分布式防火墙

分布式防火墙分布式防火墙杨天禹摘要：随着计算机网络的迅猛发展，网络的安全问题也越来越引起人们的重视防火墙作为一种有效的安全防护措施被广泛应用于各种类型的网络当中，其发展也非常的快本文首先分析了现有的传统防火墙和分布式防火墙，指出了传统防火墙存在的问题在此基础上论述了分布式防火墙的概念、研究现状以及分析了分布式防火墙的工作原理详细分析了它的体系结构，明确该体系结构的各组成部分及其相应功能并对之进行了详细的设计关键字：分布式防火墙；网络安全；体系结构；工作原理因特网是20世纪的奇迹通过因特网人们方便地实现了全球资源共享因特网的强大功能源于它的广泛连通性和开放性而这也恰恰导致了它的不安全性在网络结构体系中安全问题越来越受到重视特别是那些对安全程度要求较高的部门、单位往往需要规划一套完整的网络安全策略将敏感资源保护起来防火墙作为一种安全手段在网络中用得非常普遍在网络边界的入口处安装防火墙用来阻止攻击是安全防范的主要手段之一它将受保护部分资源和外部隔离开来从而达到限制访问、防止攻击的目的但是随着因特网日新月异的发展传统边界防火墙的局限性开始显露出来例如日益多样化的连接方法(拨号无线隧道)、外联网、加密通信的出现带宽的不断提高等面对这些新情况用一个防火墙就往往难以完成隔离如果采用多个防火墙不仅提高了成本而且由于防火墙之间相互独立难以从总体上进行统一配置管理起来非常麻烦于是人们提出了分布式防火墙的概念来满足网络发展的新情况分布式防火墙是指物理上有多个防火墙实体在工作但在逻辑上只有一个防火墙从管理者角度来看他不需要了解防火墙分布细节只要清楚有哪些资源需要保护以及资源的权限如何分配即可1分布式防火墙概述随着网络技术的不断发展，网络中的漏洞逐渐被发现恶意的攻击者通过它们对网络进行大量的攻击，向网络安全进行挑战，对网络安全造成极大的威胁为了抵御外界恶意攻击，保护网络安全，防火墙、入侵检测、网络病毒检测、安全审计等技术应运而生，而处于内外网络交界处的防火墙所扮演的角色尤为重要受集中管理和配置的多台防火墙组[1]成了分布式防火墙(，)基于此而应运而生分布式防火墙产生的原因古代人们为了防止发生火灾时火势蔓延到别处而砌一道砖墙，这道砖墙常被叫做防火墙在计算机领域为了保证网络安全，在互联网与内部网之间建立起一个安全网关(刃，用来保护内部网络不受非法用户的侵入，这种计算机硬件和软件组成的设备就是防火墙在网络中，防火墙是内部网络与外界网络之间的一道防御系统，通过它使得内部网络与或者其他外部网络之间相互隔离，并通过限制网络互访来保护内部网络，但这些对数据的处理操作并不会妨碍人们对风险区域的访问防火墙系统是建立在内部网络与外部之间的惟一安全通道，通过对它的配置可以决定哪些内部服务可被外界访问，外界的哪些人可访问内部的服务，以及哪些外部服务可以被内部人员访问我们可简单的认为防火墙是个分离器、限制器、分析器，它有效地监控了内网和间的任何活动，保证了内网的安全图1为常见的防火墙逻辑位置安全策略语言规定了哪些数据包被允许，哪些数据包被禁止，它应该支持多种类型的应用策略制定后分发到网络端点上，策略发布机制应该保证策略在传输过程中的完整性和真实性策略发布有多种方式，可以由中心管理主机直接发到终端系统上，也可以由终端按需获取或定时获取，还可以以证书的形式提供给用户策略实施机制位于受保护的主机上，在处理输入输出数据包时，它查询本地策略来判断允许还是禁止该数据包不论防火墙是非常简单的过滤器，还是一个精心配置的网关，它们的原理都是一样的防火墙