第一篇：防火墻的架設、配置和安全分析論文

云南工商學院 防火墻架設配置和安全分析

防火墻架設配置和安全分析

摘 要

近年來, 隨著計算機網絡技術的飛速發展，尤其是互聯網的應用變得越來越廣泛，在帶來了前所未有的海量信息的同時，網絡的開放性和自由性也產生了私有信息和數據被破壞或侵犯的可能性，網絡信息的安全性變得日益重要起來，已被信息社會的各個領域所重視。

網絡犯罪的遞增、大量黑客網站的誕生，促使人們思考網絡的安全性問題。各種網絡安全工具也跟著在市場上被炒得火熱。其中最受人注目的當屬網絡安全工具中最早成熟，也是最早產品化的網絡防火墻產品了。目前在全球至少有千種以上的防火墻，那么防火墻到底是一種什么東西？它有那些技術指標？我們應該怎樣選擇一個合適的防火墻呢？

本文討論了防火墻的安全功能、體系結構、實現防火墻的主要技術手段及配置等。

關鍵詞：網絡安全，黑客，病毒，防火墻

Abstract

In recent years, with the rapid development of computer network technology, especially the application of the Internet becomes more and more extensive, in brought an unprecedented huge amounts of information, at the same time, the openness and freedom of the network also produced the possibility of a private information and data breaches or aggression.So the security of network information becomes more and more important, and various fields in information society attach importance to this security.With a progressive increase in network crime and a large amount of hacker website come into being, it makes people to think about the security of network problems.On the market, all kind of network security tools also in the wake of red-hot growth.One of the most popular product may be the network firewall products, they are the earliest mature and commercialization product in network security tools.Now, there are at least 1000 kinds of firewalls in the world, then what kind of things is a firewall actually become? How many technical indicators does it has? How should we choose a suitable firewall? This thesis discussed the firewall’s security function, system structure and the main technical means to realize the firewall and its configuration, etc.Key words:

Network security, Hacker, Virus, Firewall

I 云南工商學院 防火墻架設配置和安全分析

目 錄

第一章 緒論.........................................................................................................................................1 1.1 引言...............................................................................................................................................1 1.2 研究意義.......................................................................................................................................1 第二章 防火墻的基本原理.................................................................................................................2 2.1 什么是防火墻...............................................................................................................................2 2.2 防火墻的發展歷程.......................................................................................................................3 2.3 防火墻的基本類型.......................................................................................................................3

2.3.1 網絡級防火墻----------------------3 2.3.2 應用級網關-------------------------4 2.3.3 電路級網關-------------------------4 2.3.4 規則檢查防火墻-------------------4 2.4 防火墻工作原理............................................................................................................................5

2.4.1 包過濾防火墻--------------------5 2.4.2 應用網關防火墻-----------------5 2.4.3 狀態檢測防火墻-----------------6 2.4.4 復合型防火墻--------------------6 2.4.5 新型復合型防火墻的設計-----7 2.4.5.1 合并內外路由器----------------7 2.4.5.2 合并堡壘主機和外部路由器 8 2.4.5.3 多內部路由器-------------------9 第三章 防火墻的配置.......................................................................................................................9 3.1 防火墻的初始配置......................................................................................................................10 3.2 過濾型防火墻的訪問控制表（ACL）配置...............................................................................11 3.3 雙宿主機網關(Dual Homed Gateway)........................................................................................14 3.4 屏蔽主機網關(Screened Host Gateway).....................................................................................15 3.5 屏蔽子網(Screened Subnet).......................................................................................................16 第四章 防火墻安全性.....................................................................................................................17

II 云南工商學院 防火墻架設配置和安全分析

4.1 防火墻具備的安全功能............................................................................................................17 4.2 對常見攻擊方式的策略..............................................................................................................18 4.2.1 病毒18 4.2.4 IP 地址---------------------------18 4.3 火墻的安全技術分析..................................................................................................................18 4.4 防火墻采用的技術比較..............................................................................................................20 4.5 各類防火墻的對比......................................................................................................................21 4.6 防墻的優缺性..............................................................................................................................21 4.6.1 防火墻的優點---------------------21 4.6.2 防火墻的安全脆弱性分析-----22 第五章 防火墻的未來發展趨勢.................................................................................................22 5.1 高速..............................................................................................................................................22 5.2 多功能化......................................................................................................................................23 5.3 安全..............................................................................................................................................23 第六章 總結.................................................................................................................................23

III 云南工商學院 防火墻架設配置和安全分析

第一章 緒論

1.1 引言

據統計，美國每年因網絡安全造成的損失高達75億美元。據美國金融時報報道，世界上平均每20分鐘就發生一次人侵國際互聯網絡的計算機安全事件，1/3的防火墻被突破。美國聯邦調查局計算機犯罪組負責人吉姆·塞特爾稱：給我精選10名“黑客”，組成小組，90天內，我將使美國趴下。一位計算機專家毫不夸張地說：如果給我一臺普通計算機、一條電話線和一個調制解調器，就可以令某個地區的網絡運行失常。

據了解，從2006年底至2010年底，我國的政府部門、證券公司、銀行等機構的計算機網絡相繼遭到多次攻擊。公安機關受理各類信息網絡違法犯罪案件逐年劇增，尤其以電子郵件、特洛伊木馬、文件共享等為傳播途徑的混合型病毒愈演愈烈。由于我國大量的網絡基礎設施和網絡應用依賴于外國的產品和技術，在電子政務、電子商務和各行業的計算機網絡應用尚處于發展階段，以上這些領域的大型計算機網絡工程都由國內一些較大的系統集成商負責。有些集成商仍缺乏足夠專業的安全支撐技術力量，同時一些負責網絡安全的工程技術人員對許多潛在風險認識不足。缺乏必要的技術設施和相關處理經驗，面對形勢日益嚴峻的現狀，很多時候都顯得有些力不從心。也正是由于受技術條件的限制，很多人對網絡安全的意識僅停留在如何防范病毒階段，對網絡安全缺乏整體意識。

隨著網絡的逐步普及，網絡安全的問題已經日益突。如同其它任何社會一樣，互連網也受到某些無聊之人的困擾，某些人喜愛在網上做這類的事,像在現實中向其他人的墻上噴染涂鴉、將他人的郵箱推倒或者坐在大街上按汽車喇叭一樣。網絡安全已成為互連網上事實上的焦點問題。它關系到互連網的進一步發展和普及，甚至關系著互連網的生存。近年來，無論在發達國家，還是在發展中國家，黑客活動越來越猖狂，他們無孔不入，對社會造成了嚴重的危害。目前在互連網上大約有將近80%以上的用戶曾經遭受過黑客的困擾。而與此同時，更讓人不安的是，互連網上病毒和黑客的聯姻、不斷增多的黑客網站，使學習黑客技術、獲得黑客攻擊工具變的輕而易舉。這樣，使原本就十分脆弱的互連網越發顯得不安全。

1.2 研究意義

現在網絡的觀念已經深入人心，越來越多的人們通過網絡來了解世界，同時他們也可以通過網絡發布消息，與朋友進行交流和溝通，展示自己，以及開展電子商務等等。人們的日常生活也越來越依靠網絡進行。同時網絡攻擊也愈演愈烈，時刻威脅著用戶上網安全，網絡與信息安全已經成為當今社會關注的重要問題之一。黨的十六屆四中全會，把信息安全和政治安全、云南工商學院 防火墻架設配置和安全分析

經濟安全、文化安全并列為國家安全的四大范疇之一，信息安全的重要性被提升到一個空前的戰略高度。正是因為安全威脅的無處不在，為了解決這個問題防火墻出現了。防火墻的本義原是指古代人們房屋之間修建的那道為防止火災蔓延而建立的墻，而現在意義上的防火墻是指隔離在本地網絡與外界網絡之間的一道防御系統，是這一類防范措施的總稱。應該說，在互連網上防火墻是一種非常有效的網絡安全模型，通過它可以隔離風險區域(即Internet或有一定風險的網絡)與安全區域(局域網)的連接，同時不會妨礙人們對風險區域的訪問。成而有效的控制用戶的上網安全。防火墻是實施小孩子或員工查看不合適的網頁內容，允許按特定關鍵字以及特定網地進行過濾等、同時還能對DNS 緩存進行保護、對Web 頁面的交互元素進行控制如過濾不需要的GIF，Flash動畫等界面元素。隨著時代的發展和科技的進步防火墻網絡安全控制得一種必要技術，它是一個或一組系統組成，它在網絡之間執行訪問控制策略。實現它的實際方式各不相同，但是在原則上，防火墻可以被認為是這樣同一種機制：攔阻不安全的傳輸流，允許安全的傳輸流通過。特定應用程序行為控制等獨特的自我保護機制使它可以監控進出網絡的通信信息，僅讓安全的、核準了的信息進入；它可以限制他人進入內部網絡，過濾掉不安全服務和非法用戶；它可以封鎖特洛伊木馬，防止機密數據的外泄；它可以限定用戶訪問特殊站點，禁止用戶對某些內容不健康站點的訪問；它還可以為監視互聯網的安全提供方便。現在國外的優秀防火墻如Outpost不但能完成以上介紹的基本功能，還能對獨特的私人信息保護如防止密碼泄露、對內容進行管理以防止功能日益完善和強大，但面對日益增多的網絡安全威脅防火墻仍不是完整的解決方案。但不管如何變化防火墻仍然是網絡安全必不可少的工具之一。

第二章 防火墻的基本原理

2.1 什么是防火墻

“防火墻” 這個術語參考來自應用在建筑結構里的安全技術。在樓宇里用來起分隔作用的墻, 用來隔離不同的公司或房間, 盡可能的起防火作用。一旦某個單元起火這種方法保護了其它的居住者。然而, 多數防火墻里都有一個重要的門, 允許人們進人或離開大樓。因此, 雖然防火墻保護了人們的安全, 但這個門在提供增強安全性的同時允許必要的訪問。

在計算機網絡中, 一個網絡防火墻扮演著防備潛的作用。在簡單來說, 今天防火墻的主要概念就是多個組件的應用。到現在你要準備實施你的防火墻, 需要知道你的公司需要什么樣的服務并且什么樣的服務對于內部用戶和外部用戶都是有效的。

所謂防火墻指的是一個由軟件和硬件設備組合而成、在內部網和外部網之間、專用網與公共網之間的界面上構造的保護屏障.是一種獲取安全性方法的形象說法，它是一種計算機硬件和軟件的結合，使Internet與Intranet之間建立起一個安全網關（Security Gateway），從而保護內部網免受非法用戶的侵入，防火墻主要由服務訪問規則、驗證工具、包過濾和應用網關4個部分組成。云南工商學院 防火墻架設配置和安全分析

2.2 防火墻的發展歷程

第一代防火墻技術幾乎與路由器同時出現，采用了包過濾（Packet filter）技術。

第二、三代防火墻。1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結構。

第四代防火墻。1992年，USC信息科學院的BobBraden開發出了基于動態包過濾（Dynamic packet filter）技術的第四代防火墻，后來演變為目前所說的狀態監視（Stateful inspection）技術。1994年，以色列的CheckPoint公司開發出了第一個采用這種技術的商業化的產品。

第五代防火墻。1998年，NAI公司推出了一種自適應代理（Adaptive proxy）技術，并在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火墻賦予了全新的意義，可以稱之為第五代防火墻。

一體化安全網關UTM（Unified Threat Management）。UTM即是統一威脅管理，主要包含入侵防御、VPN、防火墻、網絡和電子郵件的過濾等。隨著萬兆UTM的出現，UTM代替防火墻的趨勢不可避免。在國際上，Juniper，飛塔公司高性能的UTM占據了一定的市場份額，國內，啟明星辰的高性能UTM則一直領跑國內市場。

2.3 防火墻的基本類型

實現防火墻的技術包括四大類：網絡級防火墻（也叫包過濾型防火墻）、應用級網關、電路級網關和規則檢查防火墻。

2.3.1 網絡級防火墻

一般是基于源地址和目的地址、應用或協議以及每個IP包的端口來作出通過與否的判斷。一個路由器便是一個“傳統”的網絡級防火墻，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。

先進的網絡級防火墻可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火墻檢查每一條規則直至發現包中的信息與某規則相符。如果沒有一條規則能符合，防火墻就會使用默認規則，一般情況下，默認規則就是要求防火墻丟棄該包。其次，通過定義基于TCP或UDP數據包的端口號，防火墻能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。

下面是某一網絡級防火墻的訪問控制規則：

(1)允許網絡123.1.0使用FTP(21口)訪問主機150.0.0.1；

(2)允許IP地址為202.103.1.18和202.103.1.14的用戶Telnet(23口)到主機150.0.0.2上；(3)允許任何地址的E-mail(25口)進入主機150.0.0.3；(4)允許任何WWW數據（80口）通過； 云南工商學院 防火墻架設配置和安全分析

(5)不允許其他數據包進入。

網絡級防火墻簡潔、速度快、費用低，并且對用戶透明，但是對網絡的保護很有限，因為它只檢查地址和端口，對網絡更高協議層的信息無理解能力。

2.3.2 應用級網關

應用級網關能夠檢查進出的數據包，通過網關復制傳遞數據，防止在受信任服務器和客戶機與不受信任的主機間直接建立聯系。應用級網關能夠理解應用層上的協議，能夠做復雜一些的訪問控制，并做精細的注冊和稽核。但每一種協議需要相應的代理軟件，使用時工作量大，效率不如網絡級防火墻。

常用的應用級防火墻已有了相應的代理服務器，例如： HTTP、NNTP、FTP、Telnet、rlogin、X-windows等，但是，對于新開發的應用，尚沒有相應的代理服務，它們將通過網絡級防火墻和一般的代理服務。

應用級網關有較好的訪問控制，是目前最安全的防火墻技術，但實現困難，而且有的應用級網關缺乏“透明度”。在實際使用中，用戶在受信任的網絡上通過防火墻訪問Internet時，經常會發現存在延遲并且必須進行多次登錄（Login）才能訪問Internet或Intranet。

2.3.3 電路級網關

電路級網關用來監控受信任的客戶或服務器與不受信任的主機間的TCP握手信息,這樣來決定該會話(Session)是否合法,電路級網關是在OSI模型中會話層上來過濾數據包,這樣比包過濾防火墻要高二層。

