防火墙网络安全刍议

《防火墙网络安全刍议》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、防火墙网络安全刍议[摘要]X络已经成为了人类所构建的最丰富多彩的虚拟世界，X络的迅速发展，给我们的工作和学习生活带来了巨大的改变。我们通过X络获得信息，共享资源。它不仅从一般性的防卫变成了一种非常普通的防范，而且还从一种专门的领域变成了无处不在。随着X络的延伸，安全问题受到人们越来越多的关注。在X络日益复杂化，多样化的今天，如何保护各类X络和应用的安全，如何保护信息安全，成为了本文探讨的重点。　　[关键词]X络安全防火墙技术代理服务器　　　　古时候，人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。自然，这种墙因此而得名“防火墙”。现在，如果一个X络接到了Int

2、er上面，它的用户就可以访问外部世界并与之通信。但同时，外部世界也同样可以访问该X络并与之交互。为安全起见，可以在该X络和Inter之间插入一个中介系统，竖起一道安全屏障。这道屏障的作用是阻断来自外部通过X络对本X络的威胁和入侵，提供扼守本X络的安全和审计的唯一关卡。这种中介系统也叫做“防火墙”，或“防火墙系统”。　　简言之，一个防火墙在一个被认为是安全和可信的内部X络和一个被认为是不那么安全和可信的外部X络(通常是Inter)之间提供一个封锁工具。在使用防火墙的决定背后，潜藏着这样的推理：假如没有防火墙，一个X络就暴露在不那么安全的Inter诸协议和设施面前，面临来自Inter其他主

3、机的探测和攻击的危险。在一个没有防火墙的环境里，X络的安全性只能体现为每一个主机的功能，在某种意义上，所有主机必须通力合作，才能达到较高程度的安全性。X络越大，这种较高程度的安全性越难管理。随着安全性问题上的失误和缺陷越来越普遍，对X络的入侵不仅来自高超的攻击手段，也有可能来自配置上的低级错误或不合适的口令选择。因此，防火墙的作用是防止不希望的、未授权的通信进出被保护的X络，迫使单位强化自己的X络安全政策。　　X络防火墙技术是一种用来加强X络之间访问控制，防止外部X络用户以非法手段通过外部X络进入内部X络，访问内部X络资源，保护内部X络操作环境的特殊X络互联设备。它对两个或多个X络之间

4、传输的数据包如链接方式按照一定的安全策略来实施检查，以决定X络之间的通信是否被允许，并监视X络运行状态。目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层X关(代理服务器)以及电路层X关、屏蔽主机防火墙、双宿主机等类型。根据防火墙所采用的技术不同，我们可以将它分为四种基本类型：包过滤型、X络地址转换—NAT、代理型和监测型。　　包过滤型。包过滤型产品是防火墙的初级产品，其技术依据是X络中的分包传输技术。X络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取

5、数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。包过滤技术的优点是简单实用，实现成本较低，在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全。但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于X络层的安全技术，只能根据数据包的、目标和端口等X络信息进行判断，无法识别基于应用层的恶意侵入，如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址，骗过包过滤型防火墙。　　X络地址转化—NAT。X络地址转换是一种用于把IP地址转换

6、成临时的、外部的、注册的IP地址标准。它允许具有私有IP地址的内部X络访问因特X。它还意味着用户不许要为其X络中每一台机器取得注册的IP地址。在内部X络通过安全X卡访问外部X络时，将产生一个映射记录。系统将外出的源地址和源端口映射为一个伪装的地址和端口，让这个伪装的地址和端口通过非安全X卡与外部X络连接，这样对外就隐藏了真实的内部X络地址。在外部X络通过非安全X卡访问内部X络时，它并不知道内部X络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。OLM防火墙根据预先定义好的映射规则来判断这个访问是否安全。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映

7、射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。X络地址转换的过程对于用户来说是透明的，不需要用户进行设置，用户只要进行常规操作即可。　　代理型。代理型防火墙也可以被称为代理服务器，它的安全性要高于包过滤型产品，并已经开始向应用层发展。代理服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。从客户机来看，代理服务器相当于一台真正的服务器；而从服务器来看，代理服务器又是一台真正的客