计算机安全技术第五讲防火墙

第5讲防火墙

一、概论

二、防火墙种类

三、防火墙体系结构

四、防火墙技术回顾

五、防火墙新技术

■概论

•1、防火墙的提出

•2、防火墙示意图

•3、防火墙是什么

•4、防火墙概念

•5、防火墙实现层次

•6、防火墙功能

•7、防火墙的作用

•8、争议及不足

1、防火墙的提出

【业上网面临的安全问题之一:

内部网与互联网的有效隔离

解答:

防火墙

网络间的访问

一需隔离FIREWALL

2、防火墙示意图

二一1.企业内联网

3、防火墙是

什么(1)

|4W^ut

privileges

,在一个受保护的企

业内部网络与互联

网间，用来强制执

行企业安全策略的

一个或一组系统.

3、防火墙是什么（2）

•防火墙主要用于保护内部安全网络免

受外部网不安全网络的侵害。

•典型情况：安全网络为企业内部网络,

不安全网络为因特网。

­但防火墙不只用于因特网，也可用于

Intranet各部门网络之间（内部防火

墙）。例：财务部与市场部之间。

4、防火墙概念（1）

•最初含义：当房屋还处于木制结构的时侯，人

们将石块堆砌在房屋周围用来防止火灾的发生。

这种墙被称之为防火墙。

•RichKosinski（InternetSecurity公司总裁）：

防火墙是一种访问控制技术，在某个机构的网

络和不安全的网络之间设置障碍，阻止对信息

资源的非法访问。换句话说，防火墙是一道门

槛，控制进/出两个方向的通信。

4、防火墙概念(2)

•Wi11iamCheswick和SteveBeilovin

F(1994)：防火墙是放置在两个网络之间的

一组组件，这组组件共同具有下列性质：

1.只允许本地安全策略授权的通信信息通

过

2.双向通信信息必须通过防火墙

3.防火墙本身不会影响信息的流通

4、防火墙概念（3）

•简单的说，网络安全的第一道防线

•防火墙是位于两个信任程度不同的网络之间

（如企业内部网络和Internet之间）的软件或硬

件设备的组合，它对两个网络之间的通信进行

控制，通过强制实施统一的安全策略，防止对

重要信息资源的非法存取和访问以达到保护系

统安全的目的。

5、防火墙实现层次

应用层/网关级C

表示层"

会话层，

传输层K电路级Q

网络层一路由器级”

数据链路层“网桥级。

物理层，中继器级“

安全区域防火墙系统非保护区

6、防火墙功能（1）基本功能

模块

内容过滤用户认证

应用程序代理

包过滤&状态检测

IDS与报警

火捻出网络的访问行为

回封堵某些禁止的业务

功记县潮勺网络的信息和活动

能寸平竺士土'塞行亡测干一士警

7、防火墙的作用（1）

•Internet防火墙允许网络管理员定义一个中心“扼制点”