實際上電路級網關并非作為一個獨立的產品存在，它與其他的應用級網關結合在一起，如TrustInformationSystems公司的GauntletInternetFirewall；DEC公司的AltaVistaFirewall等產品。另外，電路級網關還提供一個重要的安全功能：代理服務器（ProxyServer），代理服務器是個防火墻，在其上運行一個叫做“地址轉移”的進程，來將所有你公司內部的IP地址映射到一個“安全”的IP地址，這個地址是由防火墻使用的。但是，作為電路級網關也存在著一些缺陷，因為該網關是在會話層工作的，它就無法檢查應用層級的數據包。

2.3.4 規則檢查防火墻

該防火墻結合了包過濾防火墻、電路級網關和應用級網關的特點。它同包過濾防火墻一樣，規則檢查防火墻能夠在OSI網絡層上通過IP地址和端口號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。當然它也象應用級網關一樣，可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網絡的安全規則。

規則檢查防火墻雖然集成前三者的特點，但是不同于一個應用級網關的是，它并不打破客戶機/服務機模式來分析應用層的數據，它允許受信任的客戶機和不受信任的主機建立直接連接。規則檢查防火墻不依靠與應用層有關的代理，而是依靠某種算法來識別進出的應用層數據，這些算法通過已知合法數據包的模式來比較進出數據包，這樣從理論上就能比應用級代理在過濾數據包上更有效。云南工商學院 防火墻架設配置和安全分析

目前在市場上流行的防火墻大多屬于規則檢查防火墻，因為該防火墻對于用戶透明，在OSI最高層上加密數據，不需要你去修改客戶端的程序，也不需對每個需要在防火墻上運行的服務額外增加一個代理。如現在最流行的防火墻之一OnTechnology軟件公司生產的OnGuard和CheckPoint軟件公司生產的FireWall-1防火墻都是一種規則 檢查防火墻。

從趨勢上看，未來的防火墻將位于網絡級防火墻和應用級防火墻之間，也就是說，網絡級防火墻將變得更加能夠識別通過的信息，而應用級防火墻在目前的功能上則向“透明”、“低級”方面發展。最終防火墻將成為一個快速注冊稽查系統，可保護數據以加密方式通過，使所有組織可以放心地在節點間傳送數據

2.4 防火墻工作原理

2.4.1 包過濾防火墻

包過濾防火墻一般在路由器上實現，用以過濾用戶定義的內容，如IP地址。包過濾防火墻的工作原理是：系統在網絡層檢查數據包，與應用層無關。這樣系統就具有很好的傳輸性能，可擴展能力強。但是，包過濾防火墻的安全性有一定的缺陷，因為系統對應用層信息無感知，也就是說，防火墻不理解通信的內容，所以可能被黑客所攻破。

（包過濾防火墻工作原理圖）

2.4.2 應用網關防火墻

應用網關防火墻檢查所有應用層的信息包，并將檢查的內容信息放入決策過程，從而提高網絡的安全性。然而，應用網關防火墻是通過打破客戶機／服務器模式實現的。每個客戶機／服務器通信需要兩個連接：一個是從客戶端到防火墻，另一個是從防火墻到服務器。另外，每個代理需要一個不同的應用進程，或一個后臺運行的服務程序，對每個新的應用必須添加針對此應用的服務程序，否則不能使用該服務。所以，應用網關防火墻具有可伸縮性差的缺點。云南工商學院 防火墻架設配置和安全分析

（應用網關防火墻工作原理圖）

2.4.3 狀態檢測防火墻

狀態檢測防火墻基本保持了簡單包過濾防火墻的優點，性能比較好，同時對應用是透明的，在此基礎上，對于安全性有了大幅提升。這種防火墻摒棄了簡單包過濾防火墻僅僅考察進出網絡的數據包，不關心數據包狀態的缺點，在防火墻的核心部分建立狀態連接表，維護了連接，將進出網絡的數據當成一個個的事件來處理。可以這樣說，狀態檢測包過濾防火墻規范了網絡層和傳輸層行為，而應用代理型防火墻則是規范了特定的應用協議上的行為。

（狀態檢測防火墻工作原理圖）

2.4.4 復合型防火墻

復合型防火墻是指綜合了狀態檢測與透明代理的新一代的防火墻，進一步基于ASIC架構，把防病毒、內容過濾整合到防火墻里，其中還包括VPN、IDS功能，多單元融為一體，是一種新突破。常規的防火墻并不能防止隱蔽在網絡流量里的攻擊，在網絡界面對應用層掃描，把防病毒、內容過濾與防火墻結合起來，這體現了網絡與信息安全的新思路。它在網絡邊界實施OSI七層的內容掃描，實現了實時在網絡邊緣布署病毒防護、內容過濾等應用層服務措施。復合型防火墻實現了防火墻、入侵檢測、安全評估、虛擬專用網4大功能模塊。以防火墻功能為基礎 云南工商學院 防火墻架設配置和安全分析

平臺，以其他的安全模塊為多層次應用環境，構筑了一套完整的立體的網絡安全解決方案。

（復合型防火墻工作原理圖）

2.4.5 新型復合型防火墻的設計 2.4.5.1 合并內外路由器

如果路由器有足夠的功能和靈活性時，可將內、外路由的功能由一臺路由器來完成。優點是：凡符合路由器規則的數據包可在內、外部網間互傳；缺點：仍需要參數網絡，需要一臺各端口可以分別設置輸入/輸出的路由器。如下圖： 云南工商學院 防火墻架設配置和安全分析

2.4.5.2 合并堡壘主機和外部路由器

采用讓雙宿主主機同時充當堡壘主機（堡壘主機是一種被強化的可以防御進攻的計算機，作為進入內部網絡的一個檢查點，以達到把整個網絡的安全問題集中在某個主機上解決，從而省時省力，不用考慮其它主機的安全的目的）和外部路由器的機構。優點：是內部網絡的性能增強。缺點：使系統效能（信息交換）變差，靈活性低，由于堡壘主機對外更暴露，保護更加困難。如圖（見下頁）： 云南工商學院 防火墻架設配置和安全分析

2.4.5.3 多內部路由器

用多臺路由器鏈接參數網絡和內部網的各個部分。優點：內部處理數據的速度增快。缺點：使包過濾系統的設置更加復雜，有時會導致站點間不能建立連接。如下圖：

第三章 防火墻的架設配置 云南工商學院 防火墻架設配置和安全分析

3.1 防火墻的初始配置

像路由器一樣，在使用之前，防火墻也需要經過基本的初始配置。防火墻的初始配置也是通過控制端口（Console）與PC機（通常是便于移動的筆記本電腦）的串口連接，再通過Windows系統自帶的超級終端（HyperTerminal）程序進行選項配置。防火墻的初始配置物理連接與前面介紹的交換機初始配置連接方法一樣，參見圖1所示。

（圖1）

防火墻除了以上所說的通過控制端口（Console）進行初始配置外，也可以通過telnet和Tffp配置方式進行高級配置，但Telnet配置方式都是在命令方式中配置，難度較大，而Tffp方式需要專用的Tffp服務器軟件，但配置界面比較友好。

防火墻與路由器一樣也有四種用戶配置模式，即：普通模式（Unprivileged mode）、特權模式（Privileged Mode）、配置模式（Configuration Mode）和端口模式（Interface Mode），進入這四種用戶模式的命令也與路由器一樣：

普通用戶模式無需特別命令，啟動后即進入；

進入特權用戶模式的命令為“enable”；進入配置模式的命令為“config terminal”；而進入端口模式的命令為“interface ethernet（）”。不過因為防火墻的端口沒有路由器那么復雜，所以通常把端口模式歸為配置模式，統稱為“全局配置模式”。

防火墻的具體配置步驟如下：

1.將防火墻的Console端口用一條防火墻自帶的串行電纜連接到筆記本電腦的一個空余串口上，參見圖1。

2.打開PIX防火電源，讓系統加電初始化，然后開啟與防火墻連接的主機。

3.運行筆記本電腦Windows系統中的超級終端（HyperTerminal）程序（通常在“附件”程序組中）。對超級終端的配置與交換機或路由器的配置一樣，參見本教程前面有關介紹。

4.當PIX防火墻進入系統后即顯示“pixfirewall>”的提示符，這就證明防火墻已啟動成功，所進入的是防火墻用戶模式。可以進行進一步的配置了。

5.輸入命令：enable,進入特權用戶模式，此時系統提示為：pixfirewall#。

6.輸入命令： configure terminal,進入全局配置模式，對系統進行初始化設置。云南工商學院 防火墻架設配置和安全分析

（1）.首先配置防火墻的網卡參數（以只有1個LAN和1個WAN接口的防火墻配置為例）

Interface Ethernet()auto # 0號網卡系統自動分配為WAN網卡，“auto”選項為系統自適應網卡類型

Interface ethernet1 auto

（2）.配置防火墻內、外部網卡的IP地址

IP address inside ip_address netmask # Inside代表內部網卡

IP address outside ip_address netmask # outside代表外部網卡

（3）.指定外部網卡的IP地址范圍：

global 1 ip_address-ip_address

（4）.指定要進行轉換的內部地址

nat 1 ip_address netmask

（5）.配置某些控制選項：

conduit global_ip port[-port] protocol foreign_ip [netmask]

其中，global_ip：指的是要控制的地址；port：指的是所作用的端口，0代表所有端口；protocol：指的是連接協議，比如：TCP、UDP等；foreign_ip：表示可訪問的global_ip外部IP地址；netmask：為可選項，代表要控制的子網掩碼。

7.配置保存：wr mem

8.退出當前模式

此命令為exit，可以任何用戶模式下執行，執行的方法也相當簡單，只輸入命令本身即可。它與Quit命令一樣。下面三條語句表示了用戶從配置模式退到特權模式，再退到普通模式下的操作步驟。

pixfirewall(config)# exit

pixfirewall# exit

pixfirewall>

9.查看當前用戶模式下的所有可用命令：show，在相應用戶模式下鍵入這個命令后，即顯示出當前所有可用的命令及簡單功能描述。

10.查看端口狀態：show interface，這個命令需在特權用戶模式下執行，執行后即顯示出防火墻所有接口配置情況。

11.查看靜態地址映射:show static，這個命令也須在特權用戶模式下執行，執行后顯示防火墻的當前靜態地址映射情況。

3.2 過濾型防火墻的訪問控制表（ACL）配置

除了以上介紹的基本配置外，在防火墻的安全策略中最重要還是對訪問控制列表（ACL）進行配有關置。下面介紹一些用于此方面配置的基本命令。

1.access-list：用于創建訪問規則

這一訪問規則配置命令要在防火墻的全局配置模式中進行。同一個序號的規則可以看作一類規則，同一個序號之間的規則按照一定的原則進行排列和選擇，這個順序可以通過 show access-list 命令看到。在這個命令中，又有幾種命令格式，分別執行不同的命令。云南工商學院 防火墻架設配置和安全分析

（1）創建標準訪問列表

命令格式：access-list [ normal special ] listnumber1 { permit deny } source-addr [ source-mask ]

（2）創建擴展訪問列表

命令格式：access-list [ normal special ] listnumber2 { permit deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] icmp-type [ icmp-code ] ] [ log ]

（3）刪除訪問列表

命令格式：no access-list { normal special } { all listnumber [ subitem ] }

上述命令參數說明如下：

●normal：指定規則加入普通時間段。

●special：指定規則加入特殊時間段。

●listnumber1：是1到99之間的一個數值，表示規則是標準訪問列表規則。

●listnumber2：是100到199之間的一個數值，表示規則是擴展訪問列表規則。

●permit：表明允許滿足條件的報文通過。

●deny：表明禁止滿足條件的報文通過。

●protocol：為協議類型，支持ICMP、TCP、UDP等，其它的協議也支持，此時沒有端口比較的概念；為IP時有特殊含義，代表所有的IP協議。

●source-addr：為源IP地址。

●source-mask：為源IP地址的子網掩碼，在標準訪問列表中是可選項，不輸入則代表通配位為0.0.0.0。

●dest-addr：為目的IP地址。

●dest-mask：為目的地址的子網掩碼。

●operator：端口操作符，在協議類型為TCP或UDP時支持端口比較，支持的比較操作有：等于（eq）、大于（gt）、小于（lt）、不等于（neq）或介于（range）；如果操作符為range，則后面需要跟兩個端口。

port1 在協議類型為TCP或UDP時出現，可以為關鍵字所設定的預設值（如telnet）或0~65535之間的一個數值。port2 在協議類型為TCP或UDP且操作類型為range時出現；可以為關鍵字所設定的預設值（如telnet）或0~65535之間的一個數值。

●icmp-type：在協議為ICMP時出現，代表ICMP報文類型；可以是關鍵字所設定的預設值（如echo-reply）或者是0~255之間的一個數值。

●icmp-code：在協議為ICMP，且沒有選擇所設定的預設值時出現；代表ICMP碼，是0~255之間的一個數值。

●log：表示如果報文符合條件，需要做日志。

●listnumber：為刪除的規則序號，是1~199之間的一個數值。

●subitem：指定刪除序號為listnumber的訪問列表中規則的序號。

例如，現要在華為的一款防火墻上配置一個“允許源地址為10.20.10.0 網絡、目的地址為10.20.30.0網絡的WWW訪問，但不允許使用FTP”的訪問規則。相應配置語句只需兩行即可，如下：

Quidway(config)#access-list 100 permit tcp 10.20.10.0 255.0.0.0 10.20.30.0 255.0.0.0 eq www 云南工商學院 防火墻架設配置和安全分析

Quidway(config)#access-list 100 deny tcp 10.20.10.0 255.0.0.0 10.20.30.0 255.0.0.0 eq ftp

2.clear access-list counters：清除訪問列表規則的統計信息

命令格式：clear access-list counters [ listnumber ]

這一命令必須在特權用戶模式下進行配置。listnumber 參數是用指定要清除統計信息的規則號，如不指定，則清除所有的規則的統計信息。

如要在華為的一款包過濾路由器上清除當前所使用的規則號為100的訪問規則統計信息。訪問配置語句為：

clear access-list counters 100

如有清除當前所使用的所有規則的統計信息，則以上語句需改為：Quidway#clear access-list counters

3.ip access-group

使用此命令將訪問規則應用到相應接口上。使用此命令的no形式來刪除相應的設置，對應格式為：

ip access-group listnumber { in out }

此命令須在端口用戶模式下配置，進入端口用戶模式的命令為：interface ethernet（），括號中為相應的端口號，通常0為外部接口，而1為內部接口。進入后再用ip access-group 命令來配置訪問規則。listnumber參數為訪問規則號，是1~199之間的一個數值（包括標準訪問規則和擴展訪問規則兩類）；in 表示規則應用于過濾從接口接收到的報文；而out表示規則用于過濾從接口轉發出去的報文。一個接口的一個方向上最多可以應用20類不同的規則；這些規則之間按照規則序號的大小進行排列，序號大的排在前面，也就是優先級高。對報文進行過濾時，將采用發現符合的規則即得出過濾結果的方法來加快過濾速度。所以，建議在配置規則時，盡量將對同一個網絡配置的規則放在同一個序號的訪問列表中；在同一個序號的訪問列表中，規則之間的排列和選擇順序可以用show access-list命令來查看。

