防火墙的设计与实现。。。
基于Windows XP的个人防火墙的设计与实现的开题报告
基于Windows XP的个人防火墙的设计与实现的开题报告一、选题背景随着信息化时代的到来和网络技术的飞速发展，计算机成为人们日常生活中不可或缺的重要设备之一，网络安全问题也日趋突出。
在互联网环境下，计算机不能仅仅依靠操作系统的防火墙来保护自身安全，而需要配备一款个人防火墙来对网络进行更细致地管理和保护。
本题选取基于Windows XP操作系统的个人防火墙的设计与实现，旨在探究个人防火墙的优化设计方案，提升网络安全性能并满足用户需求。
二、研究目标本研究的目标是设计一款基于Windows XP操作系统的个人防火墙，并实现以下功能：1.实现网络流量管理，监控网络通信情况，并控制网络连接状态；2.支持用户自定义网络策略，允许用户控制和管理网络流量；3.监控恶意软件和网站，及时堵塞非法入侵。
三、研究内容本研究将主要涉及以下内容：1.个人防火墙的设计与原理；2.实现基于Windows XP的个人防火墙的方法；3.网络应用过程与整体设计思路；4.防火墙的性能测试、网络运行效果观察与分析。
四、可行性分析由于防火墙作为计算机网络中常见的安全设备之一，开发一个基于Windows XP的防火墙是可行的。
本研究将选择C++语言作为主要程序设计语言，使用Windows API开发环境进行开发，借助于QT 工具实现程序的图形化用户界面。
除此之外，结合C++的多线程和事件机制，实现防火墙的流量监控和处理。
同时，由于Windows XP 操作系统在现有计算机用户中拥有较高的用户群体，防火墙的应用具有一定的实用价值。
五、研究意义本研究主要意义在于设计和实现一款能够满足用户需求的基于Windows XP的个人防火墙。
通过对防火墙的优化设计，将提升网络安全性能，有效地较少系统遭受网络攻击的风险。
同时也能够给用户提供更加方便的网络使用体验。
一种基于负载均衡的防火墙的设计与实现
１总体设计思路 功能。具体地说 ，必须具有以下功能 ：服务转 原则二 ：利用 Ｎ Ｔ实现 Ｉ 服务 负载均 Ａ Ｐ级 Ｉｔ ｔ 了带来 大量 的资讯 外 ，也创 造 发 ，能接 收来 自外部 网中基 于 Ｔ ＰＩ ｎｅ 除 ｍｅ Ｃ／ Ｐ的服务 衡 。 以 图 １为 例 ， 当 外 部 用 户 （Ｉ Ｐ： 了许 多 全 新 的 网络 商 业 模 型 ，但 随 着 系 统使 用 请求 ，并将它们转发到 当前负载最轻 的机器上 １２９２０５ ：０ 向服 务负载均衡 器发送一个 ９ ．． ． ８ ） ０ ３ 户 数 的 增 多 和影 响范 围 的 扩大 ，也 出 现 了 许多 执行 ；动 态 负 载 均衡 ，根 据 连 接 到 内部 网 中的 请 求 报文 时 ，在 均 衡 器 的 Ｉ 利 用 ＤＮ Ｐ层 ＡＴ对 问题如系统负载过重 、受到黑客攻击、防火墙 实 际 服 务 器 的 连 接 数 目 ，决 定 负 载 最 轻 的 机 此 请 求 报 文 的 目 的 地 址 （Ｐ １２９ ０ ．６ Ｉ ： ９ ．． ０５ ： ２ 单点失效等 ，这些都可能造成系统服务 中断或 器 ；连接持续性 ，来 自外 部网的同一客户的所 １３ ）进行替换 ，将 目的地址替换为 内部网络 ６１ 不 稳定 。 有请求必须转发到 内部网中的同一 台实际服务 中 某 个 实 际 服 务 器 如 ｓｒｅｌ 的 Ｉ 地 址 ｅ ｒ ｖ Ｐ “ 十五”期 间由中国人 民银行连 同国内各 器 上 进行 处 理 。 １ ．０１ ０ ０，然后将此报文转 发出去 。当内 ００ ．： ８ ． ８ 商业银行共 同提出的 “ 银行信息系统安全保密 ２ ． 境 设 置 ２环 部 网络中 的实 际服务器 ｓｒｅｌ 请求处理 完 ｅｖｒ 将 平 台”被列为国家 “ 十五”科技攻关项 目。该 以后 ，它 将应 答发 回到 服 务 负载 均 衡 器 ，该 平 项 目出武汉人行承担并进行应用示范 ，亿阳信 衡器再 次利用 ＤＮ Ｔ将 目地地址 １２９２０５ ： Ａ ９ ．．０ ． ６ 通作为合作单位参与开发 ， 本人在亿阳信通实 ｌ３ 转换为发 出请求 的外部 网用户 的 Ｉ ６１ Ｐ地址 习期间有幸参与 了此项 目组 的一些工作 。在该 １２９ ０ ．３８ ，然 后 将 此 报 文 转 发 到 用 户 。 ９ ．． ０５ ：０ ２ 项 目中，网络层安全主要解决 网络互联过程和 并 由连 接跟 踪 技 术 提 供 的连 接 状 态 表 和地 址 转 网 络 通 讯 层 安 全 问 题 ， 主 要 包 括 网 络 进 出 控 换表决定是否进行服务负载均衡。 