第一篇：基于數據包捕獲與分析的個人防火墻論文
基于數據包捕獲與分析的個人防火墻論文
本套設計論文描述及運行界面展示
摘 要
數據包過濾是一個用軟件或硬件設備對向網絡上傳或從網絡下載的數據流進行有選擇的控制過程。數據包過濾的功能通常是在將數據包從一個網站向另一個網絡傳送的過程中允許或阻止它們的通過（更為常見的是在從英特網向內部網絡傳輸數據時，或從內部網絡向英特網傳輸）。若要完成數據包過濾，你就要設置好規則來指定哪些類型的數據包被允許通過和哪些類型的數據包將會被阻止。
基于數據包過濾的防火墻，能夠很好地保護用戶在與網絡連接時的安全性。
我們的目標，就是通過截獲數據包，并且對其進行分析，來放行或阻止網絡訪問，從而達到保護計算機安全的目的。
本論文主要講述了下面幾點：
一、數據包捕獲及網絡安全技術
二、系統的設計與實現
三、測試及其他
關鍵字：數據包捕獲；防火墻；網絡安全
Abstract Packet Filtering is the process a piece of software or device takes to selectively control the flow of data to and from a network.Packet Filters allow or block packets, usually while routing them from one network to another(most often from the Internet to an internal network, and vice-versa).To accomplish packet filtering, you set up rules that specify what types of packets are to be allowed and what types are to be blocked.The packet filtering based firewall can protect the security of computers very well.Our goal is to capture and analysis data packets ,so we can examines all packets that pass in and out of it to prevent packets from passing through ,and the computer is protected.The thesis presents these aspects:
1、Technology of Packet Filtering and Network Security
2、How to implement the system
3、Testing document and others Key Words: Packet Filtering、Firewall、network security
目 錄 第一章 緒論 1 第一節 課題意義1 第二節 課題綜述1
一、國內外發展情況 1
二、網絡安全技術介紹 4
三、防火墻介紹 6
四、防火墻技術發展趨勢8
五、防火墻產品發展趨勢10 第二章 需求分析 11 第一節 需求分析11
一、功能調查11
二、初步設計12 第二節 可行性分析 12
一、技術可行性及方案選擇 12 第三節 開發環境及工具 13
一、開發環境13
二、開發工具14 第三章 基礎實現技術介紹 15 第一節 MFC介紹15 第二節 數據包過濾技術 15
一、數據包 15
二、數據包過濾是怎樣工作的16
三、包過濾的優點 16 第四章 系統總體設計18 第一節 功能分析18 第二節 系統工作流程 19
一、系統工作流程圖 18
二、原理分析20
三、系統工作過程描述 21 第五章 子模塊設計 22 第一節 模塊分析21
一、模塊劃分原則 22
二、模塊劃分23
三、模塊接口定義 25 第二節 子模塊詳細設計 26
一、注冊模塊26
二、查詢模塊28
三、流量統計模塊 29 第六章 出現問題及解決辦法 32 第一節 出現問題32 第二節 無法解決的問題 33 第七章 測試 34 第一節 測試方案34 第二節 測試實例35 第三節 測試總結39 結束語 40 致謝 41 參考文獻42
第二篇：計算機網絡課程設計_IP數據包的捕獲與分析[范文]
CENTRAL SOUTH UNIVERSITY
計算機網絡課程設計報告
目錄
第一章 課程設計的目的與要求..........................錯誤！未定義書簽。1.1 課程設計的目的...................................錯誤！未定義書簽。1.2 課程設計的要求....................................................1 第二章 課程設計的內容.................................................3 2.1 課程設計的內容....................................................3 2.2 內容的要求........................................................3 第三章 程序分析與設計.................................................4 3.1 IP數據包..........................................................4 3.1.1 IP數據包的格式說明..........................................4 3.1.2 IP數據包的格式..............................................4 3.1.3 IP數據包的C++定義...........................................5 3.1.4 IP數據包的解析..............................................6 3.2 套接字............................................................7 3.1.4 套接字的使用.................................................7 3.1.4 使用原始套接字...............................................7 3.3 接受數據包........................................................7 第四章 實驗結果.......................................................10 4.1 程序截圖.........................................................10 第五章 總結..........................................................11 5.1 實驗心得.........................................................11 第六章 附錄..........................................................12 6.1 源代碼...........................................................12
第一章 課程設計的目的與要求
1.1 課程設計的目的
計算機網絡課程設計的目的，是為了讓學生更深入地掌握計算機網絡的核心內容，實現理論與實踐相結合。讓學生用具體的實踐成果，體現對理論知識的掌握程度。有利于學生提高計算機網絡的實踐能力，加深對計算機網絡理論知識的理解。
1.2 課程設計的要求
（1）編寫程序，實現系統的基本功能，鼓勵自行增加新功能；
（2）要有用戶界面：要求至少采用文本菜單界面；鼓勵采用圖形菜單界面；（3）寫課程設計報告，內容包括： ? 封面（參見附錄I）
? 需求分析：以無歧義的陳述說明程序設計的任務，強調的是程序要做什么？給出功能模塊圖和流程圖。同時明確規定：輸入的形式和輸出值的范圍；輸出的形式；程序所能夠達到的功能；測試數據，包括正確的輸入及其輸出結果和含有錯誤的輸入及其輸出結果。
