而，防火墙的出现往往给人以误解，认为可以放松对内部网络的安全管理。 实际上，防火墙并不能解决所有的安全问题，首先，防火墙只是提供了对网络边 缘的防卫，不能防止内部的攻击；其次，防火墙不能解决网络欺骗、窥探等安全 问题 第三，防火墙不能防止怀有恶意的代码；病毒和特洛伊木马。虽然有些防 火墙可以检查病毒和特洛伊木马，但它只能阻挡己知的病毒程序，但对未知的新 病毒不能很好防范。 除了安全作用，防火墙还支持v p n ，将企事业单位在地域上分布在各地的l a n 或专用子网有机的联成一个整体，不仅省去了专用通信线路，也为信息共享提供 了技术保障。防火墙作为黑客攻击的主要目标，在安全方面的重要性是显而易见 的，因此在提供丰富的安全审计功能的同时，目前防火墙正朝着与入侵检测系统、 防病毒系统、v p n 相结合的方向发展。 一6 东北大学硕士学位论文第二章理论基础及相关技术 2 1 2 防火墙的工作原理 防火墙技术随着信息技术的迅猛发展，也经历了由简单到复杂、功能不断丰富 和强大的过程。从实现来说，防火墙技术1 5 1 6 已经经历了包过滤技术、代理技术和 状态监测技术三个发展阶段。下面将分类讨论防火墙的这三种技术： 2 1 2 1 包过滤( p a c k e tf i l t e r ) 包过滤技术是一种简单的访问控制技术，作用在网络层( i p 层) 。从功能上看， 包过滤以单个的报文作为处理对象，对报文的i p 层和t c p 层进行访问控制，包括 i p 源地址、i p 目标地址、协议封装类型( t c p 、u d p 或i c m p 等) 、t c p u d p 源 和目标接口、i c m p 消息类型以及报文头部中各种标志位等内容。 包过滤防火墙具有速度快、实现方便、成本低，容易安装和使用等优点，并且 网络性能和透明度都比较好。但包过滤技术也存在不足。 ( 1 ) 由于包过滤技术的安全控制层次只限于数据包头部，缺乏对应用层协议 的理解，因此无法处理应用层发起的攻击，另外也容易受到i p 分片攻击； ( 2 ) 包过滤技术只能按照规则取舍数据包而不做目志，审计功能差，缺乏用 户级授权； ( 3 ) 包过滤配置规则复杂，很难准确地设置包过滤器。 2 i 2 2 应用代理( p r o x y ) 代理技术是为了弥补包过滤技术对应用层协议理解不足而产生的，代理技术与 包过滤技术完全不同，包过滤是在网络层拦截所有的信息流量，而代理技术能在 应用层提供访问控制，并可以保持一个应用程序所有的使用记录。应用代理彻底 隔断通信两端的直接通信，内部网络和外部网络之间不存在直接的连接，所有的 通信都必须经过应用代理转发，访问者任何时候都不能与服务器直接建立t c p 连 接，应用层协议会话过程必须符合代理的安全策略要求。 采用应用代理方式的防火墙实际是一组代理程序的集合，对于每种应用，防火 墙上都有相应的代理程序提供服务，由于代理程序工作在应用层，可以了解具体 应用程序的细节，相比包过滤技术能提供更高的安全性。 代理技术对于用户而言是透明的。由于代理机制完全阻断了内部网络与外部网 络的直接联系，保证了内部网络拓扑结构等重要信息被限制在代理网关内侧，避 免了泄漏黑客攻击时所需的必要信息。代理技术也存在缺陷。 ( 1 ) 由于对每一个t c p 连接，都需要启动一个相应的代理进程或线程进行处 理，这样必然占用大量的c p u 和内存资源，因此代理服务器能够支持的连接数量 有限： 一7 一 东北大学硕士学位论文第二章理论基础及相关菝术 ( 2 ) 由于每一个i p 包都需要经历网络层、传输层乃至应用层的拆包才能进行 处理，因此系统的吞吐量较低，延迟较长； ( 3 ) 代理服务器不能保证不受协议本身缺点的限制，应用代理作为一种访问 控制手段，- 其主要目的是保证网络的安全性，因此首先要判断协议的安全性，但 是并非所有的协议都能做到这一点。鉴于应用代理存在的这些弱点，目前较先进 的防火墙都采用了状态监测技术。 