例如將規則100應用于過濾從外部網絡接口上接收到的報文，配置語句為（同樣為在傾為包過濾路由器上）：

ip access-group 100 in

如果要刪除某個訪問控制表列綁定設置，則可用no ip access-group listnumber { in out } 命令。

4.show access-list

此配置命令用于顯示包過濾規則在接口上的應用情況。命令格式為：show access-list [ all listnumber interface interface-name ]

這一命令須在特權用戶模式下進行配置，其中all參數表示顯示所有規則的應用情況，包括普通時間段內及特殊時間段內的規則；如果選擇listnumber參數，則僅需顯示指定規則號的過濾規則；interface 表示要顯示在指定接口上應用的所有規則序號；interface-name參數為接口的名稱。

使用此命令來顯示所指定的規則，同時查看規則過濾報文的情況。每個規則都有一個相應的計數器，如果用此規則過濾了一個報文，則計數器加1；通過對計數器的觀察可以看出所配置的規則中，哪些規則是比較有效，而哪些基本無效。例如，現在要顯示當前所使用序號為100的規則的使用情況，可執行Quidway#show access-list 100語句即可，隨即系統即顯示這條規則的使用情況，格式如下： 云南工商學院 防火墻架設配置和安全分析

Using normal packet-filtering access rules now.100 deny icmp 10.1.0.0 0.0.255.255 any host-redirect(3 matches,252 bytes--rule 1)

permit icmp 10.1.0.0 0.0.255.255 any echo(no matches--rule 2)

deny udp any any eq rip(no matches--rule 3)

5.show firewall

此命令須在特權用戶模式下執行，它顯示當前防火墻狀態。命令格式非常簡單，也為：show firewall。這里所說的防火墻狀態，包括防火墻是否被啟用，啟用防火墻時是否采用了時間段包過濾及防火墻的一些統計信息。

6.Telnet

這是用于定義能過防火配置控制端口進行遠程登錄的有關參數選項，也須在全局配置用戶模式下進行配置。

命令格式為：telnet ip_address [netmask] [if_name]

其中的ip_address參數是用來指定用于Telnet登錄的IP地址，netmask為子網掩碼，if_name用于指定用于Telnet登錄的接口，通常不用指定，則表示此IP地址適用于所有端口。如：

telnet 192.168.1.1

如果要清除防火墻上某個端口的Telnet參數配置，則須用clear telnet命令，其格式為：clear telnet [ip_address [netmask] [if_name]]，其中各選項說明同上。它與另一個命令no telnet功能基本一樣，不過它是用來刪除某接口上的Telnet配置，命令格式為：no telnet [ip_address [netmask] [if_name]]。

如果要顯示當前所有的Telnet配置，則可用show telnet命令。

最簡單的防火墻配置，就是直接在內部網和外部網之間加裝一個包過濾路由器或者應用網關。為更好地實現網絡安全，有時還要將幾種防火墻技術組合起來構建防火墻系統。目前比較流行的有以下三種防火墻配置方案。

3.3 雙宿主機網關(Dual Homed Gateway)這種配置是用一臺裝有兩個網絡適配器的雙宿主機做防火墻。雙宿主機用兩個網絡適配器分別連接兩個網絡，又稱堡壘主機。堡壘主機上運行著防火墻軟件(通常是代理服務器)，可以轉發應用程序，提供服務等。雙宿主機網關有一個致命弱點，一旦入侵者侵入堡壘主機并使該主機只具有路由器功能，則任何網上用戶均可以隨便訪問有保護的內部網絡(如圖1)。云南工商學院 防火墻架設配置和安全分析

三種流行防火墻配置方案分析(圖一)

3.4 屏蔽主機網關(Screened Host Gateway)屏蔽主機網關易于實現，安全性好，應用廣泛。它又分為單宿堡壘主機和雙宿堡壘主機兩種類型。先來看單宿堡壘主機類型。一個包過濾路由器連接外部網絡，同時一個堡壘主機安裝在內部網絡上。堡壘主機只有一個網卡，與內部網絡連接(如圖2)。通常在路由器上設立過濾規則，并使這個單宿堡壘主機成為從 Internet惟一可以訪問的主機，確保了內部網絡不受未被授權的外部用戶的攻擊。而Intranet內部的客戶機，可以受控制地通過屏蔽主機和路由器訪問Internet.三種流行防火墻配置方案分析(圖二)雙宿堡壘主機型與單宿堡壘主機型的區別是，堡壘主機有兩塊網卡，一塊連接內部網絡，一塊連接包過濾路由器(如圖3)。雙宿堡壘主機在應用層提供代理服務，與單宿型相比更加安全。云南工商學院 防火墻架設配置和安全分析

三種流行防火墻配置方案分析(圖三)

3.5 屏蔽子網(Screened Subnet)這種方法是在Intranet和Internet之間建立一個被隔離的子網，用兩個包過濾路由器將這一子網分別與Intranet和 Internet 分開。兩個包過濾路由器放在子網的兩端，在子網內構成一個“緩沖地帶”(如圖4)，兩個路由器一個控制Intranet 數據流，另一個控制Internet數據流，Intranet和Internet均可訪問屏蔽子網，但禁止它們穿過屏蔽子網通信。可根據需要在屏蔽子網中安裝堡壘主機，為內部網絡和外部網絡的互相訪問提供代理服務，但是來自兩網絡的訪問都必須通過兩個包過濾路由器的檢查。對于向Internet公開的服務器，像WWW、FTP、Mail等Internet服務器也可安裝在屏蔽子網內，這樣無論是外部用戶，還是內部用戶都可訪問。這種結構的防火墻安全性能高，具有很強的抗攻擊能力，但需要的設備多，造價高。

三種流行防火墻配置方案分析(圖四)云南工商學院 防火墻架設配置和安全分析

當然，防火墻本身也有其局限性，如不能防范繞過防火墻的入侵，像一般的防火墻不能防止受到病毒感染的軟件或文件的傳輸;難以避免來自內部的攻擊等等。總之，防火墻只是一種整體安全防范策略的一部分，僅有防火墻是不夠的，安全策略還必須包括全面的安全準則，即網絡訪問、本地和遠程用戶認證、撥出撥入呼叫、磁盤和數據加密以及病毒防護等有關的安全。

第四章 防火墻安全性

4.1 防火墻具備的安全功能

防火墻是網絡安全策略的有機組成部分，它通過控制和監測網絡之間的信息交換和訪問行為來實現對網絡安全的有效管理。從總體上看，防火墻應該具有以下基本功能：

(1)報警功能，將任何有網絡連接請求的程序通知用戶，用戶自行判斷是否放行也或阻斷其程序連接網絡。

(2)黑白名單功能，可以對現在或曾經請求連接網絡的程序進行規則設置。包括以后不準許連接網網等功能。

(3)局域網查詢功能，可以查詢本局域網內其用戶，并顯示各用戶主機名。

(4)流量查看功能，對計算機進出數據流量進行查看，直觀的完整的查看實時數據量和上傳下載數據率。

(5)端口掃描功能，戶自可以掃描本機端口，端口范圍為0-65535端口，掃描完后將顯示已開放的端口。

(6)系統日志功能，日志分為流量日志和安全日志，流量日志是記錄不同時間數據包進去計算機的情況，分別記錄目標地址，對方地址，端口號等。安全日志負責記錄請求連接網絡的程序，其中包括記錄下程序的請求連網時間，程序目錄路徑等。

(7)系統服務功能，可以方便的查看所以存在于計算機內的服務程序。可以關閉，啟動，暫停計算機內的服務程序。

(8)連網/斷網功能，在不使用物理方法下使用戶計算機連接網絡或斷開網絡。

完成以上功能使系統能對程序連接網絡進行管理，大大提高了用戶上網的效率，降低的上網風險。從而用戶上網娛樂的質量達到提高，同時也達到網絡安全保護的目的。云南工商學院 防火墻架設配置和安全分析

4.2 對常見攻擊方式的策略

4.2.1 病毒

盡管某些防火墻產品提供了在數據包通過時進行病毒掃描的功能, 但仍然很難將所有的病毒(或特洛伊木馬程序)阻止在網絡外面, 黑客很容易欺騙用戶下載一個程序從而讓惡意代碼進入內部網。

策略: 設定安全等級, 嚴格阻止系統在未經安全檢測的情況下執行下載程序;或者通過常用的基于主機的安全方法來保護網絡。

4.2.2 口令字

對口令字的攻擊方式有兩種: 窮舉和嗅探。窮舉針對來自外部網絡的攻擊, 來猜測防火墻管理的口令字。嗅探針對內部網絡的攻擊, 通過監測網絡獲取主機給防火墻的口令字。

策略: 設計主機與防火墻通過單獨接口通信(即專用服務器端口)、采用一次性口令或禁止直接登錄防火墻。

4.2.3 郵件

來自于郵件的攻擊方式越來越突出, 在這種攻擊中, 垃圾郵件制造者將一條消息復制成成千上萬份, 并按一個巨大的電子郵件地址清單發送這條信息, 當用戶不經意打開郵件時, 惡意代碼即可進入。

策略: 打開防火墻上的過濾功能, 在內網主機上采取相應阻止措施。

4.2.4 IP 地址

黑客利用一個類似于內部網絡的IP 地址, 以“逃過”服務器檢測, 從而進入內部網達到攻擊的目的。

策略: 通過打開內核rp f ilter 功能, 丟棄所有來自網絡外部但卻有內部地址的數據包;同時將特定IP地址與MAC 綁定, 只有擁有相應MAC 地址的用戶才能使用被綁定的IP 地址進行網絡訪問。本文比較了攻擊者通常采用的一些攻擊手段, 提出了防火墻的安全脆弱點。介紹了容入帶防火墻入侵檢測技術(IDS)的VPN, 設計了防火墻技術體系結構,并提出了相應的網絡安全防護措施和應對常見攻擊方式的策略。

4.3 火墻的安全技術分析

防火墻對網絡的安全起到了一定的保護作用，但并非萬無一失。通過對防火墻的基本原 云南工商學院 防火墻架設配置和安全分析

理和實現方式進行分析和研究，我對防火墻的安全性有如下幾點認識。

1．正確選用、合理配置防火墻非常不容易

防火墻作為網絡安全的一種防護手段，有多種實現方式。建立合理的防護系統，配置有效的防火墻應遵循這樣四個基本步驟：

風險分析； 需求分析； 確立安全政策；

選擇準確的防護手段，并使之與安全政策保持一致。

然而，多數防火墻的設立沒有或很少進行充分的風險分析和需求分析，而只是根據不很完備的安全政策選擇了一種似乎能“滿足”需要的防火墻，這樣的防火墻能否“防火”還是個問題。

2．需要正確評估防火墻的失效狀態

評價防火墻性能如何及能否起到安全防護作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬紀，而且要看到一旦防火墻被攻破，它的狀態如何? 按級別來分，它應有這樣四種狀態：a.未受傷害能夠繼續正常工作；b.關閉并重新啟動，同時恢復到正常工作狀態；c.關閉并禁止所有的數據通行；d.關閉并允許所有的數據通行。

前兩種狀態比較理想，而第四種最不安全。但是許多防火墻由于沒有條件進行失效狀態測試和驗證，無法確定其失效狀態等級，因此網絡必然存在安全隱患。

3.防火墻必須進行動態維護

防火墻安裝和投入使用后，并非萬事大吉。要想充分發揮它的安全防護作用，必須對它進行跟蹤和維護，要與商家保持密切的聯系，時刻注視商家的動態。因為商家一旦發現其產品存在安全漏洞，就會盡快發布補救(Patch)產品，此時應盡快確認真偽(防止特洛伊木馬等病毒)，并對防火墻軟件進行更新。

4.目前很難對防火墻進行測試驗證 防火墻能否起到防護作用，最根本、最有效的證明方法是對其進行測試，甚至站在“黑客”的角度采用各種手段對防火墻進行攻擊。然而具體執行時難度較大：

(1)防火墻性能測試目前還是一種很新的技術，尚無正式出版刊物，可用的工具和軟件更是寥寥無幾。據了解目前只有美國ISS公司提供有防火墻性能測試的工具軟件。

(2)防火墻測試技術尚不先進，與防火墻設計并非完全吻合，使得測試工作難以達到既定的效果。

(3)選擇“誰”進行公正的測試也是一個問題。

可見，防火墻的性能測試決不是一件簡單的事情，但這種測試又相當必要，進而提出這樣一個問題：不進行測試，何以證明防火墻安全？

5．非法攻擊防火墻的基本“招數”

(1)通常情況下，有效的攻擊都是從相關的子網進行的。因為這些網址得到了防火墻的信賴，雖說成功與否尚取決于機遇等其他因素，但對攻擊者而言很值得一試。下面我們以數據包過濾防火墻為例，簡要描述可能的攻擊過程。這種類型的防火墻以IP地址作為鑒別數據包是否允許其通過的條件，而這恰恰是實施攻擊的突破口。許多防火墻軟件無法識別數據包到底來自哪個網絡接口，因此攻擊者無需表明進攻數據包的真正來源，只需偽裝IP地址，取得目標的信任，使其認為來自網絡內部即可。IP地址欺騙攻擊正是基于這類防火墻對IP地址缺乏識別和驗證的機制。通常主機A與主機B的TCP連接(中間有或無防火墻)是通過主機A向主 云南工商學院 防火墻架設配置和安全分析