? 概要設計：包括程序設計組成框圖，程序中使用的存儲結構設計說明（如果指定存儲結構請寫出該存儲結構的定義）。
? 詳細設計：包括模塊功能說明（如函數功能、入口及出口參數說明，函數調用關系描述等），每個模塊的算法設計說明（可以是描述算法的流程圖）。其中源程序要按照寫程序的規則來編寫，結構清晰，重點函數的重點變量，重點功能部分要加上清晰的程序注釋。
? 運行結果：包括典型的界面、輸入和輸出數據等；
? 總結：包括課程設計中遇到的問題，解決問題的過程及體會、收獲、對課程設計的認識與思考等。
? 附錄：包括主要程序清單，要有適當的注釋，使程序容易閱讀。
（4）課程設計報告書寫規范參見附錄II，不按照規范書寫的，成績不能評為“優”或“良”。
（5）無論在校外、校內，都要嚴格遵守學校和所在單位的學習和勞動紀律、1 規章制度，學生有事離校必須請假。課程設計期間，無故缺席按曠課處理；缺席 時間達四分之一以上者，其成績按不及格處理。
第二章 課程設計的內容
2.1 課程設計的內容
本次實驗的要求在網絡環境,使用VC++編寫程序實現捕獲網絡中的IP數據包，解析數據包的內容，將結果顯示在標準輸出上，并同時寫入日志文件。
2.2 內容的要求
（1）以命令行形式運行（應如程序名+參數名）：ipparse logfile，其中ipparse是程序名，而logfile為該程序所帶參數，其代表記錄結果的日志文件。（2）在標準輸出和日志文件中寫入捕獲的IP包的版本、頭長度、服務類型、數據包總長度、數據包標識、分段標志、分段偏移值、生存時間、上層協議類型、頭校驗和、源IP地址和目的IP地址等內容。（3）當程序接收到鍵盤輸入Ctrl＋C時退出。
第三章 程序設計與分析
3.1 IP數據包
3.1.1 IP數據包的格式說明
IP數據包格式包含了標頭固定部分，標頭可變部分和數據區三部分。IP數據報標頭部分固定為20個字節，其中包含了12個參數域，各參數域隱含著網間協議的傳輸機制。IP具體的標頭格式如圖1所示。
各參數域的具體含義如下：
1)版本號：長度4位，表示所使用的IP協議的版本。IPv4版本號字段值為4；IPV6版本號字段號的值為6.2)標頭長：長度4位，定義了一個以4B為一個單位的IP包的報頭長度 3)服務類型：共8位，高3位組成優先級子域，隨后4位組成服務類型子域。4)數據報總長度：總長度為2B（即6位）。定義了以字節為單位的數據報的總長度。5)重裝標識：長度16位，用于識別IP數據報的編號，讓目的主機判斷新來的數據屬于哪個分組。
6)分片標識：共3位，最高位為0；DF禁止分片標識。DF=0，可以分片；DF=1，不能分片。MF:分片標識。MF=0，表示接的是最后一個分片；MF=1，不是最后一個分片。
7)片偏移值：共13位，說明分片在整個數據報中的相對位置。
8)生存周期：8位，用來設置數據數據報在整個網絡傳輸過程中的壽命。常以一個數據報可以經過的最多的路由器跳步數來控制。9)協議類型：共8位，表示該IP數據報的高層協議類型。10)標頭校驗和：共16位，用于存放檢查報頭錯誤的校驗碼。
11)源、宿主機地址：共32位，分別表示發送和接受數據報的源主機和宿主機的IP地址。
選項數據域：0-40B，用于控制和測試
3.1.2 IP數據包的格式
4位版本4位首部長度8位服務類型(TOS)3位標志8位協議32位源IP地址32位目的IP地址16位總長度(字節為單位)13位片偏移16位首部檢驗和16位標識8位生存時間(TTL)
3.1.3 IP數據包的C++定義 typedef struct _IP { union {
BYTE Version;// 版本
BYTE HdrLen;//IHT };BYTE ServiceType;// 服務類型 WORD TotalLen;// 總長
WORD ID;// 標識
union {
WORD Flags;// 標志
WORD FragOff;// 分段偏移
};BYTE TimeToLive;// 生命期
BYTE Protocol;// 協議
WORD HdrChksum;// 頭校驗和
DWORD SrcAddr;// 源地址
DWORD DstAddr;// 目的地址 BYTE Options;// 選項
} IP;
3.1.4 IP數據包的解析
通過IP_HEADER解析IP頭各個字段的代碼： /*獲取版本字段*/ ip.Version>>4;/*獲取頭部長度字段*/ ip.HdrLen & 0x0f;/*獲取服務類型字段中的優先級子域*/ ip.ServiceType>>5;/*獲取服務類型字段中的TOS子域*/(ip.ServiceType>>1)&0x0f;/*獲取總長度字段*/ ip.TotalLen;/*獲取標識字段*/ ip.ID;/*解析標志字段*/ DF =(ip.Flags>>14)& 0x01;MF =(ip.Flags>>13)& 0x01;/*獲取分段偏移字段*/ ip.FragOff & 0x1fff;/*獲取生存時間字段*/ ip.TimeToLive;/*獲取協議字段*/ ip.Protocol;/*獲取頭校驗和字段*/ ip.HdrChksum;/*解析源IP地址字段*/ inet_ntoa(*(in_addr*)&ip.SrcAddr);/*解析目的IP地址字段*/ inet_ntoa(*(in_addr*)&ip.DstAddr);3.2 套接字
3.2.1 套接字的使用
本程序使用套接字socket編程，將網卡設為能夠接受流經網卡的所有類型的數據包。首先，初始化套接字，然后監聽數據包，解析數據包。
SOCKET sock=socket(AF_INET,SOCK_RAW,IPPROTO_IP)用來創建套接字，其參數為通信發生的區字段和套接字的類型。
WSAIoctl(sock,IO_RCVALL ,&dwBufferInLen , sizeof(dwBufferInLen)函數用來把網卡設置為混雜模式。
recv(sock,buffer,65535,0)函數用來接收經過的IP包，其參數分別是套接字描述符，緩沖區的地址，緩沖區的大小。
3.2.1 使用原始套接字
要進行IP層數據包的接收和發送，應使用原始套接字。創建原始套接字的代碼如下：
SOCKET sock;sock=WSASoccket(AF_INET,SOCK_RAW,IPPROTO_IP,NULL,0, WSA_FLAG_OVERLAPPED);在WSASoccket函數中，第一個參數指定通信發生的區字段，AF_INET是針對Internet的，允許在遠程主機之間通信。第二個參數是套接字的類型，在AF_INET地址族下，有SOCK_STREAM、SOCK_DGRAM、SOCK_RAW三種套接字類型。在這里，設置為SOCK_RAW，表示聲明的是一個原始套接字類型。第三個參數依賴于第二個參數，用于指定套接字所有的特定協議，這里使用IP協議。第四個參數為WSAPROTOCOL_INFO位，該位可以置空。第五個參數保留，永遠置0。第六個參數是標志位，WSA_FLAG_OVERLAPPED表明可以使用發送接收超時設置。
創建原始套接字后，IP頭就會包含在接收的數據中。然后，可以設置IP頭操作選項，調用setsockopt函數。其中flag設置為true，并設定IP_HDRINCL選項，表明用戶可以親自對IP頭進行處理。
BOOL flag=true;setsockopt(sock,IPPROTO_IP,IP_HDRINCL,(CHAR*)&flag,sizeof(flag));之后，使用如下代碼完成對socket的初始化工作： /*獲取主機名*/ char hostName[128];gethostname(hostName,100);/*獲取本地IP地址*/ hostent * pHostIP;pHostIP = gethostbyname(hostName);/*填充SOCKADDR_IN結構的內容*/ sockaddr_in addr_in;addr_in.sin_addr = *(in_addr *)pHostIP->h_addr_list[0];addr_in.sin_family = AF_INET;addr_in.sin_port = htons(6000);/*綁定socket*/ bind(sock,(PSOCKADDR)&addr_in,sizeof(addr_in));填寫sockaddr_in的內容時，其地址值應填寫為本機IP地址，本機IP地址可以通過gethostbyname()函數獲取；端口號可以隨便填寫，但不能與系統沖突；協議族應填為AF_INET。使用htons()函數可以將無符號短整型的主機數據轉換為網絡字節順序的數據。最后使用bind(0函數將socket綁定到本機網卡上。綁定網卡后，需要用WSAIoctl()函數把網卡設置為混雜模式，使網卡能夠接收所有網絡數據，其關鍵代碼如下：
