防火墙技术研究与应用

２０１１年第２ｌ期　计算机光盘软件与应用　Ｃｏｍｐｕｔｅｒ　ＣＤ　Ｓｏｆｔｗａｒｅ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎｓ　工程技术　防火墙技术研究与应用　李兵　（长沙南方职业学院，长沙４１０２０８）　

摘要：在Ｉｎｔｅｒａｃｔ高速发展的同时，如何同步保障网络安全，是个很重要的问题，而防火墙技术正是基于这一问题　而进行研究，防火墙技术的核心思想是在不安全的Ｉｎｔｅｍｅｔ环境中构造一个相对安全的子网环境。本文从防火墙的基本特　性入手，主要分析防火墙体系结构及它的实现技术，最后探讨防火墙的选择、配置、应用原则。　关键词：防火墙；堡垒主机；包过滤；应用网关；防火墙的应用　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１００７－９５９９（２０１　１）２１－００３５－０２　

Ｆｉｒｅｗａｉｌ　Ｔｅｃｈｎｏｌｏｇｙ　Ｒｅｓｅａｒｃｈ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎ　Ｌｉ　Ｂｉｎｇ　（Ｃｈａｎｇｓｈａ　Ｎａｎｆａｎｇ　Ｐｍｆｅｓｓｉｏｎａｌ　Ｃｏｌｌｅｇｅ，Ｃｈａｎｇｓｈａ　４１　０２０８，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｔｈｅ　ｒａｐｉｄ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｔｈｅ　Ｉｎｔｅｒｎｅｔ，ｈｏｗ　ｔｏ　ｓｙｎｃｈｒｏｎｉｚｅ　ｔＯ　ｅｎｓｕｒｅ　ｎｅｔｗｏｒｋ　ｓｅｃｕｒｉｔｙ，ｉｓ　ａ　ｖｅｒｙ　ｉｍｐｏｒｔａｎｔ　ｉｓｓｕｅ，ａｎｄ　ｆｉｒｅｗａｌｌ　ｔｅｃｈｎｏｌｏｇｙ　ｉｓ　ｂａｓｅｄ　ｏｎ　ｔｈｉｓ　ｒｅｓｅａｒｃｈ　ｐｒｏｂｌｅｍ，ｆｉｒｅｗａｌｌ　ｔｅｃｈｎｏｌｏｇｙ，ｔｈｅ　ｃｏｒｅ　ｉｄｅａ　ｉｓ　ｉｎ　ａｎ　ｉｎｓｅｃｕｒｅ　ｅｎｖｉｒｏｎｍｅｎｔ　ｏｆ　ｔｈｅ　Ｉｎｔｅｒａｃｔ　ｔｏ　ｃｏｎｓｔｒｕｃｔ　ａ　ｒｅｌａｔｉｖｅｌｙ　ｓｅｃｕｒｅ　ｓｕｂｎｅｔ　ｅｎｖｉｒｏｎｍｅｎｔ．Ｉｎ　ｔｈｉｓ　ｐａｐｅｒ，ｔｈｅ　ｂａｓｉｃ　ｆｉｒｅｗａｌｌ　ｆｅａｔｕｒｅｓ　ｔｏ　ｓｔａｒｔ，ｔｈｅ　ｍａｉｎ　ａｎａｌｙｓｉｓ　ｏｆ　ｔｈｅ　ｆｉｒｅｗａｌｌ　ａｒｃｈｉｔｅｃｔｕｒｅ　ａｎｄ　ｉｔｓ　ｉｍｐｌｅｍｅｎｔａｔｉｏｎ　ｔｅｃｈｎｉｑｕｅｓ，ｔｈｅ　ｆｉｎａｌ　ｃｈｏｉｃｅ　ｏｆ　ａ　ｆｉｒｅｗａｌｌ，ｃｏｎｆｉｇｕｒａｔｉｏｎ，ａｐｐｌｉｃａｔｉｏｎ　ｐｒｉｎｃｉｐｌｅｓ．　Ｋｅｙｗｏｒｄｓ：Ｆｉｒｅｗａｌｌ；Ｂａｓｔｉｏｎ　ｈｎｓｔ；Ｐａｃｋｅｔ　ｆｉｌｔｅｒｉｎｇ；Ａｐｐｌｉｃａｔｉｏｎ　ｇａｔｅｗａｙ；Ｆｉｒｅｗａｌｌ　ａｐｐｌｉｃａｔｉｏｎｓ　

