防火墻原理入門

防火墻原理入門

防火墻能增強機構(gòu)內(nèi)部網(wǎng)絡(luò)的安全性。防火墻系統(tǒng)決定了哪些內(nèi)部服務(wù)可以被外界訪問；外界的哪些人可以訪問內(nèi)部的服務(wù)以及哪些外部服務(wù)可以被內(nèi)部人員訪問。防火墻必須只允許授權(quán)的數(shù)據(jù)通過，而且防火墻本身也必須能夠免于滲透。

　　防火墻的五大功能

　　一般來說，防火墻具有以下幾種功能：

　　1．允許網(wǎng)絡(luò)管理員定義一個中心點來防止非法用戶進入內(nèi)部網(wǎng)絡(luò)。

　　2．可以很方便地監(jiān)視網(wǎng)絡(luò)的安全性，并報警。

　　3．可以作為部署NAT（Network Address Translation，網(wǎng)絡(luò)地址變換）的地點，利用NAT技術(shù)，將有限的IP地址動態(tài)或靜態(tài)地與內(nèi)部的IP地址對應起來，用來緩解地址空間短缺的問題。

　　4．是審計和記錄Internet使用費用的一個最佳地點。網(wǎng)絡(luò)管理員可以在此向管理部門提供Internet連接的費用情況，查出潛在的帶寬瓶頸位置，并能夠依據(jù)本機構(gòu)的核算模式提供部門級的計費。

　　兩種防火墻技術(shù)的對比

　　包過濾防火墻

　　優(yōu)點

　　價格較低

　　性能開銷小，處理速度較快

缺點

　　定義復雜，容易出現(xiàn)因配置不當帶來問題

　　允許數(shù)據(jù)包直接通過，容易造成數(shù)據(jù)驅(qū)動式攻擊的潛在危險

　　代理防火墻

　　內(nèi)置了專門為了提高安全性而編制的Proxy應用程序，能夠透徹地理解相關(guān)服務(wù)的命令，對來往的數(shù)據(jù)包進行安全化處理

　　速度較慢，不太適用于高速網(wǎng)（ATM或千兆位以太網(wǎng)等）之間的應用

　　5．可以連接到一個單獨的網(wǎng)段上，從物理上和內(nèi)部網(wǎng)段隔開，并在此部署WWW服務(wù)器和FTP服務(wù)器，將其作為向外部發(fā)布內(nèi)部信息的地點。從技術(shù)角度來講，就是所謂的?；饏^(qū)（DMZ）。

　　防火墻的兩大分類

　　盡管防火墻的發(fā)展經(jīng)過了上述的幾代，但是按照防火墻對內(nèi)外來往數(shù)據(jù)的處理方法，大致可以將防火墻分為兩大體系：包過濾防火墻和代理防火墻（應用層網(wǎng)關(guān)防火墻）。前者以以色列的Checkpoint防火墻和Cisco公司的PIX防火墻為代表，后者以美國NAI公司的Gauntlet防火墻為代表。

　　1．包過濾防?

　　第一代：靜態(tài)包過濾

　　這種類型的防火墻根據(jù)定義好的過濾規(guī)則審查每個數(shù)據(jù)包，以便確定其是否與某一條包過濾規(guī)則匹配。過濾規(guī)則基于數(shù)據(jù)包的報頭信息進行制訂。報頭信息中包括IP源地址、IP目標地址、傳輸協(xié)議(TCP、UDP、ICMP等等)、TCP/UDP目標端口、ICMP消息類型等。包過濾類型的防火墻要遵循的一條基本原則是“最小特權(quán)原則”，即明確允許那些管理員希望通過的數(shù)據(jù)包，禁止其他的數(shù)據(jù)包。

　　圖1 簡單包過濾防火墻

第二代：動態(tài)包過濾

　　這種類型的防火墻采用動態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。這種技術(shù)后來發(fā)展成為所謂包狀態(tài)監(jiān)測（Stateful Inspection）技術(shù)。采用這種技術(shù)的防火墻對通過其建立的每一個連接都進行跟蹤，并且根據(jù)需要可動態(tài)地在過濾規(guī)則中增加或更綠蹌俊?

　　圖2 動態(tài)包過濾防火墻

　　2． 代理防火墻

　　第一代：代理防火墻

　　代理防火墻也叫應用層網(wǎng)關(guān)（Application Gateway）防火墻。這種防火墻通過一種代理（Proxy）技術(shù)參與到一個TCP連接的全過程。從內(nèi)部發(fā)出的數(shù)據(jù)包經(jīng)過這樣的防火墻處理后，就好像是源于防火墻外部網(wǎng)卡一樣，從而可以達到隱藏內(nèi)部網(wǎng)結(jié)構(gòu)的作用。這種類型的防火墻被網(wǎng)絡(luò)安全專家和媒體公認為是最安全的防火墻。它的核心技術(shù)就是代理服務(wù)器技術(shù)。

　　所謂代理服務(wù)器，是指代表客戶處理在服務(wù)器連接請求的程序。當代理服務(wù)器得到一個客戶的連接意圖時，它們將核實客戶請求，并經(jīng)過特定的安全化的Proxy應用程序處理連接請求，將處理后的請求傳遞到真實的服務(wù)器上，然后接受服務(wù)器應答，并做進一步處理后，將答復交給發(fā)出請求的最終客戶。代理服務(wù)器在外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請服務(wù)時發(fā)揮了中間轉(zhuǎn)接的作用。

第二代：動態(tài)包過濾

　　這種類型的防火墻采用動態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。這種技術(shù)后來發(fā)展成為所謂包狀態(tài)監(jiān)測（Stateful Inspection）技術(shù)。采用這種技術(shù)的防火墻對通過其建立的每一個連接都進行跟蹤，并且根據(jù)需要可動態(tài)地在過濾規(guī)則中增加或更綠蹌俊?

　　圖2 動態(tài)包過濾防火墻

　　2． 代理防火墻

　　第一代：代理防火墻

　　代理防火墻也叫應用層網(wǎng)關(guān)（Application Gateway）防火墻。這種防火墻通過一種代理（Proxy）技術(shù)參與到一個TCP連接的全過程。從內(nèi)部發(fā)出的數(shù)據(jù)包經(jīng)過這樣的防火墻處理后，就好像是源于防火墻外部網(wǎng)卡一樣，從而可以達到隱藏內(nèi)部網(wǎng)結(jié)構(gòu)的作用。這種類型的防火墻被網(wǎng)絡(luò)安全專家和媒體公認為是最安全的防火墻。它的核心技術(shù)就是代理服務(wù)器技術(shù)。

　　所謂代理服務(wù)器，是指代表客戶處理在服務(wù)器連接請求的程序。當代理服務(wù)器得到一個客戶的連接意圖時，它們將核實客戶請求，并經(jīng)過特定的安全化的Proxy應用程序處理連接請求，將處理后的請求傳遞到真實的服務(wù)器上，然后接受服務(wù)器應答，并做進一步處理后，將答復交給發(fā)出請求的最終客戶。代理服務(wù)器在外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請服務(wù)時發(fā)揮了中間轉(zhuǎn)接的作用。

第二代：動態(tài)包過濾

　　這種類型的防火墻采用動態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。這種技術(shù)后來發(fā)展成為所謂包狀態(tài)監(jiān)測（Stateful Inspection）技術(shù)。采用這種技術(shù)的防火墻對通過其建立的每一個連接都進行跟蹤，并且根據(jù)需要可動態(tài)地在過濾規(guī)則中增加或更綠蹌俊?

　　圖2 動態(tài)包過濾防火墻