通常是用来保护由许多台计算机组成的大型网络，这些地方才是黑客真正感兴趣的地方，因为架设防火墙需要相当大的硬软件资金投入，而且防火墙一般需要运行在一台独[2]立的计算机上由于传统防火墙的缺陷不断显露于是有人认为防火墙是与现代网络的发展不相容的并认为加密的广泛使用可以废除防火墙但加密不能解决所有的安全问题防火墙依然有它的优势比如通过防火墙可以关闭危险的应用通过防火墙管理员可以实施统一的监控也能对新发现的快速作出反应等也有人提出了对传统防火墙进行改进的方案如多重边界防火墙内部防火墙()等但这些方案都没有从根本上摆脱拓扑依赖()因而也就不能消除传统防火墙的固有缺陷反而增加了网络安全管理的难度为了克服以上缺陷而又保留防火墙的优点美国&T实验室研究员[3]在他的论文分布式防火墙中首次提出了分布式防火墙()的概念给出了分布式防火墙的原型框架奠定了分布式防火墙研究的基础分布式防火墙有狭义和广义之分狭义分布式防火墙是指驻留在网络主机并对主机系统提供安全防护的软件产品广义分布式防火墙是一种全新的防火墙体系结构包括网络防火墙、主机防火墙和中心管理三部分为了充分认识分布式防火墙我们重点剖析分布式防火墙中最具特色的产品-主机防火墙(1)主机驻留主机防火墙的重要特征是驻留在被保护的主机上该主机以外的网络不管是在内部网还是在外部网都认为是不可信任的因此可以针对该主机上运行的具体应用和对外提供的服务来设定针对性很强的安全策略(2)嵌入操作系统内核为自身的安全和彻底堵住操作系统的漏洞主机防火墙的安全检测核心引擎要以嵌入操作系统内核的形态运行直接接管网卡在把所有数据包进行检查后再提高操作系统(3)适用于托管服务器用户只需在该服务器上安装主机防火墙软件并根据该服务器的应用设置策略即可并可以利用中心管理软件对该服务器进行远程监控不须任何额外租用[4]新的空间放置边界防火墙分布式防火墙的基本原理防火墙可以用来控制和之间所有的数据流量在具体应用中，防火墙是位于被保护网和外部网之间的一组路由器以及配有适当软件的计算机网络的多种组合防火墙为网络安全起到了把关作用，只允许授权的通信通过防火墙是两个网络之间的成分集合在分布式防火墙中，安全策略仍然被集中定义，但发布在网络端点(例如主机、路由器)上单独实施传统防火墙缺陷的根源在于它的拓扑结构分布式防火墙打破了这种拓扑限制将内部网的概念由物理意义变成逻辑意义按照的说法分布式防火墙是由一个中心来制定策略并将策略分发到主机上执行它使用一种策略语言(如在文挡中说明)来制定策略并被编译成内部形式存于策略数据库中系统管理软件将策略分发到被保护的主机上而主机根据这些安全策略和加密的证书来决定是接受还是丢弃包从而对主机实施保护在中主机的识别虽然可以根据IP地址但IP地址是一种弱的认证方法容易被欺骗在中建议采用强的认证方法用加密的证书作为主机认证识别的依据一个证书的拥有权不易伪造并独立于拓扑所以只要拥有合法的证书不管它处于物理上的内网还是外网都被认为是内部!用户加密认证是彻底打破拓扑依赖的根本保证在系统中各台主机的审计事件要被上传到中心日志数据库中统一保存分布式防火墙中包含[5]有三个必需的组件：(1)描述网络安全策略的语言 (2)安全发布策略的机制 (3)应用、实施策略的机制分布式防火墙的研究现状XX年&T实验室的博士在《》一文中首次提出了将防火墙技术分布式化的思想该文的核心内容是提出了关于构建分布式防火墙的三点构想:①策略描述语言();②系统管理工具(s):③该文主要围绕&T实验室在XX年9月提出了的[6]策略描述机制展开确立了分布式防火墙的体系结构，之后的研究大多以此为起点在网络安全技术领域，防火墙并不是个新课题防火墙技术经过多年的积累和发展，已经有了相当成熟和稳定的商业产品，逐渐成为了网络安全技术的一个基础性设施在国际防火墙市场上，能够占有两位数市场份额的厂家就只有公司和公司，其市场占有率都在20%左右在国内市场中，占有优势的仍旧是国外的防火墙产品，防火墙、防火墙、防火墙等在产品功能和质量方面的优势使得许多大型客户纷纷采用国内较有名的防火墙品牌有天融信公司网络卫士、东大阿尔派的网眼等虽然市场上防火墙产品不少，但是这并不意味着防火墙技术己经过时或者没有太多研究意义恰恰相反，随着黑客技术和黑客攻击的不断进步，传统意义上的有着异常重要作用的防火墙的安全能力却显得相对不足从市场提供的商业防火墙品牌来看，国外(一些著名)厂家均是采用专用的操作系统，自行设计防火墙而国内所有厂家所采用的操作系统系统都是基于通用的各厂家的区别仅仅在于对系统本身和防火墙部分所作的改动量有多大所以当前防火墙产品多有各自的缺陷，只有进行深入的防火墙结构、技术的研究，才能从根本上解决这一问题从技术的理论上来讲，防火墙属于最底层的网络安全技术，而且随着网络安全技术的发展，现在的防火墙已经成为一种更为先进和复杂的基于应用层的网关然而，随着黑客入侵技术的提高和入侵手段的增加，仅仅使用网关级防火墙保障网络安全是远远不够的目前，网关级的边界防火墙技术取得了较大的发展，从初期的简单的包过滤产品到应用网关代理，以及由公司(世界最大防火墙厂商之一)提出的状态检测机制的防火墙，产品日趋成熟但是防火墙技术领域中速度与安全是永恒的主题和矛盾通常高安全性的传统防火墙必然构成整个企业网的瓶颈其原因是安全计算过度集中，大量的应用级检测、过滤计算使防火墙的吞吐能力大幅下降降低了传统网关级边界防火墙在大型网络中的应用效能又由于传统网关级的边界防火墙存在着以下缺陷：防外不防内，易于从内部攻破；配置不够灵活，不便于应用；难以有效防止分布式的攻击；只实现了粗粒度的访问控制和单薄的安全保护所以网络安全业界逐渐对一种新型的防火墙技术体系结构--分布式防火墙系统体系结构--加大了研究力度分布式防火墙与传统的边界防火墙相比有以下优点：1内外兼顾，可以提供更高的安全性；2配置灵活，适用性强；3便于集中管理；4提供多层次的纵深形的防护体系目前分布式防火墙的研究虽然已经有了一些商业产品，但总体上说还属于起步阶段无论从体系结构，运行布置方式，管理手段，以及与其他安全设备的关联上离技术成熟还有很大的差距2分布防火墙技术分布式防火墙技术可以总结为如下几个方面：主机驻留：主机防火墙的重要特征是驻留在被保护的主机上，该主机以外的网络不管是处在内部网还是外部网都认为是不可信任的，因此可以针对该主机上运行的具体应用和对外提供的服务设定针对性很强的安全策略主机防火墙对分布式防火墙体系结构的突出贡献是使安全策略不仅仅停留在网络与网络之间，而是把安全策略推广[8]延伸到每个网络末端嵌入操作系统内核：众所周知，操作系统自身存在许多安全漏洞，运行在其上的应用软件无一不受到威胁主机防火墙也运行在该主机上，所以起运行机制是主机防火墙的关键技术之一为自身的安全和彻底堵住操作系统的漏洞，主机防火墙的安全监测核心引擎要以嵌入操作系统内核的形态运行直接接管网卡，在把所有数据包进行检查后再提交操作系统为实现这样的运行机制，除为这需要一些自身的开发技术外，与操作系统厂商的技术合作也是必要的条件，因为这需要一些操作系统不公开的内部技术接