防火墙基础知识

1、 防火墙是指隔离在本地网络与外界网络系统之防火墙是指隔离在本地网络与外界网络系统之间的防御系统，间的防御系统， I In nt te er rn ne et t 信任网络信任网络防火墙防火墙非信任网络非信任网络 防火墙是对黑客防范最严格防火墙是对黑客防范最严格,安全性也比安全性也比较强的一种方式。较强的一种方式。 下图为一个典型防火墙系统下图为一个典型防火墙系统 主机主机：连接到网络的计算机系统 堡垒主机堡垒主机：一个连接内部网络又对外部网络暴露的计算机系统，它的特性导致它容易被入侵。 周边网络周边网络：为了增加一层安全控制，在外网系统和内网系统之间增加的一个网络。周边网络有时也称为DMZ（非

2、军事区，得名于分隔朝鲜北方和南方的地区） 代理服务器代理服务器：代表内部网络和外部服务器进行信息交换的程序。它将被认可的内部用户的请求送到外部服务器，并将外部服务器的响应送回给用户。由于病毒的种类繁多，如果要在防火墙完成对所有病毒代码的检查，防火墙的效率就会降到不能忍受的程度。)防火墙的主要技术包过滤技术代理服务技术主动检测技术包过滤技术包过滤事实上基于路由器的技术，由路由器的对IP包进行选择，允许或拒绝该数据包通过。为了过滤，必须要制定一些过滤规则（访问控制表），过滤的根据有(只考虑IP包)： 源、目的IP地址 源、目的端口：FTP、HTTP、DNS等 数据包协议类型：TCP、UDP、ICM

3、P等 数据包流向：in或out 数据包流经网络接口：Eth0、Eth1包过滤防火墙工作示意图设置实例包过滤优缺点优点：简单简单较强的透明性过滤路由器速度快，效率高效率高。包过滤优缺点缺点：配置基于包过滤方式的防火墙，需要对IP、TCP、UDP、ICMP等各种协议有深入的了解，否则容易出现因配置不当带来的问题；过滤判别的只有网络层和传输层的有限信息，因而各种安全要求不能得到充分满足；由于数据包的地址及端口号都在数据包的头部，不能彻底防止地址欺骗；允许外部客户和内部主机的直接连接；不提供用户的鉴别机制。应用级网关防火墙工作示意图应用级网关防火墙的特点 应用网关代理的优点是易于配置，界面友好；不允许

4、内外网主机的直接连接；可以提供比包过滤更详细的日志记录，例如在一个HTTP连接中，包过滤只能记录单个的数据包，无法记录文件名、URL等信息；可以隐藏内部IP地址；可以给单个用户授权；可以为用户提供透明的加密机制；可以与认证、授权等安全手段方便的集成。代理技术的缺点是：代理速度比包过滤慢；代理对用户不透明，给用户的使用带来不便，而且这种代理技术需要针对每种协议设置一个不同的代理服务器。一个一个Telnet应用代理的过程应用代理的过程用户首先Telnet到应用网关主机，并输入内部目标主机的名字（域名、IP地址）应用网关检查用户的源IP地址等，并根据事先设定的访问规则来决定是否转发或拒绝然后用户必须进行是否验证（如一次一密等高级认证设备）应用网关中的代理服务器为用户建立在网关与内部主机之间的Telnet连接代理服务器在两个连接（用户/应用网关，代理服务器/内部主机）之间传送数据应用网关对本次连接进行日志记录状态检测包过滤技术 启动一个监测程序对网络进行监控，当出现网络攻击时立即告警或切断相关连接。 用于安全性非常高的网络系统，消耗内存大。 防火墙的设计防火墙的安全策略（1）每一个没有明确允许的都被拒绝 常用，但操作困难，并有可能拒绝网络用户的正常需求与合法服务（2）每一个没有明确拒绝的都允许 很少考虑，因为这样的防火墙可能带来许多风险和安全问题。攻击者完全可以使用一种拒绝策略中没有