防火墙技术.doc

防火墙技术1、防火墙概念防火墙是一个网络安全的专用词，它是可在内部网（或局域网）和互连网之间，或者是内部网的各部分之间实施安全防护的系统。通常它是由硬件设备路由器、网关、堡垒主机、代理服务器和防护软件等共同组成。在网络中它可对信息进行分析、隔离、限制，既可限制非授权用户访问敏感数据，又可允许合法用户自由地访问网络资源，从而保护网络的运行安全。防火墙就内部网和互连网的连接，见图4.5-1。它具有访问控制功能，按照系统要求，确定哪些内部服务允许外部访问；哪些外部服务允许内部访问。它可以和路由器做成一体，也可以做成一台或几台专门的堡垒计算机（该用词来源于中世纪有设防的城堡），即高安全性的计算机，安放专门的软件，形成大型防火墙。如图4.5-1所示，防火墙的一面是安全、保密、可靠的内部网（专用网），而另一面是开放不保密的互连网。内部网和互连网之间的每个活动（如电子邮件、文件传输、远程登录等）和每条信息都要被拦截，由防火墙确定活动是否符合安全规则，是否允许进行。根据规则，防火墙确定一个数据包或一个连接请求是否允许通过。因此，形象地说，防火墙类似于房门锁或守门人。它的目的是仅允许已被授权的用户进入系统，不允许外人携带珠宝走出房间。防火墙所采取的主要技术有包过滤技术、代理技术、状态监视技术等。（1）包过滤（Packet Filter）技术依据系统事先设定的过滤规则，检查数据流中每个数据包，根据数据包的源地址、目的地址、TCP端口、路径状态等来确定是否允许数据包通过。包过滤器可在路由器之外单独设置，也可与路由器做成一体，在路由设备上实现包过滤，还可在工作站上用软件进行包过滤。（2）代理（Proxy）技术代理服务是在网络中专门设置的代理服务器上的专用程序。代理服务可按安全管理员的设置，允许或拒绝特定的数据或功能。一般和包过滤器、应用网关等共同使用，将外部信息流阻挡在内部网的结构和运行之外，使内部网与外部网的数据交换只在代理服务器上进行，从而实现内部网与外部网的隔离。此外，代理服务还可完成数据流监控、过滤、记录、报告等功能。（3）状态监视技术状态监视可通过提取相关数据来对网络通信的各层实施监视并作为决策时的依据。监视功能支持多种网络协议，可以方便地实现应用和服务的扩充，特别是可监视RPC（远程进程调用）和UDP（用户数据报文）端口信息，这是其它安全服务所不能完成的。2防火墙的作用（1）取消或拒绝任何未被明确允许的软件包通过；（2）将外部用户保持在内部网之外，即对外部用户访问内部网做出限制，如互连网用户确实需要访问某些文件（如公司的公共文件），则这些文件可置于防火墙之外的互连网一侧；（3）强制执行注册、审计和报警等。即对通过防火墙的信息注册、审计，在发现某人试图闯过防火墙时，及时发出警报。3防火墙的设计防火墙一般由5部分组成，如图4.51所示。4、防火墙的优点和缺陷除了连接控制和安全日志，防火墙还有许多其它优点，尽管有许多优点，但也要意识到防火墙有许多缺陷。防火墙无能为力的是：访问限制、后门威胁（Modem或RAS服务器）和对于内部的黑客攻击。5、分布式防火墙分布式防火墙是一种主机驻留式的安全软件应用。用以保护企业网络中的关键结点服务器及工作站免受非法入侵的破坏。集中式管理及日志记录是其所具有的基本特性。传统的边界防火墙及包过滤路由器是放置在彼此“不友好”的两个网络之间，比如放置在Intern