防火墙包过滤规则问题的研究

篙纛同‰茹端‰。

蛔潞２００３年６月一！竺竺全型！竺竺—！竺竺竺——————————————————————————————————一文章编号：１００１—９０８１（２００３）０６ｚ一０３１１—０２防火墙包过滤规则问题的研究高峰，许南山（北京化工大学信息科学与技术学院，北京１０００２９）摘要：包过滤是防火墙的一项基本技术，通过对包过滤规则的合理制订可以有效地保护内部网络。

文中结合一些典型的网络攻击，讨论了有关合理制订包过滤规则的问题。

最后详细分析了一种新的过滤机制——流过滤。

关键词：防火墙；包过滤；包过滤规则；流过滤中图分类号：ＴＰ３９３．０８文献标识码：Ａ随着网络技术的发展，网络在社会中的作用越来越重要，网络的安全也成为人们密切关注的问题。

目前，保护内部网免遭外部入侵的比较有效的方法为防火墙技术。

防火墙是指设置在不同网络之间或网络的不同安全域之间的一系列部件的组合。

通过监测、限制、更改经过其间数据流，它可尽可能地对外屏蔽ｆ５９络内部的信息、结构和运行状况。

在逻辑上，防火墙是一个分离器，—个限制器，也是—个分析器，它能有效地监控内部网和Ｉｎｔｅｍ毗之间的任何活动，保护内部网络的安全。

包过滤技术是防火墙的一项基本技术。

它的优点是简单、方便、透明性好、对网络性能影响不大。

但它的缺点是过滤规则的完备性难以得到检验，复杂过滤规则的管理很困难。

本文的以下内容将对此做集中的讨论。

２包过滤技术２．１概念图１包过滤防火墙基本模型包过滤技术（ＰａｃｋｅｔＦｉｌｔｅｒ）是防火墙为系统提供安全保障的主要技术（见图１）。

它通过设备对进出网络的数据流进行有选择的控制与操作。

包过滤操作通常在选择路由的同时对数据包进行过滤（通常是对从互联网络到内部网络的包进行过滤）。

用户可以设定一系列的规则，指定允许哪些类型的数据包可以流入或流出内部网络；哪些类型的数据包的传输应该被拦截。

２．２静态包过滤和动态包过滤静态包过滤类型的防火墙根据预先定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤规则匹配。

过滤规则基于数据包的报头信息进行制订。

报头信息中包括１Ｐ源地址、ＩＰ目标地址、传输协议（ＴｃＰ、ｕＤＰ、ｌｃＭＰ等等）、ＴＣＰ／ＵＤＰ目标端口、ＩｃＭＰ消息类型等。

包过滤类型的防火墙要遵循的一条基本原则是“最小特权原则”，即明确允许某些数据包的通过，而禁止其他的一切数据包。

防火墙也可以采用动态设置包过滤规则的方法，即动态包过滤。

这种技术后来发展成为所谓包状态监测（ｓｔａｔｅ“Ｉｎｓｐｅｃｔｉｏｎ）技术。

采用这种技术的防火墙对通过它所建立的每一个连接都进行跟踪，并且根据需要动态地增加或更新过滤规则的条目，见图２。

Ｉ连接状态表Ｉｌ应用层应用层应用层Ｉ表示层Ｉｌ表示层Ｉ表示层Ｊ会话层会话层ｌ会话层Ｉ传输层ｌＩ传输层ｌＩ传输层Ｉｑ网络屡产％■∞＿阚网络层＿网黼闲网络层Ｆｌ数据链路层Ｉｌ数据链路层ＩＩ数据链路屡ｌＩ物理层Ｉ物理层ｌＩ物理层１ｌｌＩ图２动态包过滤防火墒３过滤规则制订包过滤规则的制订大体有两种模式：１）基于关闭的，即缺省情况下阻断所有内外互访，个别开放单项服务；２）基于开放式的，即缺省情况下开放所有内外互访，个别关闭单项服务。