.（要塞点）来防止非法用户，如黑客、网络破坏者等进入

内部网络。禁止存在安全脆弱性的服务进出网络，并抗击

来自各种路线的攻击。Internet防火墙能够简化安全管理,

网络安全性是在防火墙系统上得到加固，而不是分布在内

部网络的所有王机上。

•在防火墙上可以很方便的监视网络的安全性，并产生报警。

应该注意的是：对一个内部网络已经连接到Internet上的

机构来说，重要的问题并不是网络是否会受到攻击，而是

何时会受到攻击。网络管理员必须审计并记录所有通过防

火墙的重要信息。如果网络管理员不能及时响应报警并审

查常规记录，防火墙就形同虚设。在这种情况下，网络管

理员永远不会知道防火墙是否受到攻击。

7、防火墙的作用（2）

•Internet防火墙可以作为部署NAT（Network

.AddressTranslator,网络地址变换）的逻辑地

址。因此防火墙可以用来缓解地址空间短缺的问

题，并消除机构在变换ISP时带来的重新编址的麻

烦。

•Internet防火墙是审计和记录Internet使用量的

一个最佳地方。网络管理员可以在此向管理部门

提供Internet连接的费用情况，查出潜在的带宽

瓶颈的位置，并能够根据机构的核算模式提供部

门级的记费。

•Internet防火墙也可以成为向客户发布信息的地

点。Internet防火墙作为部署WWW服务器和FTP服

务器的地点非常理想。还可以对防火墙进行配置,

允许Internet访问上述服务，而禁止外部对受保护的

内部网络上其它系统的访问。

7、防火墙的作用（3）示意图

8、争议及不足

•使用不便，认为防火墙给人虚假的安全感

•对用户不完全透明，可能带来传输延迟、瓶颈

及单点失效

•不能替代墙内的安全措施

-不能防范恶意的知情者

-不能防范不通过它的连接（大量潜在的后门）

-不能防范全新的威胁

-不能有效地防范数据驱动式的攻击

-当使用端-端加密时，其作用会受到很大的限制

•限制有用的网络服务

•不能防备病毒，被动防护

-一,二、防火墙种类

・1、防火墙的种类

・2、包过滤防火墙

・3、代理服务器

・4、电路级网关技术

・5、全状态检查

1、防火墙的种类

■防火墙的存在形式：软件、硬件。

•根据防范方式和侧重点的不同可分为四

类：

-包过滤

-应用层代理

-电路层代理

-状态检查

・2「包过滤防，Q墙⑴.

Inte:…m…et1

■V-T'""

_,—/

根据站点的安全策

包过滤路由器“

略来决定是否转发

数据包

一

—、

Jf*

\内部。网络”:

