系统管理－系统安全－防火墙

1、UNIX系统管理系统安全防火墙防火墙什么是防火墙防火墙是一种用来阻止外面的未经授权的用户的非法访问你的网络下的设备的工具，它通常是软件和硬件的结合体。为了更好地理解防火墙的工作原理，我们就使用以前提到过的例子来说明.首先，大多数网络身份验证除了用户帐号和口令之外的，就是IP地址，IP地址是INTERNET网络上最普遍的身份索引，它有动态和静态两种。（1）动态IP地址指每次强制分配给不同上网机器的主机的地址。ISP提供的拨号服务通常是分配动态IP地址，一个拨号计算机通常每次拨号都有一个不同的IP但是总有一个范围。（2）静态IP地址是固定不变的地址，它可以是某台连入Internet的主机地址，静态

2、IP分几类，一类是whois可以查询到的，并且此类IP地址主要是Internet中最高层主机的地址，这些主机可以是域名服务器，httpd服务器（Web Server)、邮件服务器、BBS主机或者网络棋类游戏服务器。另一类静态IP地址被分配给Internet网络中的第二层和第三层的主机，这些机器有固定的物理地址。然而他们不一定有注册的主机名。当你的计算机同远程主机建立连接的时候，各种对话随之产生，其中最常见的一种是TCP/IP的三次握手方式。对方可以在三次握手的过程中得知你主机的IP地址。在通常的情况下，即没有防火墙的情况下，本地主机和远程主机之间的对话是直接发生的。信息的传输过程相当复杂，典型

3、的传输过程由下面列出的几部分组成。1.数据从网络的某处发出，比如说：从现在所在的局域网中发出。2.数据从本地机器传输到子网中的服务器上，再通过这台机器传到本地网络的主服务器上，顺便说一句，由于子网下是采用广播的形式，主机作为路由器对包进行采样分析，并转换成有合法internet IP的包转发出去。所以这一步只通过一个服务器。3.网络服务器将数据交给路由器，路由器通过光纤或者其他主干网络高速设备将数据转发上internet.4.数据经过internet网络，其间通过许多网关和路由器，最后到达另外网络路由器，并由这个路由器将数据通过以太网发送到相应主机。如果双方都没有采取任何安全措施，那么二者之间

4、的道路被认为是直接的，例如，路由器2转交源地址为任何IP地址的数据给服务器，最终导致网络的许多不安全因素，但许多年来它一直是一种标准。防火墙的组成防火墙可以由软件也可以由硬件构成，当然也可以由软件和硬件混合构成。软件部分可以是专利软件或者共享软件，硬件部分应该是能够支持软件的硬件设备。如果防火墙是硬件，那么这个硬件最多由一个路由器组成。在路由器中可以采用命令来限制并过滤IP数据包，即允许定义哪些包可以被转发而哪些包丢弃。代理和网关代理防火墙或者网关的工作方式与过滤数据包的防火墙和以路由器为基础的防火墙稍有不同。它是基于软件的。当远程用户希望和一个正在运行网关的网络进行连接的时候，此网关就会阻塞

5、这个远程连接，然后对连接的各个域进行检查，如果符合指定的要求，网关便会在远程主机和内部主机之间建立一个“桥”,”桥“是指两种协议之间的转换器。这种网关代理模型的优点是不进行IP包的转发，更为重要的是可以在”桥“上设置更多的控制，而且这种工具还能提供非常成熟的日志功能。然而所有的这些优点都是通过牺牲速度换取的。因为每次连接请求和所有发往子网内的包都要在网关上进行检查和分析转发等过程，这就要比单纯的从IP地址来过滤转发数据包慢多了。IP转发（IP forwarding)是指收到外部请求的服务器将此信息直接或者进行合法化转换再发到网络中来，当然，IP转发存在不少的问题和漏洞，但是速度没有什么问题。网关的另一个不足之处是，必须为每个网络服务创建代理(proxy)，为了在内部网络和外部网络之间建立连接需要两个步骤。一些网关需要经过修改的客户端，这即可以看作是进步也可以看作是退步，是进步还是退步主要看修改过的客户端能否方便地使用防火墙。Telnet网关不一定要修改telnet客户端，但是使用未经修改过的telnet客户端软件却需要用户改变他们的行为：用户不得不直接登录到内部的主机