機B提出請求建立起來的，而其間A和B的確認僅僅根據由主機A產生并經主機B驗證的初始序列號ISN。具體分三個步驟：

1．主機A產生它的ISN，傳送給主機B，請求建立連接； 2．B接收到來自A的帶有SYN標志的ISN后，將自己本身的ISN連同應答信息ACK一同返回給A；

3．A再將B傳送來的ISN及應答信息ACK返回給B。至此，正常情況，主機A與B的TCP連接就建立起來了。IP地址欺騙攻擊的第一步是切斷可信賴主機。這樣可以使用TCP淹沒攻擊(TCPSynFloodAttack)，使得信賴主機處于“自顧不暇”的忙碌狀態，相當于被切斷，這時目標主機會認為信賴主機出現了故障，只能發出無法建立連接的RST包而無暇顧及其他。攻擊者最關心的是猜測目標主機的ISN。為此，可以利用SMTP的端口(25)，通常它是開放的，郵件能夠通過這個端口，與目標主機打開(Open)一個TCP連接，因而得到它的ISN。在此有效期間，重復這一過程若干次，以便能夠猜測和確定ISN的產生和變化規律，這樣就可以使用被切斷的可信賴主機的IP地址向目標主機發出連接請求。請求發出后，目標主機會認為它是TCP連接的請求者，從而給信賴主機發送響應(包括SYN)，而信賴主機目前仍忙于處理Flood淹沒攻擊產生的“合法”請求，因此目標主機不能得到來自于信賴主機的響應。現在攻擊者發出回答響應，并連同預測的目標主機的ISN一同發給目標主機。隨著不斷地糾正預測的ISN，攻擊者最終會與目標主機建立一個會晤。通過這種方式，攻擊者以合法用戶的身份登錄到目標主機而不需進一步的確認。如果反復試驗使得目標主機能夠接收對網絡的ROOT登錄，那么就可以完全控制整個網絡。

歸納起來，防火墻安全防護面臨威脅的幾個主要原因有：SOCK的錯誤配置；不適當的安全政策； 強力攻擊；允許匿名的FTP協議；允許TFTP協議；允許Rlogin命令；允許X－Windows或OpenWindows；端口映射；可加載的NFS協議；允許Windows文件共享；Open端口。

(2)破壞防火墻的另一種方式是攻擊與干擾相結合。也就是在攻擊期間使防火墻始終處于繁忙的狀態。防火墻過分的繁忙有時會導致它忘記履行安全防護的職能，處于失效狀態。

(3)需要特別注意的是，防火墻也可能被內部攻擊。因為安裝了防火墻后，隨意訪問被嚴格禁止了，這樣內部人員無法在閑暇的時間通過Telnet瀏覽郵件或使用FTP向外發送信息，個別人會對防火墻不滿進而可能攻擊它、破壞它，期望回到從前的狀態。這里，攻擊的目標常常是防火墻或防火墻運行的操作系統，因此不僅涉及網絡安全，還涉及主機安全問題。

以上分析表明，防火墻的安全防護性能依賴的因素很多。防火墻并非萬能，它最多只能防護經過其本身的非法訪問和攻擊，而對不經防火墻的訪問和攻擊則無能為力。從技術來講，繞過防火墻進入網絡并非不可能。

目前大多數防火墻都是基于路由器的數據包分組過濾類型，防護能力差，存在各種網絡外部或網絡內部攻擊防火墻的技術手段。

4.4 防火墻采用的技術比較

根據防火墻對進、出網絡數據的處理方法, 大致可以將防火墻分為兩大體系: 包過濾防火墻和代理防火墻。云南工商學院 防火墻架設配置和安全分析

傳統的包過濾防火墻基于路由器在網絡層進行過濾, 根據事先定義好的過濾規則來檢測每個IP 包頭的相關信息來決定數據流的通過還是拒絕, 這些相關信

息包括IP 源地址、IP 目標地址、傳輸協議(T CP、UDP、ICMP 等等)、T CP/ U DP 目標端口、ICMP 消息類型等。過濾規則明確指出希望通過的數據包以及禁止的數據包。包過濾防火墻是安全性最低的防火墻。

狀態檢測技術是防火墻近幾年才采用的新技術,該技術采用一種基于連接的狀態檢測機制, 讀取、分析和利用了全面的網絡通信信息和狀態, 包括: 通信信息、通狀態、應用狀態、操作信息。狀態檢測防火墻仍采用客戶端/ 服務器模式, 數據包在網絡層被攔截, 屬于同一連接的所有包作為一個整體的數據流看待, 構成連接狀態表, 接著與定義好的規則表共同配合, 對表中的各個連接狀態加以識別。采用這種技術的防火墻對通過其建立的每一個連接都進行跟蹤, 并且根據需要可動態地在過濾規則中增加或更新條目。對于UDP這樣無狀態的連接, 以虛擬連接的方式構成連接表。代理服務器代表客戶來處理向服務器的連接請求。當代理服務器得到一個客戶的連接意圖時, 它們將核實客戶請求, 并經過特定的安全化的Prox y 應用程序處理連接請求, 將處理后的請求傳遞到真實的服務器上, 然后接受服務器應答, 進一步處理后將答復交給發出請求的最終客戶。代理類型防火墻最突出的優點就是安全。它打破了客戶端/ 服務器模式, 由于每一個內外網絡之間的連接都要通過Prox y 的介入和轉換,每個客戶端/ 服務器通訊需要兩個連接: 一個是從客戶到防火墻, 一個是從防火墻到服務器。而且每個代理需要一個不同的應用軟件進程或守護進程, 可移植性較差。新發展起來的第五代防火墻采用自適應代理技術,它結合了代理類型防火墻的安全性和包過濾防火墻的

高速度等優點。

4.5 各類防火墻的對比

防火墻：包過濾防火墻不檢查數據區，包過濾防火墻不建立連接狀態表，前后報文無關，應用層控制很弱。

應用網關防火墻：不檢查IP、TCP報頭，不建立連接狀態表，網絡層保護比較弱。

狀態檢測防火墻：不檢查數據區，建立連接狀態表，前后報文相關，應用層控制很弱。

復合型防火墻：可以檢查整個數據包內容，根據需要建立連接狀態表，網絡層保護強，應用層控制細，會話控制較弱

4.6 防墻的優缺性

4.6.1 防火墻的優點

（1）防火墻能強化安全策略。

（2）防火墻能有效地記錄Internet上的活動。

（3）防火墻限制暴露用戶點。防火墻能夠用來隔開網絡中一個網段與另一個網段。這樣，云南工商學院 防火墻架設配置和安全分析

能夠防止影響一個網段的問題通過整個網絡傳播。

（4）防火墻是一個安全策略的檢查站。所有進出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點，使可疑的訪問被拒絕于門外。

4.6.2 防火墻的安全脆弱性分析

效地保障了內部網絡的安全, 但是防火墻也不是絕對安全的防護手段, 不同的防火墻在具體實現上存在不同的安全脆弱點。對防火墻安全脆弱性分析是為有效地進行防火墻的安全防護提供幫助, 要想獲得較高級別的安全保障, 必須全面了解自身防火墻的安全弱點。不同防火墻存在不同程度的安全脆弱點。攻擊防火墻可以分為三部分: 防火墻探測、繞過防火墻的攻擊和破壞性攻擊。

在防火墻探測攻擊中, 一旦攻擊者標識出目標網絡的防火墻, 就能確定它的部分脆弱點。對于這一類攻擊, 可以通過設置防火墻過濾規則把出去的ICMP數據過濾掉, 或者可以在數據包進入防火墻時, 檢查IP 數據包的TT L 值, 如果為1 者0 則丟棄, 且不發出任何ICMP 數據包來達到防止這種探測的目的;還有防火墻關閉自身不必要的端口也是很關鍵的。

繞過防火墻攻擊通常是利用地址欺騙、T CP 序列號等手段繞過防火墻的認證機制。可以在配置防火墻時過濾掉那些進來數據包的源地址是內部地址的數據

包來達到防范IP 欺騙攻擊;對源路由攻擊所采取的防__御方法就是簡單丟棄所有包含源路由選項的數據包;對于分片攻擊目前可行的解決方案是在分片進入內部網絡之前防火墻對其進行重組, 但是這增加了防火墻的負擔, 也影響防火墻傳發數據包的效率;木馬攻擊是比較常用的攻擊手段, 最好的防范就是避免木馬的安

裝以及在系統上安裝木馬檢測工具。

防火墻的未來發展趨勢

可以預見，未來防火墻的發展趨勢是朝高速、多功能化、更安全的方向發展。

5.1 高速

從國內外歷次測試的結果都可以看出，目前防火墻一個很大的局限性是速度不夠，真正達到線速的防火墻少之又少。防范DoS(拒絕服務)是防火墻一個很重要的任務，防火墻往往用在網絡出口，如造成網絡堵塞，再安全的防火墻也無法應用。

應用ASIC、FPGA和網絡處理器是實現高速防火墻的主要方法，但尤以采用網絡處理器最優，因為網絡處理器采用微碼編程，可以根據需要隨時升級，甚至可以支持IPv6，而采用其他方法就不那么靈活。

實現高速防火墻，算法也是一個關鍵，因為網絡處理器中集成了很多硬件協處理單元，因此比較容易實現高速。對于采用純CPU的防火墻，就必須有算法支撐，例如ACL算法。目前有的應用環境，動輒應用數百乃至數萬條規則，沒有算法支撐，對于狀態防火墻，建立會話的速度會十分緩慢。云南工商學院 防火墻架設配置和安全分析

根據國家有關標準和要求，防火墻日志要求記錄的內容相當多。網絡流量越來越大，如此龐大的日志對日志服務器提出了很高的要求。目前，業界應用較多的是SYSLOG日志，采用的是文本方式，每一個字符都需要一個字節，存儲量很大，對防火墻的帶寬也是一個很大的消耗。二進制日志可以大大減小數據傳送量，也方便數據庫的存儲、加密和事后分析。可以說，支持二進制格式和日志數據庫，是未來防火墻日志和日志服務器軟件的一個基本要求。

5.2 多功能化

多功能也是防火墻的發展方向之一，鑒于目前路由器和防火墻價格都比較高，組網環境也越來越復雜，一般用戶總希望防火墻可以支持更多的功能，滿足組網和節省投資的需要。例如，防火墻支持廣域網口，并不影響安全性，但在某些情況下卻可以為用戶節省一臺路由器;支持部分路由器協議，如路由、撥號等，可以更好地滿足組網需要；支持IPSec VPN，可以利用因特網組建安全的專用通道，既安全又節省了專線投資。據IDC統計，國外90%的加密VPN都是通過防火墻實現的。

5.3 安全

未來防火墻的操作系統會更安全。隨著算法和芯片技術的發展，防火墻會更多地參與應用層分析，為應用提供更安全的保障。“魔高一尺，道高一丈”，在信息安全的發展與對抗過程中，防火墻的技術一定會不斷更新，日新月異，在信息安全的防御體系中，起到堡壘的作用。

總結

經過兩個月艱苦卓絕的努力,總于完成了本畢業設計.從當初領到題目到最后一個功能模塊的完成,經歷了無數次的錯誤->修改代碼->重啟服務器->運行的過程,感覺到平時學的知識是多么的淺薄,書到用時方恨少,現在是體驗的真真切切.也充分反應了我平時的基本功不扎實,給我以后的工作敲響了警鐘,有了努力的方向.但通過本次畢業設計,我也感受到了開源的方便,遇到什么問題,上網一查,就知道該怎么弄了,以前做個課程設計都是怕別人和我的一樣,不愿意給別人看,現在知道了程序弄不出來是多么的著急,學習都是相互的,互相研究才能共同進步的.以后要多多注意這方面的事情, 本次畢業設計是我工作前一次很好的演練和實踐的機會,是培養獨立考問題和自學能力的鍛煉,使我意識到必須努力學習才能才工作中體現自己的價值,適應社會的需要.參考文獻

[1] 王新宇.防火墻技術淺析[M].寧夏：寧夏機械出版社,2009 [2] 周啟輝.防火墻的現狀與發展趨勢分析[J].漣鋼科技與管理,2009,(06)[3]張寶劍.計算機安全與防護技術[M].機械工業出版社,2008.云南工商學院 防火墻架設配置和安全分析

[4]林海波,網絡安全與防火墻技術[M].北京清華大學出版社,2008.[5]凌雨欣,常紅.網絡安全技術與反網絡入侵者[M].冶金工業出版社,2008.[6]王蓉,林海波.網絡安全與防火墻技術[M].清華大學出版社,2009.[7]余建斌.黑客的攻擊手段及用戶對策［M］.北京人民郵電出版社,2008.[8](美)布萊克赫茲.Microsoft，UNIX及0racle主機和網絡安全［M］.電子工業出版社,2009.[9] 馬程.防火墻在網絡安全中的應用［J］.甘肅科技,2008 [10]蔣建春, 馮登國.網絡入侵檢測原理與技術[ M].北京.國防工業出版社, 2009.[11] 錢桂瓊, 楊澤明, 許 生.計算機取證的研究與設計[ J].計算機工程, 2008, 28(6): 56-58.致 謝

經過長時間的努力,我完成了題目為: 防火墻的安全性分析的論文撰寫。

本次設計能夠順利完成,我首先要感謝一些發表書籍的老師們。其次,我要感謝我的指導老師陳春老師,他自始自終都給予了我莫大的幫助,對的設計中每一個計劃,每一項安排都提出了至關重要的建議,使我少走了許多彎路,節省了大量的時間,并且能不厭其煩地指導我技術上的問題,使我的系統更加完善和符合企業網站的要求.可以說,我的畢業設計的順利完成凝聚著導師的大量心血。

另外,我還要感謝那些網上的朋友,他們毫不吝嗇的將自己所掌握的知識拿出來資源共享,才使我部分功能模塊得以實現,謝謝他們。

通過這次畢業設計,我體會很多,學會是一回事,會用則就是另一回事了.以前感到自己專業技能還可以,但真正到用的時候就發現了很多缺陷,發現自己其實差距很大,還不能適應工作.為我今后指明了努力方向。

再一次，我向多方面支持和幫助過我的人表示由衷的感謝！

第二篇：防火墻配置試卷D

防火墻配置試卷D

題量：5 滿分：100.0 分

顯示答案

簡答題（共5題,100.0分）

1按照拓撲圖，搭建環境配置服務器并設置接口區域和ip地址。（15分）

提交display ip int bri中接口配置；（5分）

提交display current中接口添加到對應區域的配置；（6分）

2設置源NAT策略和配置安全策略，保證內網vlan10和vlan20用戶通過HFW1能訪問外網；內網vlan30和vlan40用戶通過HFW2能訪問外網。（共計30分）

提交HFW1的安全策略配置和NAT策略截圖（7.5分）；

提交HFW2的安全策略配置和NAT策略截圖（7.5分）；

提交vlan10和vlan20主機訪問外網192.168.20.1后，防火墻HFW1 display firewall session table截圖；（7.5分）；

提交vlan30和vlan40主機訪問外網192.168.10.1后，防火墻HFW2 display firewall session table截圖；（7.5分）；