一-_—_一

I---------------------------------

2、包过滤防火墙（2）

­.包过滤防火墙对所接收的每个数据包做允许拒绝的决定。防火墙审查

每个数据报以便确定其是否与某一条包过滤规则匹配。过滤规则基于

可以提供给IP转发过程的包头信息。

・包头信息中包括IP源地址、IP目标端地址、内装协（TCP、UDP、

ICMP、或IPTimnel）、TCP/UDP目标端口、ICMP消息类型、TCP包头

中的ACK位

­包的进入接口和出接口如果有匹配并且规则允许该数据包，那么该数

据包就会按照路由表中的信息被转发。如果匹配并且规则拒绝该数据

包，那么该数据包就会被丢弃。如果没有匹配规则，用户配置的缺省

参数会决定是转发还是丢弃数据包。

­包过滤防火墙使得防火墙能够根据特定的服务允许或拒绝流动的数据，

因为多数的服务收听者都在已知的TCP/UDP端口号上。例如，Telnet服

务器在TCP的23号端口上监听远地连接，而SMTP服务器在TCP的25号

端口上监听人连接。为了阻塞所有进入的Telnet连接，防火墙只需简单

的丢弃所有TCP端口号等于23的数据包。为了将进来的Telnet连接限制

到内部的数台机器上，防火墙必须拒绝所有TCP端口号等于23并且目标

IP地址不等于允许主机的IP地址的数据包。

2、包过滤防火墙（3）

静态包过滤

•根据流经该设备的数据包地址信息，决定是否

允许该数据包通过

•判断依据有（只考虑IP包）：

-数据包协议类型：TCP、UDP、ICMP、IGMP等

-源、目的IP地址

-源、目的端口：FTP、HTTP、DNS等

-IP选项：源路由、记录路由等

-TCP选项：SYN、ACK、FIN、RST等

-其它协议选项：ICMPECHO、ICMPECHOREPLY等

-数据包流向：in或out

-数据包流经网络接口：ethO>ethl

二2、包过滤防火墙（4）

,动态包过滤

•Checkpoint一项称为StatefulInspection^

的技术

•可动态生成/删除规则

■分析高层协议

2、包过滤防火墙（5）

481632bit

VersionIHLTypeofserviceTotallength

IdentificationFlagsFragmentoffset

TimetoliveProtocolHeaderchecksum

Sourceaddress

Destinationaddress

Option+Padding

Data

•IP数据包格式

•有关IP分段的拒绝服务攻击

-2、包过滤防火墙（6）检查内容

•数据包过滤一般要检查网络层的IP头和传输层

的头：

-IP源地址

-IP目标地址

-协议类型（TCP包、UDP包和ICMP包）

-TCP或UDP包的目的端口

-TCP或UDP包的源端口

-ICMP消息类型

-TCP包头的ACK位

-TCP包的序列号、IP校验和等

2、包过滤防火墙（8）优缺点

优点：

应用层

应用层•速度快，性能高

表示层表ZF层•对用户透明

会话层会话层

传输层传输层

一网络层_缺点：

网络层V_网络层

•维护比较困难（需要对TCP/IP了解）

数据链路层

数据链路层数据链路层•安全性低（IP欺骗等）

物理层物理・不提供有用的日志，或根本就不提供

物理层层

互连的物理介质•不防范数据驱动型攻击

•不能根据状态信息进行控制

•不能处理网络层以上的信息

•无法对网络上流动的信息提供全面的

控制

2、包过滤防火墙（9）透明模

式包过滤:网桥形式

PublicAddress

ToInternet

3、代理服务器（1）

•代理服务是运行在防火墙主机上的专门的应用

程序或者服务器程序。不允许通信直接经过外

部网和内部网。

•将所有跨越防火墙的网络通信链路分为两段。

•防火墙内外计算机系统间应用层的“链接”，

由两个终止代理服务器上的“链接”来实现

3、代理服务器（2）

1.网关理解应用协议，可以实施更细粒度的访问

控制

2.对每一类应用，都需要一个专门的代理

3.灵活性不够

F

3、代理服务器(3)Telnet

代理服务器

3、代理服务器（4）代理服务

的分类

•代理服务分类：代理服务可分为应用级代理与

电路级代理：

・应用级代理是已知代理服务向哪一应用提供的

代理，它在应用协议中理解并解释命令。应用

级代理的优点为它能解释应用协议从而获得更

多的信息，缺点为只适用于单一协议。

•电路级代理是在客户和服务器之间不解释应用

协议即建立回路。电路级代理的优点在于它能

对各种不同的协议提供服务，缺点在于它对因

代理而发生的情况几乎不加控制。

3、代理服务器（5）应用层

代理的优点

•能够让网络管理员对服务进行全面的控制，包

括控制提供那些服务。因为代理应用限制了命

令集并决定哪些内部主机可以被该服务访问。

没有特定服务的代理就表示该服务不提供。

•易于配置和测试

■防火墙可以被配置成唯一的可被外部看见的主

机，这样可以保护内部主机免受外部主机的进

攻。

•应用层代理有能力支持可靠的用户认证并提供

详细的注册信息。另外，用于应用层的过滤规

则相对于包过滤防火墙来说更容易配置和测试。

•代理工作在客户机和真实服务器之间，完全控

制会话，所以可以提供很详细的日志和安全审

计功能C

3、代理服务器（6）应用层代理的缺点

•应用层代理的最大缺点是要求用户改变自己的行为，

或者在访问代理服务的每个系统上安装特殊的软件。比

如，透过应用层代理Telnet访问要求用户通过两步而不是

一步来建立连接。不过，特殊的端系统软件可以让用户

在Telnet命令中指定目标主机而不是应用层代理来使应用

层代理透明。

•每个应用程序都必须有一个代理服务程序来进行安全

控制，每一种应用升级时，一般代理服务程序也要升级。

一3、代理服务器(7)一些实现

•商业版防火墙产品

•商业版代理(cache)服务器

•OpenSource

-TISFWTK(Firewalltoolkit)

-Apache

-Squid

4、电路级网关技术（1）

・拓扑结构同应用程序网关相同

•接收客户端连接请求，代理客户端完成网络连

接

•在客户和服务器间中转数据

•通用性强

4、电路级网关技术（2）

•实现方式：简单重定向

-根据客户的地址及所请求端口，将该连接重定向到

指定的服务器地址及端口上

-对客户端应用完全透明

•实现方式：在转发前同客户端交换连接信息

-需对客户端应用作适当修改

,Sockify

•一些实现：Socks>Winsock、Dante

5、全状态检查（1）

•状态检测技术：在包过滤的同时，检察数据包

之间的关联性，数据包中动态变化的状态码。

•监测引擎：一个在网关上执行网络安全策略的

软件模块。

•监测引擎采用抽取有关数据的方法对网络通信

的各层实施监测，抽取状态信息，并动态地保

存起来作为以后执行安全策略的参考。

•当用户访问请求到达网关的操作系统前，状态

监视器要抽取有关数据进行分析，结合网络配

置和安全规定作出接纳、拒绝、身份认证、报

警或给该通信加密等处理动作。

5、全状态检查（2）状态检测

「F的优缺点

•优点：

-一旦某个访问违反安全规定，就会拒绝该访

问，并报告有关状态作日志记录。

-它会监测无连接状态的远程过程调用（RPC）

和用户数据报（UDP）之类的端口信息。

•缺点：

-降低网络速度

-配置比较复杂

6、网络地址转换技术(NAT)