制 ；网络 和链路层数据加 密；对外通信 的管理 原 则 三 ：选 取 负 载 最 轻 的 服 务 器 Ｉ 址 Ｐ地 控制和计 费。 网络 负载均衡 技术 可提高 Ｗｅ ｂ 在ＤＡ Ｎ Ｔ模 块 中实 现 。 服务 器 、ｒｒ Ｐ服务 器 和其 他 关 键 任 务 服 务 器 ｈ ３ 服 务 负 载均 衡 模 块 实 现 的 Ｉｔｒｅ 服 务器程序 的可用 性和可 伸缩性 。 ｎｅｎ ｔ ３１ 块 流 程 ．模 因而考虑采用服务器集群技术，通过防火墙上 图 １ Ｎ Ｔ方 式服 务 负载 均衡 环 境 设 置 Ａ 服 务 负 载 均衡 流 程 图 如 图 ２所 示 。 服务负载均衡模块将负载分配给多个服务器连 Ｎ Ｔ方式 服务负 载均衡 环境 设 置如 图 １ Ａ Ｉ 罐 善球 一 请 １ ｌ 成 的集群解决 防火墙单点失效 。现主要围绕完 所示 ，该集群系统 由防火墙 Ｂ Ｃ ．Ｆ ３ ０ 、 Ｏ ＯＳ Ｗ一 ０ ０ Ｊ 成 服 务 负 载均 衡 实 现 进行 介 绍 。 ｓｉｅ１ ｅ ｅ２以及 ｓｌｅ ｅｖｒ 、ｓｒ ｒ ＇ ｖ ｅ ｒｎ等机器组成。其 ｗ 邮 肓 Ⅱ 配 衰 项 ｌ 为实现具有负载均衡机制的防火墙 ，首先 中 防火 墙 Ｂ Ｃ ．Ｆ 一０ ０作 为 内 部 网 和 外 部 ｌ Ｏ ＯＳ Ｗ ３０ 利用 Ｎ Ｔ技术和集群技 术完成服务 映射 ，实 网的 接 口 ，能够 接 收 外 部 网 的用 户 请 求 ，并 将 Ａ 现基于服务 的负载均衡。而后设计防火墙双机 此 用 户请 求 发送 到 防火墙 Ｄ Ｚ区 ｓ ｅｌ Ｍ ｅ ｒ 到 ￣ 热备份 。将 两 台防火墙 同时接人 到用户 网络 ｓｒｅ １中 的某 台 机器 上 如 ｓｒｅｌ 当 ｓｒｅＩ ｅｖＦ １ ｅｖｒ 。 ｅｖｒ ｛ｌ ： 一 ～ 一 １ ： 甚 中 ，当正在工作的主机发生故障时，备份防火 处理完用户 的请求以后 ，就将处理完的结果发 工 Ｊ 墙可 在 几 秒 之 内切 换 到 工 作 状 态 。 送 给 防火 墙 Ｂ Ｏ． Ｗ一 ０ ０ ＯＣ Ｓ Ｆ ３ ０ ，然 后 再 由 防火 本 系统 的运 行平 台选用亿 阳网警 防火墙 墙 Ｂ Ｃ Ｓ Ｗ一 ０ ０ 请 求 应 答 返 回给 外 部 网 Ｏ Ｏ． Ｆ ３０ 将 ｆ 新建 转 表 一 项 Ｂ Ｃ Ｓ Ｗ 一 ０ ０ 它 采 用 状 态 检 测 包 过 滤 技 的 用 户 。本 文 将 防 火墙 上 的 Ｄ Ａ Ｏ Ｏ． Ｆ ３０。 Ｎ Ｔ模 块称 为服 Ｉ辑 此 八 ｉ 衰 项 加 八 到 网 络 地 Ｉ ＝ ｌ Ｉ＃ 羲 Ｈ＾ｓ Ｈ 术 。该 平 台 内核 最 主 要 的 特 点是 建 立 了 Ｎ ｔｌ 务 负 载 平 衡 器 ， 因 为 它 承 担 了 均 衡 负 载 的 作 ｅｆ— ｉ ｔｒ 象 框 架 ，定 义 了 ５个 钩 子 函 数 。 基 于 用 ；将 实 际 响 应用 户 请 求 的 ｓｒｅｌ等 机 器 称 ｅ抽 ｅｖｒ 图 ２ 服务 负载 平 衡 流程 图 Ｎ ｔｈ ｒ ｅｆ ｅ 框架防火墙对数据包 的处理 ，不再沿 为实 际 服 务 器 。试 验 环 境 中 外 部 网 中 的客 户 机 ｉ ３２程 序模 块 ． 用早 先的 Ｉｃａｎ 技 术 而采用 Ｉｔｂｅ ｐｈ ｉｓ ｐａ ｌ ｓ技术 ， 器 的 Ｉ Ｐ地址 为 】２９２０５ ， 防火 墙 有 两 个 Ｉ ９ ．． ． ０ ３ Ｐ 服务负载均衡模块是基 于 Ｄ Ａ Ｎ Ｔ的路 由选 并引入连接跟踪技术实现状态检测 的防火墙 。 地 址 ， 内部 全 局 地 址 Ｉ ： １２９２０５ Ｐ ９ ．．０ ． ６和 内 部 择方式 ，如 图 ３所示 ，它作 为防火墙 系统 中 Ｐ： ０００２ ， ５ Ｎ ｔｌ ｒ ｅ ｉｅ 是本 防火墙基 于 Ｌｎ ｘ．．６实现的框 局 部 地 址 Ｉ １．．， ４ 服 务 负 载 均 衡 器 在 Ｎ Ｔ模块 的组 成部分 ，通过 目的地址转换 实 ｆｔ ｉｕ２４１ Ａ 架 。它 提 供 了一 个抽 象 、通 用 化 的框 架 ，该 框 防火 墙 Ｂ Ｃ ．Ｆ ３０ Ｏ ＯＳ Ｗ一 ０ ０上 运 行 。 内 部 网 中 有 现 。在 该过程 中 ，需要 访问连 接跟踪状 态表 架 定 义 了 一 个 子 功 能 实 现 的 就 是 包 过 滤 子 系 Ｉ 实 际 服 务 器 ， 它 们 的 Ｉ 地 址 分 别 为 （ 连 接技 术 提供 的 ）和 网络 地 址 转换 状 态 表 ， １台 Ｐ 由
