8 防火墙new

硬件防火墙
用专用芯片处理数据包， CPU只作管理之用。 使用专用的操作系统平台， 避免了通用性操作系统的安 全性漏洞。 高带宽，高吞吐量，真正线 速防火墙。即实际带宽与理 论值可以达到一致. 安全与速度同时兼顾。 没有用户限制。 性价比高。 管理简单，快捷，具有良好 的总体拥有成本。
软硬件结合防火墙
瑞星防火墙
防火墙的由来
古时候，人们常在寓所和寓所之间砌起一道砖 墙，一旦火灾发生，它能够防止火势蔓延到别 的寓所。 现在，网络(信任网络LAN)和网络(非信任络 Internet)之间也存在着入侵、攻击和威胁等 (火灾)。人们也需要在网络之间一道防火墙。 他的作用是阻断网络之间的威胁和入侵， 提供 扼守数据通道的安全和审计的唯一关卡，他的 作用与古时候的防火砖墙有类似之处。

Internet
外部路由器 堡垒主机
周边网络
防火墙 内部路由器
内部网络
…
周边网络是一个防护层，在其上可放臵一些信 息服务器，它们是牺牲主机，可能会受到攻击， 因此又被称为非军事区（DMZ）。 周边网络的作用：即使堡垒主机被入侵者控制， 它仍可消除对内部网的侦听。 非军事区结构模式。



8.2 防火墙技术
8.2.1 包过滤技术 包过滤技术是在网络层依据系统的过滤规则， 对数据包进行选择和过滤，这种防火墙通常安 装在路由器上。
这种技术通过检查数据流中的每个数据包的源 地址、目的地址、源端口、目的端口及数据包头 中的各种标志位来确定是否允许该数据包通过。
•

包过滤技术包括两种基本类型：
8.1防火墙的原理
8.1.4 潜在的攻击和可能的对象 恶意破坏者可能的攻击 入侵内部网络 针对防火墙的攻击，使其失去功能 拒绝服务攻击：Syn Flood；Smurf; Land-based; Ping of Death; Teardrop; Ping Sweep; Ping Flood
8.1防火墙的原理

8.1.2 防火墙的功能



访问控制功能 内容控制功能 全面的日志功能 集中管理功能 自身的安全和可用性

附加的功能


流量控制 NAT VPN
8.1防火墙的原理


8.1.3 边界保护机制
可信网络和不可信网络 防火墙是一种边界保护，仅对穿过边界的访问 进行控制，对可信网络内部之间的访问无法控 制。
第八章 防火墙
湖南大学计算机与通信学院 刘玉玲 liuyuling80@
本章要点
防火墙原理 防火墙主要技术 防火墙体系结构 堡垒主机的作用及部署 数据包过滤规则 状态检测数据包过滤原理

常用个人防火墙简介
Windows XP自带防火墙 瑞星防火墙

Windows XP自带防火墙

8.2 防火墙技术


8.2.2 应用网关技术
不使用通用目标机制； 应用网关技术建立在网络应用层上的协议过滤， 针对特别的网络应用服务协议，并且能够对数 据包进行分析并形成相关的报告。 应用网关技术对通过的信息进行记录。
优点：易于记录并控制所有的进出通信；内容 级过滤；控制灵活而全面，安全性高；很好的 审计功能；严格的用户认证功能。 缺点：执行速度明显变慢，需要为每种应用写 不同的代码，维护较困难。
机箱+CPU+防火墙软件集成 于一体（PC BOX 结构）， 市面上大部分声称“硬件” 防火墙的产品都采用这种结 构。 采用专用或通用操作系统。 核心技术仍然为软件，容易 形成网络带宽瓶颈。 只能满足中低带宽要求，吞 吐量不高。通常带宽只能达 到理论值的20%--70%。 中低流量时可满足一定的安 全要求，在高流量环境下会 造成堵塞甚至系统崩溃。 性价比不高。 管理比较方便。
经费有限的情况下；可扩充 配臵复杂，需专业人员，需对TCP/IP有很好的理解 没有隐藏内部网络的IP地址，不具备监测、跟踪和记录的功能。

缺点：

8.3 防火墙体系结构


8.3.2 双重宿主主机体系结构
也称“双穴主机模式”。 通过在一台“堡垒主机”的计算机上安装配臵网络控制 软件来实现，并非采用真正的硬件防火墙实现。 双重宿主主机至少有两个网络接口，它位于内部网络和 外部网络之间，担当者全部的网络安全维护责任。
堡垒主机
堡垒主机位于周边网络，是整个防御体系的 核心。 堡垒主机可被认为是应用层网关，可以运行 各种代理服务程序。 对于出站服务不一定要求所有的服务经过堡 垒主机代理，但对于入站服务应要求所有服 务都通过堡垒主机。

8.1防火墙的原理
8.1.4 潜在的攻击和可能的对象 主要的攻击方式 强度攻击（即洪水攻击） 协议漏洞攻击 应用漏洞攻击

8.1防火墙的原理
8.1.5 互操作性要求 需要和其他网络设备配合，以适应各种网 络环境，需要具备安全防护功能与各种网 络设备的功能。 防火墙要尽量配臵灵活，使网络的改造工 作尽量简单