.(1)

•解决方法：网络地址转换器就是在防火墙上装

一个合法IP地址集。

-当内部某一用户要访问Internet时，防火墙动态地从

地址集中选一个未分配的地址分配给该用户；

-同时，对于内部的某些服务器如Web服务器，网络

地址转换器允许为其分配一个固定的合法地址。

•好处：

-缓解IP地址匮乏问题；

-对外隐藏了内部主机的IP地址，提高了安全性。

、网络地址转换技术(NAT)(2)

源IP瑁的IPI源IP目的IP

10.0.202.112.202.112.202.112.

108.50|

0.108108.3108.50

防火墙网关

源IP目的IP/源IP目的IP

202.112.10.0.202.112.202.112.

108.500.108108.50108.3

NAT技术中将不合法IP转换

为合法IP

6、网络地址转换技术（NAT）

问题：所有返回数据包目的IP都是,

防火墙如何识别并送回真正主机？

方法：1、防火墙记住所有发送包的目的端口；

2、防火墙记住所有发送包的TCP序列号

三、防火墙体系结构

・1、双重宿主主机体系结构

•2、屏蔽主机体系结构

•3、屏蔽子网体系结构

・4、其它的防火墙结构

1＞双重宿主主机体系结构（1）

•双重宿主主机体系结构是围绕双重宿主主机构

筑的。

•双重宿主主机至少有两个网络接口，它位于内

部网络和外部网络之间，这样的主机可以充当

与这些接口相连的网络之间的路由器，它能从

一个网络接收IP数据包并将之发往另一网络。

然而实现双重宿主主机的防火墙体系结构禁止

这种发送功能，完全阻止了内外网络之间的IP

通信。

•两个网络之间的通信可通过应用层数据共享和

应用层代理服务的方法实现。一般情况下采用

代理服务的方法。

1、双重宿主主机体系结构（2）

，・

防火墙许

双重宿.主主机

□|/能即,瓯期a0

内部网络

*:I

■

-「

双重宿主主机体系结构

1＞双重宿主主机体系结构（3）

•双重宿主主机的特性：

-安全至关重要（唯一通道），其用户口令控

制安全是关键。

-必须支持很多用户的访问（中转站），其性

能非常重要。

•缺点：双重宿主主机是隔开内外网络的

唯一屏障，一旦它被入侵，内部网络便

向入侵者敞开大门。

2、屏蔽主机体系结构（1）

•屏蔽主机体系结构由防火墙和内部网络的堡垒

主机承担安全责任。一般这种防火墙较简单，

可能就是简单的路由器。

•典型构成：包过滤路由器+堡垒主机。

-包过滤路由器配置在内部网和外部网之间，保证外

部系统对内部网络的操作只能经过堡垒主机。

-堡垒主机配置在内部网络上，是外部网络主机连接

到内部网络主机的桥梁，它需要拥有高等级的安全。

2＞屏蔽主机体系结构（2）

•屏蔽路由器可按如下规则之一进行配置：

-允许内部主机为了某些服务请求与外部网上的主机

建立直接连接（即允许那些经过过滤的服务）。

-不允许所有来自外部主机的直接连接。

•安全性更高，双重保护：实现了网络层安全

（包过滤）和应用层安全（代理服务）。

•缺点：过滤路由器能否正确配置是安全与否的

关键。如果路由器被损害，堡垒主机将被穿过,

整个网络对侵袭者是开放的。

2,屏蔽主机体系结构(3)

