计算机网络与信息安全课件-第7章 防火墙基础

第七章防火墙技术防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称之为“防火墙”。

与防火墙一起起作用的就是“门”。

如果没有门，各房间的人将无法沟通。

当火灾发生时，这些人还须从门逃离现场。

这个门就相当于我们这里所讲的防火墙的“安全策略”，所以在此我们所说的防火墙实际并不是一堵实心墙，而是带有一些小门的墙。

这些小门就是用来留给那些允许进行的通信，在这些小门中安装了过滤机制。

网络防火墙是借鉴了古代真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。

防火墙可以使企业内部局域网（LAN）网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络，防止发生不可预测的、潜在破坏性的侵入。

典型的防火墙具有以下三个方面的基本特性：（1）内部网络和外部网络之间的所有网络数据流都必须经过防火墙这是防火墙所处网络位置特性，同时也是一个前提。

因为只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业内部网络不受侵害。

根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。

所谓网络边界即是采用不同安全策略的两个网络的连接处，比如用户网络和Internet之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。

防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。

（2）只有符合安全策略的数据流才能通过防火墙防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速地从一条链路转发到另外的链路上去。

从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址。

防火墙将网络流量通过相应的网络接口接收上来，按照协议栈的层次结构顺序上传，在适当的协议层进行访问规则和安全审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断。

因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备，它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作。

（3）防火墙自身应具有非常强的抗攻击能力这是防火墙之所以能担当企业内部网络安全防护重任的先决条件。

防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵的能力。

其中防火墙操作系统本身的安全性是关键。

其次就是防火墙自身具有非常少的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行。

自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统以来，防火墙技术得到了飞速的发展。

目前有几十家公司推出了功能不同的防火墙系统。

第一代防火墙，又称包过滤防火墙，主要通过对数据包源地址、目的地址、端口号等参数的检查来决定是否允许该数据包通过，对其进行转发，但这种防火墙很难抵御IP地址欺骗等攻击，而且审计功能很差。

第二代防火墙，也称代理服务器，它可提供对网络服务层的控制，在外部网络向被保护的内部网络申请服务时充当代理的作用，这种方法可以有效地防止对内部网络的直接攻击，安全性较高。

第三代防火墙有效地提高了防火墙的安全性，称为状态监控功能防火墙，它可以对每一层的数据包进行检测和监控。

随着网络攻击手段和信息安全技术的发展，新一代的功能更加强大、安全性更好的防火墙已经问世，这个阶段的防火墙已超出了传统意义上防火墙的范畴，已经演变成一个全方位的安全技术集成系统，可称之为第四代防火墙，它可以抵御目前常见的网络攻击手段，如IP地址欺骗、特洛伊木马攻击、Internet蠕虫、口令探寻攻击、邮件攻击等等。

