网络防火墙技术论文.doc

《网络防火墙技术论文.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、随着Internet的迅猛发展，安全性巳经成为网络互联技术中最关键的问题。本文全面介绍了Internet防火墙;与产品的发展历程；详细剖析了第四代防火墙的功能特色、关键技术、实现方法及抗攻击能力；同时简要描述ternet防火墙技术的发展趋势。关键词：Internet网路安全防火墙过滤地址转换引言防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网:公用网络的互连环境之中，尤以Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的儿年

2、内突起，很快形成了一个产业：1995年，刚刚面市的防火墙技术产品市场量还不到1万套；到1996年底，就猛耳0万套；据国际权威商业调查机构的预测，防火墙市场将以173%的复合增长率增长，今年底将达到150万套，营业额将从1995年的1.6亿美元上升到今年的9.8亿美元。为了更加全面地了解Internet防火墙及其过程，特别是第四代防火墙的技术特色，我们非常有必要从产品和技术角度对防火墙技术的发展演变做一个详:考察。2.Internet防火墙技术简介防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理

3、论上讲，Internet防火墙服务也属于类似的用来防界侵入的。它可以防止Internet上的各种危险（病毒、资源盗用等）传播到你的网络内部。而事实上，防火墙并现实生活中的防火墙，它有点像古代守护城池用的护城河，服务于以下多个目的：1）限定人们从一个特定的控制点进入；2）限定人们从一个特定的点离开；3）防止侵入者接近你的其他防御设施；防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间息交换和访问行为来实现对网络安全的有效管理。从总体上看，防火墙应该具有以卜五大基本功能：•过滤进、出网络的数

4、据；•管理进、出网络的访问行为；•封堵某些禁止行为；•记录通过防火墙的信息内容和活动；为实现以上功能，在防火墙产品的开发中，人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问｝安全审计等成熟或先进的技术和手段°纵观防火墙近年来的发展，可以将其划分为如卜四个阶段（即四代）。•对网络攻击进行检测和告警。4）有效地阻止破坏者对你的计算机系统进行破坏。3.1基于路由器的防火墙由于多数路由器本身就包含有分组过滤功能，故网络访问控制可能通过路控制来实现，从而使具有分组过滤功路由器成为第一代防火墙产品。

5、第一代防火墙产品的特点是：1）利用路由器本身对分组的解析，以访问控制表（AccessList）方式实现对分组的过滤；2）过滤判断的依据可以是：地址、端口号、IP旗标及其他网络特征；3）只有分组过滤的功能，且防火墙与路由器是一体的。这样，对安全要求低的网络可以采用路由器附带防火墙的方法，而对安全性要求高的网络则需要单独利用一台路由器作为防火墙。第一代防火墙产品的不足之处十分明显，具体表现为：•路由协议十分灵活，本身具有安全漏洞，外部网络要探寻内部网络十分容易。•路由器上分组过滤规则的设置和配置存在安

6、全隐患。对路由器中过滤规则的设置和配置十分复杂，它涉及到的逻辑一•致性。作用端口的有效性和规则集的正确性，一般的网络系统管理员难于胜任，所以一旦出现新的协管理员就得加上更多的规则去限制，这往往会带来更多的错误。•路由器防火墙的最大隐患是：攻击者可以“假冒”地址。由于信息在网络上是以明文方式传送的，黑客（Ilac：可以在网络上伪造假的路由信息欺骗防火墙。•路由器防火墙的本质缺陷是：由于路由器的主要功能是为网络访问提供动态的、灵活的路由，而防火墙则要问行为实施静态的、］固定的控制，这是一对难以调和的矛

7、盾，防火墙的规则设置会大大降低路由器的性能。2006-9-271位粉丝思念班氏［位粉丝在域名服务方面，第四代防火墙采用两种独立的域名服务器：一种是内部。浴服£处理内部网络和DNS信息；另一种是外部DXS服务器，专门用于处理机构内部向提供的部分DNS信息。在匿名FTP方面，服务器只提供对有限的受保护的部分目录的只读访问。在WWWJ只支持静态的网页，而不允许图形或CGI代码等在防火墙内运行。在Finger服冬外部访问，防火墙只提供可由内部用户配置的基本的文本信息，而不提供任何与」系统信息。SbHT与P

8、OP邮件服务器要对所有进、出防火墙的邮件做处理，并利用U标头剥除的方法隐除内部的邮件环境。Idcnt服务嘴对用户连接的识别做专门处£闻服务则为接收来日ISP的新闻开设了专门的磁盘空间。4.7安全服务器网络(SSN)为了适应越来越多的用户向Internet±提供服务时对服务器的需要，第四代防次别保护的策略对用户上网的对外服务器实施保护，它利用一张网卡将对外服务器彳立网络处理，对外服务器既是内部网络的…部分，乂与内部网关完全隔离，这就*器网络(SSN)技术。而对SSN上的主机既可单独管