chapter5防火墙技术

《chapter5防火墙技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第五章防火墙技术本章学习目标了解防火墙的定义、发展简史、目的、功能、局限性及其发展动态和趋势。掌握包过滤防火墙和和代理防火墙的实现原理、技术特点和实现方式；熟悉防火墙的常见体系结构。熟悉防火墙的产品选购和设计策略。5.1　防火墙概述防火墙的定义防火墙的功能和局限性防火墙的发展简史人们在建筑和使用木制结构的房屋的时候，为了使“城门失火”不致“殃及鱼池”，将坚固的石块堆砌在房屋周围作为屏障，进一步防止火灾的发生和蔓延，这种防护结构被称为“防火墙”。在信息世界里，防火墙的概念被引用过来，用于表示由计算机硬件或软件系统构成

2、防火墙来保护敏感、重要的数据不被窃取和篡改。防火墙的定义防火墙是位于一个或多个安全的内部网路和非安全的外部网络之间进行网络访问控制的网络设备。防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。防火墙是不同网络或网络安全域之间信息的唯一出入口。防火墙是目前网络安全领域认可程度最高、应用范围最广的网络安全技术。防火墙的功能针对用户制定各种访问控制对网络存取和访问进行监控审计防止内部信息的外泄支持VPN功能（虚拟专用网络）支持网络地址转换支持身份认证防火墙的基本

3、特征1、内部网络和外部网络之间的所有网络数据流都必须经过防火墙这是防火墙的安全防护功能得以实现的重要前提，通过在网络之间建立一个安全控制点来保护内网不受侵害。2、只有符合安全策略的数据流才能通过防火墙根据安全策略来允许、拒绝、监测出入网络的信息流3、防火墙自身应具有非常强的抗攻击能力防火墙处于网络边缘，就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求它自身具有非常强的抗攻击能力。防火墙的局限性随着网络技术的发展，网络结构日趋复杂，传统的防火墙在使用过程中暴露出以下局限性：防火墙不能防范不经过防火墙的攻击

4、。如拨号访问、内部攻击等。防火墙不能解决来自内部网络的攻击和安全问题。防火墙不能防止策略配置不当或错误配置引起的安全威胁。防火墙不能防止利用标准网络协议中的缺陷进行的攻击。一旦防火墙准许某些标准网络协议，就不能防止利用该协议中的缺陷进行的攻击。防火墙不能防止利用服务器系统漏洞所进行的攻击。黑客通过防火墙准许的访问端口对该服务器的漏洞进行攻击，防火墙阻止不了。防火墙不能防止受病毒感染的文件的传输。防火墙本身不具备查杀病毒的功能。防火墙不能防止数据驱动式的攻击。有些表面看来无害的数据邮寄或拷贝到内部网的主机上并被执行时

5、，可能会发生数据驱动式的攻击。（缓冲区溢出攻击）防火墙不能防止可接触的人为或自然的破坏。例如恶劣环境、人为损坏。防火墙不能防止本身的安全漏洞的威胁。目前还没有厂商绝对保证防火墙不会存在安全漏洞。防火墙的发展简史阶段划分：20世纪80年代，最早的防火墙几乎与路由器同时出现，第一代防火墙主要基于包过滤技术，是依附于路由器的包过滤功能实现的防火墙；随着网络安全重要性和性能要求的提高，防火墙渐渐发展为一个独立结构的、有专门功能的设备。到20世纪90年代初，开始推出应用层防火墙，或者叫做代理防火墙。（从内部发出的数据包经过这

6、样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。）到1992年，状态检测技术的防火墙出现。（直接对分组的数据进行处理，并且结合前后分组的数据进行综合判断，然后决定是否允许该数据包通过。）到了1998年，推出了一种自适应代理技术，并在产品中得以实现，给代理类型的防火墙赋予了全新的意义。（处理和分析过程中,根据处理数据的数据特征自动调整处理方法、处理顺序、边界条件或约束条件）软件防火墙硬件防火墙按形态分类按保护对象分类保护整个网络保护单台主机网络防火墙单机防火墙5.2防火墙的分类软件

7、防火墙：俗称“个人防火墙”，像其他软件产品一样需要先在电脑上安装并做好配置才可以使用。硬件防火墙：通过网线连接于外部网络接口和内部服务器之间的网络设备。A、普通硬件级防火墙：大多基于PC架构，相当于专门使用一台计算机安装软件防火墙。B、芯片级防火墙：基于专门的硬件平台，使用专用的操作系统。软件防火墙成本较低，硬件防火墙成本高，购进一台PC架构防火墙的成本至少要几千元，而芯片级防火墙方案更是在10万元以上。操作系统平台安全性性能稳定性网络适应性分发升级成本硬件防火墙基于精简专用OS高高较高强不易较容易Price=fi

8、rewall+Server软件防火墙基于庞大通用OS较高较高高较强非常容易容易Price=Firewall仅获得Firewall软件，需要准备额外的OS平台安全性依赖低层的OS网络适应性弱（主要以路由模式工作）稳定性高软件分发、升级比较方便硬件+软件，不用准备额外的OS平台安全性完全取决于专用的OS网络适应性强（支持多种接入模式）稳定性较高升级、更新不太灵活