防火墙设计方案本科毕业设计论文

毕业设计(论文)题目：防火墙设计方案

毕业设计（论文）原创性声明和使用授权说明

原创性声明

本人郑重承诺：所呈交的毕业设计（论文），是我个人在指导教师的指导下进行的研究工作及取得的成果。尽我所知，除文中特别加以标注和致谢的地方外，不包含其他人或组织已经发表或公布过的研究成果，也不包含我为获得及其它教育机构的学位或学历而使用过的材料。对本研究提供过帮助和做出过贡献的个人或集体，均已在文中作了明确的说明并表示了谢意。

作者签名：日期：

指导教师签名：日期：

使用授权说明

本人完全了解大学关于收集、保存、使用毕业设计（论文）的规定，即：按照学校要求提交毕业设计（论文）的印刷本和电子版本；学校有权保存毕业设计（论文）的印刷本和电子版，并提供目录检索与阅览服务；学校可以采用影印、缩印、数字化或其它复制手段保存论文；在不以赢利为目的前提下，学校可以公布论文的部分或全部内容。

作者签名：日期：

院系信息技术工程学院专业通信技术

年级 2010级姓名罗素君

题目防火墙设计方案

指导教师

评语

过程得分： (占总成绩20%)

是否同意参加毕业答辩

指导教师 (签字)

答辩教师

评语

答辩得分： (占总成绩80%)

毕业论文总成绩等级：

答辩组成员签字

年月日

班级 2010级通信班学生姓名罗素君学号 201001080116 发题日期： 2010 年 5 月 6 日完成日期： 5 月 7 日

题目防火墙设计方案

1、本论文的目的、意义目的:合服网络宽带工程的进展和社会广大群众对对网络应

用的扩大，为了为了保证网络的安全，稳定，畅通的的运行

意义：作防火墙设计方案的意义是让社会广大人民知道什么是防火墙，防火墙是如何应

用的，和防火墙的作用：防火墙是设置在被保护网络和外部网络之间的一道屏障，以防

止发生不可预测的，潜在破坏性的侵入。让网络不在受第三方软件的入侵，更有利的让

使网络的安全与畅通

2、学生应完成的任务（1）作设计方案相关知识的搜集熟悉相关系统的操作和原理

（2）查找系统学习的相关资料和，进行智能规划的制定和代码的编写。

（3）代码的软件环境测试和调试校定。

（4）软件代码加入整个课题系统调试校定。

（5）论文的编写。

3、论文各部分内容及时间分配：(第20周)

第一部分查找资料，文献，了解题目 (1-2周）

第二部分熟悉各种加密方法 (3-4周)

第三部分开始写论文（在老师的指导下） (5-6周)

第四部分参考别人的论文，把自己的完成的更好 (7-8周)

第五部分编写论文 (9-14周)

评阅及答辩修改论文及答辩 (15-20周)

备注防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专

用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是

一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关

（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问

规则、验证工具、包过滤和应用网关4个部分组成。

指导教师：孟勇 2010 年 5 月 6 日

审批人：年月日

摘要

随着计算机网络的日益普及，安全问题变得越来越重要。当今的Internet每时每刻都存在着危险，如果用户在使用Internet时不采用任何保护措施，就很容易遭受黑客的攻击。Windows操作系统不开放源代码，网络安全专家无法直接修改、增加操作系统中关于网络协议实现的代码来改善操作系统的安全性。因此在Windows平台下保护个人计算机安全上网是个值得研究的问题。

本文主要讨论Windows环境下的个人防火墙的实现技术。论文的第一部分介绍了网络安全的定义和个人防火墙的概念以及防火墙的发展史和分类。第二部分分析了各种网络协议架构，分析了它们的区别与联系并在此基础上分析了Windows网络体系结构。第三部分分析了内核模式下的数据包拦截技术，对TDI和NDIS数据包拦截技术进行了分析，并着重介绍了TDI过滤驱动程序。第四部分详细设计了个人防火墙的实现。第五部分对实现的个人防火墙进行功能和性能测试并分析了结果。

系统在开发实现过程中采用模块化、结构化的程序设计思想，提高了系统的灵活性和可移植性，可以很方便的通过控管规则实现对网络封包的认证操作，提高了系统的过滤效率。

关键词：网络安全；防火墙；TDI；NDIS；过滤

Abstract

Along with the popularization of the computer network, security problems are being more and more important. Now the Internet is filled with danger if users who surf on the Internet do not adopt any protective measure，they will be easily attacked by hackers. Windows operating system do not open their source code, network security professors cannot directly alert or add the code about the realization of network protocols in the operating system to improve the security of the operating system. So it is worth the effort to investigate the problem of protecting pc from security problems in windows platform.