嵌入Web的防火墙的设计与实现
离的 ， 法防范 通过防火墙 以外的其它途径 的攻击 ， 无 比如通过
Ｃｆ ｌ 是 Ｖ Ｎ进行的攻击； Ｐ 无法防止内部发生的攻击行为； 不能有效防 Ｔ Ｐ Ｐ访问 ， 否允许域 名访问等 。 访 问 日志 访 问 日志记录所有 访问者的访『信息 ，对数据 ｕ 】 护合法用户 的攻 击 ； 火墙是一个进 出关 口， 防 一旦该关 口被黑 客攻破 ， 内部 Ｗｅ 将面临严重威胁 ； 那么 ｂ 不便管理 人 对它进
的身份 。即通过 ＵＤ Ｐ中的 ＭＡ Ｃ地址进行过滤。 域名过滤 用 户通过 代理服 务器访问 Ｗｅ 务器的资源 ， ｂ服 那么 Ｅ ＷＦ就不能 通过获取他的 Ｉ Ｐ和 ＭＡ Ｃ地 址来识别 身份 。
（）戡 据 表 Ｌｍｉｎｏ １ ｉ ｔ ｆ ｌ
记录用于域 名检 测及 Ｔ ＰＩ Ｃ／ Ｐ和 ＭＡ Ｃ地 址检测所 设置的 相关信息 ， 其结 构如表 ｌ 所示 ：
行远程 管理 。 为了解决上述 题 ， 以对原有 的防 火墙 进行改进 ． 可 没计
一
进行 自动 分类和 自动 检索 ， 审计跟踪 访问者的 活动 ， 管理 员 给 提供 分析的依据
入侵报警 Ｅ ＷＦ在收集到有关用户活动的状态和行为等信
息后， 通过分析 ， 一旦发现入侵行为 ， 立即响应． 包括记录事件、 向管理员发出报警信息和实施安全控制等。 可以通过拒绝入侵
址 及端 口号 、 协议类型等 ， 以判断该 Ｉ 是 否是合法 访问者 ， Ｐ 然
后决定是允 许或拒绝此包。 ＭＡＣ地址 过滤 Ｉ ｐ地址可能被伪造 ， 入侵者可 以通过 伪装
图 ｌ ＷＦ系统结构 Ｅ
１２ Ｅ ． ＷＦ的数据库设计
在Ｅ ＷＦ系统 中选 用 ＭＳ Ｓ Ｌ ２ ０ Ｑ ０ ０作 为数据 库平 台 ， 建
简易Windows防火墙的设计与实现论文
简易Windows防火墙的设计与实现摘要当今时代是飞速发展的信息时代，计算机与信息处理技术日渐成熟。
随着Internet和计算机网络技术的蓬勃发展，网络安全问题现在已经得到普遍重视。
网络防火墙系统就是网络安全技术在实际中的应用之一。
本设计实现的防火墙采用IP过滤钩子驱动技术，过滤钩子驱动是内核模式驱动，它实现一个钩子过滤回调函数，并用系统提供的IP过滤驱动注册它，IP过滤驱动随后使用这个过滤钩子来决定如何处理进出系统的数据包。
本防火墙由以下几个模块组成：过滤规则添加模块，过滤规则显示模块，过滤规则存储模块，文件储存模块，安装卸载规则模块，IP封包过滤驱动功能模块。
用户只需要通过主界面菜单和按钮就可以灵活地操作防火墙，有效地保护Windows系统的安全。
关键词：防火墙；过滤钩子；过滤驱动；包过滤The Design and Implement of Simple Windows FirewallAbstractThe current era is a rapid development of information age. The technologies of computer and information processing become maturity. With the Internet and computer network technology to be flourishing, network security that has been widely concerned. Firewall system is one of the security technologies that used in the network. This design has implemented a firewall adopting the IP filter-hook driver technology; it’s driven through the kernel mode, the filter-hook callback function has been implemented and the filter-hook driver is registered by the IP filter driver which is provided by system. The IP filter driver uses the filter-hook to handle the data