实际上，这种防火墙具有很多的IDS功能。

IDS与防火墙的相互配合使用，VPN和防火墙的相互配合使用将能提供更全面的安全性，也是防火墙发展的趋势。

7.1 防火墙功能及分类7. 1.1 防火墙的功能防火墙是网络安全的第一道防线。

防火墙在一个机构的私有网络和外部网络间建立一个检查点。

这种实现要求所有的流量都要通过这个检查点。

一旦这些检查点清楚地建立，防火墙设备就可以监视、过滤所有流入和流出的网络流量。

只有经过精心选择的数据包才能通过防火墙，所以网络环境变得更安全。

如防火墙可以禁止诸如众所周知的不安全的NFS 协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。

防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。

防火墙可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

防火墙可以强化网络安全策略。

通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。

与将网络安全问题分散到各个主机上相比，防火墙的集中式安全管理在经济性方面占优势。

例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。

防火墙可以对网络存取和访问进行监控审计。

如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并记录在日志中，同时也能提供网络使用情况的统计数据。

当发生可疑动作时，防火墙还能进行适当的报警，并提供网络是否受到监听和攻击的详细信息；另外，收集一个网络的使用和误用情况也是非常重要的。

首先可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。

而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。

防火墙可以防止内部信息的外泄。

防火墙在内部网络周围创建了一个保护的边界。

并且对于公网隐藏了内部系统的信息。

当远程节点侦测内部网络时，他们仅仅能看到防火墙。

内部细节如Finger，DNS等服务被很好地隐蔽起来。

Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。

Finger所显示的信息非常容易被攻击者所获悉并利用。

通过Finger攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。

防火墙同样可阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。

另外，利用防火墙对内部网络的划分，可实现对内部网的重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。

除了安全作用，防火墙还可以支持虚拟专用网(VPN)。

通过VPN，将企事业单位在地域上分布在全世界各地的LAN或专用子网，通过Internet有机地联成一个整体。

不必使用昂贵的专用通信线路，而且通过使用IPsec等通信安全协议可保证信息在Internet上传递时的安全性。

7.1.2 防火墙的分类防火墙有许多种形式，有以软件形式运行在普通计算机上的，也有以固件形式设置在路由器之中的。

按照不同的角度可对防火墙做出不同的分类。

7.1.2.1 按照软硬件功能分配分类软件防火墙软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。

常用的“个人防火墙”也属于这类。

软件防火墙就像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。

软件防火墙中具有代表性的产品是Checkpoint。

硬件防火墙这里说的硬件防火墙是指“所谓的硬件防火墙”。

之所以加上"所谓"二字是针对芯片级防火墙来说的。

它们最大的差别在于是否基于专用的硬件平台。

目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。

在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有Unix、Linux和FreeBSD系统。

值得注意的是，此类防火墙采用的是别人的内核，因此依然会受到操作系统本身的安全性影响。

芯片级防火墙芯片级防火墙基于专门的硬件平台。

专有的ASIC芯片使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。

做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。

这类防火墙采用固化于硬件的专用操作系统，防火墙本身的漏洞比较少，不过价格相对比较高昂。

7.1.2.2 按照检查协议深度分类包（packet）是网络上信息流动的单位，在网上传输的文件一般在发送端被划分成一系列包，经过网络上的中间站点转发，最终到达目的地，然后这些包中的数据又重新组成原来的信息。

每个包包括两部分：数据部分和包头，包头中含有源地址和目的地址等信息。

防火墙按照其分析网络包的协议深度可分为三种：包过滤防火墙、应用级网关和状态检测防火墙。

包过滤防火墙包过滤通过拦截数据包，检查包头，过滤掉不应转发的信息，放行合法数据包。

包过滤器又称为筛选路由器，它通过将包头信息和管理员设定的规则表比较，如果有一条规则不允许发送某个包，路由器将它丢弃。

规则表又称为访问控制表（Access Control Table）。

包过滤规则一般基于网络层之上的部分的或全部的包头信息，例如对于TCP包头信息为：1．IP协议类型2．IP源地址3．IP目的地址4．IP选择域的内容5．TCP源端口号6．TCP目的端口号7．TCP ACK标识。

另外，TCP的序列号、确认号，IP校验和、分片偏移也往往是要检查的内容。

这类防火墙几乎是与路由器同时产生的。

防火墙常常就是一个具备包过滤功能的简单路由器，包过滤是路由器的固有功能。

包过滤方式是一种通用、廉价和有效的安全手段。

之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能在很大程度上满足绝大多数企业安全要求。

包过滤对于拒绝一些TCP或UDP应用程序的IP地址进入或离开你的网络是很有效的。

举个例子，如果想禁止从Internet TELNET到你的内部网络设备中，你需要建立一条包过滤规则。

如果在包过滤防火墙的默认是允许所有都可访问，则一条禁止TELNET的包过滤规则如表7-1所示。

表7-1 包过滤规则上表列出的信息告诉路由器丢弃所有从TCP 23端口出去和进来的数据包。

星号说明是该字段里的任何值。

在上面的例子中，如果一个数据包通过这条规则时，若源端口为23，那么它将立刻被丢弃。

如果一个数据包通过这条规则时，若目的端口为23时，则当规则中的第二条应用时它会被丢弃。

所有其它的数据包都允许通过。