过滤是双向的，路由器对于不同流向的数据包，按不同的规则进行匹配过滤，以决定是“拒绝”或“允许”。

因此，总体收稿日期：２００２—１１—２５作者简介：许南山（１９５６一），男，副教授，主要研究方向：数据库系统、软件工程；高峰（１９７４一），男，硕士研究生，主要研究方向：分布式计算、计算机网络、数据库．　万方数据３１２计算机应用２００３年一————————————————————————————————————————————————————————————————————一过滤规则是两个方向的过滤规则的有机结合。

３．１与服务相关的过滤根据特定的服务，如Ｆｔｐ、Ｈｔｔｐ、，Ｉ＇ｅｌｎｅｔ等等允许或拒绝流动的数据包。

多数的服务都有已知的ＴｃＰ／ｕＤＰ端口号，例如，Ｔｅｌｎｅｔ服务的是ＴｃＰ的２３号端口，ｓＭＴＰ服务的是ＴＣＰ的２５号端口。

为了阻塞所有进入的Ｔｅｌｎｅｔ连接，防火墙只需简单的丢弃所有ＴｃＰ端口号等于２３的数据包。

为了将Ｔｅｌｎｅｔ连接限制到内部的数台机器上，必须拒绝所有ＴｃＰ端口号等于２３并且目标ＩＰ地址非法的数据包。

一些典型的过滤规则包括：·允许进入的Ｔｅｌｎｅｔ会话与指定的内部主机连接；·允许进入的ＦＴＰ会话与指定的内部主机连接；－允许所有外出的Ｔｅｈｅｔ会话；·允许所有外出的Ｆ１１Ｐ会话；·拒绝所有来自特定的外部主机的数据包。

３．２与服务无关的过滤有几种类型的攻击很难使用基本的包头信息来识别，因为这几种攻击是与服务无关的。

因此过滤规则需要附加的信息。

这些信息是通过审查特定的ＩＰ选项、检查特定段的内容等等才能的到。

下面列举几种典型攻击类型并制订相应的包过滤规则：（１）源ＩＰ地址欺骗攻击（Ｓ０ｕｒｃｅＩＰＡｄｄｒｅｓｓｓｐｏ曲ｎｇＡｔｔａｃｋｓ）。

攻击特点是入侵者从外部传输～个假装是来自内部主机的数据包，即数据包中所包含的源ＩＰ地址为内部网络上的ＩＰ地址。

这种攻击对只使用源地址安全功能的系统很奏效。

在那样的系统中，来自内部的信任主机的数据包被接受，而来自其它主机的数据包全部被丢弃。

包过滤规则是，丢弃所有来自外部而源地址又是内部的数据包。

（２）源路由攻击（ｓｏｕｒｃｅＲ０ｗｉｎｇＡｔｔａｃｋｓ）。

其特点是源站点指定了数据包在ｈｔｅｍｅｔ中所走的路线。

其目的是为了旁路安全措施并使数据包到达的路径不可预料。

包过滤规则是，丢弃所有包含源路由选项的数据包。

（３）极小数据段式攻击（ＴｉｎｙＦｒＢｇｍｅｎｔＡｔｔａｃｋｓ）。

攻击特点是入侵者使用了ＩＰ分段的特性，创建极小的分段并强行将ＴＣＰ头信息分成多个数据包段。

目的是为了绕过用户定义的过滤规则。

入侵者寄希望予包过滤器只检查第一个分段而放过其余的分段。

对于这种类型攻击包过滤规则是，丢弃协议类型为ＴＣＰ，ＩＰＦｒ８９ｍｅｎｔｏ豳ｅｔ等于１的数据包。

３．３基于网络ＩＰ和ＭＡｃ地址绑定的包过滤在网络管理中ＩＰ地址盗用现象时有发生，这不仅影响网络的正常使用，而且当被盗用的地址具有较高的权限时，可能会造成大量的经济损失，以及带来其他的安全隐患。

