Internet防火墙技术探究及探究

《Internet防火墙技术探究及探究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Internet防火墙技术探究及探究【摘要】随着计算机用户群的日益增长与Internet的普及，防火墙技术作为保障网络安全的第一道屏障，越来越多的受到人们的关注。本文从防火墙的概念入手，主要分析防火墙的类型、功能及防火墙在当今网络环境中存在的不足。【关键词】防火墙屏障过滤【中图分类号】TP393【文献标识码】A【文章编号】2095-3089(2012)10-0232-01一、防火墙简介所谓防火墙是指由软件和硬件设备组合而成、在内部网和外部网、专用网与公共网的界面上构造的一道保护屏障。其设计思想是在两个网络

2、之间建立一个具有安全控制机制的安全控制点，通过允许、拒绝或重定向经过防火墙的数据流，实现对内部网服务和访问的安全审计和控制。防火墙的基本特性：★内部网和外部网间的所有网络数据流必须经过防火墙。★只有符合安全策略的数据流才能通过防火墙。★防火墙自身应具有非常强的抗攻击能力。二、防火墙的分类1•从软、硬件形式分：软件防火墙、硬件防火墙、芯片级防火墙。软件防火墙：俗称“个人防火墙”，目前使用最多，运行于特定的计算机上（往往是整个网络的网关），需要操作系统的支持，与其它软件产品一样，需在计算机上安装并做好配置。硬

3、件防火墙：硬件防火墙是一种以物理形式存在的专用设备，通常架设于两个网络的驳接处，直接从网络设备上检查过滤有害的数据报文，位于防火墙设备后端的网络或者服务器接收到的是经过防火墙处理的相对安全的数据，不必另外分出CPU资源去进行基于软件架构的NDIS数据检测，可以大大提高工作效率。这里说的硬件防火墙是指“所谓的硬件防火墙”。所谓二字是针对芯片级防火墙而言。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，即与普通家用的PC没有太大区别。芯片级防火墙：

4、基于专用的硬件平台，没有操作系统。专有的ASIC芯片使它们比其他防火墙速度更快，处理能力更强，性能更高。2•按防火墙的部署位置分类，防火墙可以分为：边界防火墙、个人防火墙、混合式防火墙。边界防火墙：边界防火墙最为传统，它位于内外网的边界，所起的作用是对内、外部网络实施隔离，这类防火墙一般都是硬件类型，价格较贵，性能较好。个人防火墙：安装于单台主机中，防护的是单台主机，通常为软件防火墙，价格最便宜，性能也最差。混合式防火墙：就是“分布式防火墙”和“嵌入式防火墙”，它是一整套防火墙系统，由若干软件和硬件组件组

5、成,分布于内、外部网络边界和内部主机之间，既对内外网之间的通信进行过滤，又对网络内部各主机之间的通信进行过滤，性能最好，价格也最贵。3•从防火墙体系结构上，可以分为包过滤防火墙和代理服务器防火墙。包过滤防火墙：工作在OSI参考模型的网络层和传输层,它根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许通过。代理服务器防火墙：工作在OSI的应用层，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层数据流的作用。三、防火墙的功能防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传

6、送的数据流。1.中化的安全管理，强化安全策略由于Internet上每天都有上百万人收集、交换信息，不可避免地会出现个别品德不良、违反规则的人，防火墙是为了防止不良现象发生的“交通警察”，它执行站点的安全策略，仅仅容许符合规则的请求通过。通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。若将网络安全问题分散到各个主机上，防火墙的集中安全管理显然更经济。1.网络日志及使用统计防火墙是所有信息出入的必经之路，防火墙能在被保护的网络和外部网络之间进行记录，对网络存

7、取访问和网络使用情况进行统计。若发生可疑动作，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等是非常重要的。3•保护那些易受攻击的服务防火墙能够将网络中一个网段与另一个网段隔开，这样可以防止一个网段的问题通过整个网络传播而成为整个网络的问题。4•增强保密防火墙能够封锁有关网点系统的DNS信息。因此，网点系统名字和IP地址都不用提供给Interneto5.实施安全策略所有

8、进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒之门外。四、防火墙的局限性1.不能防范来自内部的恶意攻击防火墙不能防止专用网内部用户对资源的攻击。防火墙可以禁止系统用户经过网络连接发送专有的信息，但对于复制到磁盘、磁带上，放在公文包中带走，防火墙也无能为力。2.不能防范不通过它的连接防火墙能够有效地检查通过它进行传输信息，然而却无法保护不通过它而传输的信息。如果网络中有些资源绕过防火墙直接与Inter