计算机网络安全基础-防火墙基础

一个典型的防火墙使用形态进行访问规那么检查发起访问请求合法请求那么允许对外访问将访问记录写进日志文件合法请求那么允许对外访问发起访问请求

Internet区域Internet边界路由器DMZ区域WWWMailDNS内部工作子网管理子网一般子网内部WWW重点子网防火墙在此处的功能：1、工作子网与外部子网的物理隔离2、访问控制3、对工作子网做NAT地址转换4、日志记录.防火墙示意图Internet1.企业内联网2.部门子网3.分公司网络.防火墙是什么在一个受保护的内部网络与互联网间,用来强制执行企业平安策略的一个或一组系统..防火墙主要用于保护内部平安网络免受外部网不平安网络的侵害。典型情况：平安网络为企业内部网络，不平安网络为因特网。但防火墙不只用于因特网，也可用于Intranet各部门网络之间〔内部防火墙〕。例：财务部与市场部之间。.防火墙概念〔1〕最初含义：当房屋还处于木制结构的时侯，人们将石块堆砌在房屋周围用来防止火灾的发生。这种墙被称之为防火墙。RichKosinski(InternetSecurity公司总裁〕： 防火墙是一种访问控制技术，在某个机构的网络和不平安的网络之间设置障碍，阻止对信息资源的非法访问。换句话说，防火墙是一道门槛，控制进/出两个方向的通信。.WilliamCheswick和SteveBeilovin〔1994〕：防火墙是放置在两个网络之间的一组组件，这组组件共同具有以下性质：只允许本地平安策略授权的通信信息通过双向通信信息必须通过防火墙防火墙本身不会影响信息的流通防火墙概念〔2〕.防火墙概念〔3〕简单的说，网络平安的第一道防线

防火墙是位于两个信任程度不同的网络之间〔如企业内部网络和Internet之间〕的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的平安策略，防止对重要信息资源的非法存取和访问以到达保护系统平安的目的。.防火墙的概念〔4〕在逻辑上，防火墙是别离器，限制器，也是一个分析器，有效地监控了内部网和外部网之间的任何活动，保证了内部网络的平安。在物理上，防火墙通常是一组硬件设备——路由器、主计算机，或者是路由器、计算机和配有软件的网络的组合。防火墙一般可分为多个局部，某些局部除了执行防火墙功能外还执行其它功能。如：加密和解密——VPN。.防火墙概念〔5〕防火墙的实质是一对矛盾〔或称机制)：限制数据流通允许数据流通两种极端的表现形式：除了非允许不可的都被禁止，平安但不好用。〔限制政策〕除了非禁止不可的都被允许，好用但不平安。〔宽松政策〕多数防火墙都在两种之间采取折衷。

.防火墙实现层次.防火墙的根本功能模块应用程序代理包过滤&状态检测用户认证NATVPN日志IDS与报警内容过滤.防火墙的主要功能防火墙的功能过滤进出网络的数据管理进出网络的访问行为封堵某些禁止的业务记录进出网络的信息和活动对网络攻击进行检测和告警.Internet防火墙的作用Internet防火墙允许网络管理员定义一个中心“扼制点〞来防止非法用户，如黑客、网络破坏者等进入内部网络。禁止存在平安脆弱性的效劳进出网络，并抗击来自各种路线的攻击。Internet防火墙能够简化平安管理，网络平安性是在防火墙系统上得到加固，而不是分布在内部网络的所有主机上。在防火墙上可以很方便的监视网络的平安性，并产生报警。应该注意的是：对一个内部网络已经连接到Internet上的机构来说，重要的问题并不是网络是否会受到攻击，而是何时会受到攻击。网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。.Internet防火墙的作用Internet防火墙可以作为部署NAT(NetworkAddressTranslator，网络地址变换〕的逻辑地址。因此防火墙可以用来缓解地址空间短缺的问题，并消除机构在变换ISP时带来的重新编址的麻烦。Internet防火墙是审计和记录Internet使用量的一个最正确地方。网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈的位置，并能够根据机构的核算模式提供部门级的记费。Internet防火墙也可以成为向客户发布信息的地点。Internet防火墙作为部署WWW效劳器和FTP效劳器的地点非常理想。还可以对防火墙进行配置，允许Internet访问上述效劳，而禁止外部对受保护的内部网络上其它系统的访问。.互聯网非法获取内部数据防火墙的作用示意图.目前合法的IP地址已经远远不够使用，许多公司内部使用的都是非法的IP地址，无法直接与外界相连。防火墙能够将内部使用的非法IP地址与对外真正的IP作转换。使现在使用的IP无需变动，也能够与外界相通。防火墙提供一对一〔NAT〕及多对一〔PAT〕的地址转换，可保护及隐藏内部网络资源并减少由于架设网络防火墙所引起的IP地址变动，方便网络管理，并可以解决IP地址缺乏的问题。地址翻译(NAT).网络地址转换技术〔NAT〕NAT〔NetworkAddressTranslation〕:就是将一个IP地址用另一个IP地址代替。应用领域：网络管理员希望隐藏内部网络的IP地址。内部网络的IP地址是无效的IP地址。合法InternetIP地址有限，而且受保护网络往往有自己的一套IP地址规划〔非正式IP地址〕.网络地址转换技术〔NAT〕解决方法：网络地址转换器就是在防火墙上装一个合法IP地址集。当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户；同时，对于内部的某些效劳器如Web效劳器，网络地址转换器允许为其分配一个固定的合法地址。好处：缓解IP地址匮乏问题；对外隐藏了内部主机的IP地址，提高了平安性。.防火墙网关NAT技术中将不合法IP转换为合法IP.InternetIntranet防火墙路由器将内部网地址转换成网关地址问题：所有返回数据包目的IP都是，防火墙如何识别并送回真正主机？方法：1、防火墙记住所有发送包的目的端口；