packets in and out. The firewall is composed of the following modules: adding filter rules module, display filter rules module, storage filter rules module, storage file module, installation and unloading rules module, IP packet driver module. Users can finish the operation by using main menu and button and protect the system effectively.Key words: Firewall; Filter-Hook; Filter Driver; Packet Filtering目录论文总页数：21页1 引言 (1)1.1 课题背景 (1)1.2 本课题研究意义 (1)1.3 本课题研究方法 (1)2 防火墙概述 (1)2.1 防火墙的定义 (1)2.2 防火墙的基本策略 (2)2.3 包过滤防火墙 (2)2.3.1 数据包 (2)2.3.2 包过滤防火墙的工作原理 (2)3 开发工具 (3)3.1 V ISUAL C++6.0 (3)3.2 VSS (3)4 防火墙系统构成 (3)4.1需求分析 (3)4.2设计思路 (4)4.3功能模块构成 (4)4.4功能模块介绍 (4)4.4.1 过滤规则添加删除功能模块 (4)4.4.2 过滤规则显示功能模块 (4)4.4.3 过滤规则存储功能模块 (5)4.4.4 文件存储功能模块 (5)4.4.5 文件载入功能模块 (5)4.4.6 安装卸载功能摸块 (5)4.4.7 IP封包过滤驱动功能模块 (5)5 防火墙设计 (5)5.1 程序关键类 (5)5.1.1 应用程序类CFireWallAPP (5)5.1.2 主框架类CMainFrame (5)5.1.3 文档类CFireWallDoc (6)5.1.4 视图类CFireWallView (7)5.1.5 _RuleInfo类 (7)5.2 详细设计 (8)5.2.1 主界面 (8)5.2.2 添加过滤规则 (8)5.2.3 删除过滤规则 (11)5.3 驱动程序设计 (13)5.3.1 简介 (13)5.3.2 结构图 (14)5.3.3 该驱动的优点 (14)5.3.4 本程序的驱动设计 (14)6 程序测试 (16)结论 (18)参考文献 (19)致谢 (20)声明 (21)1引言1.1课题背景防火墙是一种隔离技术，是一类防范措施的总称，利用它使得内部网络与Internet或者其他外部网络之间相互隔离，通过限制网络互访来保护内部网络。
基于Packet tracer防火墙的基本配置仿真实验的设计与实现
Router(config-line)#password cisco
图3 防火墙基本配置实验网络拓扑图 Fig.3 Network topology diagram of firewall basic
configuration experiment
对网络拓扑图各设备 IP 地址规划如表 1 所示。 3.2 实验具体步骤 （1）根据设计的网络拓扑图，在 Cisco Packet Tracer 中搭建网络。 （2）配置主机、服务器和路由器的接口的 IP 地址。 通过 IP Configuration 分别配置主机（Inside User） 和服务器（Web Server）的 IP 地址。 通过命令配置路由器接口的 IP 地址 ： Router>enable Router#configure terminal Router(config)#interface GigabitEthernet 0/0 Router(config-if )#ip address 192.0.2.100 255.255.255.0 Router(config-if)#no shutdown Router(config-if )#exit Router(config)#ip route 0.0.0.0 0.0.0.0 192.0.2.1 命令说明 ：命令 ：ip route <ip_address> <mask>
络中有些设备需要对外网的一些设备提供服务，如果这
些设备和内网设备放在一起，则会给内网带来巨大的安