#define SIO_RCVALL_WSAIOW(IOC_VENDOR,1)DWORD dwBufferLen[10];DWORD dwBufferInLen = 1;DWORD dwBytesReturned = 0;WSAIoct1(SnifferSocket, IO_RCVALL,&dwBufferInLen,sizeof(dwBufferInLen),&dwBufferLen,sizeof(dwBufferLen),&dwBytesReturned,NULL,NULL);如果接收的數據包中的協議類型和定義的原始套接字匹配，那么接收到的數據就拷貝到套接字中。因此，網卡就可以接收所有經過的IP包。
3.3 接收數據包 在程序中可使用recv()函數接收經過的IP包。該函數有四個參數，第一個參數接收操作所用的套接字描述符；第二個參數接收緩沖區的地址；第三個參數接收緩沖區的大小，也就是所要接收的字節數；第四個參數是一個附加標志，如果對所發送的數據沒特殊要求，直接設為0。因為IP數據包的最大長度是65535B，因此，緩沖區的大小不能小于65535B。設置緩沖區后，可利用循環來反復監聽接收IP包，用RECV()函數實現接收功能的代碼如下：
#define BUFFER_SIZE 65535 char buffer[BUFFER_SIZE];//while(true){ recv(sock,buffer,BUFFER_SIZE,0);// /*然后是解析接收的IP包*/ }
設置緩沖區 接收數據包
第四章 實驗結果
4.1 程序截圖
第五章 總結
通過這次課程設計，我們了解到關于計算機網絡數據傳送及處理過程中，軟件起到了巨大的作用。熟悉了C++語言在計算機網絡方面的應用，是一次難得的機會。此外，我還了解了網絡通信協議的基本工作原理及套接字的使用，雖然剛開始的時候比較模糊,但是通過與同學共同探討和網上查閱資料，最終我成功完成了實驗。這次課程設計培養了我們基本掌握網絡編程的基本思路和方法，讓我們懂得如何去學習這類東西。同時提高我們對所學計算機網絡理論知識的理解能力，提高和挖掘我們對所學知識的實際應用能力和創新能力。同學們的合作是實驗成功的必要條件，而謹慎對待事物的態度是成功的關鍵。
第六章 附錄
6.1 源代碼
#include
//定義IP頭 { union {
BYTE Version;
//版本（前4位）
BYTE HdrLen;
//報頭標長（后4位），IP頭長度
};BYTE ServiceType;
//服務類型
WORD TotalLen;
//數據報總長
WORD ID;
//標識
union {
WORD Flags;
//標識（前3位）
WORD FragOff;
//分段偏移（后13位）
};BYTE TimeToLive;
//生存周期
BYTE Protocol;
//協議
WORD HdrChksum;
//頭校驗和
DWORD SrcAddr;
//源地址
DWORD DstAddr;
//目地地址
BYTE Options;
//選項 }IP_HEADER;
char * parseServiceType_getProcedence(BYTE b){ switch(b>>5)
//獲取服務類型字段中優先級子域
{ case 7:
return “Network Control”;
//網絡控制
break;case 6:
return “Internet work Control”;
//網絡控制
break;case 5:
return “CRITIC/ECP”;
break;case 4:
return “Flash Override”;
//最優先信號
break;case 3:
return “Flsah”;
break;case 2:
return “Immediate”;
break;case 1:
return “Priority”;
//協議
break;case 0:
return “Routine”;
//路由
break;default:
return “Unknow”;
break;} } char * parseServiceType_getTOS(BYTE b){ b=(b>>1)&0x0f;
//獲取服務類型字段中的TOS子域
switch(b)
{
case 0:
return “Normal service”;
//正常運行
break;case 1:
return “Minimize monetary cost”;
//成本
break;case 2:
return “Maximize reliability”;
//可靠性
break;case 4:
return “Maximize throughput”;
//吞吐量
break;case 8:
return “Minimize delay”;
//延遲
break;case 15:
return “Maximize security”;
//安全性
break;default:
return “Unknow”;
} } char * getProtocol(BYTE Protocol)
//獲取協議字段共8位 { switch(Protocol)
//以下為協議號說明：
{
case 1:
return “ICMP”;
//Internet控制報文協議
case 2:
return “IGMP”;
//Internet組管理協議
case 4:
return “IP in IP”;
//移動IP數據封裝和隧道
case 6:
return “TCP”;
//傳輸控制協議
case 8:
return “EGP”;
//外部網關協議
case 17:
return “UDP”;
//用戶數據報文協議
case 41:
return “IPv6”;case 46:
return “RSVP”;
//資源預留協議
case 89:
return “OSPF”;
//Open Shortest Path First 開發式最短路徑優先
default:
return “UNKNOW”;} } void ipparse(FILE* file,char* buffer){ IP_HEADER ip=*(IP_HEADER*)buffer;
//通過指針把緩沖區的內容強制轉化為IP_HEADER數據結構
fseek(file,0,SEEK_END);
fprintf(file,“_______________________________________________rn”);fprintf(file,“版本號：IPV%drn”,ip.Version>>4);fprintf(file,“報頭標長：%d(BYTE)rn”,((ip.HdrLen & 0x0f)*4));fprintf(file,“服務器類型 ： %s,%srn”,parseServiceType_getProcedence(ip.ServiceType)，parseServiceType_getTOS(ip.ServiceType));fprintf(file,“總長度 ： %d(BYTE)rn”,ip.TotalLen);fprintf(file,“標識 ： %drn”,ip.ID);fprintf(file,“標志位 DF：%d , MF=%drn”,((ip.Flags>>14)&0x01),((ip.Flags>>13)&0x01));fprintf(file,“分段偏移值 ： %drn”,(ip.FragOff&0x1fff));
fprintf(file,“生存期 ： %d(hops)rn”,ip.TimeToLive);fprintf(file,“協議 ： %srn”,getProtocol(ip.Protocol));fprintf(file,“頭校驗和 ： 0x%0xrn”,ip.HdrChksum);fprintf(file,“源IP地址 ： %srn”,inet_ntoa(*(in_addr*)&ip.SrcAddr));fprintf(file,“目的IP地址 ： %srn”,inet_ntoa(*(in_addr*)&ip.DstAddr));fprintf(file,“________________________________________________rn”);}