允许内部主机为了某些服务请求与外部网上的主机 建立直接连接（即允许那些经过过滤的服务）。 不允许来自内部主机的所有连接（强迫那些主机经 由堡垒主机使用代理服务）。 对于内部用户对外部网络的访问，针对不同的应用 采用不同的安全策略。
被屏蔽主机体系结构

更进一步，可建立“屏蔽多宿主机防火墙”模式：
8.3 防火墙体系结构

无状态检查的包过滤 有状态检查的包过滤（状态防火墙）
其区别在于后者通过记住防火墙的所有通信状 态，并根据状态信息来过滤整个通信流，而不仅 仅是包。

优点：处理速度快，逻辑简单，成本低，实现 方便，易于安装和使用，网络性能和透明度好。 缺点：配臵困难，容易出现漏洞，只能根据数 据包的来源、目标和端口等网络信息进行判断， 无法识别基于应用层的恶意侵入 ，而且为特定 服务开放的端口也存在着潜在危险。
8.3 防火墙体系结构

同时相当防火墙功能的 包过滤路由器 最初的防火墙设计方案，不是采用专用的防火墙设备进
8.3.1 屏蔽路由器模式
行部署，而是在原有的包过滤路由器上进行包过滤部署。

具备这种包过滤技术的路由器称为“屏蔽路由器”。
8.3 防火墙体系结构


8.3.1 屏蔽路由器模式
优点：


8.2 防火墙技术


8.2.3 状态检测防火墙
相当于4、5层的过滤技术； 最重要的是实现连接的跟踪功能


单一连接的协议：只需要数据包头的信息 复杂协议：分析主连接中的内容信息，识别出所协 商的子连接的端口而在防火墙上将其动态打开，连 接结束时自动关闭。
8.2 防火墙技术
8.2.4 电路级网关 线路级网关，工作在会话层； 在两个主机首次建立TCP连接时创立一个电子 屏障； 它作为服务器接收外来请求，转发请求；与被 保护的主机连接时担当客户机角色，起代理服 务的作用。 安全性较高，但它不能检查应用层的数据包以 消除应用层攻击的威胁。


8.3.4 被屏蔽子网体系结构
被屏蔽子网体系结构在本质上与被屏蔽主机体系结构一 样，但添加了额外的一层保护体系——周边网络。堡垒 主机位于周边网络上，周边网络和内部网络被内部路由 器分开。 原因：堡垒主机是用户网络上最容易受侵袭的机器。通 过在周边网络上隔离堡垒主机，能减少在堡垒主机被侵 入的影响。

8.2.5 代理服务器技术
8.3 防火墙体系结构

防火墙的体系结构：防火墙系统实现所采用的架构及其
实现所采用的方法，它决定着防火墙的功能、性能以及
使用范围。

防火墙可以被设臵成许多不同的结构，并提供不同级别
的安全，而维护运行的费用也各不相同。

屏蔽路由器模式 双重宿主主机体系结构 被屏蔽主机体系结构 被屏蔽子网体系结构

8.1防火墙的原理


8.1.7 防火墙的分类
按软硬件类型来分 硬件防火墙(Netsceen、LinkTrust、中科网 威) 软件防火墙(Checkpoint)
8.1防火墙的原理

硬件防火墙是指采取ASIC芯片设计实现的复 杂指令专用系统，它的指令、操作系统、过滤 软件都采用定制的方式。一般采取纯硬件设计 即嵌入式或者固化计算机的方式，而固化计算 机方式是当前硬件防火墙的主流技术，通常将 专用的Linux操作系统和特殊设计的计算机硬 件结合，从而达到内外网数据过滤的目的。

被屏蔽主机体系结构
Internt
防火墙
内部网络
堡垒主机
被屏蔽主机体系结构

屏蔽路由器可按如下规则之一进行配臵：


安全性更高，双重保护：实现了网络层安全 （包过滤）和应用层安全（代理服务）。 缺点：过滤路由器能否正确配臵是安全与否的 关键。如果路由器被损害，堡垒主机将被穿过， 整个网络对侵袭者是开放的。

缺点：双重宿主主机是隔开内外网络的唯一屏障， 一旦它被入侵，内部网络便向入侵者敞开大门。
8.3 防火墙体系结构
8.3.3


被屏蔽主机体系结构
典型构成：屏蔽路由器＋堡垒主机。 屏蔽路由器中的包过滤配臵在内部网和外部 网之间，保证外部系统对内部网络的操作只 能经过堡垒主机。 堡垒主机配臵在内部网络上，是外部网络主 机连接到内部网络主机的桥梁，它用于应用 安全控制。

双重宿主主机体系结构
Internet
防火墙 双重宿主主机
内部网络
…
8.3 防火墙体系结构


8.3.2 双重宿主主机体系结构
双重宿主主机的特性：



IP层的通信是被阻止的，两个网络之间的通信可通过应 用层数据共享或应用层代理服务来完成 安全至关重要（唯一通道），其用户口令控制安全是 关键。 必须支持很多用户的访问（中转站），其性能非常重 要。