个人防火墙技术的探讨.doc

1 引言 随着网络的开放性、共享性、互联程度的扩大，特别是因特网的出现，网络的重要性和对社会的影响也越来越大。网络上各种新业务的兴起，以及各种专用网的建设，使得网络与信息系统的安全与必威体育官网网址问题显得越来越重要。特别是随着全球信息基础设施和各国信息基础设施的逐渐形成，国与国之间变得近在咫尺。网络化、信息化已成为现代社会的一个重要特征网络信息本身就是时间、就是财富、就是生命、就是生产力。作为网络安全体系的基础和核心控制设备，它贯穿于受控网络通信主干线，对通过受控干线的任何通信行为进行安全处理，如控制、审计、报警、反应等，同时也承担着繁重的通信任务。由于其自身处于网络系统中的敏感位置，还要面对各种安全威胁，因此，选用一个安全、稳定和可靠的防火墙产品，其重要性不言而喻。 2 防火墙的基本概念 2.1 防火墙的定义 防火墙的本意指古代人民的房屋之间修建的墙，这道墙可以防止火灾发生时蔓延到别的房屋，但现在的防火墙并不是为防火，而是指隔离在本地网络与外界网络之间的一道防御系统。在互联网上，防火墙是一种非常有效的网络安全系统，通过它可以隔离风险区域与安全区域的连接，同时不会防碍安全区域对风险区域访问。 防火墙可以监控进出网络的数据，仅让安全、核准后的数据进入，抵制对局域网构成威胁的数据。随着安全性问题上的失误和缺陷越来越普遍，对网络的入侵不仅来自高超的攻击手段，也有可能来自配置上的低级错误或不合适的口令选择，因此防火墙的另一作用是防止未授权的数据进入被保护的网络。 2.2 防火墙的分类 虽然防火墙的体系结构和技术多种多样，但防火墙基本上分为三种：包过滤防火墙、应用代理防火墙和混合型防火墙。它们各有所长，具体选用应看具体需求。 ●包过滤防火墙，分为普通包过滤和基于状态检测包过滤。作用在协议族的网络层和传输层，在网络层截获数据。根据分组包头源地址、目的地址、协议类型等标志确定是否数据包通过。 ●应用代理防火墙，应用代理（Application Proxy）也叫应用网关，作用在应用层。它是近几年才得到广泛应用的一种新防火墙类型，掌握着应用系统中可作安全决策的全部信息，能够实现较高安全性。 ●混合型防火墙，其结合了包过滤防火墙和应用代理防火墙的特点，通过IP地址和端口号过滤进出数据包。目前在市场上较多防火墙属于混合型防火墙。 无论哪种类型防火墙都存在着一定的局限，但可以通过配置监听某些特定的端口解决因特定的服务允许或拒绝某些数据的现象。例如分组过滤防火墙，通过实验了解到一个可靠的过滤防火墙依赖一定的规则，表1-1列出了几条规则集。 表1-1 序号 动作 源IP 目的IP 源端口 目的端口 协议类型 1 允许 * * * TCP 2 允许 * 20 * TCP 3 禁止 * TCP 2.3 防火墙的工作原理 防火墙的工作原理是其按照事先规定好配置与规则的方式，监测并过滤通过防火墙的数据流，只允许授权的或者符合规则的数据通过。防火墙能够记录有关连接的信息，服务器或主机间的数据流量以及任何试图通过防火墙的非法访问记录。同时自身也应具备较高的抗攻击性能。 3 防火墙的必要性 使用防火墙的一般论证是，没有防火墙，子网系统会把自己完全暴露在一些本身并不安全的服务（如NFS和NIS等）面前，并且受到网络上其他地方主系统的试探和攻击，在没有防火墙的环境中，网络安全性完全依赖于系统安全性。防火墙有助于提高主系统总体安全性，因而使网点获得众多的好处。 3.1 控制不安全的服务 防火墙可以控制不安全的服务，从而大大提高网络安全性，并通过过滤不安全的服务降低子系统所冒的风险。因为只有经过授权的协议和服务才能通过防火墙。例如，防火墙可以禁止某些易受攻击的服务（如NFS）进入或离开受保护的子网，其好处是可以防止这些服务不会被外部攻击者利用，同时，允许在大大降低被外部攻击利用的风险情况下使用这些服务。这是对局域网特别有用的服务，因而可得到共用，并用来减轻主系统管理负担。 防火墙还可以防止和保护基于路由器选择的攻击。例如，源路由器选择和企图ICMP改向，把发送路径转向遭致损害的网点。防火墙可以排斥所有源点发送的包和ISMP改向，然后把偶发事件通知管理人员或用户。 3.2 控制访问网点 防火墙还提供对网点的访问控制，例如，可以允许外部网络访问某些主机系统，而其他主系统则能有效的封闭起来，防止非法访问。除了邮件服务器或信