2 1 2 3 状态监测( s t a t ei n s p e c t i o n ) 状态检测技术普遍被认为是新一代防火墙的核心技术。与传统的包过滤相比， 状态检测技术不仅可以做到丢弃非法的数据包，一个更重要的改进是简化了访问 控制的机制，提高了效率。传统的包过滤防火墙对数据包进行基于规则的检查， 每个包都要按顺序检查规则表，两规则表中规则数量众多且复杂，从而导致防火 墙性能下降、资源衰竭等问题。而状态检测防火墙将属于同一条连接的所有包作 为一个整体的数据流，在第一次进行规则检查的同时，可以将包的连接状态记录 下来，该连接的后续包就不必在经过规则检查，而只需要更新所属的连接状态就 可以了。由于规则表( 或策略树) 的排序是固定的，只能采用线性的方法进行搜 索，而连接状态表中的记录可以是任意排列的，可以采用a v l 树和h a s h 等算法 进行快速搜索，这样可以大幅度的提高系统效率。总的来说，状态检测技术就是 通过截获网络中的数据流，对信息进行状态提取，由此实现信息监控功能。状态 检测中所谓的状态实际是t c p 连接的状态，检测程序记录连接的状态，然后根据 返回包和连接表的状态决定十分转发i p 表。 状态检测是基于连接状态对数据包进行检查，由于状态包过滤解决了静态包过 滤的安全限制，并且比代理技术在性能上有很大的改善，具有速度快，控制相对 简单的特点，因而目前大多防火墙厂商都采用这种技术。 2 1 2 4 复合型防火墙 复合型防火墙是指综合了状态检测和透明代理的新一代防火墙，进一步基于 a s i c 架构，把病毒、内容过滤整合到防火墙里，其中还包括v p n 、i d s 功能，多 单元融为一体，是一种新突破。常规的防火墙并不能防御隐藏在网络流量里的攻 击，在网络界面对应用层扫描，把防病毒、内容过滤与防火墙结合起来，这体现 了网络与信息安全的新思路。它在网络边界实旋o s i 第七层的内容扫描，实现了 实时在网络边缘部署病毒防护、内容过滤等应用层服务措施。 状态检测防火墙不检查数据区，应用层控制很弱。复合型防火墙可以检查整个 数据包的内容，根据需要建立状态连接表，网络层保护强，应用层控制细，会话 控制较弱。 8 一 东北大学硕士学位论文第二章理论基础及相关技术 2 1 3 防火墙术语 ( 1 ) 网关；在两个设备之间提供转发服务的系统。网关的范围可以从互联网 应用程序如公共网关接口( c g i ) 到在两台主机之间处理流量的防火墙网关。 ( 2 ) d m z 非军事化区：为了配置管理方便，内部网中需要向外提供服务的服 务器往往放在一个单独网段，这个网段便是非军事化区。防火墙一般配置三块以 上网卡，在配置时分布连接内部网，i n t e r n e t 和d m z 。 ( 3 ) 吞吐量：网络中数据是由一个个数据包组成，防火墙对每个数据包的处 理都要耗费资源。吞吐量是指在不丢包的情况下单位时间内通过防火墙的数据包 数量，这是测量防火墙性能的重要指标。吞吐量的大小主要由防火墙内网卡，以 及程序算法的效率决定。 ( 4 ) 并发连接数：指防火墙或代理服务器对其业务信息流的处理能力，是防 火墙能够同时处理点到点连接的最大数目，它反映出防火墙对多个连接的访问控 制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大 信息点数。和吞吐量一样，数字越大越好，但是最大连接数更贴近实际网络情况。 ( 5 ) 数据包转发率：是指在所有安全规则配置正确的情况下，防火墙对数据 流量的处理速度。 ( 6 ) 安全过滤带宽：指防火墙在某种加密算法下标准，如d e s ( 5 6 位) 或3 d e s ( 1 6 8 位) 下的整体过滤性能，它是相对于明文带宽提出的。一般来说，防火墙总 的吞吐量越大，其对应的安全过滤带宽越高。 ( 7 ) 控制接口：防火墙的控制接口通常为c o n s o l e 接口，防火墙的初始配置 也是通过控制接口与p c 机的串口( r s 一2 3 2 ) 连接，在通过w i n d o w s 系统自带的 超级终端进行选项配置。 2 2 防火墙工作模式 防火墙在实际应用中，经常困扰应用的问题包括防火墙如何接入? 防火墙以何 种工作模式工作? 接入防火墙后如何保证原有网络的正常运行和应用? 是否需要 更改防火墙后端网络的设置? 如何减少防火墙对用户日常应用的影响? 这一系列 问题涉及到防火墙的工作模式，防火墙的工作模式【7 1 主要有三种，即路由模式、交 换模式以及混合模式。 2 2 1n a t 路由模式 路由模式是防火墙的基本工作模式，该模式运行在网络层。在路由模式下，一 9 东北大学硕士学位论文第二章理论基础及相关技术 般要做n a t 地址转换，这时防火墙的各个接口i p 地址都位于不同的网段。路由模 式支持n a t 地址转换和p a t 接口转换。 运行于n a t 路由模式的防火墙可以保护私有网络不受其它公共网络的威胁。 当防火墙运行于n a t 路由模式的时候，可以将一个私有网络连接到内部网络接 口，将一个d m z 网络连接到d m z 网络接口，然后将公网，例如互联网，连接到 外部网络接口。这些网络中的每一个都必须具有不同的子网地址。可以创建安全 策略来控制防火墙如何路由防火墙网络接口之间的数据包，由此控制连接到这些 网络接口上的网络。 在n a t 路由模式下，您可以创建n a t 模式策略和路由模式策略。n a t 模式策 略使用网络地址转换，以对安全性较低的网络上的用户隐藏安全性较高的网络上 的地址。路由模式策略接受或拒绝网络之间的连接，但是不提供地址转换。 入口接口处于n a t 模式下时，防火墙的作用与第三层交换机( 或路由器) 相 似，将通往外网的外向i p 封包包头中的两个组件进行转换：源f p 地址和源端口号。 防火墙用连接外网接1 2 1 的i p 地址替换发端主机的源i p 地址。另外，它用另一个由 防火墙生成的任意接口号替换源接口号。当回复封包到达防火墙时，防火墙转换 内向封包的i p 包头中的两个组件：目的地址和目的接口号，它们被转换为初始地 址和接口号，于是防火墙将封包转发到其目的地。 n a t 模式提供了一个透明模式中未提供的安全级别：通过n a t 模式，入口接 口发送信息流的主机地址决不对出口区段的主机公开，保证了内网的安全。 当接口为路由模式时，防火墙在不同区段问转发信息流时不执行n a t ，即：当 信息流床过防火墙时，i p 封包包头中的源地址和接口号保持不变。不必在接口应 用网络地址转换，这样做会使发出外向信息流的所有源地址都被转换目的区段接 口的i p 地址。 2 2 2 透明模式 透明模式也称为交换模式，顾名思义，透明模式的首要特点是需要对用户透明， 即用户意识不到防火墙的存在。透明网桥模式在数据链路层实现。防火墙在该模 式下工作时，可以透明的接入到网络的任何部位，无需改动用户网络结构和配置， 即插即用，简便高效，使用方便。要想实现透明模式，防火墙必须在没有i p 地址 的情况下工作，不需要对其设置i p 地址，用户也不知道防火墙的i p 地址。 采用透明模式的防火墙是采用无i p 方式运行，防火墙就可以直接安装和放置 到网络中使用，用户将不必重新设定和修改路由。 透明模式的防火墙就好像是一台网桥( 非透明的防火墙好像一台路由器) ，网 1 0 东北大学项士学位论文第二章理论基础及相关技术 络设备( 包括主机、路由器、工作站等) 和所有计算机的设置( 包括i p 地址和网 关) 无须改变，同时解析所有通过它的数据包，既增加了网络的安全性，又降低 了用户管理的复杂程度。 接口工作在透明模式时，防火墙过滤所有通过防火墙的封包，而不会修改i p 封包包头中的源地址和目的地址信息，所有的接口运行起来都像同一网络中的一 部分而防火墙的作用更像是链路层交换机或桥接器。在透明模式下，接口的i p 地 址被设置为0 0 0 0 ，使得防火墙对于用户来说是透明的。 