基于c-s架构的分布式防火墙

《基于c-s架构的分布式防火墙》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、基于C/S架构的分布式防火墙～教育资源库　　随着政府、企业、个人主机的网络安全需求的与日俱增，防火墙技术应运而生。传统的边界式防火墙是企业内部网络与外部网络的一道屏障，但是其无法对内部网络访问进行控制，也没有对黑客行为进行入侵检测和阻断的功能。企业迫切需要一套真正能够解决网络内部和外部，防火墙和防黑客的安全解决方案，而基于C/S架构的分布式防火墙很好地满足了这一需求：它是由安全策略管理服务器[Server]以及客户端防火墙[Client]组成，综合运用多种先进的网络安全技术，为客户提供可靠的网络安全服务。　　一.

2、分布式防火墙系统架构　　分布式防火墙由安全策略管理服务器[Server]以及客户端防火墙[Client]组成。客户端防火墙工作在各个从服务器、工作站、个人计算机上，根据安全策略文件的内容，依靠包过滤、特洛伊木马过滤和脚本过滤的三层过滤检查，保护计算机在正常使用网络时不会受到恶意的攻击，提高了网络安全性。而安全策略管理服务器则负责安全策略、用户、日志、审计等的管理。该服务器是集中管理控制中心，统一制定和分发安全策略，负责管理系统日志、多主机的统一管理，使终端用户零负担。　　图1展示了分布式防火墙在政府/企业中的应用

3、解决方案。该方案是纯软件防火墙，无须改变任何硬件设备和网络架构，就可以帮助政府/企业阻挡来自内部和外部网络的攻击。　　　　图1分布式防火墙在政府/企业中的应用解决方案　　二.分布式防火墙功能解析　　在上述图1所示的分布式防火墙解决方案中，左边为政府/企业内部网络(内网)的应用拓扑结构图，中间为Inter公众网络，我们称之为外部网络(外网)，右边为政府/企业办公和业务的延伸部分，处于外部网络环境中。在内部的财务、总裁办、人事、档案、网络管理等主机，以及数据库服务器，文件服务器上存放着政府/企业的重要信息，这些信息一

4、旦泄漏或者存放信息的主机遭到破坏，会给政府/企业带来不良的后果。如果不采取相应措施，此网络很容易遭受来自外网和内网上的黑客攻击。若使用边界式防火墙，则外网的攻击将被阻拦，但从数据统计看，还有大部分网络攻击/破坏于内部网络的黑客或员工的不小心应用，这时普通防火墙就无能为力了。而政府/企业的移动办公人员、代理商、合作伙伴、远程分支机构在外部网络上很容易受到外部黑客的攻击。所以说，能够很好的阻挡内部和外部网络攻击是政府/企业内部网络安全的重要任务。　　分布式防火墙能很好地解决上述问题。在内部网络的主服务器安装上分布式防

5、火墙产品的安全策略管理服务器后，设置组和用户分别分配给相应的从服务器和PC机工作站，并配置相应安全策略；将客户端防火墙安装在内网和外网中的所有PC机工作站上，客户端与安全策略管理服务器的连接采用SSL协议建立通信的安全通道，避免下载安全策略和日志通信的不安全性。同时客户端防火墙的机器采用多层过滤，入侵检测，日志纪录等手段，给主机的安全运行提供强有力的保证。　　具体功能描述如下：　　1、阻止网络攻击　　目前，黑客们常用的攻击手段有以下几种：　　(1)DoS拒绝服务式攻击　　拒绝服务攻击是目前网络中新兴起的攻击手段，

6、针对TCP/IP协议的漏洞，使对方服务器承受过多的信息请求而无法处理，产生阻塞导致正常用户的请求被拒绝。一般地有如下方式：　　(a)Ping-Flood：使用简单的Ping命令对服务器发送数据包，如果在很短的时间内服务器收到大量Ping数据包，那么服务器就需要耗费很多资源去处理这些数据包从而导致无法正常工作。　　(b)TCP-SYN-Flood：SYN数据包是两台计算机在进行TCP通信之前建立握手信号时所用，正常情况下，SYN数据包中包含有想要进行通信的源机器的IP地址，而服务器收到SYN数据包后将回复确认信息，

7、源机器收到后再发送确认信息给服务器，服务器收到，二者就可以建立连接进行通信了。采用这种攻击方式就是在某一个极短的时间内向对方服务器发送大量的带有虚假IP地址的SYN数据包，服务器发出确认信息，但是却无法收到对方的回复，就要耗费大量的资源去处理这些等待信息，最后将使系统资源耗尽以至瘫痪。　　(c)UDP-Flood：UDP是基于非连接的用户数据报通讯协议，不包含流控制机制。UDP数据包很容易使得计算机系统忙于响应而丧失正常的网络业务能力。　　另外还有诸如ICMP-Flood，IGMP-Flood等攻击手段，在此不一

8、一详述。　　(2)源路由包攻击　　源路由包采用了极少使用的一个IP选项，它允许发起者来定义两台机器间所采取的路由，而不是让中间的路由器决定所走的路径。与ICMP的重定向相比，这种特性能使一个黑客来欺骗你的系统，使之相信它正在与一台本地机器、一台ISP机器或某台其他可信的主机对话。　　(3)利用型攻击　　利用型攻击是一类试图直接对你的机器进行控制的攻击，最常见的就是特洛伊木