实验十防火墙技术.docx

实验十防火墙技术.docx

《实验十防火墙技术.docx》由会员分享，可在线阅读，更多相关《实验十防火墙技术.docx（9页珍藏版）》请在冰豆网上搜索。

实验十防火墙技术

防火墙技术：

1、什么是防火墙，防火墙的功能作用

防火墙能增强机构内部网络的安全性。

防火墙系统决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的服务以及哪些外部服务可以被内部人员访问。

防火墙必须只允许授权的数据通过，而且防火墙本身也必须能够免于渗透。

2、防火墙的功能

一般来说，防火墙具有以下几种功能：

Ø允许网络管理员定义一个中心点来防止非法用户进入内部网络。

Ø可以很方便地监视网络的安全性，并报警。

Ø可以作为部署NAT（NetworkAddressTranslation，网络地址变换）的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题。

Ø审计和记录Internet使用费用的一个最佳地点。

网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈位置，并能够依据本机构的核算模式提供部门级的计费。

3、两种通用防火墙技术的对比

Ø包过滤防火墙

优点：

价格较低；性能开销小，处理速度较快

缺点：

定义复杂，容易出现因配置不当带来问题

允许数据包直接通过，容易造成数据驱动式攻击的潜在危险

Ø代理防火墙

内置了专门为了提高安全性而编制的Proxy应用程序，能够透彻地理解相关服务的命令，对来往的数据包进行安全化处理

速度较慢，不太适用于高速网（ATM或千兆位以太网等）之间的应用

4、防火墙的两大分类

尽管防火墙的发展经过了上述的几代，但是按照防火墙对内外来往数据的处理方法，大致可以将防火墙分为两大体系：

包过滤防火墙和代理防火墙（应用层网关防火墙）。

前者以以色列的Checkpoint防火墙和Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。

1）包过滤防

第一代：

静态包过滤

这种类型的防火墙根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤规则匹配。

过滤规则基于数据包的报头信息进行制订。

报头信息中包括IP源地址，IP目标地址，传输协议（TCP，UDP，ICMP等等），TCP/UDP目标端口，ICMP消息类型等。

包过滤类型的防火墙要遵循的一条基本原则是"最小特权原则"，即明确允许那些管理员希望通过的数据包，禁止其他的数据包。

第二代：

动态包过滤

这种类型的防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。

这种技术后来发展成为所谓包状态监测（StatefulInspection）技术。

采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地在过滤规则中增加或更绿跄俊

2）代理防火墙

第一代：

代理防火墙

代理防火墙也叫应用层网关（ApplicationGateway）防火墙。

这种防火墙通过一种代理（Proxy）技术参与到一个TCP连接的全过程。

从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。

这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。

它的核心技术就是代理服务器技术。

所谓代理服务器，是指代表客户处理在服务器连接请求的程序。

当代理服务器得到一个客户的连接意图时，它们将核实客户请求，并经过特定的安全化的Proxy应用程序处理连接请求，将处理后的请求传递到真实的服务器上，然后接受服务器应答，并做进一步处理后，将答复交给发出请求的最终客户。

代理服务器在外部网络向内部网络申请服务时发挥了中间转接的作用。

代理类型防火墙的最突出的优点就是安全。

由于每一个内外网络之间的连接都要通过Proxy的介入和转换，通过专门为特定的服务如Http编写的安全化的应用程序进行处理，然后由防火墙本身提交请求和应答，没有给内外网络的计算机以任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。