設置目的NAT策略和配置安全策略，保證外網用戶訪問192.168.20.100的web服務時，訪問的是內部網絡dmz區域的172.16.8.100（共計15分）；

提交HFW1上display nat server截圖（10分）；

提交外部瀏覽器訪問http://192.168.20.100截圖（5分）；

設置在任選一臺防火墻配置DHCP服務器，為內部trust區域中vlan10、vlan20、vlan30和vlan40下面的主機提供iP地址。（共計12分）；

提交選擇防火墻上display current與DHCP有關的截圖（6分），其中地址池配置4分，端口下引用（2分））；

提交vlan10下主機pc1獲得ip地址的截圖（1.5分）；

提交vlan20下主機pc2獲得ip地址的截圖（1.5分）；

提交vlan30下主機pc3獲得ip地址的截圖（1.5分）；

提交vlan40下主機pc4獲得ip地址的截圖（1.5分）；

配置兩臺防火墻的雙機熱備，HFW1防火墻為vlan10和vlan20的active（活動）設備，HFW2防火墻為vlan10和vlan20的standby（備份）設備；HFW1防火墻為vlan40和vlan30的standby（備份）設備，HFW2防火墻為vlan30和vlan40的active（活動）設備；

兩臺防火墻均可以訪問互聯網，當active（活動）設備發生故障時能夠實現切換，虛擬機訪問互聯網不能出現中斷。（共計40分）

1）熱冗余備份配置完成后，提交相關驗證結果（16分）

提交啟動熱冗余備份后防火墻HFW1的display hrp state結果（2分）；

提交啟動熱冗余備份后防火墻HFW1的display vrrp brief結果（2分）；

提交啟動熱冗余備份后防火墻HFW2的display hrp state結果（2分），提交啟動熱冗余備份后防火墻HFW2的display vrrp brief結果（2分）；

提交VLAN10的主機用tracert 192.168.20.1訪問外部網絡主機的截圖（2分）；

提交VLAN40的主機用tracert 192.168.10.1訪問外部網絡主機的截圖（2分）；

提交FHW1的display firewall session會話轉化表（2分）；

提交FHW2的display firewall session會話轉化表（2分）；

2）熱冗余備份環境下，在交換機g0/0/24下執行shutdown命令，提交相關驗證結果（8分）

提交啟動熱冗余備份后防火墻HFW1的display hrp state結果（1分）；

提交啟動熱冗余備份后防火墻HFW1的display vrrp brief結果（1分）；

提交啟動熱冗余備份后防火墻HFW2的display hrp state結果（1分），提交啟動熱冗余備份后防火墻HFW2的display vrrp brief結果（1分）；

提交VLAN10的主機用tracert 192.168.20.1訪問外部網絡主機的截圖（1分）；

提交VLAN40的主機用tracert 192.168.10.1訪問外部網絡主機的截圖（1分）；

提交FHW1的display firewall session會話轉化表（1分）；

提交FHW2的display firewall session會話轉化表（1分）；

3）熱冗余備份環境下，在交換機的g0/0/24下再執行undo shutdown命令后，等待系統恢復后提交相關驗證結果（8分）

提交啟動熱冗余備份后防火墻HFW1的display hrp state結果（1分）；

提交啟動熱冗余備份后防火墻HFW1的display vrrp brief結果（1分）；

提交啟動熱冗余備份后防火墻HFW2的display hrp state結果（1分），提交啟動熱冗余備份后防火墻HFW2的display vrrp brief結果（1分）；

提交VLAN10的主機用tracert 192.168.20.1訪問外部網絡主機的截圖（1分）；

提交VLAN40的主機用tracert 192.168.10.1訪問外部網絡主機的截圖（1分）；

提交FHW1的display firewall session會話轉化表（1分）；

提交FHW2的display firewall session會話轉化表（1分）；

4）熱冗余備份環境下，在防火墻HFW2下的g1/0/4下執行shutdown命令后，等待一段時間，提交相關驗證結果（8分）

提交啟動熱冗余備份后防火墻HFW1的display hrp state結果（1分）；

提交啟動熱冗余備份后防火墻HFW1的display vrrp brief結果（1分）；

提交啟動熱冗余備份后防火墻HFW2的display hrp state結果（1分），提交啟動熱冗余備份后防火墻HFW2的display vrrp brief結果（1分）；

提交VLAN10的主機用tracert 192.168.20.1訪問外部網絡主機的截圖（1分）；

提交VLAN40的主機用tracert 192.168.10.1訪問外部網絡主機的截圖（1分）；

提交FHW1的display firewall session會話轉化表（1分）；

提交FHW2的display firewall session會話轉化表（1分）；

第三篇：防火墻的安全性分析論文

軟件學院

專 科 生 畢 業

實 踐 報 告

題 目： 防火墻的安全性分析

專 業： 計算機網絡技術 年(班)級： 學 號： 姓 名： 指導教師： 完成日期： 2010 年 03 月 17 日

防火墻的安全性分析

摘要：本文從防火墻的定義、為什么使用防火墻、防火墻的概念、防火墻的功能等方面介紹了防火墻的基本信息；并從防火墻的安全技術分析、防火墻的基本類型、防火墻的工作原理、防火墻的配置、防火墻的安全措施這五個方面來對防火墻的安全性進行分析。

關鍵詞：黑客，防火墻，網絡安全

目 錄

引言............................................................................................4

一、防火墻簡介................................................................................4 1.1防火墻的概念..........................................................................4 1.2防火墻出現的背景和意義......................................................5 1.3 防火墻的發展史.....................................................................5 1.4 防火墻的功能.........................................................................6

二、防火墻的基本類型......................................................................7 2.1 包過濾型.................................................................................7 2.2 網絡地址轉化型—NAT..........................................................7 2.3 代理型......................................................................................8 2.4 監測型......................................................................................8

三、防火墻的工作原理.......................................................................8

3.1相關術語...................................................................................8

3.2 防火墻的防御機理..................................................................9

四、防火墻的配置.............................................................................10

五、防火墻的安全技術分析.............................................................11

六、防火墻的安全措施.......................................................................14

七、總結.............................................................................................14 致謝.....................................................................................................參考文獻.............................................................................................引 言

在計算機技術和網絡技術普遍應用的今天，人們已經不再用腦子去記很多的東西了，而主要記載在計算機上或與之相關機器上，很多時候我們只需記載一些密碼便可，也方便查詢。但是，網絡也是不安全的，很多時候我們的計算機中的信息都有被盜的可能，因此，需要確保我們信息系統安全。以前，我們只需設置一些復雜的密碼就可以，但是上網后，黑客們還是能從各種途徑盜取我們的重要信息，包括我們的密碼和各種敏感信息。因此，我們不只要經常給系統打補丁，還要有一個好的防火墻。有防火墻可以更好的防范黑客攻擊。它可以控制端口的連接，將一些危險的端口屏蔽，防止他人對我們計算機的配置信息進行掃描；可以防范一些有攻擊性的病毒。因此，給我們的計算機安裝強有力的防火墻是很有必要的。我們可以根據自己愛好或用途選擇防火墻，如天網防火墻，諾頓安全特警，瑞星防火墻等。這里，我將運用自己所學知識，先介紹防火墻出現的背景、意義，防火墻的發展史，防火墻的概念及其功能。然后從防火墻的類型、工作原理、配置、安全技術分析及其安全措施對防火墻的安全性進行分析。

一、防火墻簡介

1.1防火墻的概念

防火墻是汽車中一個部件的名稱。在汽車中，利用防火墻把乘客和引擎隔開，以便汽車引擎一旦著火，防火墻不但能保護乘客安全，而同時還能讓司機繼續控制引擎。

在電腦術語中，當然就不是這個意思了，我們可以類比來理解，在網絡中，所謂“防火墻”，是指一種將內部網和公眾訪問網分開的方法，它實際上是一種隔離技術。防火墻是在兩個網絡通訊時執行的一種訪問控制尺度，它能允許你“同意”的人和數據進入你的網絡，同時將你“不同意”的人和數據拒之門外，最大限度地阻止網絡中的黑客來訪問你的網絡。它可 4 通過監測、限制、更改跨越防火墻的數據流，盡可能地對外部屏蔽網絡內部的信息、結構和運行狀況，以此來實現網絡的安全保護。

在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和Internet之間的任何活動，保證了內部網絡的安全。

防火墻的優點：

（1）防火墻能強化安全策略。

（2）防火墻能有效地記錄Internet上的活動。

（3）防火墻限制暴露用戶點。防火墻能夠用來隔開網絡中一個網段與另一個網段。這樣，能夠防止影響一個網段的問題通過整個網絡傳播。

（4）防火墻是一個安全策略的檢查站。所有進出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點，使可疑的訪問被拒絕于門外。

1.2防火墻出現的背景和意義

隨著計算機的發展，人們越來越意識到網絡的重要性，通過網絡，分散在各處的計算機被網絡聯系在一起。作為網絡的組成部分，把眾多的計算機聯系在一起，組成一個局域網，在這個局域網中，可以在它們之間共享程序、文檔等各種資源；還可以通過網絡使多臺計算機共享同一硬件，如打印機、調制解調器等；同時我們也可以通過網絡使用計算機發送和接收傳真，方便快捷而且經濟。21世紀全世界的計算機都將通過Internet聯到一起，信息安全的內涵也就發生了根本的變化。它不僅從一般性的防衛變成了一種非常普通的防范，而且還 從一種專門的領域變成了無處不在。信息安全是國家發展所面臨的一個重要問題。發展安全產業是信息安全保障系統的一個重要組成部分，甚至應該看到它對我國未來電子化、信息化的發展將起到非常重要的作用。

1.3防火墻的發展史

第一代防火墻：

第一代防火墻技術幾乎與路由器同時出現，采用了包過濾（Packet filter）技術。

第二、三代防火墻：

1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結構。

第四代防火墻：

1992年，USC信息科學院的BobBraden開發出了基于動態包過濾（Dynamic packet filter）技術的第四代防火墻，后來演變為目前所說的狀態監視（Stateful inspection）技術。1994年，以色列的CheckPoint公司開發出了第一個采用這種技術的商業化的產品。第五代防火墻：

1998年，NAI公司推出了一種自適應代理（Adaptive proxy）技術，并在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火墻賦予了全新的意義，可以稱之為第五代防火墻。

1.4 防火墻的功能

防火墻最基本的功能就是控制在計算機網絡中，不同信任程度區域間傳送的數據流。典型信任的區域包括互聯網(一個沒有信任的區域)和一個內部網絡(一個高信任的區域)。最終目標是提供受控連通性在不同水平的信任區域通過安全政策的運行和連通性模型之間根據最少特權原則。

例如：TCP/IP Port 135~139是 Microsoft Windows 的【網上鄰居】所使用的。如果計算機有使用【網上鄰居】的【共享文件夾】，又沒使用任何防火墻相關的防護措施的話，就等于把自己的【共享文件夾】公開到Internet，供不特定的任何人有機會瀏覽目錄內的文件。防火墻的主要功能有以下幾點：

①防火墻對流經它的網絡通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。防火墻還可以關閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最后，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。通過過濾不安全的服務，防火墻可以極大地提高網絡安全和減少子網中主機的風險。

②防火墻能極大地提高一個內部網絡的安全性，并通過過濾不安全的服務而降低風險。由于只有經過精心選擇的應用協議才能通過防火墻，所以網絡環境變得更安全。防火墻同時可以保護網絡免受基于路由的攻擊。

③通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網絡安全問題分散到各個主機上相比，防火墻的集中安全管理更經濟。例如在網絡訪問時，一次密口令系統和其它的身份認證系統完全可以不必分散在各個主機上，而集中在防火墻一身上。

如果所有的訪問都經過防火墻，那么，防火墻就能記錄下這些訪問并作日志記錄，同時也能提供網絡使用情況的統計數據。當發生可疑動作時，防火墻能進行適當的報警，并提供網絡是否受到監測和攻擊的詳細信息。

⑤除了安全作用，防火墻還支持具有Internet服務特性的企業內部網絡技術體系VPN（虛擬專用網）。

二、防火墻的基本類型

根據防火墻所采用的技術不同,我們可以將它分為四種基本類型:包過濾型、網絡地址轉換—NAT型、代理型和監測型。

2.1包過濾型

網絡上的數據都是以“包”為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。防火墻通過讀取數據包中的地址信息來判斷這些“包”是否來自可信任的安全站點 ,一旦發現來自危險站點的數據包,防火墻便會將這些數據拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。

包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況 7 下,能夠以較小的代價在一定程度上保證系統的安全。

2.2網絡地址轉化—NAT型

網絡地址轉換是一種用于把IP地址轉換成臨時的、外部的、注冊的IP地址標準。它允許具有私有IP地址的內部網絡訪問因特網。它還意味著用戶不許要為其網絡中每一臺機器取得注冊的IP地址。

在內部網絡通過安全網卡訪問外部網絡時，將產生一個映射記錄。系統將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接，這樣對外就隱藏了真實的內部網絡地址。在外部網絡通過非安全網卡訪問內部網絡時，它并不知道內部網絡的連接情況，而只是通過一個開放的IP地址和端口來請求訪問。OLM防火墻根據預先定義好的映射規則來判斷這個訪問是否安全。當符合規則時，防火墻認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內部計算機中。當不符合規則時，防火墻認為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。網絡地址轉換的過程對于用戶來說是透明的，不需要用戶進行設置，用戶只要進行常規操作即可。

2.3代理型

代理型防火墻也稱為代理服務器,它的安全性要高于包過濾型產品,并已經開始向應用層發展。代理服務器位于客戶機與服務器之間,完全阻擋了二者間的數據交流。從客戶機來看,代理服務器相當于一臺真正的服務器;而從服務器來看,代理服務器又是一臺真正的客戶機。由于外部系統與內部服務器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網絡系統。

代理型防火墻的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基于應用層的侵入和病毒都十分有效。其缺點是對系統的整體性能有較大的影響,而且代理服務器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。

2.4監測型

監測型防火墻是新一代的產品,這一技術實際已經超越了最初的防火墻義。監測型防火墻能夠對各層的數據進行主動的、實時的監測,在對這些數據加以分 8 析的基礎上,監測型防火墻能夠有效地判斷出各層中的非法侵入。同時,這種檢測型防火墻產品一般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防范作用。

雖然監測型防火墻安全性上已超越了包過濾型和代理服務器型防火墻,但由于監測型防火墻技術的實現成本較高,也不易管理。

三、防火墻的工作原理

3.1 相關術語

①網關

網關是在兩上設備之間提供轉發服務的系統。網關的范圍可以從互聯網應用程序如公共網關接口(CGI)到在兩臺主機間處理流量的防火墻網關，這個術語是非常常見的。②電路級網關