图1 防火墙的部署结构 Fig.1 Firewall deployment structure
2.2 防火墙的主要功能 防火墙主要功能包括 ： （1）隔离内外部网络。将内外部网络隔离可以防止 非法用户访问内部网络，并能有效防范邮件病毒和宏病 毒等的攻击。 （2）形成集中监视点。防火墙位于多个网络交界 处，通过强制所有数据包都要经过防火墙，并通过访问 规则对所有数据包进行检查和过滤，这样就能集中对网 络进行安全管理。 （3）强化安全策略。以防火墙为中心，能够将多种 安全软件配置在防火墙上，比如口令和身份认证等，与 传统的网络安全问题分散在多台主机上相比，这种集中 管理方式操作更加简便并且节约成本 [3]。 （4）能够有效审计和记录内外网络之间的通信活 动。因为内外网络之间所有的数据包都要流经防火墙， 因此防火墙能对所有的数据包进行记录，并写进日志系 统。当发现异常行为时，防火墙能够发出报警，并提供
Web应用防火墙设计与实现
Web应用防火墙设计与实现随着互联网的快速发展，Web应用攻击日益增多，对用户的信息安全和系统的稳定性构成了严重威胁。
为了提高对Web应用的安全防护能力，Web 应用防火墙（WAF）应运而生。
本文将介绍Web应用防火墙的设计原理和实施步骤，以及一些常见的防护技术和策略。
一、设计原理Web应用防火墙是位于Web应用程序和Web服务器之间的一道防线，它通过监控、过滤和阻挡对Web应用的攻击行为，保护Web应用的安全和可用性。
其设计原理主要包括以下几个方面：1. 攻击检测和识别：Web应用防火墙需要能够快速、准确地检测和识别各种Web应用攻击行为，如注入攻击、跨站脚本攻击、路径遍历攻击等。
通常使用正则表达式、特征码和行为分析等技术来实现攻击的检测和识别。
2. 攻击过滤和阻断：一旦检测到攻击，Web应用防火墙需要采取相应的防护措施，如过滤恶意请求、拦截攻击流量等。
过滤和阻断的策略可以根据实际需求和攻击特征来制定，比如封锁IP地址、禁止特定的HTTP方法、限制请求频率等。
3. 日志记录和分析：Web应用防火墙需要记录所有的攻击事件和防护措施，并进行有效的分析和统计。
这些日志对于后续的安全事件分析、异常检测和安全策略优化等工作非常重要，可帮助识别并应对新型的攻击。
二、实施步骤实施Web应用防火墙的步骤主要包括规划、部署和测试。
以下是具体的实施步骤：1. 规划阶段：确定防火墙的部署位置、防护策略和性能需求。
根据Web应用的特点和业务需求，制定相应的安全策略，并明确防火墙的功能和配置要求。
2. 部署阶段：根据规划结果，选择合适的Web应用防火墙产品和技术，并进行相应的配置和测试。
确保防火墙能够正确地识别和拦截各种攻击行为。
3. 测试阶段：对已部署的Web应用防火墙进行全面的测试和评估。
包括功能测试、性能测试和安全漏洞测试等。
通过测试来验证防火墙的可用性和安全性。
三、常见的防护技术和策略1. 注入攻击防护：检测和过滤输入数据中的特殊字符和命令。
基于Windows的个人防火墙的设计与实现的开题报告
基于Windows的个人防火墙的设计与实现的开题报告1. 题目背景随着互联网的快速发展，网络攻击也越来越多，人们的网络安全意识越来越高，网络安全问题得到了广泛的关注。
在电脑上，防火墙是一种很重要的安全工具。
它可以监控电脑和网络之间的传输，防止有害信息进入系统，白名单和黑名单的应用控制等。
在Windows操作系统中，防火墙是一个重要的安全组件。
因此，本文将以Windows操作系统为基础，设计并开发一个个人防火墙工具。
2. 研究目的2.1 理论目的（1）了解个人防火墙的基本原理。
（2）掌握Windows操作系统中的网络安全机制。
（3）研究并掌握Windows操作系统中的防火墙技术和实现。
（4）掌握网络安全安装、配置、管理和维护技术。
2.2 实践目的（1）设计并实现一个基于Windows操作系统的个人防火墙工具。
（2）实现基本的入侵检测和防御功能。
（3）对开发的个人防火墙工具进行可靠性测试和性能测试。
3. 研究内容和研究方法3.1 研究内容（1）个人防火墙的基本原理和功能。
（2）Windows操作系统中的网络安全机制。
（3）Windows操作系统中的防火墙技术和实现。
（4）开发一个基于Windows操作系统的个人防火墙工具，并实现基本的入侵检测和防御功能。
（5）测试开发的个人防火墙工具的可靠性和性能。
3.2 研究方法（1）实现研究内容所需要的相关技术。
（2）进行文献资料的查阅与综合分析，了解国内外有关个人防火墙的发展、应用和研究现状。