This paper mainly discussed the personal firewall realization technique in windows environment. The first section of the paper introduced the definition of network security, personal firewall, the development and classes of the firewall. In the second part we introduced two types of network architecture, differences and relationships between them，then we analyzed windows network architecture .The third part analyzed packet filtration technique from core module ,introduced TDI and NDIS packet filtration technique, and stressed on TDI filtration driver. The forth section projected the realization of the firewall in details. The fifth part tested the function and performance of the firewall and analyzed the results.

In the lization of this system, we adopted modularized and structured programming idea to improve the flexibility and portability of the system. It is very convenient to achieve authentication operation through control rules,

this greatly improve system's filtration efficiency.

key words：network security; firewall; TDI; NDIS; filtration;

目录

第一章防火墙的介绍 (3)

1.1防火墙的定义 (3)

1.2防火墙的类型 (3)

1.3防火墙的拓扑 (4)

第二章陈龙公司网络安全需求分析 (6)

2.1公司网络安全需求分析 (6)

2.2 公司网络存在的风险 (7)

2.3企业网络安全防范分析 (10)

2.4陈龙公司安全系统建设目标 (11)

第三章陈龙公司防火墙布置 (13)

3．1陈龙公司防火墙设计需求分析 (13)

3．2防火墙选型 (13)

3．3陈龙公司防火墙基本配置 (21)

第四章防火墙的安全管理和维护 (27)

4.1 日常管理 (27)

4.2 监视系统 (28)

4.3 保持最新状态 (30)

结论 (31)

致谢 (31)

参考文献 (33)

第一章防火墙的介绍

1.1防火墙的定义

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的较少，例如国防部以及大型机房等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。防火墙英语为firewall 《英汉证券投资词典》的解释为：金融机构内部将银行业务与证券业务严格区分开来的法律屏障，旨在防止可能出现的内幕消息共享等不公平交易出现。使用防火墙比喻不要引火烧身。

当然，既然打算由浅入深的来了解，就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦著火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。在电脑术语中，当然就不是这个意思了，我们可以类比来理解，在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet 上的人也无法和公司内部的人进行通信。

1.2防火墙的类型

1.包过滤防火墙

包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的访问控制列表(Access Control List)。通过检查数据包的的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。包过滤防火墙的优点是费用不高且不用改动客户机和主机上的应用程序；缺点是数据包可能被窃听或假冒，一般无报警功能，无高质量的监控或日志记录功能，只要这一单一的设备被突破，即会受到危害。

2.应用层代理

应用层代理(Application-level proxy)是在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。

3.链路层代理

链路层代理(Circuit-level Proxy)是针对数据包过滤和应用层代理技术存在的缺点，将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接”，由两个终止代理服务器上的“链路”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。

4.复合型防火墙

复合型防火墙是指将包过滤的方法和基于应用层代理的方法结合起来形成的防火墙。

1.3防火墙的拓扑

1.屏蔽路由器

屏蔽路由器(图1-1)是包过滤路由器的另一种称呼，它是一个多端口的IP路由器，通过对每一个到来的IP包依据组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息，例如协议号、收发报文的IP地址和端口号、连接标志以及另外一些IP选项，对IP包进行过滤。

屏蔽路由器的最大优点就是架构简单且硬件成本较低，缺点则是建立包过滤规则比较困难，加之屏蔽路由器的管理成本以及用户级身份认证的缺乏等。

图1-1包过滤路由器

2.单目壁垒主机

第二种流行的防火墙类型是使用一台单目主机加一台屏蔽路由器的屏蔽主机。单目壁垒主机(图1-2)既可以被配置成链路级也可以是应用级网关。当使用这两种类型中的任意一种时，每一个都是代理服务器，壁垒主机可以隐藏内部网络的配置。单目壁垒主机使用网络地址翻译(NAT)来提供这种功能。