使用透明模式不需要重新配置路由器或受保护服务器的i p 地址；不需要为到 达受保护服务器的内向信息流创建映射或虚拟i p 地址。 2 2 3 混合模式 目前大多数防火墙只能工作于透明模式和路由模式，只有极少数防火墙可以工 作于混合模式，即防火墙可以有部分接口在路由模式下工作，部分接口在透明模 式下工作，工作在混合模式的防火墙在使用时显然具有更大的方便性。 在混合模式下，各网络接口间可以自由设置使用交换模式或是路由模式，内部 网和i n t e r n e t 之间采用路由模式，配合n a t 功能，节省i p 地址，而d m z 和i n t e r n e t 之间采用交换模式，使得d m z 区的服务器保留公网i p 地址。这种模式可以根据 用户的实际情况灵活地进行设置，无需改动原有网络拓扑结构与设置，适用于网 络结构较复杂的用户。 2 2 4 小结 通过上面的描述，我们可以看看出防火墙存在多种工作模式。本课题设计的防 火墙冗余协议f w r p 针对防火墙的不同工作模式，提出了相应的冗余解决方案。 无论防火墙工作于路由模式( 接口工作在网络层) ，还是工作于透明模式( 接口工 作在链路层) ，f w r p 会根据接口不同的工作状态采取不同的处理方式，完成系统 冗余功能。 在这里说明一点：虽然每个防火墙冗余系统可以冗余备份多个接口，但是透明 模式下冗余备份的接口都工作在链路层，路由模式下冗余备份的接口都工作在网 络层。 协议有关不同工作模式的处理将会在第三章详细阐述。 2 3 常用防火墙联网方案分析 通常网络采用典型的三层结构模型：接入层实现外部网络的接入，主要由具有 东北大学硕士学位论文 第二章理论基础及相关技术 多种接口的高端路由器来实现；核心层实现内部网络的数据交换，主要由高端三 层交换机来实现：防火墙层介于接入层和核心层之间实现对内部网络的安全保护， 主要由高端防火墙来实现。作为开展业务的基础安全建设，防火墙在其中起着举 足轻重的作用，本节主要分析防火墙层在这种三层结构中的多种联网方式( 8 】【9 1 ，论 述各种联网方案如何实现防火墙的高可用性。 要实现网络的高可用性，首先要排除网络中的单点故障点，使网络在任何一台 设备失效时仍能提供网络服务。这种方案通常要在接入层配置最少两台路由器， 在核心层配置最少两台交换机，同样在防火墙层最少配置两台防火墙。 为了实现以上功能，防火墙必须应用专门的双机容错技术。一般防火墙都具有 该功能，被称为f a i l o v e r 或“h a ”。这种功能要求防火墙的两端设备必须具备交换 功能，因为对于两个互相做f a i l o v e r 的设备，互为备份的链路需要相同的配置。 例如要求有相同的外部接口网关地址( 或者到外部网络的静态路由的下一跳地 址) 。如果对端只是一个三层设备( 如路由器) ，则无法在两个接口处配置相同的 地址，需要一个二层设备汇接两个防火墙的链路，而这个二层设备的默认网关就 是防火墙需要的网关地址。 其实还有一种非常规的做法：把路由器的接口通过i r b 配置成桥接接口，并在 一台路由器上实现交换机接口的部分功能。需要指出的是，这种做法降低了路由 器的效率，而且如果接入层是两台路由器，还需要更为复杂的配置。况且，这只 是一种理论上可行方法，在工程中及少被采用。 常用的联网方案根据两台防火墙的工作状态可分为a c t i v e s t a n d b y 和 a c t i v e a c t i v e 方案；按照链路数量可以分为单链路和双链路方案。这三种分类可 以相互组合形成防火墙的联网方案，下面将对这些方案详细进行分析。 2 3 1a c t i v e a c t i v e 单链路方案 a c t i v e a c t i v e 单链路跨接方案采用防火墙跨接在路由器和交换机之间的联网 方式，如下图2 2 所示，无论如何都会有两台防火墙同时工作，互为备用防火墙。 