（3）在Windows操作系统上开发一个个人防火墙工具，并实现基本的入侵检测和防御功能。
（4）测试开发的个人防火墙工具的可靠性和性能，对测试结果进行统计分析。
4. 预期成果（1）完成个人防火墙的相关研究工作，掌握个人防火墙的基本原理和功能，以及Windows操作系统中的网络安全机制和防火墙技术和实现。
（2）设计并实现一个基于Windows操作系统的个人防火墙工具，并实现基本的入侵检测和防御功能。
基于双防火墙的企业网安全设计与实现
支机构 、 移动办公人员的信息共享安 全 ， 既要保证信息的及时共
享， 又要 防止机密的泄漏 ， 已经成为企业成长过程中不得不考虑
的问 题
一
图 １
最简单 的完全边界安全解 决方案就是单 防火墙 。因为 只有
个防火墙和一个到 Ｉｔ ｎｔ ｎｅ ｅ 的连接 ， ｒ 只要管理和控制一个点就
我们称它们为“ 单防火墙结构 ” 双防火墙结构” 和“ 。 统、 应用 和管理方面进行立体的防护 ， 中小企业所面临的安全 问 结构 ，
题 主 要 有 以 下 几个 方 面 ：
１ 外 网安 全 、
１ 单 防 火 墙 设计 、 方案如下 图 １ ：
Ｆ Ｐ｝ 器 Ｗ ｂ 务 器 邮 件 服 务器 Ｔ 搬务 ｅ服
２１ ０ ０年 ７月
总 第 １４期 ８
基 于双 防火 墙 的 企 业 网 安 全 设 计 与 实现
邓 平 赵 祖 应
（ 云南爱 因森软件 职业 学院 昆明 ６ １０ ） ５ ７ １
摘 要 本文 主要 阐述 了小型企业网的双防火墙设计方案 以及防火墙的构建。阐述了当前小型企业 网所面临的严峻的安 全问题 ， 并 就此提出了采用双 防火墙来实现小型企业 网的安全设计方法 。 关键词 网络安全
ｗａ１ Ａｎ ｈ ｍａｌｅ ｔ ｒ ｒｓ ｎ ｒ ｎ ｔ ａ ｅ ｈ ｅ ｉ ｕ ｅ ｕｒｔ ｒ ｂ ｅ ｌ． ｄ ｔ ｅ ｓ ｌ ｎ ｅ ｐ ｉｅ Ｉ ｔａ ｅ ｓｆ ｃ ｄ ｔ ｅ ｓ ｒｏ ｓｓ ｃ ｉ ｐ ｏ ｌ ｍｓ，ａ ｌ ｓｐ ｏ ｏ ｅ ｉ ｇ ｄ ａ ｒ ｗａｌ ｏ ｙ ｓｗｅｌａ ｒ ｐ ｓ ｄ ｕｓｎ ｕ ｌｆ ｅ ｌｓｔ ｉ ｒ ａｉｅｔ ｅｓ ｃ ｉｙｄ ｓｇ ｔ ｏ ｆｓ ｌ Ｉ ｒ ｎ ｔ ｅ ｌｚ ｈ ｅ ｕｒｔ ｅ ｉｎ ｍｅ ｈ ｄ ｏ ｍａｌ ｎｔａ ｅ ．
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
课程设计报告课程名称计算机网络课题名称1、防火墙技术与实现2、无线WLAN的设计与实现专业计算机科学与技术班级0802班学号 2姓名王能指导教师刘铁武韩宁2011年3 月6 日湖南工程学院课程设计任务书一．设计内容：问题1：基于802.1X的认证系统建立为了便于集中认证和管理接入用户，采用AAA（Authentication、Authorization 和Accounting）安全体系。
通过某种一致的办法来配置网络服务，控制用户通过网络接入服务器的访问园区网络，设计内容如下：1．掌握IEEE820.1X和RADIUS等协议的工作原理，了解EAP协议2．掌握HP5308/HP2626交换机的配置、调试方法3．掌握WindowsIAS的配置方法和PAP，CHAP等用户验证方法4．建立一个基于三层交换机的模拟园区网络，用户通过AAA方式接入园区网络问题2：动态路由协议的研究与实现建立基于RIP和OSPF协议的局域网，对RIP和OSPF协议的工作原理进行研究，设计内容如下：1．掌握RIP和OSPF路由协议的工作原理2．掌握HP5308三层交换机和HP7000路由器的配置、调试方法3．掌握RIP和OSPF协议的报文格式，路由更新的过程4．建立基于RIP和OSPF协议的模拟园区网络5．设计实施与测试方案问题3：防火墙技术与实现建立一个园区网络应用防火墙的需求，对具体实施尽心设计并实施，设计内容如下：1．掌握防火墙使用的主要技术：数据包过滤，应用网关和代理服务2．掌握HP7000路由器的配置、调试方法3．掌握访问控制列表ACL，网络地址转换NAT和端口映射等技术4．建立一个基于HP7000路由器的模拟园区网络出口5．设计实施与测试方案问题4：生成树协议的研究与实现建立基于STP协议的局域网，对STP协议的工作原理进行研究，设计内容如下：1．掌握生成树协议的工作原理2．掌握HP5308三层交换机和HP2626交换机的配置、调试方法3．掌握STP/RSTP/MSTP协议的的工作过程4．建立基于STP协议的模拟园区网络5．设计实施与测试方案问题5：无线WLAN的设计与实现建立一个小型的无线局域网，设计内容如下：1．掌握与无线网络有关的IEEE802规范与标准2．掌握无线通信采用的WEP和WPA加密算法3．掌握HP420无线AP的配置方法4．建立基于Windows server和XP的无线局域网络5．设计测试与维护方案二．设计要求：1．在规定时间内完成以上设计内容。
