略论inter防火墙技术

《略论inter防火墙技术》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、略论Inter防火墙技术1.引言防火墙技术是建立在现代通信X络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用X络与公用X络的互连环境之中，尤以InterX络为最甚。Inter的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业：1995年，刚刚面市的防火墙技术产品市场量还不到1万套；到1996年底，就猛增到10万套；据国际权威商业调查机构的预测，防火墙市场将以173%的复合增长率增长，今年底将达到150万套，市场营业额将从1995年的1.6亿美元上升到今年的9.8亿

2、美元。为了更加全面地了解Inter防火墙及其发展过程，特别是第四代防火墙的技术特色，我们非常有必要从产品和技术角度对防火墙技术的发展演变做一个详细的考察。2.Inter防火墙技术简介防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲，Inter防火墙服务也属于类似的用来防止外界侵入的。它可以防止Inter上的各种危险（病毒、资源盗用等）传播到你的X络内部。而事实上，防火墙并不像现实生活中的防火墙，它有点像古代守护城池用的护城河，服务于以下多个目的：1）限定人们从一个特定的控制点进入；2）限

3、定人们从一个特定的点离开；3）防止侵入者接近你的其他防御设施；4）有效地阻止破坏者对你的计算机系统进行破坏。在现实生活中，Inter防火墙常常被安装在受保护的内部X络上并接入Inter,如图1所示。12.jpg（25078字节）图1防火墙在Inter中的位置从上图不难看出，所有来自Inter的传输信息或你发出的信息都必须经过防火墙。这样，防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲，防火墙是起分隔、限制、分析的作用，这一点同样可以从图1中体

4、会出来。那么，防火墙究竟是什么呢？实际上，防火墙是加强Inter（内部X）之间安全防御的一个或一组系统，它由一组硬件设备（包括路由器、服务器）及相应软件构成。3.防火墙技术与产品发展的回顾防火墙是X络安全策略的有机组成部分，它通过控制和监测X络之间的信息交换和访问行为来实现对X络安全的有效管理。从总体上看，防火墙应该具有以下五大基本功能：●过滤进、出X络的数据；●管理进、出X络的访问行为；●封堵某些禁止行为；●记录通过防火墙的信息内容和活动；●对X络攻击进行检测和告警。为实现以上功能，在防火墙产品

5、的开发中，人们广泛地应用了X络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年来的发展，可以将其划分为如下四个阶段（即四代）。3.1基于路由器的防火墙由于多数路由器本身就包含有分组过滤功能，故X络访问控制可能通过路控制来实现，从而使具有分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是：1）利用路由器本身对分组的解析，以访问控制表（AccessList）方式实现对分组的过滤；2）过滤判断的依据可以是：地址、端口号、IP旗标及其他X络特征；

6、3）只有分组过滤的功能，且防火墙与路由器是一体的。这样，对安全要求低的X络可以采用路由器附带防火墙功能的方法，而对安全性要求高的X络则需要单独利用一台路由器作为防火墙。第一代防火墙产品的不足之处十分明显，具体表现为：●路由协议十分灵活，本身具有安全漏洞，外部X络要探寻内部X络十分容易。例如，在使用FTP协议时，外部服务器容易从20号端口上与内部X相连，即使在路由器上设置了过滤规则，内部X络的20号端口仍可以由外部探寻。●路由器上分组过滤规则的设置和配置存在安全隐患。对路由器中过滤规则的设置和配置十

7、分复杂，它涉及到规则的逻辑一致性。作用端口的有效性和规则集的正确性，一般的X络系统管理员难于胜任，加之一旦出现新的协议，管理员就得加上更多的规则去限制，这往往会带来很多错误。你可能会感兴趣：免费(.mFFanwEN.)：计算机论文收集或原创●路由器防火墙的最大隐患是：攻击者可以假冒地址。由于信息在X络上是以明文方式传送的，黑客（Hacker）可以在X络上伪造假的路由信息欺骗防火墙。●路由器防火墙的本质缺陷是：由于路由器的主要功能是为X络访问提供动态的、灵活的路由，而防火墙则要对访问行为实施静态的、

8、固定的控制，这是一对难以调和的矛盾，防火墙的规则设置会大大降低路由器的性能。可以说基于路由器的防火墙技术只是X络安全的一种应急措施，用这种权宜之计去对付黑客的攻击是十分危险的。3.2用户化的防火墙工具套为了弥补路由器防火墙的不足，很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的X络，从而推动了用户防火墙工具套的出现。作为第二代防火墙产品，用户化的防火墙工具套具有以下特征：1）将过滤功能从路由器中独立出来，并加上审计和告警功能；2）针对用户需求，提供模块化的软件包；3）软件可以