这种实施方式更优于包过滤防火墙，因为它增加了一台壁垒主机，对于黑客来说他不仅需要攻破包过滤路由器还需要攻破壁垒主机。但比起包过滤器来说，这种方法的缺点在于成本的增加和性能的下降，因为多了一台设备且壁垒主机要对信息进行处理，网络需要更多的时间对用户的请求进行回应。

图1-2单目壁垒主机

3.多目壁垒主机

多目壁垒主机(双目壁垒主机如图1-3)的方法显著地增加安全性，因为你可以配置2块或更多的网卡在主机上，这样，这种防火墙在网络和任意外部网络之间建立了一个完全的物理间隔。在这种方法中，黑客绕不过防火墙，此外，即使黑客能够使屏蔽路由器或多目壁垒主机失效，他仍将不得不渗透其他的防火墙实现类型，大大降低了攻击进行的速度。同单目壁垒主机一样，多目壁垒主机也允许网络管理员实施NAT。

图1-3双目目壁垒主机

4.DMZ(屏蔽子网防火墙)

DMZ(Demilitarized Zone非军事化区域)(图1-4)也被称作屏蔽子网防火墙，它在Internet和你的网络之间建立了一个相当安全的空间。它在定义时使用壁垒主机支持链路级和应用级网关，在这个配置中，所有公共的可访问的设备都被放在这个区域中。然后，这个DMZ像一个小的隔离的网络一样工作，安置于Internet和内部网络之间。这样的好处在于，黑客必须破坏三个分离的设备而且不被发现才能接近网络；内部网络不会被暴露；内部用户不能穿越壁垒主机而访问到Internet。

图1-4数据避开双主机防火墙

第二章陈龙公司网络安全需求分析

2.1公司网络安全需求分析

公司的网络现状

公司采用固定IP地址接入互连网，网络拓扑如图2-1。公司一共有2个工作组，为全交换式的工作组网络，工作组1是1台Web服务器和1台FTP服务器分别向外部用户和内部用户提供Web服务和Ftp服务；工作组2是公司的内部用户。2个工作组交换机通过一个总的节点交换机连接到代理服务器再连接到Internet。

图2-1公司网络拓扑

2.2 公司网络存在的风险

由于企业网络由内部网络、外部网络和企业广域网组成，网络结构复杂，威胁主要来自：病毒的侵袭、黑客的非法闯入、数据"窃听"和拦截、拒绝服务、内部网络安全、电子商务攻击、恶意扫描、密码破解、数据篡改、垃圾邮件、地址欺骗和基础设施破坏等。

下面来分析几个典型的网络攻击方式：

1.病毒的侵袭

几乎有计算机的地方，就有出现计算机病毒的可能性。计算机病毒通常隐藏在文件或程序代码内，伺机进行自我复制，并能够通过网络、磁盘、光盘等诸多手段进行传播。正因为计算机病毒传播速度相当快、影响面大，所以它的危害最能引起人们的关注。

病毒的"毒性"不同，轻者只会玩笑性地在受害机器上显示几个警告信息，重则有可能破坏或危及个人计算机乃至整个企业网络的安全。

有些黑客会有意释放病毒来破坏数据，而大部分病毒是在不经意之间被扩散出

去的。员工在不知情的情况下打开了已感染病毒的电子邮件附件或下载了带有病毒的文件，这导致了病毒的传播。这些病毒会从一台个人计算机传播到另一台，因而很难从某一中心点对其进行检测。

任何类型的网络免受病毒攻击最保险和最有效的方法是对网络中的每一台计算机安装防病毒软件，并定期对软件中的病毒定义进行更新。值得用户信赖的防病毒软件包括Symantec、Norton和McAfee等。然而，如果没有"忧患意识"，很容易陷入"盲从杀毒软件"的误区。