2．画出拓扑图和工作原理图（用计算机绘图）3．编写设计说明书4. 见附带说明。
5.成绩评定：指导老师负责验收结果，结合学生的工作态度、实际动手能力、创新精神和设计报告等进行综合考评，并按优秀、良好、中等、及格和不及格五个等级给出每位同学的课程设计成绩。
具体考核标准包含以下几个部分：①平时出勤（占20%）②系统分析、功能设计、结构设计合理与否（占10%）③个人能否独立、熟练地完成课题，是否达到目标（占40%）④设计报告（占30%）不得抄袭他人的报告（或给他人抄袭），一旦发现，成绩为零分。
三进度安排（注意：17周必须提交课设报告，迟交或未交只能计零分。
下面是三个班总的时间安排，课设报告中，每班只需填写其实际设计时间）因是3个班滚动执行，没有过多衔接时间，各位同学必须严格按时执行。
附：课程设计报告装订顺序：封面、任务书、目录、正文、评分、附件（A4大小的图纸及程序清单）。
正文的格式:一级标题用3号黑体,二级标题用四号宋体加粗,正文用小四号宋体;行距为22。
正文的内容:一、课题的主要功能；二、课题的功能模块的划分（要求画出模块图）；三、主要功能的实现（至少要有一个主要模块的流程图）；四、程序调试；五、总结；六、附件（所有程序的原代码，要求对程序写出必要的注释）。
正文总字数要求在5000字以上（不含程序原代码）。
目录实验报告一、防火墙技术与实现（必做）一、防火墙的简介和使用技术 (1)1、防火墙的简介2、防火墙的使用技术3、网络地址转换NAT技术二、网络拓扑图 (3)三、调试过程 (4)1、建立内部网络2、建立模拟internet网络3、建立内外网络的连接4、配置NAT与ACI及其转换四、实验结果...........................................................五、实验总结...........................................................六、附件...............................................................实验报告二、无线WLAN的设计与实现（选做）一、工作原理...........................................................二、网络拓扑图.........................................................三、调试过程...........................................................四、实验结果...........................................................五、总结...............................................................六、附件...............................................................实验报告一、防火墙技术与实现（必做）一、防火墙的基本概念和使用技术1、防火墙简介防火墙是目前一种最重要的网络防护设备。
从专业角度讲，防火墙是位于两个或两个以上的网络间，实施网络之间访问控制的一组组件集合。
对于普通用户来说，所谓“防火墙”，指的就是一种被放置在自己的计算机与外界网络之间的防御系统，它对从网络发往计算机的所有数据都进行判断处理，并决定能否把这些数据交给计算机，一旦发现有害数据，防火墙就会拦截下来，实现对计算机的保护功能。
设置防火墙的目的是防火墙是在网络之间执行控制策略的系统，它包括硬件和软件，目的是保护内部网络资源不被外部非授权用户使用、防止内部网络受到外部非法用户的攻击。
防火墙的主要功能检查所有从外部网络进入内部网络的数据包；检查所有从内部网络流出到外部网络的数据包；执行安全策略，限值所有不符合安全策略要求的数据包通过；具有防攻击能力，以保证自身的安全性;防火墙实现的主要技术：数据包过滤、应用网关和代理服务。