把网络接口的ＩＰ和ＭＡｃ地址绑定起来，可以很好地解决这一问题。

因为每块网卡具有唯一的一个标识号码，就是网卡的ＭＡＣ地址，而每个ＭＡｃ地址也仅供唯一的一块网卡使用。

所以，通过ＩＰ／ＭＡｃ的绑定，在防火墙内部建立起ＩＰ地址同ＭＡｃ地址一一对应的关系之后，即使有人盗用ＩＰ地址发送数据包，那些数据包也会因ＩＰ／ＭＡｃ地址不匹配而被过滤掉，从而使入侵企图遭到挫败。

４一种新的过滤机制——流过滤新的包过滤机制层出不穷，这里我们探讨一个国产防火墙——ＮｅｔＥｙｅ防火墙３．１的基于状态包过滤的流过滤体系结构。

“流过滤”是在链路层或ＩＰ层，以状态包过滤的形式，通过内嵌的专门用的ＴｃＰ协议栈，实现透明的应用信息过滤的机制，其体系结构如图３所示。

具体来说，就是客户端在规则允许时直接访问服务器，每个这样的访问在防火墙内部产生两个完全独立的ＴＣＰ会话，数据以“流”的方式从一个会话流向另一个会话，“流”的中间实施应用层策略，防火墙可以在任何时候代替服务器或客户端参与应用层的会话，从而能控制应用层，产生代理防火墙的功效。

采用流过滤机制，我们可以进行应用级插件的开发、升级，以便及时地对付各种新的攻击方式，动态地保护网络安全。

一，一一，一７７ｒ一撇ｌ／７’ｌ羹溪薹霆嚣｜｜｜｜｜嚣｜｜Ｉ；；餐｜｜｜｜｜｜｜｜垂蒌誊［三互］图３基于状态包过滤的流过滤的体系结构网络安全本身是动态的，变化快，新的攻击方式不断产生。

安全策略必须能够根据新的攻击方式及时得到相应的调整。

基于状态包过滤的流过滤体系结构，具备这种动态保护网络安全的特性。

例如，新的Ｎｉｍｄａ病毒使很多企业网络陷入瘫痪，而如果采用ＮｅｔＥｙｅ防火墙，利用其流过滤体系结构的保护，就能够及时增加相关内容的过滤规则，有效地保护网络免遭该病毒的袭击。

ＮｅｔＥｙｅ防火墙的安全响应小组时刻跟踪新的攻击方式，并在第一时间发布解决方案，使ＮｅｔＥｙｅ防火墙能够有效的抵御各种新的攻击，动态地保护网络安全。

５结论我们对包过滤防火墙的相关问题作了全面探讨，分门别类地论述如何制订过滤规则才能有效地防范攻击，通过对一种新的过滤机制——流过滤的分析，指出只有通过动态保护才能更加有效地抵御各种侵袭，保护内部网络安全。