口不能实现这种嵌入式运行模式的主机防火墙受到操作系统安全性的制约，存在明显的安全隐患个人防火墙：个人防火墙是在分布式防火墙之前业已出现一类防火墙产品将个人防火墙定义为成本在&""美圆以下，以一般消费者和小企业为客户群，通过或调制解调器实现高速不间断来连接的独立产品分布式针对桌面应用的主机防火墙与个人防火墙有相似之处如它们管理方式迥然不同，个人防火墙的安全策略有系统使用者自己设置，目标是防外部攻击，而针对桌面应用的主机防火墙的安全策略由整个系统的管理员统一安排和设置，除了对该桌面机起到保护作用外也可以对该桌面机的对外访问加以控制，并且这种安全机制是对桌面机的使用者是不可见和不可改动的其次，不同于个人防火墙面向个人用户，针对桌面应用的主机防火墙是面向企业级客户的，它与分布式防火墙其它产品共同构成一个企业级应用方案，形成一个安全策略中心统一管理，安全检查机制分散布置的分布式防火墙体系结构托管服务器：互联网和电子商务的发展促进了互联网数据中心的迅速崛起，起主要业务之一就是服务器托管服务对服务器托管用户而言，该服务器逻辑上是其企业网的一部分，只不过物理上不在企业内部，对于这种应用，边界防火墙解决方案就显得比较牵强附会，而针对服务器的主机防火墙解决方案则是其一个典型应用用户只需在改服务器上安装上主机防火墙软件，并根据该服务器的应用设置安全策略即可，并可以利用中心管理软件对该服务器进行远程监控，不需任何额外租用新的空间放置边界防火墙对互联网数据中心而言，也需要提供包括防火墙安全服务在内的增值服务来提高竞争力，区别于用边界防火墙方案向托管用户提供防火墙安全增值服务，采用主机防火墙方案有其独到之处：首先，可以向托管用户提供针对特定用户特[9]定应用的安全服务，使服务更安全更贴切；其次，消除了边界防火墙的结构性瓶颈问题[7]3分布式防火墙体系结构一个典型的的体系结构见图2它由3部分组成:边界防火墙主机防火墙和中心策略服务器在的体系结构中并没有废弃边界防火墙因为物理上的边界依然存在只是减轻了其肩上的担子边界防火墙仍然执行传统防火墙看守大门的任务但由于它只处理与全网有关的安全问题规则较少因而效率较高策略服务器是整个的核心主要包括中心管理接口、策略数据库、审计数据库和加密认证等模块中心管理接口负责人机交互包括制定规则规则的制定是通过使用规则定义语言或图形用户接口完成管理员可以针对每台机器制定规则也可以将全网分成若干个域然后针对每个域制定规则各个域内使用相同的规则域外使用不同的规则火墙体系结构的详细介绍1）边界防火墙边界防火墙包括以下几点功能：1)负责一个内网的边界防御和穿越通道的安全性它主要采用包过滤技术进行防御与普通边界防火墙不同的是由于只是分布式防火墙的一部分只需要提供一些简单的过滤规则(如只提供所有的内部主机发起的连接给予通过所有的外部的主动连接拒绝等通配规则)因此不存在安全性和高效性的矛盾同时由于它不是安全性的全部提供者使得主干防火墙不会危及整个系统的安全2)提供网关到网关和主机到网关的安全通道()在穿越非信任网络访问信任网络内部的主机时如果使用主机到主机的大量的连接会影响被访问主机的性能从而影响业务应用将的功能从信任网络内部的主机上分离到一级防火墙上这样就使用了网关到网关主机到网关的代替了主机到主机的提高了效率2）主机防火墙主机防火墙驻留在主机中负责策略的实施在主机防火墙中如果不允许用户干预则只包含包过滤引擎、上载审计事件的模块、加密模块等防火墙对用户透明即用户感觉不到防火墙的存在用户不能修改规则也不能绕过防火墙如