int main(){
FILE * file;if((file=fopen(“logfile.txt”,“wb+”))==NULL){
printf(“fail to open file %s”);
return-1;
}
WORD rv;WSADATA WSAData;
//定義了能夠儲存WSAStarup調用返回值的結構
rv=MAKEWORD(2,2);
//Winsock2版本
WSAStartup(rv,&WSAData);
SOCKET sock=socket(AF_INET,SOCK_RAW,IPPROTO_IP);//創建套接字，sock為套接字描述符
BOOL flag=true;setsockopt(sock,IPPROTO_IP,IP_HDRINCL,(CHAR*)&flag,sizeof(flag));//任意類型、任意狀態套接口的設置選項值
char hostName[128];gethostname(hostName,100);
//獲取主機名
hostent * pHostIP;
//獲取本地IP地址
pHostIP = gethostbyname(hostName);
sockaddr_in addr_in;addr_in.sin_addr=*(in_addr *)pHostIP->h_addr_list[0];addr_in.sin_family = AF_INET;addr_in.sin_port = htons(6000);//將無符號短整型主機數據轉換為網絡字節順序數據
bind(sock,(PSOCKADDR)&addr_in,sizeof(addr_in));
DWORD dwBufferLen[10];
//設置網卡為混雜模式
DWORD dwBufferInLen=1;DWORD dwBytesReturned=0;WSAIoctl(sock, IO_RCVALL,&dwBufferInLen,sizeof(dwBufferInLen), &dwBufferLen,sizeof(dwBufferLen),&dwBytesReturned,NULL,NULL);
char buffer[BUFFER_SIZE];
//設置緩沖區
char i,a;
printf(“
*************************************n”);
printf(“
*
IP數據包捕獲程序
*n”);
printf(“
*
捕獲并解析本機的數據包輸入Y
*n”);
printf(“
*
放棄執行輸入N
*n”);
printf(“
*
退出程序按 Ctrl+c
*n”);
printf(“
*************************************n”);cin>>i;system(“cls”);while(true&&i=='Y'||i=='y'){
int size=recv(sock,buffer,BUFFER_SIZE,0);
//接收數據包
if(size>0)
{
printf(“nnIP數據包捕獲解析程序n”);
ipparse(stdout,buffer);
ipparse(file,buffer);
printf(“是否要繼續捕獲并解析本機的IP數據包？ Y/N n”);
fflush(stdin);
cin>>i;
continue;
}
else
fclose(file);
return 0;}
closesocket(sock);}
計算機網絡課程的結束已經過去將近1年，當時的學習也僅限于上課和考試。這次計算機網絡課程設計給予了我一次難得的鍛煉機會。剛拿到題目的時候，感覺還無從下手。后來通過上網查詢各種資料和查閱書籍，我們慢慢摸索探討出了整個組網的設計過程。該組網只是一個簡單的酒店網絡模擬，它離實際還是有相當的距離，需要進行不斷地補充和完善。通過本次課程設計我們學到了不少新的東西，也發現了大量的問題，有些在設計過程中已經解決，有些還有待今后慢慢學習只要學習就會有更多的問題，有更多的難點，但也會有更多的收獲。本次課程設計用到的packet tracer軟件是我們第一次接觸，但通過自學和網絡的幫助，我們慢慢掌握了packet tracer軟件的使用方法。從一開始的無處著手到通過自己的努力，我基本上完成了這次的任務，但是由于知識的欠缺及時間的限制，我們的成果僅限于現在完成的部分，還有很大的改善空間。總的來說，本次課程設計讓我獲益匪淺，希望以后還有這樣鍛煉自己的機會。
第三篇：數據包捕獲與協議實驗報告
計算機網絡實驗（實習）報告
Ⅰ.實驗（實習）名稱 ：數據包捕獲與協議分析
實驗（實習）日期
專業姓名：學號：（或使用青島農業大學實驗報告紙）
1、實驗目的（1）掌握網絡協議分析工具Ethereal的使用方法；
（2）截獲數據包并對它們觀察和分析，了解協議的運行機制；
2、實驗內容:
（1）設計一個捕獲HTTP實現的完整過程，并對捕獲的結果進行分析和統計。
要求：
（2）設計一個捕獲TCP實現的完整過程，并對捕獲的結果進行分析和統計。
要求：給出捕獲某一數據包后的屏幕截圖。以16進制形式顯示其包的內容，并分析
TCP報文（源端口、目的端口、序號、確認號，ACK、SYN、窗口等）。
（3）設計一個捕獲ICMP實現的完整過程，并對捕獲的結果進行分析和統計
要求：給出捕獲某一數據包后的屏幕截圖。以16進制形式顯示其包的內容，并分析
該ICMP報文。
（4）設計一個捕獲IP數據包的過程，并對捕獲的結果進行分析和統計
要求：給出捕獲某一數據包后的屏幕截圖。以16進制形式顯示其包的內容，并分析
在該數據包中的內容：版本首部長度、服務類型、總長度、標識、片偏移、壽命、協議、源Ip地址、目的地址
3.實驗總結(掌握了哪些內容？遇到了什么問題？如何解決的？你的體會或收獲如何？)
第四篇：防火墻的安全性分析論文
軟件學院
專 科 生 畢 業
實 踐 報 告
題 目： 防火墻的安全性分析
專 業： 計算機網絡技術 年(班)級： 學 號： 姓 名： 指導教師： 完成日期： 2010 年 03 月 17 日
防火墻的安全性分析
摘要：本文從防火墻的定義、為什么使用防火墻、防火墻的概念、防火墻的功能等方面介紹了防火墻的基本信息；并從防火墻的安全技術分析、防火墻的基本類型、防火墻的工作原理、防火墻的配置、防火墻的安全措施這五個方面來對防火墻的安全性進行分析。
關鍵詞：黑客，防火墻，網絡安全
目 錄
引言............................................................................................4
一、防火墻簡介................................................................................4 1.1防火墻的概念..........................................................................4 1.2防火墻出現的背景和意義......................................................5 1.3 防火墻的發展史.....................................................................5 1.4 防火墻的功能.........................................................................6
二、防火墻的基本類型......................................................................7 2.1 包過濾型.................................................................................7 2.2 網絡地址轉化型—NAT..........................................................7 2.3 代理型......................................................................................8 2.4 監測型......................................................................................8