因此，光有工具不行，还必须在意识上加强防范，并且注重操作的正确性；重要的是在企业培养集体防毒意识，部署统一的防毒策略，高效、及时地应对病毒的入侵。

2.黑客的非法闯入

随着越来越多黑客案件的报道，企业不得不意识到黑客的存在。黑客的非法闯入是指黑客利用企业网络的安全漏洞，不经允许非法访问企业内部网络或数据资源，从事删除、复制甚至毁坏数据的活动。一般来说，黑客常用的入侵动机和形式可以分为两种。

黑客通过寻找未设防的路径进入网络或个人计算机，一旦进入，他们便能够窃取数据、毁坏文件和应用、阻碍合法用户使用网络，所有这些都会对企业造成危害。黑客非法闯入将具备企业杀手的潜力，企业不得不加以谨慎预防。

防火墙是防御黑客攻击的最好手段。位于企业内部网与外部之间的防火墙产品能够对所有企图进入内部网络的流量进行监控。不论是基于硬件还是软件的防火墙都能识别、记录并阻塞任何有非法入侵企图的可疑的网络活动。硬件防火墙产品应该具备以下先进功能：

（1）状态检查:在数据包通过防火墙时对数据进行检查，以确定是否允许进入局域网络。

（2）流量控制:根据数据的重要性管理流入的数据。

（3）虚拟专用网(VPN)技术:使远程用户能够安全地连接局域网。

（4）Java、ActiveX以及Cookie屏蔽:只允许来自可靠Web站点上的应用程序运行。

（5）代理服务器屏蔽(Proxyblocking):防止局域网用户绕过互联网过滤系统。

（6）电子邮件发信监控(Outgoinge-mailscreening):能够阻塞带有特定词句电子邮件的发送，以避免企业员工故意或无意的泄露某些特定信息。

3.数据"窃听"和拦截

这种方式是直接或间接截获网络上的特定数据包并进行分析来获取所需信息。一些企业在与第三方网络进行传输时，需要采取有效措施来防止重要数据被中途截获，如用户信用卡号码等。加密技术是保护传输数据免受外部窃听的最好办法，其可以将数据变成只有授权接收者才能还原并阅读的编码。

进行加密的最好办法是采用虚拟专用网(VPN)技术。一条VPN链路是一条采用加密隧道(tunnel)构成的远程安全链路，它能够将数据从企业网络中安全地输送出去。两家企业可以通过Internet建立起VPN隧道。一个远程用户也可以通过建立一条连接企业局域网的VPN链路来安全地访问企业内部数据。

4.拒绝服务

这类攻击一般能使单个计算机或整个网络瘫痪，黑客使用这种攻击方式的意图很明显，就是要阻碍合法网络用户使用该服务或破坏正常的商务活动。例如，通过破坏两台计算机之间的连接而阻止用户访问服务；通过向企业的网络发送大量信息而堵塞合法的网络通信，最后不仅摧毁网络架构本身，也破坏整个企业运作。

5.内部网络安全

为特定文件或应用设定密码保护能够将访问限制在授权用户范围内。例如，销售人员不能够浏览企业人事信息等。但是，大多数小型企业无法按照这一安全要求操作，企业规模越小，越要求每一个人承担更多的工作。如果一家企业在近期内会迅速成长，内部网络的安全性将是需要认真考虑的问题。

6.电子商务攻击

从技术层次分析，试图非法入侵的黑客，或者通过猜测程序对截获的用户账号和口令进行破译，以便进入系统后做更进一步的操作；或者利用服务器对外提供的某些服务进程的漏洞，获取有用信息从而进入系统；或者利用网络和系统本身存在的或设置错误引起的薄弱环节和安全漏洞实施电子引诱，以获取进一步的有用信息；或者通过系统应用程序的漏洞获得用户口令，侵入系统。