参考文献【１】邹勇，白跃彬，赵银亮．增强型包过滤防火墙规则的形式化及推理机的设计与实现【Ｊ】．计算机研究与发展，２０００，（１２）．【２】郝玉洁，常征．网络安全与防火墙技术【ＪＪ．电子科技大学学报（社科版），２００２，（０１）．［３】ＴＣＰ／ＩＰＦｉ蹦商ｌ【ＥＢ／０Ｌ】．ｈｔｔｐ：／／ｐｌｉｎｕｘ．ｏ理／ｒｅｄ鲥ｄ／ｂ００ｋ＆／ｎａｇ—ｃｎ２／ｘ—０８７—２～ｆｉｌ℃ｗａｌｌ．ｈｔ“．２００２一ｌＯ．【４】Ｆｉｒｅｗ８ｌｌｓ【ＥＢ／０Ｌ】．ｈｔＩｐ：／／如ｂｓｄ．ｃ８ｉｅ．ｎｃｔｌｌ．ｅｄｕ．ｔｗ／ｈ姐ｄｂ００ｋ．ｂｉ西／ｈ∞ｄｂｏｏｋ７１．ｈｔＩｌｌｌ，２００２一１０．　万方数据防火墙包过滤规则问题的研究作者：高峰， 许南山作者单位：北京化工大学,信息科学与技术学院,北京,100029刊名：计算机应用英文刊名：COMPUTER APPLICATIONS年，卷(期)：2003，23(z1)被引用次数：13次1.邹勇.白跃彬.赵银亮增强型包过滤防火墙规则的形式化及推理机的设计与实现[期刊论文]-计算机研究与发展2000(12)2.郝玉洁.常征网络安全与防火墙技术[期刊论文]-电子科技大学学报(社会科学版) 2002(01)3.TCP/IP Firewall 20024.Firewalls 20021.期刊论文黄菊包过滤防火墙和代理防火墙的比较-郑州航空工业管理学院学报2003,21(4)防火墙是网络安全策略的重要组成部分,选择合适的防火墙技术是用户应用网络的前提.对包过滤防火墙和代理防火墙技术进行了比较分析,并针对二者存在的问题提出了解决的方法.2.学位论文陈锦标协作型防火墙的包过滤和通信安全的设计与实现2003论文主要对协作型防火墙的包过滤和通信安全进行设计与实现.包过滤是防火墙的基本功能,通信安全是防火墙进行网络安全保护的前提条件.论文通过下面的方法,设计与实现协作型防火墙的包过滤和通信安全.1、设计一种完全分布式的防火墙体系结构;在完全分布式结构中,防火墙安装在内部网络的所有可能成为攻击源端或目的端的主机中,从而把外部和内部网络攻击统一到防火墙的周边(内部网络的主机)来防御.这种结构,为防火墙全面地和主动地防御网络攻击提供基础.2、利用防火墙的包过滤模块和协作模块的功能,在包过滤中实现对网络攻击的主动防御;在分析Windows环境的主要包过滤技术的基础上,采用代表主流技术方向的NDIS(网络驱动接口规范)中间层驱动的帧过滤技术,实现防火墙的包过滤模块.由于现有防火墙主要在网络层过滤数据包,而帧过滤在更低层面(数据链路层)过滤数据包,所以帧过滤在安全性和效率方面具有一些优势.协作模块实现攻击目的端和源端主机之间的协作,使得防火墙可以在源端主机中实施主动的安全策略.防火墙与其他网络系统之间的协作,提高了防火墙的入侵侦测能力,使得防火墙可以更及时和更准确地标识网络攻击.把包过滤模块和协作模块结合起来,可以实现对网络攻击的主动防御,更好地消除网络攻击(如拒绝服务攻击)所带来的负面的安全和通信影响.3、设计一种合符防火墙通信安全需求的IP安全(IPSec)策略,实现防火墙的通信安全;分布式结构带来了防火墙的通信安全问题.采用先进的标准化的IPSec技术,设计和实施一种合符防火墙通信安全需求的IP安全策略,如AH+ESP的传输模式,可以实现防火墙的通信安全.一般的分布式防火墙在实现防火墙的通信安全时缺乏对传统应用的保护,这种方法有效地克服了这个缺陷,具备更好的安全性和相对独立性.论文通过两个实验,验证协作型防火墙的包过滤和通信安全的实现方法的有效性.一个是利用防火墙的包过滤模块和协作模块的功能,在动态包过滤中主动防御网络攻击的实验;另一个是通过实施"AH+ESP的传输模式"的IP安全策略,实现防火墙的通信安全的实验.论文的结果,有效地实现了以下目标.1、设计一种可行的防火墙体系结构,把外部和内部网络攻击统一到防火墙的周边来防御,为全面地和主动地防御网络攻击提供基础.2、用NDIS中间层驱动的帧过滤技术,实现数据链路层的包过滤,提高包过滤的安全性和效率.3、实现攻击目的端和源端主机之间的协作、防火墙与其他网络系统之间的协作,并结合包过滤模块的功能,在包过滤中实现对网络攻击的主动防御.4、设计一种符合防火墙通信安全需求的IP安全策略(AH+ESP的传输模式),实现防火墙的通信安全.3.期刊论文吕华锋.吴秋峰.Lü Huafeng.Wu Qiufeng Internet防火墙及其Linux实现-计算机工程与应用2001,37(8)该文阐述了Internet防火墙技术的原理，介绍了若干种防火墙的体系结构，给出了linux操作系统下的防火墙软件及其使用实例。