三、防火墻的工作原理.......................................................................8
3.1相關術語...................................................................................8
3.2 防火墻的防御機理..................................................................9
四、防火墻的配置.............................................................................10
五、防火墻的安全技術分析.............................................................11
六、防火墻的安全措施.......................................................................14
七、總結.............................................................................................14 致謝.....................................................................................................參考文獻.............................................................................................引 言
在計算機技術和網絡技術普遍應用的今天，人們已經不再用腦子去記很多的東西了，而主要記載在計算機上或與之相關機器上，很多時候我們只需記載一些密碼便可，也方便查詢。但是，網絡也是不安全的，很多時候我們的計算機中的信息都有被盜的可能，因此，需要確保我們信息系統安全。以前，我們只需設置一些復雜的密碼就可以，但是上網后，黑客們還是能從各種途徑盜取我們的重要信息，包括我們的密碼和各種敏感信息。因此，我們不只要經常給系統打補丁，還要有一個好的防火墻。有防火墻可以更好的防范黑客攻擊。它可以控制端口的連接，將一些危險的端口屏蔽，防止他人對我們計算機的配置信息進行掃描；可以防范一些有攻擊性的病毒。因此，給我們的計算機安裝強有力的防火墻是很有必要的。我們可以根據自己愛好或用途選擇防火墻，如天網防火墻，諾頓安全特警，瑞星防火墻等。這里，我將運用自己所學知識，先介紹防火墻出現的背景、意義，防火墻的發展史，防火墻的概念及其功能。然后從防火墻的類型、工作原理、配置、安全技術分析及其安全措施對防火墻的安全性進行分析。
一、防火墻簡介
1.1防火墻的概念
防火墻是汽車中一個部件的名稱。在汽車中，利用防火墻把乘客和引擎隔開，以便汽車引擎一旦著火，防火墻不但能保護乘客安全，而同時還能讓司機繼續控制引擎。
在電腦術語中，當然就不是這個意思了，我們可以類比來理解，在網絡中，所謂“防火墻”，是指一種將內部網和公眾訪問網分開的方法，它實際上是一種隔離技術。防火墻是在兩個網絡通訊時執行的一種訪問控制尺度，它能允許你“同意”的人和數據進入你的網絡，同時將你“不同意”的人和數據拒之門外，最大限度地阻止網絡中的黑客來訪問你的網絡。它可 4 通過監測、限制、更改跨越防火墻的數據流，盡可能地對外部屏蔽網絡內部的信息、結構和運行狀況，以此來實現網絡的安全保護。
在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和Internet之間的任何活動，保證了內部網絡的安全。
防火墻的優點：
（1）防火墻能強化安全策略。
（2）防火墻能有效地記錄Internet上的活動。
（3）防火墻限制暴露用戶點。防火墻能夠用來隔開網絡中一個網段與另一個網段。這樣，能夠防止影響一個網段的問題通過整個網絡傳播。
（4）防火墻是一個安全策略的檢查站。所有進出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點，使可疑的訪問被拒絕于門外。
1.2防火墻出現的背景和意義
隨著計算機的發展，人們越來越意識到網絡的重要性，通過網絡，分散在各處的計算機被網絡聯系在一起。作為網絡的組成部分，把眾多的計算機聯系在一起，組成一個局域網，在這個局域網中，可以在它們之間共享程序、文檔等各種資源；還可以通過網絡使多臺計算機共享同一硬件，如打印機、調制解調器等；同時我們也可以通過網絡使用計算機發送和接收傳真，方便快捷而且經濟。21世紀全世界的計算機都將通過Internet聯到一起，信息安全的內涵也就發生了根本的變化。它不僅從一般性的防衛變成了一種非常普通的防范，而且還 從一種專門的領域變成了無處不在。信息安全是國家發展所面臨的一個重要問題。發展安全產業是信息安全保障系統的一個重要組成部分，甚至應該看到它對我國未來電子化、信息化的發展將起到非常重要的作用。
1.3防火墻的發展史
第一代防火墻：
第一代防火墻技術幾乎與路由器同時出現，采用了包過濾（Packet filter）技術。
第二、三代防火墻：
1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結構。
第四代防火墻：
1992年，USC信息科學院的BobBraden開發出了基于動態包過濾（Dynamic packet filter）技術的第四代防火墻，后來演變為目前所說的狀態監視（Stateful inspection）技術。1994年，以色列的CheckPoint公司開發出了第一個采用這種技術的商業化的產品。第五代防火墻：
1998年，NAI公司推出了一種自適應代理（Adaptive proxy）技術，并在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火墻賦予了全新的意義，可以稱之為第五代防火墻。
1.4 防火墻的功能
防火墻最基本的功能就是控制在計算機網絡中，不同信任程度區域間傳送的數據流。典型信任的區域包括互聯網(一個沒有信任的區域)和一個內部網絡(一個高信任的區域)。最終目標是提供受控連通性在不同水平的信任區域通過安全政策的運行和連通性模型之間根據最少特權原則。
例如：TCP/IP Port 135~139是 Microsoft Windows 的【網上鄰居】所使用的。如果計算機有使用【網上鄰居】的【共享文件夾】，又沒使用任何防火墻相關的防護措施的話，就等于把自己的【共享文件夾】公開到Internet，供不特定的任何人有機會瀏覽目錄內的文件。防火墻的主要功能有以下幾點：
①防火墻對流經它的網絡通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。防火墻還可以關閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最后，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。通過過濾不安全的服務，防火墻可以極大地提高網絡安全和減少子網中主機的風險。
②防火墻能極大地提高一個內部網絡的安全性，并通過過濾不安全的服務而降低風險。由于只有經過精心選擇的應用協議才能通過防火墻，所以網絡環境變得更安全。防火墻同時可以保護網絡免受基于路由的攻擊。
③通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網絡安全問題分散到各個主機上相比，防火墻的集中安全管理更經濟。例如在網絡訪問時，一次密口令系統和其它的身份認證系統完全可以不必分散在各個主機上，而集中在防火墻一身上。
如果所有的訪問都經過防火墻，那么，防火墻就能記錄下這些訪問并作日志記錄，同時也能提供網絡使用情況的統計數據。當發生可疑動作時，防火墻能進行適當的報警，并提供網絡是否受到監測和攻擊的詳細信息。
⑤除了安全作用，防火墻還支持具有Internet服務特性的企業內部網絡技術體系VPN（虛擬專用網）。
二、防火墻的基本類型
根據防火墻所采用的技術不同,我們可以將它分為四種基本類型:包過濾型、網絡地址轉換—NAT型、代理型和監測型。