包过滤类型的防火墙是很难彻底避免这一漏洞的。

就像你要向一个陌生的重要人物递交一份声明一样，如果你先将这份声明交给你的律师，然后律师就会审查你的声明，确认没有什么负面的影响后才由他交给那个陌生人。

在此期间，陌生人对你的存在一无所知，如果要对你进行侵犯，他面对的将是你的律师，而你的律师当然比你更加清楚该如何对付这种人。

代理防火墙的最大缺点就是速度相对比较慢，当用户对内外网络网关的吞吐量要求比较高时，（比如要求达到75-100Mbps时）代理防火墙就会成为内外网络之间的瓶颈。

所幸的是，目前用户接入Internet的速度一般都远低于这个数字。

在现实环境中，要考虑使用包过滤类型防火墙来满足速度要求的情况，大部分是高速网（ATM或千兆位以太网等）之间的防火墙。

第二代：

自适应代理防火墙

自适应代理技术（Adaptiveproxy）是最近在商业应用防火墙中实现的一种革命性的技术。

它可以结合代理类型防火墙的安全性和包过滤防火墙的高速度等优点，在毫不损失安全性的基础之上将代理型防火墙的性能提高10倍以上。

组成这种类型防火墙的基本要素有两个：

自适应代理服务器（AdaptiveProxyServer）与动态包过滤器（DynamicPacketfilter）。

在自适应代理与动态包过滤器之间存在一个控制通道。

在对防火墙进行配置时，用户仅仅将所需要的服务类型，安全级别等信息通过相应Proxy的管理界面进行设置就可以了。

然后，自适应代理就可以根据用户的配置信息，决定是使用代理服务从应用层代理请求还是从网络层转发包。

如果是后者，它将动态地通知包过滤器增减过滤规则，满足用户对速度和安全性的双重要求。

5、防火墙的发展史

第一代防火墙

第一代防火墙技术几乎与路由器同时出现，采用了包过滤（Packetfilter）技术。

第二，三代防火墙

1989年，贝尔实验室的DavePresotto和HowardTrickey推出了第二代防火墙，即电路层防火墙，同时提出了第三代防火墙--应用层防火墙（代理防火墙）的初步结构。

第四代防火墙

1992年，USC信息科学院的BobBraden开发出了基于动态包过滤（Dynamicpacketfilter）技术的第四代防火墙，后来演变为目前所说的状态监视（Statefulinspection）技术。

1994年，以色列的CheckPoint公司开发出了第一个采用这种技术的商业化的产品。

第五代防火墙

1998年，NAI公司推出了一种自适应代理（Adaptiveproxy）技术，并在其产品GauntletFirewallforNT中得以实现，给代理类型的防火墙赋予了全新的意义，可以称之为第五代防火墙。

6、防火墙的工作原理

"黑客会打上我的主意吗"这么想就对了，黑客就想钻鸡蛋缝的苍蝇一样，看到一丝从系统漏洞发出的光亮就会蠢蠢欲动!

好，如何保护你的网络呢计算机的高手们也许一张嘴就提议你安装网络的防火墙，那么第一个问题就来了：

到底什么是防火墙呢

什么是防火墙

防火墙就是一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子，别的玩意都统统过滤掉。

在网络的世界里，要由防火墙过滤的就是承载通信数据的通信包。

天下的防火墙至少都会说两个词：

Yes或者No。

直接说就是接受或者拒绝。

最简单的防火墙是以太网桥。

但几乎没有人会认为这种原始防火墙能管多大用。

大多数防火墙采用的技术和标准可谓五花八门。

这些防火墙的形式多种多样：

有的取代系统上已经装备的TCP/IP协议栈；有的在已有的协议栈上建立自己的软件模块；有的干脆就是独立的一套操作系统。

还有一些应用型的防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）。

还有一些基于硬件的防火墙产品其实应该归入安全路由器一类。

以上的产品都可以叫做防火墙，因为他们的工作方式都是一样的：

分析出入防火墙的数据包，决定放行还是把他们扔到一边。

所有的防火墙都具有IP地址过滤功能。

这项任务要检查IP包头，根据其IP源地址和目标地址作出放行/丢弃决定。

现在我们"命令"（用专业术语来说就是配制）防火墙把所有发给UNIX计算机的数据包都给拒了，完成这项工作以后，"心肠"比较好的防火墙还会通知客户程序一声呢!