除上述威胁企业网络安全的主要因素外，还有如下网络安全隐患：

恶意扫描：这种方式是利用扫描工具(软件)对特定机器进行扫描，发现漏洞进而发起相应攻击。

密码破解：这种方式是先设法获取对方机器上的密码文件，然后再设法运用密码破解工具获得密码。除了密码破解攻击，攻击者也有可能通过猜测或网络窃听等方式获取密码。

数据篡改：这种方式是截获并修改网络上特定的数据包来破坏目标数据的完整性。

地址欺骗：这种方式是攻击者将自身IP伪装成目标机器信任机器的IP 地址，以此来获得对方的信任。

垃圾邮件主要表现为黑客利用自己在网络上所控制的计算机向企业的邮件服务器发送大量的垃圾邮件，或者利用企业的邮件服务器把垃圾邮件发送到网络上其他的服务器上。

基础设施破坏：这种方式是破坏DNS或路由器等基础设施，使得目标机器无法正常使用网络。

由上述诸多入侵方式可见，企业可以做的是如何尽可能降低危害程度。除了采用防火墙、数据加密以及借助公钥密码体制等手段以外，对安全系数要求高的企业还可以充分利用网络上专门机构公布的常见入侵行为特征数据-通过分析这些数据，企业可以形成适合自身的安全性策略，努力使风险降低到企业可以接受且可以管理的程度。

2.3企业网络安全防范分析

要保证系统安全的关键，首先要做到重视安全管理，不要"坐以待毙"，可以说，企业的信息安全，是一个整体的问题，需要从管理与技术相结合的高度，制定与时俱进的整体管理策略，并切实认真地实施这些策略，才能达到提高企业信息系统安全性的目的。

因此我们要做到：

风险评估：要求企业清楚自身有哪些系统已经联网、企业网络有哪些弱点、这些弱点对企业运作都有哪些具体风险，以及这些风险对于公司整体会有怎样的影响。

安全计划：包括建立企业的安全政策，掌握保障安全性所需的基础技术，并规划好发生特定安全事故时企业应该采取的解决方案。企业网络安全的防范策略目的就是决定一个组织机构怎样来保护自己。

一般来说，安全策略包括两个部分：一个总体的安全策略和具体的规则。总体

安全策略制定一个组织机构的战略性安全指导方针，并为实现这个方针分配必要的人力物力。

计划实施：所有的安全政策，必须由一套完善的管理控制架构所支持，其中最重要的要素是要建立完整的安全性解决方案。

技术与管理不是孤立的，此技术与管理是：

物理隔离：即在网络建设的时候单独建立两套相互独立的网络，一套用于部门内部办公自动化，另一套用于连接到Internet，在同一时候，始终只有一块硬盘处于工作状态，这样就达到了真正意义上的物理安全隔离。

远程访问控制：主要是针对于企业远程拨号用户，在内部网络中配置用户身份认证服务器。在技术上通过对接入的用户进行身份和密码验证，并对所有的用户机器的MAC地址进行注册，采用IP地址与MAC地址的动态绑定，以保证非授权用户不能进入。

病毒的防护：培养企业的集体防毒意识，部署统一的防毒策略，高效、及时地应对病毒的入侵。

防火墙：目前技术最为复杂而且安全级别最高的防火墙是隐蔽智能网关, 它将网关隐藏在公共系统之后使其免遭直接攻击。隐蔽智能网关提供了对互联网服务进行几乎透明的访问, 同时阻止了外部未授权访问对专用网络的非法访问。一般来说, 这种防火墙的安全性能很高，是最不容易被破坏和入侵的。

因此，公司的的网络安全必须依赖于防火墙，防御外来的侵入。

2.4陈龙公司安全系统建设目标

随着公司的发展，互连网的发展，一方面，公司的工作站数量增加且需求或任务多样化给管理带来了更多的麻烦；另一方面，网络安全也面临着更大挑战。公司原来的网络安全方案早已经不能满足新的需求了。现在将公司安全系统建设目标罗列如下：

1.互连网用户和公司内部用户能够访问Web服务器

2.只有内部用户可以访问Ftp服务器

3.只允许做客户服务的员工(IP地址范围为：10.2.1.2--10.2.1.50)在工作时间上互连网浏览网页和收发邮件

4.允许出差员工通过VPN连接和内部网络进行互相访问

5.禁止除以上要求外的所有通讯

第三章陈龙公司防火墙布置

3．1陈龙公司防火墙设计需求分析

通过公司网络了解，公司的网络主要由办公室，财务处，科研室，服务中心，职工就业中心，公司机房这六个部分组成．整个网络没有防火墙设备，只用一款软件防火墙，故效率低，抗攻击力效弱；因为网络安全的问题，目前财务处不能上网，这使严重影响本部门办事的效率，没有充分的利用网络给人们带来的方便和快捷；各个部门均在同一个网络中，这样使整个网络在一个冲突域中，在信息高峰时间会导致网络阻塞；内部是通过使用代理服务器上网，所有信息都通过服务器中的两个网卡进行转发，这样会导致网络速度很慢；为了实现本院网络发展趋势，故需在内网与外网之间布署一款硬件防火墙．来补充目前网络面临的缺点．