从工作原理上看，两台防火墙通过一条心跳线连接实现状态的同步，主用链路 和备用链路的配置要求完全一致，互相进行链路备份，一旦主用防火墙出现链路 失效或防火墙本身失效，立即切换到另一台防火墙上。此时链路带宽下降到原有 的5 0 ，从而实现在一条链路上完成两条链路的工作。 1 2 东北大学硕士学位论文第二章理论基础及相关技术 冗余路由 冗余交换 防火墙a 冗余交换机 冗余路由器 冗余路由器 冗余交换机 图2 2a c t i v e a c t i v e 单链路示意图 f i g 2 2s i n g l el i n ko fa c t i v e - a c t i v ef i r e w a l l 优点：两台防火墙的性能同时得到发挥，系统集成较简单，防火墙可以工作在 透明模式：在三层网络中，单台防火墙出现失效时，网络仍然可以继续工作；接 入层与核心层之间的通信必须经过防火墙，没有直接的链路，保证网络的高安全 性：网络结构较简单，减少工程实施工程量。 缺点：当一台防火墙的链路失效时整体性能下降5 0 ，要求静态对内部服务器 分组，以保证t c p 持续性；需要在三层交换机上启用路由策略，增加了系统集成 的难度；接入层或者核心层设备失效或链路失效都会导致防火墙的切换，导致性 能下降5 0 。 2 3 2a c t i v e s t a n d b y 单链路方案 本方案与a c t i v e a c t i v e 单链路方案连接方法基本相同，区别只是任何时候都 只有一台防火墙在工作，所以防火墙的性能和带宽只有上一方案的5 0 。如果主 用防火墙的链路失效或者防火墙失效，都会切换到备用防火墙。 优点：网络逻辑结构更加简化，系统集成难度最小，网络设备配置简单，因此 不必在交换机上使用策略路由，减少工程实旌工作量；不必对服务器进行静态分 组，所有流量只会经过同一台防火墙。 缺点：只使用到一台防火墙的性能，对于接入层路由器，核心交换机也只是一 台设备来承担三层网络间的数据传送，造成同层网络设备负载不均衡；接入层或 一1 3 东北大学硕士学位论文第二章理论基础及相关技术 者核心层设备失效或者链路失效，都会导致防火墙的切换。 2 3 3a c t i v e a c t i v e 双链路方案 这种方案是防火墙高可用性联网的典型解决方案，如下图2 4 所示，两台防火 墙同时工作，每台防火墙只有一条链路在工作，同一台防火墙的两条链路互为备 份链路。如果主用链路失效，备用链路就会启用，接管所有流量。另一台防火墙 通过f a i l o v e r 功能接管失效防火墙的网络流量，在一条主用链路上运行两条链路 的功能。当只剩一台防火墙工作时，如果其主用链路失效，备用链路也会接管两 条链路的流量。整个方案提供了极高的可用性。另外一个特点是，两条心跳线相 互连接，一条传送状态信号和控制信号，另一条可以作为数据链路使用。当其中 一台防火墙的上行或下行链路同时失效，而另一台防火墙仍具有上下行链路时， 可以通过数据心跳线使出现失效链路的防火墙仍能继续工作。 图2 3a c t i v e a c t i v e 双链路示意图 f i g 2 3d o u b l el i n ko f a c t i v e a c t i v ef i r e w a l l 优点：具有最高级别的可用性和可靠性，同时发挥了两台防火墙的性能，上下 行设备有一台失效的情况下仍然可以保持两台防火墙双链路同时工作。在三层网 络中非防火墙设备只要仍有一台在正常工作，防火墙仍能可以保持发挥两台防火 墙的性能，只有一台防火墙失效时，性能才会下降5 0 。接入层与核心层之间的 通信必须经过防火墙，没有直接的链路，保证网络的高安全性。 缺点：核心层服务需要根据两条链路进行静态分组，以保持t c p 持续性。系 1 4 东北大学硕士学位论文第二章理论基础及相关技术 统集成有一定难度。 2 3 4 小结 结合上面对各种防火墙联网方案的比较，尽管每种联网方