2 、防火墙使用的技术：数据包过滤：包过滤路由器可以决定对它所收到的每个数据包的取舍。
是基于路由器技术的，建立在网络层、传输层上。
路由器对每发送或接收来的数据包审查是否与某个包过滤规则相匹配。
包过滤规则即访问控制表，通过检查每个分组的源IP地址、目的地址来决定该分组是否应该转发。
如果找到一个匹配，且规则允许该数据包通过，则该数据包根据路由表中的信息向前转发。
如果找到一个与规则不相匹配的，且规则拒绝此数据包，则该数据包将被舍弃。
包过滤路方法具有以下优点：（1）执行包过滤所用的时间很少或几乎不需要什么时间。
（2）对路由器的负载较小（3）由于包过滤路由器对端用户和应用程序是透明的，因此不需要在每台主机上安装特别的软件。
包过滤路方法的缺点：（1）在路由器中设置包过滤规则比较困难（2）由于包过滤只能工作在“假定内部主机是可靠地，外部诸暨市不可靠的”这种简单的判断上，它只是控制在主机一级，不涉及包内容的内容与用户一级，因此它有很大的局限性。
应用级网关：多归属主机具有多个网络接口卡，因为它具有在不同网络之间进行数据交换的能力，因此人们又称它为“网关”。
多归属主机用在应用层的用户身份认证与服务请求合法性检查，可以起到防火墙的作用，称为应用级网关。
应用网关防火墙检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。
然而，应用网关防火墙是通过打破客户机／服务器模式实现的。
每个客户机／服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。
另外，每个代理需要一个不同的应用进程，或一个后台运行的服务程序，对每个新的应用必须添加针对此应用的服务程序，否则不能使用该服务。
所以，应用网关防火墙具有可伸缩性差的缺点。
应用代理：应用代理是应用级网关的另一种形式，是以存储转发方式，检查和确定网络服务的用户身份是否合法，检查和确定网络服务请求的身份时候合法，决定是转发还是丢弃该服务请求。
3 、网络地址转换NAT技术：NAT的工作原理如下图所示：图1 NAT的基本工作原理如图所示，如果内部网络地址为10.0.1.1的主机希望访问Internet上地址为202.0.1.1的Web服务器，那么它就会产生一个源地址S=10.0.1.1，目的地址为202.0.1.1的分组为1。
NAT常与代理、防火墙技术一起使用。
在防火墙中起到了重要的作用。
二、网络拓扑图防火墙的实现与技术的实验拓扑图如下所示：本实验采用2台HP2626交换机、一台HP7102路由器、HP5308三层交换机来实现防火墙的设计与实现其功能。
三、调试过程这次实验的重点在于防火墙的配置，在配置防火墙的过程中，重点在于设置NAT 和ACL，NAT用来配置内网计算机访问外网时的地址转换，保证内网与外网的计算机相互之间能够成功地访问对方。
ACL是访问控制，主要用来设置内网计算机的访问权限，通过配置ACL，可以禁止或允许内网中的计算机之间的相互访问以及内网计算机访问外网，实验过程中，ACL访问控制配置在HP5308交换机。
防火墙是在内网和外网中设置的气到网络安全的。
实现防火墙技术的实验就需要建立内部网络、外部网络，内部网络和外部网络中的局域网都是通过交换机来设计的。
因此分以下4步。
1、建立内部网络：内部网络是将PC2、Edge和Core连接起来，然后利用超级终端软件对各个设备进行配置，配置如下：首先在PC2计算机中对网络地址进行配置，IP地址设置为10.10.10.15，子网掩码为255.255.255.0；其次对交换机2626B进行配置，将其分为多个局域网，此次实验只分配Vlan 1，其IP 地址的范围是10.1.1.3/24，在超级终端上的命令是2626B(config)#Vlan 12626B(Vlan-1)#ip address 10.1.1.3/242626B(Vlan-1)#Vlan 110 tagged 25调试图如下：B.其次是对HP ProCurve 5308xl三层交换机，其背板交换引擎速度为76.8G bps，吞吐量高达48mpps，并配置双冗余电影，保证核心层高速、可靠的三层交换；给它配置两个Vlan，Vlan 1的地址为10.1.1.1/24，Vlan 10的地址为10.10.110.1/24，并在vlan 10上配置中继端口B1，在vlan 1上配置中继端口在vlan 10上配置中继端口B2，启用三层转发协议。