随着Ｉｎｔｅｒｎｅｔ的广泛应用，网络安全成为人们热衷的话题之　一。

而网络安全问题主要是由于网络的开放性、无边界性、自由　性等其他因素造成的。出于对上述问题的考虑，我们应该把被保　护的网络从开放的、无边界的网络环境中独立出来，成为可管理、　控制、安全的内部网络。而实现它的最基本的分隔手段就是防火　墙。为了确保信息的安全及网络系统的可用性，防火墙技术及其　应用是网络安全系统中的一项重要举措。本文结合实际的工作经　验，探讨防火墙的体系结构及防火墙的技术实现，最后给出防火　墙的选择依据和使用建议。　～、防火墙　从狭义上说防火墙是指安装了防火墙软件的主机或路由器系　统；从广义上说防火墙还包括整个网络的安全策略和安全行为。　ＡＴ＆Ｔ的两位工程师ｗｉｌｌ　Ｊａｍ　Ｃｈｅｓｗｉｃｈ和Ｓｔｅｖｅｎ　Ｂｅｌｌｏｖｉｎ给出　了防火墙的明确定义：所有的从外部到内部或从内部到外部的通　信都必须经过它；只有内部访问策略授权的通信才能被允许通过；　系统本身有很强的高可靠性。所以防火墙在网络之间执行访问控　制策略，是内部网络和外部网络之间的安全防范系统。从逻辑上　讲，防火墙是分离器、限制器和分析器，有效地监视了内部网络　和外部网络之间的任何活动，保证了内部网络的安全；在物理实　现上，防火墙是位于网络特殊位置的一组硬件设备——路由器、　计算机或者其他特制的硬件设备。　（一）防火墙的功能　防火墙作为网络安全的重要屏障，它主要有以下功能：（１）　是一个安全策略的检查站，对网络攻击进行检查和报警；（２）强　化安全策略，过滤不安全的服务和非法用户；（３）有效记录网络　活动，管理进出网络的访问行为；（４）屏蔽内部网络的拓扑结构，　使内部网络结构对外不可知。　虽然防火墙能对网络威胁起到很好的防范作用，但它不是安　全解决方案的全部，防火墙也有局限性，主要体现在以下几点：　（１）不能防御已经授权的访问，以及存在于网络内部之间的系统　攻击；（２）不能防御合法用户恶意的攻击，以及各种非预期的威　胁；（３）不能修复脆弱的管理措施和存在问题的安全策略；（４）　不能防御一些不经过防火墙的攻击和威胁。　总之，只有清楚防火墙的优势和缺陷，才有利于我们更好地　应用防火墙；下面，我们从防火墙的体系结构入手来探讨防火墙　防范理论，从中明确各类防火墙的优势和缺陷。　（二）防火墙的体系结构　１．屏蔽路由器。这是防火墙最基本的构件。它可以由厂家专　门生产的路由器实现，也可以用主机来实现。屏蔽路由器作为内　外连接的唯一通道，对所接受的每个数据包作允许或拒绝的决定。　

采用这种结构的防火墙优点在于速度快、费用低、实现方便但安　全性差，而且它还有路由功能，内部网络的结构并没有被隐藏，　一旦被攻陷后很难发现，不能识别不同的用户。　２．双穴主机。这种配置是用一台装有两块网卡的堡垒主机做　防火墙，位于内外网络之间，并分别与内外网络相连，通过禁止　堡垒主机的ＩＰ转发功能来实现在物理上将内外网络隔开。外部网　络（通常是Ｉｎｔｅｒｎｅｔ）能够与堡垒主机通信，内部网络也能够与　堡垒主机通信，但外部网络与内部网络不能直接通信，它们之间　的通信必须通过堡垒丰机的过滤和控制。内外网络之间进出的信　息都需要堡垒主机来实现，所以它负载较大，容易成为系统瓶颈。　双穴主机优于屏蔽路由器的是：堡垒主机的系统软件可用于维护　系统日志。这对于日后的检查很有用。双穴主机的一个致命弱点　是：一旦入侵者侵入堡垒主机并使其具有路由功能，则外部网上　用户就可以随便访问内部网。　３．被屏蔽主机。被屏蔽主机体系结构防火墙使用～个路由器　把内部网络与外部网络隔开，在这种体系结构中，主要的安全由　数据包过滤提供，数据包过滤用于防止人们绕过代理服务器直接　相连。这种体系结构涉及到堡垒主机，堡垒主机是因特网上能够　唯一连接到内部网络上的主机。任何外部网络要访问内部网络的　服务都必须连接到堡垒主机，因此堡垒主机要保持更高等级的安　全。如果攻击者设法登录到堡垒主机上，内网中的其余主机就会　受到很大威胁。这与双穴主机结构受攻击时的情形差不多。　４．被屏蔽子网。被屏蔽子网体系结构通过添加周边网络更进　