電路級網關用來監控受信任的客戶或服務器與不受信任的主機間的TCP握手信息，這樣來決定該會話是否合法，電路級網關是在OSI模型中會話層上來過濾數據包，這樣比包過濾防火墻要高兩層。另外，電路級網關還提供一個重要的安全功能:網絡地址轉移(NAT)將所有公司內部的IP地址映射到一個“安全”的IP地址，這個地址是由防火墻使用的。③應用級網關

應用級網關可以工作在OSI七層模型的任一層上，能夠檢查進出的數據包，通過網關復制傳遞數據，防止在受信任服務器和客戶機與不受信任的主機間直接建立聯系。應用級網關能夠理解應用層上的協議，能夠做復雜一些的訪問控制，并做精細的注冊。通常是在特殊的服務器上安裝軟件來實現的。④包過濾

包過濾是處理網絡上基于packet-by-packet流量的設備。包過濾設備允許或阻止包，典型的實施方法是通過標準的路由器。在上文的防火墻類型中做過介紹。

⑤代理服務器

代理服務器代表內部客戶端與外部的服務器通信。代理服務器這個術語通常是指一個應用級的網關，雖然電路級網關也可作為代理服務器的一種。⑥網絡地址翻譯(NAT)網絡地址解釋是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP尋址方式的諸多限制，完善內部尋址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。

3.2防火墻的防御機理

①包過濾型防火墻：數據包過濾技術是在網絡層對數據包進行選擇、過濾，選擇、過濾的標準是以網絡管理員事先設置的過濾邏輯(即訪問控制表)為依據的。防火墻通過檢查數據流中每個數據包的源地址、目的地址、所用端口號、協議狀態等信息，來確定是否允許該數據包通過。包過濾型防火墻的優點是效率比較高。包過濾（PacketFliter）通常安裝在路由器上，而且大多數商用路由器都提供了包過濾的功能。包過濾規則以IP包信息為基礎，對IP源地址、目標地址、封裝協議、端口號等進行篩選。包過濾在網絡層進行。

②應用級網關型防火墻：應用級網關是在網絡應用層上建立協議、實現過濾和轉發功能的。它針對特定的網絡應用服務協議，采用不同的數據過濾邏輯，并在過濾的同時對數據包進行必要的分析、登記和統計，形成報告，大大提高了網絡的安全性。

特別需要指出的是：應用級網關型防火墻和包過濾型防火墻有一個共同的特點，它們僅僅依靠特定的邏輯判定是否允許數據包通過。一旦滿足邏輯，則防火墻內外的計算機系統就建立起直接的聯系，防火墻外部的用戶便有可能直接了解防火墻內部的網絡結構和運行狀態，從而使非法訪問和攻擊容易得逞。

③代理服務型防火墻：代理服務也稱鏈路級網關(Circuit Level Gateways)或TCP通道(TCP Tunnels)，也有人將它歸于應用級網關一類。它是針對包過濾和應用級網關技術存在的缺陷而引入的防火墻技術，其特點是將所有跨越防火墻的網絡通信鏈路分為兩段。防火墻內外計算機系統間應用層的“鏈接”由代理服務器實現，外部計算機的網絡鏈路只能到達代理服務器，從而起到了隔離防火墻內外計算機系統的作用。此外，代理服務器也對過往的數據包進行分析、注冊登記，形成報告。當發現被攻擊跡象時，代理服務器會向網絡管理員發出警報。應 用級網關型和代理服務型防火墻大多是基于主機的，價格比較貴，但性能很好，其安裝和使用也比采用數據包過濾技術的防火墻復雜一些。

四、防火墻的配置

防火墻配置有三種：Dual-homed方式、Screened-host方式和Screened-subnet方式。

Dual-homed方式最簡單。Dual-homedGateway放置在兩個網絡之間，這個Dual-omedGateway又稱為bastionhost。這種結構成本低，但是它有單點失敗的問題。這種結構沒有增加網絡安全的自我防衛能力，而它往往是受“黑客”攻擊的首選目標，它自己一旦被攻破，整個網絡也就暴露了。

Screened-host方式中的Screeningrouter為保護Bastionhost的安全建立了一道屏障。它將所有進入的信息先送往Bastionhost，并且只接受來自Bastionhost的數據作為出去的數據。這種結構依賴Screeningrouter和Bastionhost，只要有一個失敗，整個網絡就暴露了。

Screened-subnet包含兩個Screeningrouter和兩個Bastionhost。在公共網絡和私有網絡之間構成了一個隔離網，稱之為“停火區”（DMZ，即DemilitarizedZone）,Bastionhost放置在“停火區”內。這種結構安全性好，只有當兩個安全單元被破壞后，網絡才被暴露，但是成本也很昂貴。

五、防火墻的安全技術分析

防火墻產品最難評估的方面是防火墻的安全性能,即防火墻是否能夠有效地阻擋外部入侵。

防火墻技術是指網絡之間通過預定義的安全策略，對內外網通信強制實施訪問控制的安全應用措施。它對兩個或多個網絡之間傳輸的數據包按照一定的安全策略來實施檢查，以決定網絡之間的通信是否被允許，并并監視網絡運行狀態。（1）只有正確選用、合理配置防火墻，才能有效發揮其安全防護作用

防火墻作為網絡安全的一種防護手段，自多種實現方式。建立合理的防護系統，配置有效的防火墻應遵循這樣四個基本步驟：

1、風險分析．

2、需求分析：

3、確定安全政策：

4、選擇準確的防護手段，并使之與安全政策保持一致。（2）應正確評估防火墻的失效狀態

評價防火墻性能如何及能否起到安全防護作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬跡，而且要看到一旦防火墻被攻破，它的狀態如何？

按級別來分，它應有這樣４種狀態：

1、未受傷害能夠繼續正常工作；

2、關閉并重新啟動，同時恢復到正常工作狀態；

3、關閉并禁止所有的數據通行；

4、關閉并允許所有的數據通行。

前兩種狀態比較理想，而第4種最不安全。但是許多防火墻由于沒有條件進行失效狀態測試和驗證，無法確定其失效狀態等級，因此網絡必然存在安全隱患。防火墻能否起到防護作用，最根本、最有效的證明方法是對其進行測試，甚至站在“黑客”的角度采用各種手段對防火墻進行攻擊。然而具體執行時難度較大，原因是：

1、防火墻性能測試目前還是一種很新的技術，可用的工具和軟件較少。

2、防火墻測試技術尚不先迸，與防火墻設計并非完全吻合，使得測試工作難以達到既定的效果。

3、選擇“誰”進行公正的測試也是一個問題。可見，防火墻的性能測試決不是一件簡單的事情，但這種測試又相當重要。（3）防火墻必須進行動態維護

防火墻安裝和投入使用后，并非萬事大吉。要想充分發揮它的安全防護作用，必須對它進行跟蹤和維護，商家一旦發現其產品存在安全漏洞，就會盡快發布補救產品，此時應盡快確認真偽(防止特洛伊木馬等病毒)，并對防火墻軟件進行更新。

（4）非法攻擊防火墻的基本“招數”

1、通常情況下，有效的攻擊都是從相關的子網進行的。因為這些網址得到了防火墻的信賴，雖說成功與否尚取決于機遇等其他因素，但對攻擊者而言很值得一試。許多防火墻軟件無法識別數據包到底來自哪個網絡接口，因此攻擊者無 12 需表明進攻數據包的真正來源，只需偽裝IP地址，取得目標的信任，使其認為來自網絡內部即可。IP地址欺騙攻擊正是基于這類防火墻對IP地址缺乏識別和驗證的機制。

通常主機A與主機B的TCP連接(中間有或無防火墻)是通過主機A向主機B提出請求建立起來的，而其間A和B的確認僅僅根據由主機A產生并經主機B驗證的初始序列號ISN。

具體分三個步驟：

1．主機A產生它的ISN，傳送給主機B，請求建立連接；

2．B接收到來自A的帶有SYN標志的ISN后，將自己本身的ISN連同應答信息ACK一同返回給A；

3.A再將B傳送來的ISN及應答信息ACK返回給B。至此，正常情況，主機A與B的TCP連接就建立起來了。

IP地址欺騙攻擊的第一步是切斷可信賴主機.這樣可以使用TCP淹沒攻擊，使得信賴主機處于“自顧不暇”的忙碌狀態，相當于被切斷，這時目標主機會認為信賴主機出現了故障，只能發出無法建立連接的RST包而無暇顧及其他。

攻擊者最關心的是猜測目標主機的ISN。為此，可以利用SMTP的端口(25)，通常它是開放的，郵件能夠通過這個端口，與目標主機打開一個TCP連接，因而得到它的ISN。在此有效期間，重復這一過程若干次，以便能夠猜測和確定ISN的產生和變化規律，這樣就可以使用被切斷的可信賴主機的IP地址向目標主機發出連接請求。

請求發出后，目標主機會認為它是TCP連接的請求者，從而給信賴主機發送響應(包括SYN)，而信賴主機目前仍忙于處理Flood淹沒攻擊產生的“合法”請求，因此目標主機不能得到來自于信賴主機的響應。

現在攻擊者發出回答響應，并連同預測的目標主機的ISN一同發給目標主機。

隨著不斷地糾正預測的ISN，攻擊者最終會與目標主機建立一個會晤。通過這種方式，攻擊者以合法用戶的身份登錄到目標主機而不需進一步的確認。如果反復試驗使得目標主機能夠接收對網絡的ROOT登錄，那么就可以完全控制整個網絡。

歸納起來，防火墻安全防護面臨威脅的幾個主要原因有：①SOCK的錯誤配置；②不適當的安全政策；③強力攻擊；④允許匿名的FTP協議；⑤允許TFTP協議；⑥允許Rlogin命令；⑦允許X－Windows或OpenWindows；⑧端口映射；⑨可加載的NFS協議；⑩允許Win95/NT文件共享。

破壞防火墻的另一種方式是攻擊與干擾相結合。也就是在攻擊期間使防火墻始終處于繁忙的狀態。防火墻過分的繁忙有時會導致它忘記履行安全防護的職能，處于失效狀態。

需要特別注意的是，防火墻也可能被內部攻擊。因為安裝了防火墻后，隨意訪問被嚴格禁止了，這樣內部人員無法在閑暇的時間通過Telnet瀏覽郵件或使用FTP向外發送信息，個別人會對防火墻不滿進而可能攻擊它、破壞它，期望回到從前的狀態。這里，攻擊的目標常常是防火墻或防火墻運行的操作系統，因此不僅涉及網絡安全，還涉及主機安全問題。

以上分析表明，防火墻的安全防護性能依賴的因素很多。防火墻并非萬能，它最多只能防護經過其本身的非法訪問和攻擊，而對不經防火墻的訪問和攻擊則無能為力。

六、防火墻的安全措施

各種防火墻的安全性能不盡相同，以下是一些一般防火墻的常用安全措施：

1.防電子欺騙術

防電子欺騙術功能是保證數據包的IP地址與網關接口相符，防止通過修改IP地址的方法進行非授權訪問。還應對可疑信息進行鑒別，并向網絡管理員報警。

2.網絡地址轉移

地址轉移是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP尋址方式的諸多限制，完善內部尋址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。3.開放式結構設計

開放式結構設計使得防火墻與相關應用程序和外部用戶數據庫的連接相當容易，典型的應用程序連接如財務軟件包、病毒掃描、登錄分析等。

七、總結

第四篇：防火墻論文

防火墻技術論文

姓 名：王田輝 學 號：2012110438 專 業：網絡工程

摘要

本文介紹了防火墻的概念、分類、發展歷程、工作原理、主要技術及相關的特性。防火墻是一種訪問控制技術，它通過在某個機構的網絡和不安全的網絡之間設置障礙，阻止信息資源的非法訪問。說明了網絡常見攻擊方式以及防火墻應對策略。分析了防火墻技術在Internet安全上的重要作用，并提出其不足之處 和解決方案。最后展望了防火墻的反戰前景以及技術方向。

關鍵字：防火墻；網絡；網絡安全；功能；Internet；

Abstract The paper introduces the concept, classification and firewall development course, working principle and main technology and related properties.A firewall is a kind of access control technology, it is through the network and in some institutions unsafe network between obstacles, stop the illegal access to information resources.Explain the network attack mode and common firewall strategies.Analysis on the Internet security firewall technology was proposed, and the important role of the deficiencies and solutions.Finally discussed the prospect and the anti-war firewall technology trends.Key words: firewall, Network, Network security, Function, Internet，目錄

一、防火墻是什么.........................................1

二、防火墻的分類.........................................1

三、防火墻的發展歷程.....................................1

四、防火墻的工作原理.....................................2

五、防火墻應該具備的特性.................................2

六、防火墻主要技術.......................................2

七、常見攻擊方式以及應對策略.............................3

八、防火墻的反戰前景以及技術方向.........................3

九、結束語...............................................4

十、參考文獻.............................................4 現在無論是企業，還是個人，隨著計算機的應用由單機發展到網絡，網絡面臨著大量的安全威脅，其安全問題日益嚴重，日益成為廣泛關注的焦點。在這樣一個大環境下，網絡安全問題凝了人們的注意力，大大小小的企業紛紛為自己的內部網絡“筑墻”，防病毒與防黑客成為確保企業信息系統安全的基本手段。因此信息安全，網絡安全的問題已經引起各國，各部門，各行各業以及每個計算機用戶的充分重視。

一、防火墻是什么

防火墻就是一個位于計算機和它所連接的網絡之間的軟件。該計算機流入流出的所有網絡通信均要經過此防火墻。

二、防火墻的分類

防火墻又大致分為硬件防火墻和軟件防火墻:硬件防火墻是指把防火墻程序做到芯片里面，由硬件執行這些功能，能減少CPU的負擔，使路由更穩定。硬件防火墻一般都有WAN、LAN和DMZ三個端口，還具有各種安全功能，價格比較高，企業以及大型網絡使用得比較多。軟件防火墻其實就是安全防護軟件，比如天網防火墻、金山網鏢、藍盾防火墻等等。