___-vx><«_

因特网

防火墙

r-r

।।

□□

3、屏蔽子网体系结构（1）

•屏蔽子网体系结构在本质上与屏蔽主机体系结

构一样，但添加了额外的一层保护体系——周

边网络。堡垒主机位于周边网络上，周边网络

和内部网络被内部路由器分开。

•原因：堡垒主机是用户网络上最容易受侵袭的

机器。通过在周边网络上隔离堡垒主机，能减

少在堡垒主机被侵入的影响。

3＞屏蔽子网体系结构(3)

•周边网络是一个防护层，在其上可放置

一些信息服务器，它们是牺牲主机，可

能会受到攻击，因此又被称为非军事区

(DMZ)o

•周边网络的作用：即使堡垒主机被入侵

者控制，它仍可消除对内部网的侦听。

例：netxray等的工作原理。

3＞屏蔽子网体系结构（4）

•堡垒主机

-堡垒主机位于周边网络，是整个防御体系的

核心。

-堡垒主机可被认为是应用层网关，可以运行

各种代理服务程序。

-对于出站服务不一定要求所有的服务经过堡

垒主机代理，但对于入站服务应要求所有服

务都通过堡垒主机。

3＞屏蔽子网体系结构（5）

•外部路由器（访问路由器）

-作用：保护周边网络和内部网络不受外部网络的侵

犯。

•它把入站的数据包路由到堡垒主机。

•防止部分IP欺骗，它可分辨出数据包是否真正来自周边网

络，而内部路由器不可。

•内部路由器（阻塞路由器）

-作用：保护内部网络不受外部网络和周边网络的侵

害，它执行大部分过滤工作。

-外部路由器一般与内部路由器应用相同的规则。

7

4＞其它的防火墙结构（1）

Outside—Z一|r

PublicAccessServer一

Demilitarized

Zones(DMZs)PublicAccessServer

4、其它的防火墙结构（2）

・一个堡垒主机和一个非军事区示意图

蛀业［夕俎远用■，卜在1、

4、帮联的脚施廨有翻遍）

夕卜部堡垒主机

内部DMZ

内部堡垒主机

内吾日网

斗My%田&”：-，3\

5＞防火墙的安全标准（1）

•防火墙技术发展很快，但是现在标准尚不健全,

导致不同的防火墙产品兼容性差，给不同厂商

的防火墙产品的互联带来了困难。

•为了解决这个问题目前已提出了2个标准：

-1、RSA数据安全公司与一些防火墙的生产厂

商（如Checkpoint公司、TIS公司等）以及一些

TCP/IP协议开发商（如FTP公司等）提出了

Secure/WAN（S/WAN）标准，它能使在IP

层上由支持数据加密技术的不同厂家生产的防

火墙和TCP/IP协议具有互操作性，从而解决

了建立虚拟专用网（VPN）的一个主要障碍。

5＞防火墙的安全标准（2）

•此标准包含两个部分：

•①防火墙中采用的信息加密技术一致，即加密

算法、安全协议一致，使得遵循此标准生产的

防火墙产品能够实现无缝互联，但又不失去加

密功能；

•②安全控制策略的规范性、逻辑上的正确合理

性，避免了各大防火墙厂商推出的防火墙产品

由于安全策略上的漏洞而对整个内部保护网络

产生危害。

5＞防火墙的安全标准(3)

•2、美国国家计算机安全协会NCSA(National

ComputerSecurityAssociation)成立的防火墙

开发商FWPD(FirewallProductDeveloper)联

盟制订的防火墙测试标准。

•3、我国质量技术监督局1999.11.11发布,

200051开始实施:

