HTTP代理型防火墙的设计和应用.pdfVIP

庄一嵘 梁勇方 中山大擎崴息与通讯技术研究中心广东·广州(510275)盈l蜀缝血蛳 摇：车文针列传统罔鳍安全第璃摸型存在的I瓦晤，结合当前同路技术，设计和宴现了—十基于Hn[P协议的代理匿嘞9嚆。应 用于智船大厦的门蘩集中式管理系统中，在中心控树啮完成瞎螭配置、记录收集和安全暇务等工作。 关肄词：f嘲防火《ln-IP协文网络安=≤ zInlang埘roⅡgu丑ngy‘，n触 k妇删岫蛐dQ脚衄面咖弛dl∞logyh鳓C眦 刁∞ng吐如Imiv冒商印Gl岫喀d0岵’0∞I喀吐l鼢51∞75 曲瞳h单蕾h证把【H簪mm—oⅡ’p研，i击岵(he醴—i船0f把田面劬瞳龋djgⅢ幽驰托。耐s∞地，cIi∞衄d矾押，o出∞口试舡 随着因特网的迅猛发展，网络安全问题也日益成为人们关注的焦点。传统的网络安全模式是—种分散型 的漠式，需要由通讯双方完魄包括加密、认证、审计和日志等方面的大部分工作，这不仅加重了客户机负担， 也不符台当前西特同t要求客户机日益觯的趋势。针对这种情况，有必要在传统网络安全策略模型的基础E， 结合当前的网络安全技术对其进行改进，增强整个网络的统__安垒控制能力。 防火墙技术作为网络安全的—个重要组成部分已经得到了日益广泛的应用。目前防火墙技术可分为两大 类：—类是蹲咯屡实现的屏蔽路由器；另—类是应甩层实现的怠峨务器。屏蔽路由器的优点是：由硬件实现。 有较高的性能；适用于大多数应用协议；对用户透明。其缺点是：仅对m报文进f亍访问控制，不能对用户进 行身份认证；不具备日志记录、审计、报警等功能。f℃理型防火墙具有以下优势：可以检查应甩协议信息；提 供用户级的身份诮证；可以进行日志记录、报警和帐号管理；可以针对某—具体协．I：；c，不妨碍其他协议的正常 执行。但代理查防火墙需要针对每—个应甩开发—个代理，增加了开发难度，同时也对通讯舳性能和救串有较 大影响。这两种防火墙各有优缺点，需要根据具辟要求，选择台理方案。 本应用系统是在智能大厦安装—套门禁系统对出A大厦的人员进行身份认证和记录，该系统采用中心管 理模式，它由两部分组成：电叫空制端和门禁终端。中心控制端要求完成以下工作：对各门禁终螭进行配置； Hnt代理曩膏火■的最}陶虚用 收集各终赣^员出^请况的记录；为系统提供安全服务。安全服务内容包括：1)门蒙终蝈控制权认正，即判 断访问者是否有謦改门蘩终螭参数的权限；2)拥供访问日志记录。门蔡鲮螭选取的io姗旧H．sIlo指纹识别 门禁是发晨戒燕黼业化产品，因而工作重点将赦在中心控捌靖的设汁和实现。 洲簧螭不仅有良好的性憾摇际，丽目它据有．—十内置式啪服务器，用户通过wEB文挡魄空互廓 可完盈羽餐捌岫射翻瞻爆t向阳内部聱啦泊鼋簟舴．采用镑别晴茸施了用户舶舞晰习自删，同时墟黄麟中心控■喈 的设计提供了肴茧的参考借鉴。首先，昭岫一的内置钾船服务器已经提供了—种基于m四。协议纳认证方式， 下的身鲫垭。都么咖时神蝴对备j嗣嘲箭访问j空制砒魄e坊．在腓协议下潮韵弛瞅迁。害瞅，对自瓢蝴 控麟刳酗嘶}递及内棚懈的巢侑韪须在加rrP协议下完成。基于以￡=点考虑，电嘣鲫喇嘶要完成的 资料收集、鲣螬配置及安全服务等工作应滚是建立在H]盯P协议E层的应用。 针对中心控制嗤的网络安全问题．将采用目前应用广泛的防火墙技术。屏眭路由器不具备身份认证和日 志记录等劣能，不能满足应用系统的需要。而采用针对H兀P协议设计的代理型防火墙具有以下优点：1)提 供了集中统一的安垒管理，中心控制螭不必频繁进行身份诅证以取得对各终端的控制杈；2)m’m协议信息 包括访问者的地址、访问时间和所访问的信息，充分利用协议信息完成日志记录；3)可以由代理瞬悔系统控 镧数据集中，再统—分发到各终端；4)可以由代理螭将分布再各窖鍪|靖的数据集中收集，再将数据筛选^库；5) 在中心端可经由该代鳓火墙增加审计、数字签名及效程翩酗蚪蚓嘣陟缝防护功能。 综E所述，在中心控制端采用胁P代理型防火墙不仅可完成醐的工作，而且增强了两络的统—安全 控制能力，减轻管理员的工作负担。同时，将建立cAc腿缓存，以弥补代理型防火墙在通讯效率和性能E存 在的不足。我订先设汁实现了—个基于Ⅲ’IP协议的代理服务器，然后在此基础E完成中心控制端的工作。 系统结构圈如图l