2.1包過濾型
網絡上的數據都是以“包”為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。防火墻通過讀取數據包中的地址信息來判斷這些“包”是否來自可信任的安全站點 ,一旦發現來自危險站點的數據包,防火墻便會將這些數據拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況 7 下,能夠以較小的代價在一定程度上保證系統的安全。
2.2網絡地址轉化—NAT型
網絡地址轉換是一種用于把IP地址轉換成臨時的、外部的、注冊的IP地址標準。它允許具有私有IP地址的內部網絡訪問因特網。它還意味著用戶不許要為其網絡中每一臺機器取得注冊的IP地址。
在內部網絡通過安全網卡訪問外部網絡時，將產生一個映射記錄。系統將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接，這樣對外就隱藏了真實的內部網絡地址。在外部網絡通過非安全網卡訪問內部網絡時，它并不知道內部網絡的連接情況，而只是通過一個開放的IP地址和端口來請求訪問。OLM防火墻根據預先定義好的映射規則來判斷這個訪問是否安全。當符合規則時，防火墻認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內部計算機中。當不符合規則時，防火墻認為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。網絡地址轉換的過程對于用戶來說是透明的，不需要用戶進行設置，用戶只要進行常規操作即可。
2.3代理型
代理型防火墻也稱為代理服務器,它的安全性要高于包過濾型產品,并已經開始向應用層發展。代理服務器位于客戶機與服務器之間,完全阻擋了二者間的數據交流。從客戶機來看,代理服務器相當于一臺真正的服務器;而從服務器來看,代理服務器又是一臺真正的客戶機。由于外部系統與內部服務器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網絡系統。
代理型防火墻的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基于應用層的侵入和病毒都十分有效。其缺點是對系統的整體性能有較大的影響,而且代理服務器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。
2.4監測型
監測型防火墻是新一代的產品,這一技術實際已經超越了最初的防火墻義。監測型防火墻能夠對各層的數據進行主動的、實時的監測,在對這些數據加以分 8 析的基礎上,監測型防火墻能夠有效地判斷出各層中的非法侵入。同時,這種檢測型防火墻產品一般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防范作用。
雖然監測型防火墻安全性上已超越了包過濾型和代理服務器型防火墻,但由于監測型防火墻技術的實現成本較高,也不易管理。
三、防火墻的工作原理
3.1 相關術語
①網關
網關是在兩上設備之間提供轉發服務的系統。網關的范圍可以從互聯網應用程序如公共網關接口(CGI)到在兩臺主機間處理流量的防火墻網關，這個術語是非常常見的。②電路級網關
電路級網關用來監控受信任的客戶或服務器與不受信任的主機間的TCP握手信息，這樣來決定該會話是否合法，電路級網關是在OSI模型中會話層上來過濾數據包，這樣比包過濾防火墻要高兩層。另外，電路級網關還提供一個重要的安全功能:網絡地址轉移(NAT)將所有公司內部的IP地址映射到一個“安全”的IP地址，這個地址是由防火墻使用的。③應用級網關
應用級網關可以工作在OSI七層模型的任一層上，能夠檢查進出的數據包，通過網關復制傳遞數據，防止在受信任服務器和客戶機與不受信任的主機間直接建立聯系。應用級網關能夠理解應用層上的協議，能夠做復雜一些的訪問控制，并做精細的注冊。通常是在特殊的服務器上安裝軟件來實現的。④包過濾
包過濾是處理網絡上基于packet-by-packet流量的設備。包過濾設備允許或阻止包，典型的實施方法是通過標準的路由器。在上文的防火墻類型中做過介紹。
⑤代理服務器
代理服務器代表內部客戶端與外部的服務器通信。代理服務器這個術語通常是指一個應用級的網關，雖然電路級網關也可作為代理服務器的一種。⑥網絡地址翻譯(NAT)網絡地址解釋是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP尋址方式的諸多限制，完善內部尋址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。
3.2防火墻的防御機理
①包過濾型防火墻：數據包過濾技術是在網絡層對數據包進行選擇、過濾，選擇、過濾的標準是以網絡管理員事先設置的過濾邏輯(即訪問控制表)為依據的。防火墻通過檢查數據流中每個數據包的源地址、目的地址、所用端口號、協議狀態等信息，來確定是否允許該數據包通過。包過濾型防火墻的優點是效率比較高。包過濾（PacketFliter）通常安裝在路由器上，而且大多數商用路由器都提供了包過濾的功能。包過濾規則以IP包信息為基礎，對IP源地址、目標地址、封裝協議、端口號等進行篩選。包過濾在網絡層進行。
②應用級網關型防火墻：應用級網關是在網絡應用層上建立協議、實現過濾和轉發功能的。它針對特定的網絡應用服務協議，采用不同的數據過濾邏輯，并在過濾的同時對數據包進行必要的分析、登記和統計，形成報告，大大提高了網絡的安全性。
特別需要指出的是：應用級網關型防火墻和包過濾型防火墻有一個共同的特點，它們僅僅依靠特定的邏輯判定是否允許數據包通過。一旦滿足邏輯，則防火墻內外的計算機系統就建立起直接的聯系，防火墻外部的用戶便有可能直接了解防火墻內部的網絡結構和運行狀態，從而使非法訪問和攻擊容易得逞。
③代理服務型防火墻：代理服務也稱鏈路級網關(Circuit Level Gateways)或TCP通道(TCP Tunnels)，也有人將它歸于應用級網關一類。它是針對包過濾和應用級網關技術存在的缺陷而引入的防火墻技術，其特點是將所有跨越防火墻的網絡通信鏈路分為兩段。防火墻內外計算機系統間應用層的“鏈接”由代理服務器實現，外部計算機的網絡鏈路只能到達代理服務器，從而起到了隔離防火墻內外計算機系統的作用。此外，代理服務器也對過往的數據包進行分析、注冊登記，形成報告。當發現被攻擊跡象時，代理服務器會向網絡管理員發出警報。應 用級網關型和代理服務型防火墻大多是基于主機的，價格比較貴，但性能很好，其安裝和使用也比采用數據包過濾技術的防火墻復雜一些。
四、防火墻的配置
防火墻配置有三種：Dual-homed方式、Screened-host方式和Screened-subnet方式。
Dual-homed方式最簡單。Dual-homedGateway放置在兩個網絡之間，這個Dual-omedGateway又稱為bastionhost。這種結構成本低，但是它有單點失敗的問題。這種結構沒有增加網絡安全的自我防衛能力，而它往往是受“黑客”攻擊的首選目標，它自己一旦被攻破，整個網絡也就暴露了。
Screened-host方式中的Screeningrouter為保護Bastionhost的安全建立了一道屏障。它將所有進入的信息先送往Bastionhost，并且只接受來自Bastionhost的數據作為出去的數據。這種結構依賴Screeningrouter和Bastionhost，只要有一個失敗，整個網絡就暴露了。
Screened-subnet包含兩個Screeningrouter和兩個Bastionhost。在公共網絡和私有網絡之間構成了一個隔離網，稱之為“停火區”（DMZ，即DemilitarizedZone）,Bastionhost放置在“停火區”內。這種結構安全性好，只有當兩個安全單元被破壞后，網絡才被暴露，但是成本也很昂貴。
五、防火墻的安全技術分析
防火墻產品最難評估的方面是防火墻的安全性能,即防火墻是否能夠有效地阻擋外部入侵。
防火墻技術是指網絡之間通過預定義的安全策略，對內外網通信強制實施訪問控制的安全應用措施。它對兩個或多個網絡之間傳輸的數據包按照一定的安全策略來實施檢查，以決定網絡之間的通信是否被允許，并并監視網絡運行狀態。（1）只有正確選用、合理配置防火墻，才能有效發揮其安全防護作用
防火墻作為網絡安全的一種防護手段，自多種實現方式。建立合理的防護系統，配置有效的防火墻應遵循這樣四個基本步驟：
1、風險分析．
2、需求分析：
3、確定安全政策：