三、防火墻的發展歷程

目前的防火墻無論從技術上還是產品發展歷程上，都經歷了五個發展階段。第一代防火墻技術幾乎與路由器同時出現，采用了包過濾技術。1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結構。第四代防火墻是1992年，USC信息科學院的BobBraden開發出了基于動態包過濾技術的第四代防火墻，后來演變為目前所說的狀態監視技術。1994年，以色列的CheckPoint公司開發出了第一個采用這種技術的商業化的產品。第五代防火墻是1998年，NAI公司推出了一種自適應代理技術，并在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火墻賦予了全新的意義。高級應用代理的研究，克服速度和安全性之間的矛盾，可以稱之為第五代防火墻。前五代防火墻技術有一個共同的特點，就是采用逐一匹配方法，計算量太大。包過濾是對IP包進行匹配檢查，狀態檢測包過濾除了對包進行匹配檢查外還要對狀態信息進行匹配檢查，應用代理對應用協議和應用數據進行匹配檢查。因此，它們都有一個共同的缺陷，安全性越高，檢查的越多，效率越低。用一個定律來描述，就是防火墻的安全性與效率成反比。

四、防火墻的工作原理

天下的防火墻至少都會說兩個詞：Yes或者No。直接說就是接受或者拒絕。最簡單的防火墻是以太網橋。但幾乎沒有人會認為這種原始防火墻能管多大用。大多數防火墻采用的技術和標準可謂五花八門。這些防火墻的形式多種多樣：有的取代系統上已經裝備的TCP/IP協議棧；有的在已有的協議棧上建立自己的軟件模塊；有的干脆就是獨立的一套操作系統。還有一些應用型的防火墻只對特定類型的網絡連接提供保護（比如SMTP或者HTTP協議等）。還有一些基于硬件的防火墻產品其實應該歸入安全路由器一類。以上的產品都可以叫做防火墻，因為他們的工作方式都是一樣的：分析出入防火墻的數據包，決定放行還是把他們扔到一邊。所有的防火墻都具有IP地址過濾功能。這項任務要檢查IP包頭，根據其IP源地址和目標地址作出放行/丟棄決定。

五、防火墻應該具備的特性

當前的防火墻需要具備如下的技術、功能、特性，才可以成為企業用戶歡迎的防火墻產品：

1、安全、成熟、國際領先的特性；

2、具有專有的硬件平臺和操作系統平臺；

3、采用高性能的全狀態檢測（Stateful Inspection）技術；

4、具有優異的管理功能，提供優異的GUI管理界面；

5、支持多種用戶認證類型和多種認證機制；

6、需要支持用戶分組，并支持分組認證和授權；

7、支持內容過濾；

8、支持動態和靜態地址翻譯(NAT；

9、支持高可用性，單臺防火墻的故障不能影響系統的正常運行；

10、支持本地管理和遠程管理；

11、支持日志管理和對日志的統計分析；

12、實時告警功能，在不影響性能的情況下，支持較大數量的連接數；

13、在保持足夠的性能指標的前提下，能夠提供盡量豐富的功能；

14、可以劃分很多不同安全級別的區域，相同安全級別可控制是否相互通訊；

15、支持在線升級；

16、支持虛擬防火墻及對虛擬防火墻的資源限制等功能；

17、防火墻能夠與入侵檢測系統互動。

六、防火墻主要技術

先進的防火墻產品將網關與安全系統合二為一，具有以下技術：雙端口或三端口的結構；透明的訪問方式；靈活的代理系統；多級的過濾技術；網絡地址轉換技術（NAT）；Internet網關技術；安全服務器網絡（SSN）；用戶鑒別與加密；用戶定制服務；審計和告警。

七、常見攻擊方式以及應對策略

（一）病毒

策略：設定安全等級，嚴格阻止系統在未經安全檢測的情況下執行下載程序；或者通過常用的基于主機的安全方法來保護網絡。

（二）口令字

對口令字的攻擊方式有兩種：窮舉和嗅探。窮舉針對來自外部網絡的攻擊，來猜測防火墻管理的口令字。嗅探針對內部網絡的攻擊，通過監測網絡獲取主機給防火墻的口令字。

策略：設計主機與防火墻通過單獨接口通信（即專用服務器端口）、采用一次性口令或禁止直接登錄防火墻。

（三）郵件

來自于郵件的攻擊方式越來越突出，在這種攻擊中，垃圾郵件制造者將一條消息復制成成千上萬份，并按一個巨大的電子郵件地址清單發送這條信息，當不經意打開郵件時，惡意代碼即可進入。

策略：打開防火墻上的過濾功能，在內網主機上采取相應阻止措施。

（四）IP地址

黑客利用一個類似于內部網絡的IP地址，以“逃過”服務器檢測，從而進入內部網達到攻擊的目的。策略：通過打開內核rp_filter功能，丟棄所有來自網絡外部但卻有內部地址的數據包；同時將特定IP地址與MAC綁定，只有擁有相應MAC地址的用戶才能使用被綁定的IP地址進行網絡訪問。

八、防火墻的反戰前景以及技術方向

伴隨著Internet的飛速發展，防火墻技術與產品的更新步伐必然會加強，而要全面展望防火墻技術的發展幾乎是不可能的。但是，從產品及功能上，卻又可以看出一些動向和趨勢。下面諸點可能是下一步的走向和選擇：

（1)防火墻將從目前對子網或內部網管理的方式向遠程上網集中管理的方式發展。

（2)過濾深度會不斷加強，從目前的地址、服務過濾，發展到URL(頁面)過濾、關鍵字過濾和對ActiveX、Java等的過濾，并逐漸有病毒掃描功能。

（3)利用防火墻建立專用網是較長一段時間用戶使用的主流，IP的加密需求越來越強，安全協議的開發是一大熱點。

（4)單向防火墻(又叫做網絡二極管)將作為一種產品門類而出現。（5)對網絡攻擊的檢測和各種告警將成為防火墻的重要功能。（6)安全管理工具不斷完善，特別是可以活動的日志分析工具等將成為防火墻產品中的一部分。 另外值得一提的是，伴隨著防火墻技術的不斷發展，人們選擇防火墻的標準將主要集中在易于管理、應用透明性、鑒別與加密功能、操作環境和硬件要求、VPN 的功能與CA的功能、接口的數量、成本等幾個方面。幾乎所有接觸網絡的人都知道網絡中有一些費盡心機闖入他人計算機系統的人，他們利用各種網絡和系統的漏洞，非法獲得未授權的訪問信息。不幸的是如今攻擊網絡系統和竊取信息已經不需要什么高深的技巧。網絡中有大量的攻擊工具和攻擊文章等資源，可以任意使用和共享。不需要去了解那些攻擊程序是如何運行的，只需要簡單的執行就可以給網絡造成巨大的威脅。甚至部分程序不需要人為的參與，非常智能化的掃描和破壞整個網絡。這種情況使得近幾年的攻擊頻率和密度顯著增長，給網絡安全帶來越來越多的安全隱患

九、結束語

隨著Internet/Intranet技術的飛速發展，網絡安全問題必將愈來愈引起人們的重視。防火墻技術作為目前用來實現網絡安全措施的一種主要手段，它主要是用來拒絕未經授權用戶的訪問，阻止未經授權用戶存取敏感數據，同時允許合法用戶不受妨礙的訪問網絡資源。如果使用得當，可以在很大程度上提高網絡安全。但是沒有一種技術可以百分之百地解決網絡上的所有問題，比如防火墻雖然能對來自外部網絡的攻擊進行有效的保護，但對于來自網絡內部的攻擊卻無能為力。事實上60%以上的網絡安全問題來自網絡內部。因此網絡安全單靠防火墻是不夠的，還需要有其它技術和非技術因素的考慮，如信息加密技術、身份驗證技術、制定網絡法規、提高網絡管理人員的安全意識等等。

十、參考文獻

[1] 作者：彭濤.《計算機網絡教程 》 機械工業出版社 [2] 作者：IBON.Marshield 《網絡安全技術白皮書》 艾邦公司資料

[3] 作者：楚狂 等 《網絡安全與Firewall技術》 人民郵電出版社 [4] 作者：聶元銘 丘平《網絡信息安全技術》 科學出版社

第五篇：防火墻論文

河北大學人民武裝學院

河北大學人民武裝學院2015屆畢業論文

防火墻安全技術

河北大學人民武裝學院

中 隊：三十一中隊

專 業：計算機網絡技術

班

級：四班

姓 名：馬偉韜

防火墻安全技術

摘 要

隨著計算機網絡的發展，上網的人數不斷地增大，網上的資源也不斷地增加，網絡的開放性、共享性、互連程度也隨著擴大，所以網絡的安全問題也是現在注重考慮的問題。本文介紹網絡安全可行的解決方案——防火墻技術，防火墻技術是近年來發展起來的一種保護計算機網絡安全的技術性措施，它實際上是一種訪問控制技術，在某個機構的網絡和不安全的網絡之間設置障礙，阻止對信息資源的非法訪問, 也可以使用它阻止保密信息從受保護網絡上被非法輸出。

關鍵詞：防火墻

網絡安全

包過濾

狀態監視

應用代理

河北大學人民武裝學院

河北大學人民武裝學院

目 錄

引

言..............................................................................................5

一、防火墻的概念..............................................................................6

二、防火墻的分類..............................................................................7

三、防火墻技術................................................................................10

四、技術展望....................................................................................13 結

論...............................................................................................14 謝

辭............................................................................................15 參考文獻............................................................................................16

河北大學人民武裝學院

引

言

隨著科學技術的快速發展，網絡技術的不斷發展和完善，在當今信息化的社會中，我們生活和工作中的許多數據、資源與信息都通過計算機系統來存儲和處理，伴隨著網絡應用的發展，這些信息都通過網絡來傳送、接收和處理，所以計算機網絡在社會生活中的作用越來越大。為了維護計算機網絡的安全，人們提出了許多手段和方法，采用防火墻是其中最主要、最核心、最有效的手段之一。防火墻是網絡安全政策的有機組成部分，它通過控制和監測網絡之間的信息交換和訪問行為來實施對網絡安全的有效管理。

河北大學人民武裝學院

一、防火墻的概念

近年來，隨著普通計算機用戶群的日益增長，“防火墻”一詞已經不再是服務器領域的專署，大部分家庭用戶都知道為自己愛機安裝各種“防火墻”軟件了。但是，并不是所有用戶都對“防火墻”有所了解的，一部分用戶甚至認為，“防火墻”是一種軟件的名稱。

到底什么才是防火墻？它工作在什么位置，起著什么作用？查閱歷史書籍可知，古代構筑和使用木制結構房屋的時候為防止火災的發生和蔓延，人們將堅固的石塊堆砌在房屋周圍作為屏障，這種防護構筑物就被稱為“防火墻”（firewall）。時光飛梭，隨著計算機和網絡的發展，各種攻擊入侵手段也相繼出現了，為了保護計算機的安全，人們開發出一種能阻止計算機之間直接通信的技術，并沿用了古代類似這個功能的名字——“防火墻”技術來源于此。用專業術語來說，防火墻是一種位于兩個或多個網絡間，實施網絡之間訪問控制的組件集合。對于普通用戶來說，所謂“防火墻”，指的就是一種被放置在自己的計算機與外界網絡之間的防御系統，從網絡發往計算機的所有數據都要經過它的判斷處理后，才會決定能不能把這些數據交給計算機，一旦發現有害數據，防火墻就會攔截下來，實現了對計算機的保護功能。

防火墻技術從誕生開始，就在一刻不停的發展著，各種不同結構不同功能的防火墻，構筑成網絡上的一道道防御大堤。

河北大學人民武裝學院

二、防火墻的分類

世界上沒有一種事物是唯一的，防火墻也一樣，為了更有效率的對付網絡上各種不同攻擊手段，防火墻也派分出幾種防御架構。根據物理特性，防火墻分為兩大類，硬件防火墻和軟件防火墻。軟件防火墻是一種安裝在負責內外網絡轉換的網關服務器或者獨立的個人計算機上的特殊程序，它是以邏輯形式存在的，防火墻程序跟隨系統啟動，通過運行在ring0級別的特殊驅動模塊把防御機制插入系統關于網絡的處理部分和網絡接口設備驅動之間，形成一種邏輯上的防御體系。

在沒有軟件防火墻之前，系統和網絡接口設備之間的通道是直接的，網絡接口設備通過網絡驅動程序接口（network driver interface specification，ndis）把網絡上傳來的各種報文都忠實的交給系統處理，例如一臺計算機接收到請求列出機器上所有共享資源的數據報文，ndis直接把這個報文提交給系統，系統在處理后就會返回相應數據，在某些情況下就會造成信息泄漏。而使用軟件防火墻后，盡管ndis接收到仍然的是原封不動的數據報文，但是在提交到系統的通道上多了一層防御機制，所有數據報文都要經過這層機制根據一定的規則判斷處理，只有它認為安全的數據才能到達系統，其他數據則被丟棄。因為有規則提到“列出共享資源的行為是危險的”，因此在防火墻的判斷下，這個報文會被丟棄，這樣一來，系統接收不到報文，則認為什么事情也沒發生過，也就不會把信息泄漏出去了。

軟件防火墻工作于系統接口與ndis之間，用于檢查過濾由ndis發送過來的數據，在無需改動硬件的前提下便能實現一定強度的安全保障，但是由于軟件防火墻自身屬于運行于系統上的程序，不可避免的需要占用一部分cpu資源維持工作，而且由于數據判斷處理需要一定的時間，在一些數據流量大的網絡里，軟件防火墻會使整個系統工作效率和數據吞吐速度下降，甚至有些軟件防火墻會存在漏洞，導致有害數據可以繞過它的防御體系，給數據安全帶來損失，因此，許多企業并不會考慮用軟件防火墻方案作為公司網絡的防御措施，而是使用看得見摸得著的硬件防火墻。

硬件防火墻是一種以物理形式存在的專用設備，通常架設于兩個網絡的駁接處，直接從網絡設備上檢查過濾有害的數據報文，位于防火墻設備后端的網絡或者服務器接收到的是經過防火墻處理的相對安全的數據，不必另外分出cpu資源去進行基于軟件架構的ndis數據檢測，可以大大提高工作效率。

硬件防火墻一般是通過網線連接于外部網絡接口與內部服務器或企業網絡之間的設備，這里又另外派分出兩種結構，一種是普通硬件級別防火墻，它擁有標準計算機的硬件平臺和一些功能經過簡化處理的unix系列操作系統和防火墻軟件，這種防火墻措施相當于專門拿出一臺計算機安裝了軟件防火墻，除了不需要處理其他事務以外，它畢竟還是一般的操作系統，因此有可能會存在漏洞和不穩定因