3．2防火墙选型

3．2．1选型类型

防火墙选型的类别：

第一，以需求为导向，选择最适合本企业需求的产品。由于防火墙的各项指标具有较强的专业性，因此企业在选择时，有必要把防火墙的主要指标和需求联系起来。另外，还要考虑到企业可承受的性价比。

第二，对于产品的选型，可参考的指标来源有厂家提供的技术白皮书、各种测评机构的横向对比测试报告，从中可以了解产品的一些基本性能情况。

第三，要完全按照企业的实际需求来对比各种品牌的满足程度，最好是根据需求，定制一套解决方案，并对防火墙在统一测试条件和测试环境下进行横向对比。

第四，了解产品的性能指标、性能指标主要包括吞吐量、丢包率、延迟、最大并发连接数、并发连接处理速率等。用户在选择时，应该根据自身的网络规模和需求，对上述几个指标参数进行详细了解，选择适合的产品。

因此：我们在防火墙选型上必要先了解防火墙的类别。

3．2．2 PIX防火墙介绍

强壮的安全特性

Internet的发展为公司网络带来了更大的安全风险。现有的解决方案如运行在应用层的基于代理的防火墙具有很多限制条件，包括性能低、需要昂贵的通用平台、使用开放系统如UNIX时本身具有安全风险等。

而Cisco Secure PIX防火墙能够提供空前的安全保护能力，它的保护机制的核心是能够提供面向静态连接防火墙功能的自适应安全算法（ASA）。静态安全性虽然比较简单，但与包过滤相比，功能却更加强劲；另外，与应用层代理防火墙相比，其性能更高，扩展性更强。ASA可以跟踪源和目的地址、传输控制协议（TCP）序列号、端口号和每个数据包的附加TCP标志。只有存在已确定连接关系的正确的连接时，访问才被允许通过Cisco Secure PIX防火墙。这样做，内部和外部的授权用户就可以透明地访问企业资源，而同时保护了内部网络不会受到非授权访问的侵袭。

另外，实时嵌入式系统还能进一步提高Cisco Secure PIX防火墙系列的安全性。虽然UNIX服务器是广泛采用公开源代码的理想开放开发平台，但通用的操作系统并不能提供最佳的性能和安全性。而专用的Cisco Secure PIX防火墙是为了实现安全、高性能的保护而专门设计。

与IPsec互操作的安全VPN

从传统上来说，防火墙通过维护所连接网段之间所有连接的静态控制实现了边界安全性。目前，越来越多的客户正在寻求除了提供访问控制以外，还能提供VPN服务的防火墙。利用VPN，远程用户或分布在各地的分支机构能够以更低的成本安全地访问企业网，同时，使用Internet访问可以大大降低与以前的专线或其它专用网络相关的电信费用。公司就不需要维护大型的Modem池和访问服务器来处理远程的拨号用户，而这些都是需要花费大量资金并且让管理员头痛的事情。现在，只需要向ISP进行本地呼叫，用户就可以通过Internet安全的访问专用的企业Intranet。

PIX 525实现了在Internet或所有IP网络上的安全保密通信。它集成了VPN 的主要功能 - 隧道、数据加密、安全性和防火墙，能够提供一种安全、可扩展的平台来更好、更经济高效地使用公共数据服务来实现远程访问、远程办公和外部网连接。525可以同时连接高达4个VPN层，为用户提供完整的IPsec标准实施方法，其中IPsec保证了保密性、完整性和认证能力。对于安全数据加密，Cisco的IPsec实现方法全部支持56位数据加密标准（DES）和168位三重DES算法。