4、選擇準確的防護手段，并使之與安全政策保持一致。（2）應正確評估防火墻的失效狀態
評價防火墻性能如何及能否起到安全防護作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬跡，而且要看到一旦防火墻被攻破，它的狀態如何？
按級別來分，它應有這樣４種狀態：
1、未受傷害能夠繼續正常工作；
2、關閉并重新啟動，同時恢復到正常工作狀態；
3、關閉并禁止所有的數據通行；
4、關閉并允許所有的數據通行。
前兩種狀態比較理想，而第4種最不安全。但是許多防火墻由于沒有條件進行失效狀態測試和驗證，無法確定其失效狀態等級，因此網絡必然存在安全隱患。防火墻能否起到防護作用，最根本、最有效的證明方法是對其進行測試，甚至站在“黑客”的角度采用各種手段對防火墻進行攻擊。然而具體執行時難度較大，原因是：
1、防火墻性能測試目前還是一種很新的技術，可用的工具和軟件較少。
2、防火墻測試技術尚不先迸，與防火墻設計并非完全吻合，使得測試工作難以達到既定的效果。
3、選擇“誰”進行公正的測試也是一個問題。可見，防火墻的性能測試決不是一件簡單的事情，但這種測試又相當重要。（3）防火墻必須進行動態維護
防火墻安裝和投入使用后，并非萬事大吉。要想充分發揮它的安全防護作用，必須對它進行跟蹤和維護，商家一旦發現其產品存在安全漏洞，就會盡快發布補救產品，此時應盡快確認真偽(防止特洛伊木馬等病毒)，并對防火墻軟件進行更新。
（4）非法攻擊防火墻的基本“招數”
1、通常情況下，有效的攻擊都是從相關的子網進行的。因為這些網址得到了防火墻的信賴，雖說成功與否尚取決于機遇等其他因素，但對攻擊者而言很值得一試。許多防火墻軟件無法識別數據包到底來自哪個網絡接口，因此攻擊者無 12 需表明進攻數據包的真正來源，只需偽裝IP地址，取得目標的信任，使其認為來自網絡內部即可。IP地址欺騙攻擊正是基于這類防火墻對IP地址缺乏識別和驗證的機制。
通常主機A與主機B的TCP連接(中間有或無防火墻)是通過主機A向主機B提出請求建立起來的，而其間A和B的確認僅僅根據由主機A產生并經主機B驗證的初始序列號ISN。
具體分三個步驟：
1．主機A產生它的ISN，傳送給主機B，請求建立連接；
2．B接收到來自A的帶有SYN標志的ISN后，將自己本身的ISN連同應答信息ACK一同返回給A；
3.A再將B傳送來的ISN及應答信息ACK返回給B。至此，正常情況，主機A與B的TCP連接就建立起來了。
IP地址欺騙攻擊的第一步是切斷可信賴主機.這樣可以使用TCP淹沒攻擊，使得信賴主機處于“自顧不暇”的忙碌狀態，相當于被切斷，這時目標主機會認為信賴主機出現了故障，只能發出無法建立連接的RST包而無暇顧及其他。
攻擊者最關心的是猜測目標主機的ISN。為此，可以利用SMTP的端口(25)，通常它是開放的，郵件能夠通過這個端口，與目標主機打開一個TCP連接，因而得到它的ISN。在此有效期間，重復這一過程若干次，以便能夠猜測和確定ISN的產生和變化規律，這樣就可以使用被切斷的可信賴主機的IP地址向目標主機發出連接請求。
請求發出后，目標主機會認為它是TCP連接的請求者，從而給信賴主機發送響應(包括SYN)，而信賴主機目前仍忙于處理Flood淹沒攻擊產生的“合法”請求，因此目標主機不能得到來自于信賴主機的響應。
現在攻擊者發出回答響應，并連同預測的目標主機的ISN一同發給目標主機。
隨著不斷地糾正預測的ISN，攻擊者最終會與目標主機建立一個會晤。通過這種方式，攻擊者以合法用戶的身份登錄到目標主機而不需進一步的確認。如果反復試驗使得目標主機能夠接收對網絡的ROOT登錄，那么就可以完全控制整個網絡。
歸納起來，防火墻安全防護面臨威脅的幾個主要原因有：①SOCK的錯誤配置；②不適當的安全政策；③強力攻擊；④允許匿名的FTP協議；⑤允許TFTP協議；⑥允許Rlogin命令；⑦允許X－Windows或OpenWindows；⑧端口映射；⑨可加載的NFS協議；⑩允許Win95/NT文件共享。
破壞防火墻的另一種方式是攻擊與干擾相結合。也就是在攻擊期間使防火墻始終處于繁忙的狀態。防火墻過分的繁忙有時會導致它忘記履行安全防護的職能，處于失效狀態。
需要特別注意的是，防火墻也可能被內部攻擊。因為安裝了防火墻后，隨意訪問被嚴格禁止了，這樣內部人員無法在閑暇的時間通過Telnet瀏覽郵件或使用FTP向外發送信息，個別人會對防火墻不滿進而可能攻擊它、破壞它，期望回到從前的狀態。這里，攻擊的目標常常是防火墻或防火墻運行的操作系統，因此不僅涉及網絡安全，還涉及主機安全問題。
以上分析表明，防火墻的安全防護性能依賴的因素很多。防火墻并非萬能，它最多只能防護經過其本身的非法訪問和攻擊，而對不經防火墻的訪問和攻擊則無能為力。
六、防火墻的安全措施
各種防火墻的安全性能不盡相同，以下是一些一般防火墻的常用安全措施：
1.防電子欺騙術
防電子欺騙術功能是保證數據包的IP地址與網關接口相符，防止通過修改IP地址的方法進行非授權訪問。還應對可疑信息進行鑒別，并向網絡管理員報警。
2.網絡地址轉移
地址轉移是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP尋址方式的諸多限制，完善內部尋址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。3.開放式結構設計
開放式結構設計使得防火墻與相關應用程序和外部用戶數據庫的連接相當容易，典型的應用程序連接如財務軟件包、病毒掃描、登錄分析等。
七、總結
第五篇：防火墻論文
防火墻技術論文
姓 名：王田輝 學 號：2012110438 專 業：網絡工程
摘要
本文介紹了防火墻的概念、分類、發展歷程、工作原理、主要技術及相關的特性。防火墻是一種訪問控制技術，它通過在某個機構的網絡和不安全的網絡之間設置障礙，阻止信息資源的非法訪問。說明了網絡常見攻擊方式以及防火墻應對策略。分析了防火墻技術在Internet安全上的重要作用，并提出其不足之處 和解決方案。最后展望了防火墻的反戰前景以及技術方向。
關鍵字：防火墻；網絡；網絡安全；功能；Internet；
Abstract The paper introduces the concept, classification and firewall development course, working principle and main technology and related properties.A firewall is a kind of access control technology, it is through the network and in some institutions unsafe network between obstacles, stop the illegal access to information resources.Explain the network attack mode and common firewall strategies.Analysis on the Internet security firewall technology was proposed, and the important role of the deficiencies and solutions.Finally discussed the prospect and the anti-war firewall technology trends.Key words: firewall, Network, Network security, Function, Internet，目錄
一、防火墻是什么.........................................1
二、防火墻的分類.........................................1
三、防火墻的發展歷程.....................................1
四、防火墻的工作原理.....................................2
五、防火墻應該具備的特性.................................2
六、防火墻主要技術.......................................2
七、常見攻擊方式以及應對策略.............................3
八、防火墻的反戰前景以及技術方向.........................3