果允许用户部分修改规则并参与定制个性化的安全策略则还要包含用户接口在一个典型的系统中所有主机防火墙(包括分支机构和移动用户)和边界防火墙皆受控于中心策略服务器3）中央策略服务器在分布式防火墙中，中央策略服务器是整个系统核心一方面，它负责网络安全策略的制定、修改、管理和维护，并将策略分发到分布式防火墙的其他部分中央策略服务器可以针对分布式防火墙中不同设备制定不同的规则，也可以将全网分成若干个域，然后针对每个域或每台主机来制定策略；另一方面，中央策略服务器还要建立和维护网络中每个安全设备的信任关系，对分布式防火墙中的设备进行认证，避免非法用户冒充合法用户恶意入侵，破坏分布式防火墙的正常运行分布式防火墙体系结构中各数据流向外网进入内网的数据首先进入边界防火墙进行安全检测，边界防火墙还可以提供功能，提供与否由策略服务器来决定数据离开边界防火墙后进入汇聚防火墙，同时数据也进入日志服务器，通过预处理过滤、重组、存储结构化的日志信息，便于进行查询审计，以评估网络整体风险状况，并视情况发布预警信息，原始数据还要做好备份，以作为非法入侵者的犯罪证据日志服务器的入侵检测分析模块进行数据分析后将可疑数据送入中央策略服务器的日志生成与发送模块，最终在策略管理模块的控制下生成相应日志汇聚防火墙接收数据后执行从中央服务器获得的策略汇聚防火墙充当中央策略服务器与主机防火墙的中介，为它们之间的身份认证、策略更新提供帮助，从而减轻中央策略服务器的压力，并减少网络流量汇聚防火墙根据检查结果决定是否允许数据是否可进入内网主机，另*聚防火墙也会将工作的情况用日志纪录下来，并传输给日志服务器进入内网主机的数据将由桌面防火墙自动地从策略管理服务器中下载安全策略来进行相应检查，同时桌面防火墙也将收集主机信息、认知用户的网络行为、监控主机的网络通讯和安全状态并将收集的信息发送到日志服务器以便管理员有针对性的制定安全策略4 分布式防火墙的应用对大型网络以及需要打破网络拓扑限制的组织分布式防火墙是最佳的选择下面列举了两个的典型应用1）锁定关键服务器对企业中的关键服务器可以安装作为第二道防线使用的[10]集中管理模块对这些服务器制定精细的访问控制规则增强这些服务器的安全性2）商务伙伴之间共享服务器随着电子商务的发展商务伙伴之间需要共享信息外联网是一般的解决方案但外联网的实施代价较高可使用上面介绍的在一台服务器上安装两个一个与内部网相连另一个与伙伴相连这样可以方便地实现服务器共享拥有服务器的一方控制服务器上的两个分别对其进行设置使对方能够进入共享服务器但不能进入本方的内部网络5 结论在分布式防火墙策略分发技术中，传统的分布式对象技术都在不同程度上存在一些局限性，难以满足实际应用中的需求在新的安全体系结构下分布式防火墙代表了新一代防火墙技术的潮流它形成了一个多层次、多协议、内外皆防的全方位安全体系本文主要研究分布式技术，对防火墙从概念、原理、结构、配置以及改进等方面进行分析在学习过程中，首先通过网络和书籍等深入的理解和掌握防火墙的核心技术，其次对网络中流行的软件防火墙和硬件防火墙针对不同攻击进行配置实验在配置的过程中加深了对防火墙理论的认识，虽然分布式防火墙目前还处于起步阶段，但相信其市场的扩大是很迅速的，在未来的日子里，对我们的生活将会带来更多的安全和方便参考文献[1] [J]y[2] 曹莉兰基于防火墙技术的网络安全机制研究[D]电子科技大学[3] [EB/OL]~47）[4] 于文莉周伟忠于文华防火墙技术及发展[J]宜宾学院学报(6)[5] :8th。