一步的把内部网络和外部网络隔离开。被屏蔽子网体系结构的最　简单的形式为两个屏蔽路由器，每一个都连接到周边网，一个位　于周边网与内部网络之间，另一个位于周边网与外部网络之间，　这样就在内部与外部网络之间形成一个隔离带，通常我们称它为　“ＤＭＺ”非军事区。要侵入用这种体系结构构筑的内部网络，侵袭　者必须通过两个路由器，即使侵袭者侵入堡垒主机，仍然必须通　过内部路由器。总之，被屏蔽子网结构是一种比较完整的防火墙　体系结构。　综上所述，我们在布置防火墙时，一般很少采用单一的结构，　通常是多种解决不同问题的结构组合。这种组合主要取决于网管　中心向用户提供什么样的服务，以及网管中心能接受什么样的等　级风险。　二、防火墙的技术实现　工程技术　计算机光盘软件与应用　Ｃｏｍｐｕｔｅｒ　ＣＤ　Ｓｏｆｔｗａｒｅ　ａｎｄ　Ａｐｐｌ　ｉ　ｃａｔ　ｉｏ，ｎｓ　２０１１年第２１期　

（一）包过滤技术。包过滤技术是最早使用的一种防火墙　技术，包过滤技术实现的包过滤防火墙，它根据定义好的规则　审查每个数据包并确定数据包是否与过滤规则匹配，从而决定　数据包是否能够通过，与应用层无关，包过滤器的应用非常广　泛，因为ＣＰＵ用来处理包过滤的时间可以忽略不计。而且这种　防护措施对用户透明，合法用户在进出网络时，根本感觉不到　它的存在，使用起来很方便。因此系统就具有很好的传输性能，　易扩展。但是这种防火墙不太安全，因为系统不理解通信的内　容，不能在用户级别上进行过滤，即不能识别不同的用户和防　止ＩＰ地址的盗用。　（二）应用网关技术。应用网关技术是建立在应用层上的协　议过滤，它能针对特别的网络应用服务协议制定数据过滤逻辑，　是基于软件的，并且能够对数据包分析并形成相关的报告，提供　比较成熟的日志功能，但是速度比较慢。　（三）代理服务。代理服务来阻断内部网络和外部网络之间　的通信，达到隐藏内部网络的目的，不允许内部网络和外部网络　之间直接通信，具有很高的安全性。但这是以牺牲速度为代价的，　并且对用户不透明，要求用户了解通信细节。　（四）状态检测技术。动态包过滤防火墙，具有很高的效率，　通过状态检测技术动态记录、维护各个连接的协议状态，根据过　去通信信息和其他应用程序获得的状态信息来动态生成过滤规　则。根据新生成的规则过滤新的通信。当新的通信结束后，生成　的新规则自动被删除。它引入了动态规则的概念，对网络端口可　以动态地打开和关闭，减少网络攻击的可能性，使网络安全得到　提高。　（五）自适应代理技术。自适应代理技术根据用户的安全策　略，动态适应传输中的分组流量。它整合了动态包过滤技术和应　用代理技术。通过应用层验证新的连接，如果新的连接是合法的，　它可以被重新定向到网络层，它同时具有代理技术的安全性和状　态检测技术的高效率。　从上述分析可获得：　１．工作层次是决定防火墙效率及安全的主要因素；一般来说，　工作层次越低，则工作效率越高，安全性越低；反之，工作层次　越高，工作效率越低，安全性越高。　２．防火墙采用的机制，若采用过滤机制，效率高但安全性低；　采用代理机制，安全性高，效率低。　３．不同技术实现的防火墙，有不同的功能，不同的工作方式　和原理，也有不同的优势和缺陷，但只有对不同防火墙技术进行　研究与分析比较，才会有更好的防火墙产品，对防火墙技术的发　展会起到促进作用。为此，建议防火墙采用以下技术实现：（１）　综合代理技术和包过滤技术；（２）从数据链链路层一直到应用层　施加全方位的控制；（３）提供透明代理模式，减轻客户端的配置　工作；（４）提供身份验证功能，并在各种验证机制中选择使用；　（５）网络地址翻译，一方面缓解ＩＰ地址不足，同时对外隐藏内　部信息，实现内容安全，可自动进行病毒扫描；（６）流量分析，　了解各种服务所占通信流量，或某一服务具体使用情况；（７）提　供加密通信隧道来防止黑客截取信息，实现ＶＰＮ：（８）攻击检测　以便实时检查各种网络攻击痕迹，并采取相应的对策；（９）增加　防止基于协议攻击的手段，例如：防止ＩＰ欺骗，ＴＣＰＳＹＮ攻击等：　（１０）服务器负载均衡。　三、防火墙的应用　（一）防火墙的选择原则。防火墙是一类防范措施的总称，　简单的防火墙只用路由器实现，复杂的要用一台主机甚至一个子　网来实现，它可以在ＩＰ层设置规则，也可以用应用层软件来阻止　外来攻击，所以我们要根据实际需要，对防火墙进行选择应用，　我们通过对防火墙的评价和分析来决定采用什么样的防火墙。