河北大學人民武裝學院

素，安全性并不能做到最好；另一種是所謂的“芯片”級硬件防火墻，它采用專門設計的硬件平臺，在上面搭建的軟件也是專門開發的，并非流行的操作系統，因而可以達到較好的安全性能保障。但無論是哪種硬件防火墻，管理員都可以通過計算機連接上去設置工作參數。由于硬件防火墻的主要作用是把傳入的數據報文進行過濾處理后轉發到位于防火墻后面的網絡中，因此它自身的硬件規格也是分檔次的，盡管硬件防火墻已經足以實現比較高的信息處理效率，但是在一些對數據吞吐量要求很高的網絡里，檔次低的防火墻仍然會形成瓶頸，所以對于一些大企業而言，芯片級的硬件防火墻才是他們的首選。

有人也許會這么想，既然pc架構的防火墻也不過如此，那么購買這種防火墻還不如自己找技術人員專門騰出一臺計算機來做防火墻方案了。雖然這樣做也是可以的，但是工作效率并不能和真正的pc架構防火墻相比，因為pc架構防火墻采用的是專門修改簡化過的系統和相應防火墻程序，比一般計算機系統和軟件防火墻更高度緊密集合，而且由于它的工作性質決定了它要具備非常高的穩定性、實用性和非常高的系統吞吐性能，這些要求并不是安裝了多網卡的計算機就能簡單替代的，因此pc架構防火墻雖然是與計算機差不多的配置，價格卻相差很大。

現實中我們往往會發現，并非所有企業都架設了芯片級硬件防火墻，而是用pc架構防火墻甚至前面提到的計算機替代方案支撐著，為什么？這大概就是硬件防火墻最顯著的缺點了：它太貴了！購進一臺pc架構防火墻的成本至少都要幾千元，高檔次的芯片級防火墻方案更是在十萬元以上，這些價格并非是小企業所能承受的，而且對于一般家庭用戶而言，自己的數據和系統安全也無需專門用到一個硬件設備去保護，何況為一臺防火墻投入的資金足以讓用戶購買更高檔的電腦了，因而廣大用戶只要安裝一種好用的軟件防火墻就夠了。

為防火墻分類的方法很多，除了從形式上把它分為軟件防火墻和硬件防火墻以外，還可以從技術上分為“包過濾型”、“應用代理型”和“狀態監視”三類；從結構上又分為單一主機防火墻、路由集成式防火墻和分布式防火墻三種；按工作位置分為邊界防火墻、個人防火墻和混合防火墻；按防火墻性能分為百兆級防火墻和千兆級防火墻兩類??雖然看似種類繁多，但這只是因為業界分類方法不同罷了，例如一臺硬件防火墻就可能由于結構、數據吞吐量和工作位置而規劃為“百兆級狀態監視型邊界防火墻”，因此這里主要介紹的是技術方面的分類，即“包過濾型”、“應用代理型”和“狀態監視型”防火墻技術。

那么，那些所謂的“邊界防火墻”、“單一主機防火墻”又是什么概念呢？所謂“邊界”，就是指兩個網絡之間的接口處，工作于此的防火墻就被稱為“邊界防火墻”；與之相對的有“個人防火墻”，它們通常是基于軟件的防火墻，只處理一臺計算機的數據而不是整個網絡的數據，現在一般家庭用戶使用的軟件防火墻就是這個分類了。而“單一主機防火墻”呢，就是我們最常見的一臺臺硬件防火墻

河北大學人民武裝學院

了；一些廠商為了節約成本，直接把防火墻功能嵌進路由設備里，就形成了路由集成式防火墻。

河北大學人民武裝學院

三、防火墻技術

傳統意義上的防火墻技術分為三大類。

1.“包過濾”（packet filtering）、據都在于過濾規則的實施，但是偏又不能滿足建立精細規則的要求（規則數量和防火墻性能成反比），而且它只能工作于網絡層和傳輸層，并不能判斷高級協議里的數據是否有害，但是由于它廉價，容易實現，所以它依然服役在各種領域，在技術人員頻繁的設置下為我們工作著。

2.應用代理技術

由于包過濾技術無法提供完善的數據保護措施，而且一些特殊的報文攻擊僅僅使用過濾的方法并不能消除危害（如syn攻擊、icmp洪水等），因此人們需要一種更全面的防火墻保護技術，在這樣的需求背景下，采用“應用代理”（application proxy）技術的防火墻誕生了。我們的讀者還記得“代理”的概念嗎？代理服務器作為一個為用戶保密或者突破訪問限制的數據轉發通道，在網絡上應用廣泛。我們都知道，一個完整的代理設備包含一個服務端和客戶端，服務端接收來自用戶的請求，調用自身的客戶端模擬一個基于用戶請求的連接到目標服務器，再把目標服務器返回的數據轉發給用戶，完成一次代理工作過程。那么，如果在一臺代理設備的服務端和客戶端之間連接一個過濾措施呢？這樣的思想便造就了“應用代理”防火墻，這種防火墻實際上就是一臺小型的帶有數據檢測過濾功能的透明代理服務器（transparent proxy），但是它并不是單純的在一個代理設備中嵌入包過濾技術，而是一種被稱為“應用協議分析”（application protocol analysis）的新技術。

“應用協議分析”技術工作在osi模型的最高層——應用層上，在這一層里能接觸到的所有數據都是最終形式，也就是說，防火墻“看到”的數據和我們看到的是一樣的，而不是一個個帶著地址端口協議等原始內容的數據包，因而它可以實現更高級的數據檢測過程。整個代理防火墻把自身映射為一條透明線路，在用戶方面和外界線路看來，它們之間的連接并沒有任何阻礙，但是這個連接的數據收發實際上是經過了代理防火墻轉向的，當外界數據進入代理防火墻的客戶端時，“應用協議分析”模塊便根據應用層協議處理這個數據，通過預置的處理規則（沒錯，又是規則，防火墻離不開規則）查詢這個數據是否帶有危害，由于這一層面對的已經不再是組合有限的報文協議，甚至可以識別類似于“get /sql.asp?id=1 and 1”的數據內容，所以防火墻不僅能根據數據層提供的信息判斷數據，更能像管理員分析服務器日志那樣“看”內容辨危害。而且由于工作在應用層，防火墻還可以實現雙向限制，在過濾外部網絡有害數據的同時也監控著內部網絡的信息，管理員可以配置防火墻實現一個身份驗證和連接時限的

河北大學人民武裝學院

功能，進一步防止內部網絡信息泄漏的隱患。最后，由于代理防火墻采取是代理機制進行工作，內外部網絡之間的通信都需先經過代理服務器審核，通過后再由代理服務器連接，根本沒有給分隔在內外部網絡兩邊的計算機直接會話的機會，可以避免入侵者使用“數據驅動”攻擊方式（一種能通過包過濾技術防火墻規則的數據報文，但是當它進入計算機處理后，卻變成能夠修改系統設置和用戶數據的惡意代碼）滲透內部網絡，可以說，“應用代理”是比包過濾技術更完善的防火墻技術。

但是，似乎任何東西都不可能逃避“墨菲定律”的規則，代理型防火墻的結構特征偏偏正是它的最大缺點，由于它是基于代理技術的，通過防火墻的每個連接都必須建立在為之創建的代理程序進程上，而代理進程自身是要消耗一定時間的，更何況代理進程里還有一套復雜的協議分析機制在同時工作，于是數據在通過代理防火墻時就不可避免的發生數據遲滯現象，換個形象的說法，每個數據連接在經過代理防火墻時都會先被請進保安室喝杯茶搜搜身再繼續趕路，而保安的工作速度并不能很快。代理防火墻是以犧牲速度為代價換取了比包過濾防火墻更高的安全性能，在網絡吞吐量不是很大的情況下，也許用戶不會察覺到什么，然而到了數據交換頻繁的時刻，代理防火墻就成了整個網絡的瓶頸，而且一旦防火墻的硬件配置支撐不住高強度的數據流量而發生罷工，整個網絡可能就會因此癱瘓了。所以，代理防火墻的普及范圍還遠遠不及包過濾型防火墻，而在軟件防火墻方面更是幾乎沒見過類似產品了——單機并不具備代理技術所需的條件，所以就目前整個龐大的軟件防火墻市場來說，代理防火墻很難有立足之地。

3.狀態監視技術

這是繼“包過濾”技術和“應用代理”技術后發展的防火墻技術，它是checkpoint技術公司在基于“包過濾”原理的“動態包過濾”技術發展而來的，與之類似的有其他廠商聯合發展的“深度包檢測”（deep packet inspection）技術。這種防火墻技術通過一種被稱為“狀態監視”的模塊，在不影響網絡安全正常工作的前提下采用抽取相關數據的方法對網絡通信的各個層次實行監測，并根據各種過濾規則作出安全決策。

“狀態監視”（stateful inspection）技術在保留了對每個數據包的頭部、協議、地址、端口、類型等信息進行分析的基礎上，進一步發展了“會話過濾”（session filtering）功能，在每個連接建立時，防火墻會為這個連接構造一個會話狀態，里面包含了這個連接數據包的所有信息，以后這個連接都基于這個狀態信息進行，這種檢測的高明之處是能對每個數據包的內容進行監視，一旦建立了一個會話狀態，則此后的數據傳輸都要以此會話狀態作為依據，例如一個連接的數據包源端口是8000，那么在以后的數據傳輸過程里防火墻都會審核這個包的源端口還是不是8000，否則這個數據包就被攔截，而且會話狀態的保留是有時間

河北大學人民武裝學院

限制的，在超時的范圍內如果沒有再進行數據傳輸，這個會話狀態就會被丟棄。狀態監視可以對包內容進行分析，從而擺脫了傳統防火墻僅局限于幾個包頭部信息的檢測弱點，而且這種防火墻不必開放過多端口，進一步杜絕了可能因為開放端口過多而帶來的安全隱患。

由于狀態監視技術相當于結合了包過濾技術和應用代理技術，因此是最先進的，但是由于實現技術復雜，在實際應用中還不能做到真正的完全有效的數據安全檢測，而且在一般的計算機硬件系統上很難設計出基于此技術的完善防御措施（市面上大部分軟件防火墻使用的其實只是包過濾技術加上一點其他新特性而已）。

河北大學人民武裝學院

四、技術展望

在混合攻擊肆虐的時代，單一功能的防火墻遠不能滿足業務的需要，而具備多種安全功能，基于應用協議層防御、低誤報率檢測、高可靠高性能平臺和統一組件化管理的技術，優勢將得到越來越多的體現，UTM（UnifiedThreatManagement，統一威脅管理）技術應運而生。

從概念的定義上看，UTM既提出了具體產品的形態，又涵蓋了更加深遠的邏輯范疇。從定義的前半部分來看，很多廠商提出的多功能安全網關、綜合安全網關、一體化安全設備都符合UTM的概念；而從后半部分來看，UTM的概念還體現了經過多年發展之后，信息安全行業對安全管理的深刻理解以及對安全產品可用性、聯動能力的深入研究。

由于UTM設備是串聯接入的安全設備，因此UTM設備本身必須具備良好的性能和高可靠性，同時，UTM在統一的產品管理平臺下，集防火墻、VPN、網關防病毒、IPS、拒絕服務攻擊等眾多產品功能于一體，實現了多種防御功能，因此，向UTM方向演進將是防火墻的發展趨勢。UTM設備應具備以下特點。

（1）網絡安全協議層防御。防火墻作為簡單的第二到第四層的防護，主要針對像IP、端口等靜態的信息進行防護和控制，但是真正的安全不能只停留在底層，我們需要構建一個更高、更強、更可靠的墻，除了傳統的訪問控制之外，還需要對垃圾郵件、拒絕服務、黑客攻擊等外部威脅起到綜合檢測和治理的作用，實現七層協議的保護，而不僅限于第二到第四層。

（2）通過分類檢測技術降低誤報率。串聯接入的網關設備一旦誤報過高，將會對用戶帶來災難性的后果。IPS理念在20世紀90年代就已經被提出，但是目前全世界對IPS的部署非常有限，影響其部署的一個重要問題就是誤報率。分類檢測技術可以大幅度降低誤報率，針對不同的攻擊，采取不同的檢測技術，比如防拒絕服務攻擊、防蠕蟲和黑客攻擊、防垃圾郵件攻擊等，從而顯著降低誤報率。

（3）有高可靠性、高性能的硬件平臺支撐。

（4）一體化的統一管理。由于UTM設備集多種功能于一身，因此，它必須具有能夠統一控制和管理的平臺，使用戶能夠有效地管理。這樣，設備平臺可以實現標準化并具有可擴展性，用戶可在統一的平臺上進行組件管理，同時，一體化管理也能消除信息產品之間由于無法溝通而帶來的信息孤島，從而在應對各種各樣攻擊威脅的時候，能夠更好地保障用戶的網絡安全。

河北大學人民武裝學院

結

論

隨著Internet/Intranet技術的飛速發展，網絡安全問題必將愈來愈引起人們的重視。防火墻技術作為目前用來實現網絡安全措施的一種主要手段，它主要是用來拒絕未經授權用戶的訪問，阻止未經授權用戶存取敏感數據，同時允許合法用戶不受妨礙的訪問網絡資源。如果使用得當，可以在很大程度上提高網絡安全。但是沒有一種技術可以百分之百地解決網絡上的所有問題，比如防火墻雖然能對來自外部網絡的攻擊進行有效的保護，但對于來自網絡內部的攻擊卻無能為力。事實上60%以上的網絡安全問題來自網絡內部。因此網絡安全單靠防火墻是不夠的，還需要有其它技術和非技術因素的考慮，如信息加密技術、身份驗證技術、制定網絡法規、提高網絡管理人員的安全意識等等。

河北大學人民武裝學院

謝

辭

在此我要感謝我的專業老師，是你的細心指導和關懷，使我能夠順利的完成畢業論文。在我的學業和論文的研究工作中無不傾注著老師辛勤的汗水和心血。老師的嚴謹治學態度、淵博的知識、無私的奉獻精神使我深受啟迪。從尊敬的老師身上，我不僅學到了扎實、寬廣的專業知識，也學到了做人的道理。在此我要向我的老師致以最衷心的感謝和深深的敬意。

河北大學人民武裝學院

參考文獻

[1] 楊峰,張浩軍.信息戰與計算機網絡攻防.北京市：北京郵電大學出版

社，2011年，115~134頁。

[2] 賀雪晨.黑客入侵分析與防范.北京市：清華大學出版社，2012年，58

頁。

[3] 伍俊良.計算機網絡安全與對抗.北京市：清華大學出版社,2013年，98~105頁。

[4] 王淑紅.網絡安全.北京市：機械工業出版社,2012年，57~89頁。