既然发向目标的IP数据没法转发，那么只有和UNIX计算机同在一个网段的用户才能访问UNIX计算机了。

还有一种情况，你可以命令防火墙专给那台可怜的PC机找茬，别人的数据包都让过就它不行。

这正是防火墙最基本的功能：

根据IP地址做转发判断。

但要上了大场面这种小伎俩就玩不转了，由于黑客们可以采用IP地址欺骗技术，伪装成合法地址的计算机就可以穿越信任这个地址的防火墙了。

不过根据地址的转发决策机制还是最基本和必需的。

另外要注意的一点是，不要用DNS主机名建立过滤表，对DNS的伪造比IP地址欺骗要容易多了。

服务器TCP/UDP端口过滤

仅仅依靠地址进行数据过滤在实际运用中是不可行的，还有个原因就是目标主机上往往运行着多种通信服务，比方说，我们不想让用户采用telnet的方式连到系统，但这绝不等于我们非得同时禁止他们使用SMTP/POP邮件服务器吧所以说，在地址之外我们还要对服务器的TCP/UDP端口进行过滤。

比如，默认的telnet服务连接端口号是23。

假如我们不许PC客户机建立对UNIX计算机（在这时我们当它是服务器）的telnet连接，那么我们只需命令防火墙检查发送目标是UNIX服务器的数据包，把其中具有23目标端口号的包过滤就行了。

这样，我们把IP地址和目标服务器TCP/UDP端口结合起来不就可以作为过滤标准来实现相当可靠的防火墙了吗不，没这么简单。

客户机也有TCP/UDP端口

7、防火墙的由来：

防火墙技术现状

自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统后，提出了防火墙的概念，防火墙技术得到了飞速的发展。

第二代防火墙，也称代理服务器，它用来提供网络服务级的控制，起到外部网络向被保护的内部网络申请服务时中间转接作用，这种方法可以有效地防止对内部网络的直接攻击，安全性较高。

第三代防火墙有效地提高了防火墙的安全性，称为状态监控功能防火墙，它可以对每一层的数据包进行检测和监控。

随着网络攻击手段和信息安全技术的发展，新一代的功能更强大、安全性更强的防火墙已经问世，这个阶段的防火墙已超出了原来传统意义上防火墙的范畴，已经演变成一个全方位的安全技术集成系统，我们称之为第四代防火墙，它可以抵御目前常见的网络攻击手段，如IP地址欺骗、特洛伊木马攻击、Internet蠕虫、口令探寻攻击、邮件攻击等等。

8、防火墙的定义和描述

“防火墙”这个术语参考来自应用在建筑结构里的安全技术。

在楼宇里用来起分隔作用的墙，用来隔离不同的公司或房间，尽可能的起防火作用。

一旦某个单元起火这种方法保护了其它的居住者。

然而，多数防火墙里都有一个重要的门，允许人们进入或离开大楼。

因此，虽然防火墙保护了人们的安全，但这个门在提供增强安全性的同时允许必要的访问。

在计算机网络中，一个网络防火墙扮演着防备潜在的恶意的活动的屏障，并可通过一个”门”来允许人们在你的安全网络和开放的不安全的网络之间通信。

原来，一个防火墙是由一个单独的机器组成的，放置在你的私有网络和公网之间。

近些年来，防火墙机制已发展到不仅仅是”firlwallbox”，更多提及到的是堡垒主机。

它现在涉及到整个从内部网络到外部网络的区域，由一系列复杂的机器和程序组成。

简单来说，今天防火墙的主要概念就是多个组件的应用。

到现在你要准备实施你的防火墙，需要知道你的公司需要什么样的服务并且什么样的服务对于内部用户和外部用户都是有效的。

9、防火墙的任务

防火墙在实施安全的过程中是至关重要的。

一个防火墙策略要符合四个目标，而每个目标通常都不是通过一个单独的设备或软件来实现的。

大多数情况下防火墙的组件放在一起使用以满足公司安全目的的需求。

防