-包过滤防火墙安全技术要求

-应用级防火墙安全技术要求

-网络代理服务器的安全技术要求

四、防火墙技术回顾

・1、防火墙技术与产品发展回顾

■防火墙产品目前已形成一个产业，年增

长率达173%。

•五大基本功能：

-过滤进、出网络的数据；

-管理进、出网络的访问行为；

-封堵某些禁止的业务；

-记录通过防火墙的信息内容和活动；

-对网络攻击检测和告警。

一2、防火墙产品发展的四个阶段

•基于路由器的防火墙

•用户化的防火墙工具套件

•建立在通用操作系统上的防火墙

­具有安全操作系统的防火墙

3、第三代：基于路由器的包过

滤防火墙(1)-

(Internet

X,………’….5

箕略来饕决定譬是否转梵发包过滤路由器“

数据包“

\内部网络n

包过滤型防火墙

3、第一代：基于路由器的包过

,滤防火墙（2）

■特征：

•以访问控制表方式实现分组过滤

­过滤的依据是IP地址、端口号和其它网络特征

•只有分组过滤功能，且防火墙与路由器一体

•缺点：

•路由协议本身具有安全漏洞

­路由器上的分组过滤规则的设置和配置复杂

•攻击者可假冒地址

•本质缺陷：一对矛盾，防火墙的设置会大大降低路由器的

性能。

-路由器：为网络访问提供动态灵活的路由

-防火墙：对访问行为实施静态固定的控制

4、第二代:用户化的防火墙工

具套件（1）

4、第二代:用户化的防火墙工

具套件（2）

■特征：

-将过滤功能从路由器中独立出来，并加上审计和告

警功能；

-针对用户需求提供模块化的软件包；

-安全性提高，价格降低；

-纯软件产品，实现维护复杂。

•缺点：

-配置和维护过程复杂费时；

-对用户技术要求高；

-全软件实现，安全性和处理速度均有局限；

5、第三代：建立在通用操作系

统上的防火墙（1）

•是近年来在市场上广泛可用的一代产品。

・特征

-包括分组过滤或借用路由器的分组过滤功能;

-装有专用的代理系统，监控所有协议的数据

和指令；

-保护用户编程空间和用户可配置内核参数的

设置；

-安全性和速度大为提高。

5、第三代：建立在通用操作系

统上的防火墙（2）

•实现方式：软件、硬件、软硬结合。

•问题：

-作为基础的操作系统及其内核的安全性无从保证。

-通用操作系统厂商不会对防火墙的安全性负责；

-从本质上看，第三代防火墙既要防止来自外部网络

的攻击，还要防止来自操作系统漏洞的攻击。

-用户必须依赖两方面的安全支持：防火墙厂商和操

作系统厂商。

•上述问题在基于WindowsNT开发的防火墙产

品中表现得十分明显。

6、第四代：具有安全操作系统

的防火墙（1）

・1997年初，此类产品面市。

黑全性有质的提高。

•获得安全操作系统的方法：

•通过许可证方式获得操作系统的源码；

•通过固化操作系统内核来提高可靠性。

16、第四代：具有安全操作系统

的防火墙（2）

•特点：

■防火墙厂商具有操作系统的源代码，并可实现安

全内核；

•对安全内核实现加固处理：即去掉不必要的系统

特性，强化安全保护；

•对每个服务器、子系统都作了安全处理；

•在功能上包括了分组过滤、代理服务，且具有加

密与鉴别功能；

■透明性好，易于使用。

6、第四代：具有安全操作系统

的防火墙（3）

•第四代防火墙的主要技术与功能：

-灵活的代理系统：两种代理机制，一种用于

从内部网到外部网的连接，另一种用于此外

部网到内部网的连接；

—双端口或三端口结构；

-网络地址转换技术（NAT）

-虚拟专网技术（VPN）

6、第四代：具有安全操作系统

的防火墙（4）

•安全服务器网络（SSN）：对外服务器既是内

部网的一部分，又与内部网完全隔离。第四代

防火墙采用分别保护的策略对向外提供服务的

网络提供保护，它利用一张网卡将对外服务器

作为一个独立网络处理。

•用户鉴别与加密

•用户定制服务

•审计和告警

•一五、防火墙新技术

・1、关于防火墙技术的一些观点

・2、PC防火墙

•3、病毒防火墙

・4、安全增强方面

・5、安全网关

•6、分布式防火墙

…1、关于防火墙技术的一些观点

•防火墙技术是一项已成熟的技术

•目前更需要的是提高性能，尤其是将它

集成到更大的安全环境中去时：

-用户界面和管理

-互操作性

-标准化

2、PC防火墙

•基于内部网的主机或其它形式上网的主机的防

火墙（我们称之为PC防火墙）正是在这种意义

上提出的。由于PC防火墙的对象是网络上的最

终主机，所以PC防火墙的操作系统平台不如传

统意义上的防火墙那样灵活，几乎没有选择的

余地，完全由用户选择，这就决定了PC防火墙