九、結束語...............................................4
十、參考文獻.............................................4 現在無論是企業，還是個人，隨著計算機的應用由單機發展到網絡，網絡面臨著大量的安全威脅，其安全問題日益嚴重，日益成為廣泛關注的焦點。在這樣一個大環境下，網絡安全問題凝了人們的注意力，大大小小的企業紛紛為自己的內部網絡“筑墻”，防病毒與防黑客成為確保企業信息系統安全的基本手段。因此信息安全，網絡安全的問題已經引起各國，各部門，各行各業以及每個計算機用戶的充分重視。
一、防火墻是什么
防火墻就是一個位于計算機和它所連接的網絡之間的軟件。該計算機流入流出的所有網絡通信均要經過此防火墻。
二、防火墻的分類
防火墻又大致分為硬件防火墻和軟件防火墻:硬件防火墻是指把防火墻程序做到芯片里面，由硬件執行這些功能，能減少CPU的負擔，使路由更穩定。硬件防火墻一般都有WAN、LAN和DMZ三個端口，還具有各種安全功能，價格比較高，企業以及大型網絡使用得比較多。軟件防火墻其實就是安全防護軟件，比如天網防火墻、金山網鏢、藍盾防火墻等等。
三、防火墻的發展歷程
目前的防火墻無論從技術上還是產品發展歷程上，都經歷了五個發展階段。第一代防火墻技術幾乎與路由器同時出現，采用了包過濾技術。1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結構。第四代防火墻是1992年，USC信息科學院的BobBraden開發出了基于動態包過濾技術的第四代防火墻，后來演變為目前所說的狀態監視技術。1994年，以色列的CheckPoint公司開發出了第一個采用這種技術的商業化的產品。第五代防火墻是1998年，NAI公司推出了一種自適應代理技術，并在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火墻賦予了全新的意義。高級應用代理的研究，克服速度和安全性之間的矛盾，可以稱之為第五代防火墻。前五代防火墻技術有一個共同的特點，就是采用逐一匹配方法，計算量太大。包過濾是對IP包進行匹配檢查，狀態檢測包過濾除了對包進行匹配檢查外還要對狀態信息進行匹配檢查，應用代理對應用協議和應用數據進行匹配檢查。因此，它們都有一個共同的缺陷，安全性越高，檢查的越多，效率越低。用一個定律來描述，就是防火墻的安全性與效率成反比。
四、防火墻的工作原理
天下的防火墻至少都會說兩個詞：Yes或者No。直接說就是接受或者拒絕。最簡單的防火墻是以太網橋。但幾乎沒有人會認為這種原始防火墻能管多大用。大多數防火墻采用的技術和標準可謂五花八門。這些防火墻的形式多種多樣：有的取代系統上已經裝備的TCP/IP協議棧；有的在已有的協議棧上建立自己的軟件模塊；有的干脆就是獨立的一套操作系統。還有一些應用型的防火墻只對特定類型的網絡連接提供保護（比如SMTP或者HTTP協議等）。還有一些基于硬件的防火墻產品其實應該歸入安全路由器一類。以上的產品都可以叫做防火墻，因為他們的工作方式都是一樣的：分析出入防火墻的數據包，決定放行還是把他們扔到一邊。所有的防火墻都具有IP地址過濾功能。這項任務要檢查IP包頭，根據其IP源地址和目標地址作出放行/丟棄決定。
五、防火墻應該具備的特性
當前的防火墻需要具備如下的技術、功能、特性，才可以成為企業用戶歡迎的防火墻產品：
1、安全、成熟、國際領先的特性；
2、具有專有的硬件平臺和操作系統平臺；
3、采用高性能的全狀態檢測（Stateful Inspection）技術；
4、具有優異的管理功能，提供優異的GUI管理界面；
5、支持多種用戶認證類型和多種認證機制；
6、需要支持用戶分組，并支持分組認證和授權；
7、支持內容過濾；
8、支持動態和靜態地址翻譯(NAT；
9、支持高可用性，單臺防火墻的故障不能影響系統的正常運行；
10、支持本地管理和遠程管理；
11、支持日志管理和對日志的統計分析；
12、實時告警功能，在不影響性能的情況下，支持較大數量的連接數；
13、在保持足夠的性能指標的前提下，能夠提供盡量豐富的功能；
14、可以劃分很多不同安全級別的區域，相同安全級別可控制是否相互通訊；
15、支持在線升級；
16、支持虛擬防火墻及對虛擬防火墻的資源限制等功能；
17、防火墻能夠與入侵檢測系統互動。
六、防火墻主要技術
先進的防火墻產品將網關與安全系統合二為一，具有以下技術：雙端口或三端口的結構；透明的訪問方式；靈活的代理系統；多級的過濾技術；網絡地址轉換技術（NAT）；Internet網關技術；安全服務器網絡（SSN）；用戶鑒別與加密；用戶定制服務；審計和告警。
七、常見攻擊方式以及應對策略
（一）病毒
策略：設定安全等級，嚴格阻止系統在未經安全檢測的情況下執行下載程序；或者通過常用的基于主機的安全方法來保護網絡。
（二）口令字
對口令字的攻擊方式有兩種：窮舉和嗅探。窮舉針對來自外部網絡的攻擊，來猜測防火墻管理的口令字。嗅探針對內部網絡的攻擊，通過監測網絡獲取主機給防火墻的口令字。
策略：設計主機與防火墻通過單獨接口通信（即專用服務器端口）、采用一次性口令或禁止直接登錄防火墻。
（三）郵件
來自于郵件的攻擊方式越來越突出，在這種攻擊中，垃圾郵件制造者將一條消息復制成成千上萬份，并按一個巨大的電子郵件地址清單發送這條信息，當不經意打開郵件時，惡意代碼即可進入。
策略：打開防火墻上的過濾功能，在內網主機上采取相應阻止措施。
（四）IP地址
黑客利用一個類似于內部網絡的IP地址，以“逃過”服務器檢測，從而進入內部網達到攻擊的目的。策略：通過打開內核rp_filter功能，丟棄所有來自網絡外部但卻有內部地址的數據包；同時將特定IP地址與MAC綁定，只有擁有相應MAC地址的用戶才能使用被綁定的IP地址進行網絡訪問。
八、防火墻的反戰前景以及技術方向
伴隨著Internet的飛速發展，防火墻技術與產品的更新步伐必然會加強，而要全面展望防火墻技術的發展幾乎是不可能的。但是，從產品及功能上，卻又可以看出一些動向和趨勢。下面諸點可能是下一步的走向和選擇：
（1)防火墻將從目前對子網或內部網管理的方式向遠程上網集中管理的方式發展。
（2)過濾深度會不斷加強，從目前的地址、服務過濾，發展到URL(頁面)過濾、關鍵字過濾和對ActiveX、Java等的過濾，并逐漸有病毒掃描功能。
（3)利用防火墻建立專用網是較長一段時間用戶使用的主流，IP的加密需求越來越強，安全協議的開發是一大熱點。
（4)單向防火墻(又叫做網絡二極管)將作為一種產品門類而出現。（5)對網絡攻擊的檢測和各種告警將成為防火墻的重要功能。（6)安全管理工具不斷完善，特別是可以活動的日志分析工具等將成為防火墻產品中的一部分。 另外值得一提的是，伴隨著防火墻技術的不斷發展，人們選擇防火墻的標準將主要集中在易于管理、應用透明性、鑒別與加密功能、操作環境和硬件要求、VPN 的功能與CA的功能、接口的數量、成本等幾個方面。幾乎所有接觸網絡的人都知道網絡中有一些費盡心機闖入他人計算機系統的人，他們利用各種網絡和系統的漏洞，非法獲得未授權的訪問信息。不幸的是如今攻擊網絡系統和竊取信息已經不需要什么高深的技巧。網絡中有大量的攻擊工具和攻擊文章等資源，可以任意使用和共享。不需要去了解那些攻擊程序是如何運行的，只需要簡單的執行就可以給網絡造成巨大的威脅。甚至部分程序不需要人為的參與，非常智能化的掃描和破壞整個網絡。這種情況使得近幾年的攻擊頻率和密度顯著增長，給網絡安全帶來越來越多的安全隱患
九、結束語
隨著Internet/Intranet技術的飛速發展，網絡安全問題必將愈來愈引起人們的重視。防火墻技術作為目前用來實現網絡安全措施的一種主要手段，它主要是用來拒絕未經授權用戶的訪問，阻止未經授權用戶存取敏感數據，同時允許合法用戶不受妨礙的訪問網絡資源。如果使用得當，可以在很大程度上提高網絡安全。但是沒有一種技術可以百分之百地解決網絡上的所有問題，比如防火墻雖然能對來自外部網絡的攻擊進行有效的保護，但對于來自網絡內部的攻擊卻無能為力。事實上60%以上的網絡安全問題來自網絡內部。因此網絡安全單靠防火墻是不夠的，還需要有其它技術和非技術因素的考慮，如信息加密技術、身份驗證技術、制定網絡法規、提高網絡管理人員的安全意識等等。
十、參考文獻
[1] 作者：彭濤.《計算機網絡教程 》 機械工業出版社 [2] 作者：IBON.Marshield 《網絡安全技術白皮書》 艾邦公司資料
[3] 作者：楚狂 等 《網絡安全與Firewall技術》 人民郵電出版社 [4] 作者：聶元銘 丘平《網絡信息安全技術》 科學出版社
點擊咨詢 