如　何评估防火墙是个很复杂的问题，因为用户在这方面有不同的需　求，很难给出统一的标准，一般说来，选择防火墙应把握以下原　则：１．防火墙自身的安全性。大多数人在选择防火墙时都将注意　力放在防火墙如何控制连接以及防火墙提供多少网络服务，往往　忽略一点，防火墙也是网络上的主机，自身也存在安全问题，如　若不能确保自身安全，则防火墙的控制功能再强，也终究不能保　护内部网络。２．防火墙的管理难易度。防火墙的管理难易度是选　择防火墙时考虑的因素之一。若防火墙的管理过于繁琐，则可能　会造成配置上的错误，影响其功能。一般企业之所以很少以已有　的网络设备直接当作防火墙，是因为除了先前提到的包过滤并不　能达到完全的控制之外，配置工作困难、必须具备完整的知识以　及不易排错等管理问题更是一般企业不愿意使用的主要原因。正　因如此，当前很多防火墙都支持图形化界面配置，配置简单高效。　３．能否向使用者提供完善的售后服务。由于有新的产品出现，就　有人会研究新的破解方法，所以一个好的防火墙供应商必须有一　个庞大的组织作为使用者的安全后盾，为其提供升级与维修服务。　４．应该考虑企业的特殊需求。企业安全政策中往往有些特殊需求　不是每一个防火墙都会提供的，这方面常常成为选择防火墙的考　虑因素之一，常见的需求如下：ＩＰ地址转换；双重ＤＮＳ；流量分　析；扫毒功能；负载均衡、特殊控制需求等。　最后，费用问题是我们用户一直关心的问题。在市场上，防　火墙的售价极为悬殊，从几万元到数十万元，甚至到百万元。因　为各企业用户使用的安全程度不尽相同，因此厂商所推出的产品　也有所区分，甚至有些公司还推出类似模块化的功能产品，以符　合各种不同企业的安全要求。安全性越高，实现越复杂，费用也　相应的越高，反之费用较低。这就需要对网络中要保护的信息和　数据进行详细的经济性评估。所以在选择防火墙时，费用与安全　性的折衷是不可避免的，这也就决定了“绝对安全”的防火墙是　不存在的。但是可以在现有经济条件下尽可能选择满足企业组织　需求，并有一定扩展能力的防火墙。　（－－）防火墙的管理与配置。当用户选择、安装合适的防火　墙后，需要对防火墙进行配置和管理，需要制定安全策略来进行　合理有效的配置，必须经过复核已配置的防火墙，看是否满足了　最初的安全需求。　首先必须把握如下配置原则：（１）应该明确单位的需求，想　要如何操作这个系统，允许或拒绝哪些业务流量；（２）想要达到　什么级别的监测和控制。根据网络用户的实际需要，建立相应的　风险级别，随之便可形成一个需要监测、允许、禁止的清单。再　根据清单的要求来设置防火墙的各项功能。　其次，管理和维护防火墙有以下几个要求：（１）必须经过一　定的专业培训，对所处的网络有一个清楚的了解和认识；（２）定　期进行扫描和检测，以便及时发现问题，及时堵上漏洞；（３）保　证系统监控及防火墙通信线路通畅，根据不同时期和不同时间进　行网络安全监控；（４）与厂家保持联系，以便及时获得有关升级、　维护信息。　最后，在实际使用中要把握以下原则：（１）由内到外，由外　到内的业务流量都要经过防火墙；（２）只允许本地安全策略认可　的业务流通过防火墙，实行默认拒绝原则；（３）严格限制外部网　络的用户进入内部网络；（４）具有透明性，方便内部网络用户，　保证正常的信息通过。　四、结束语　本文着重探讨了防火墙的体系结构、技术实现及防火墙的应　用。防火墙作为一种网络安全机制，不可否认具有很多优点，但　目前防火墙在安全性、效率和功能上的矛盾还是比较突出，未来　的防火墙目标就是要求高安全性和高性能并存。从当前防火墙的　产品和功能上，我们可以看到一些动向和趋势：过滤深度在不断　加强，逐渐有病毒扫描功能；算法不断优化，降低对网络流量的　影响、对网络攻击检测的能力不断提高、与硬件进一步结合，安　全协议的开发使用等。　参考文献：　［１１刘建伟，王育民．网络安全——技术与实践ｆＭ】．清华大学出　版社　２００５　［２１宋婷禹．网络安全之防火墙技术Ｕ１．贵州教育学院学　报，２００４，４：８５－８７　【３１魏利华．网络安全：防火墙技术研究Ⅱ１．淮阴工学院学　报，２００３，５：６１－６５