2、防火墙记住所有发送包的TCP序列号.NAT示意图Internet005WWWPCPCServer.内容过滤阻止Java,ActiveX,JavaScript

VBscriptURL记录和拦截SMTP过滤丢弃假来源地址的信件可设定传送信件的大小可消除内部信件传递路径信息,防止内部主机暴露给外界提供E-mail地址转换功能病毒?.InspectPortCommandDropsthePacketHTTPRequestJavaSignatureServerReplyRequestsforJavaAppletNNoJavaSignature—

LetsitThroughInspectWebServerWebClientJava阻塞

.防火墙的评价

--防火墙不可以防范什么防火墙不是解决所有网络平安问题的万能药方，只是网络平安政策和策略中的一个组成局部。防火墙不能防范绕过防火墙的攻击，例:内部提供拨号效劳。防火墙不能防范来自内部人员恶意的攻击。防火墙不能阻止被病毒感染的程序或文件的传递。防火墙不能防止数据驱动式攻击。例:特洛伊木马。

.防火墙的评价

--防火墙不可以防范什么内部提供拨号效劳绕过防火墙.日志功能日志记录一般包括:系统日志、流量日志、告警日志等.根据管理的需要，它可以对每一个进出网络的数据包作简单或详细的纪录。包括数据的来源，目的，使用的协议，时间甚至数据的内容等等。.防火墙的种类防火墙的存在形式：软件、硬件。根据防范方式和侧重点的不同可分为四类：包过滤应用层代理电路层代理状态检查.包过滤防火墙.包过滤防火墙包过滤防火墙对所接收的每个数据包做允许拒绝的决定。防火墙审查每个数据报以便确定其是否与某一条包过滤规那么匹配。过滤规那么基于可以提供给IP转发过程的包头信息。包头信息中包括IP源地址、IP目标端地址、内装协〔TCP、UDP、ICMP、或IPTunnel〕、TCP/UDP目标端口、ICMP消息类型、TCP包头中的ACK位包的进入接口和出接口如果有匹配并且规那么允许该数据包，那么该数据包就会按照路由表中的信息被转发。如果匹配并且规那么拒绝该数据包，那么该数据包就会被丢弃。如果没有匹配规那么，用户配置的缺省参数会决定是转发还是丢弃数据包。.包过滤防火墙包过滤防火墙使得防火墙能够根据特定的效劳允许或拒绝流动的数据，因为多数的效劳收听者都在的TCP/UDP端口号上。例如，Telnet效劳器在TCP的23号端口上监听远地连接，而SMTP效劳器在TCP的25号端口上监听人连接。为了阻塞所有进入的Telnet连接，防火墙只需简单的丢弃所有TCP端口号等于23的数据包。为了将进来的Telnet连接限制到内部的数台机器上，防火墙必须拒绝所有TCP端口号等于23并且目标IP地址不等于允许主机的IP地址的数据包。.包过滤检查内容数据包过滤一般要检查网络层的IP头和传输层的头：IP源地址IP目标地址协议类型〔TCP包、UDP包和ICMP包〕TCP或UDP包的目的端口TCP或UDP包的源端口ICMP消息类型TCP包头的ACK位TCP包的序列号、IP校验和等.优点：

速度快，性能高对用户透明缺点：维护比较困难(需要对TCP/IP了解〕平安性低〔IP欺骗等〕不提供有用的日志，或根本就不提供不防范数据驱动型攻击不能根据状态信息进行控制不能处理网络层以上的信息无法对网络上流动的信息提供全面的控制包过滤防火墙优缺点

互连的物理介质应用层表示层会话层传输层应用层表示层会话层传输层网络层数据链路层物理层网络层数据链路层物理层网络层数据链路层物理层.透明模式包过滤.NAT模式.NAT(MAPIP).NATSample(PAT).虚拟IP.路由模式.代理效劳器代理效劳是运行在防火墙主机上的专门的应用程序或者效劳器程序。不允许通信直接经过外部网和内部网。将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接〞，由两个终止代理效劳器上的“链接〞来实现外部计算机的网络链路只能到达代理效劳器，从而起到了隔离防火墙内外计算机系统的作用。.代理效劳器示意图.Telnet代理效劳器.代理效劳的分类代理效劳分类：代理效劳可分为应用级代理与电路级代理：应用级代理是代理效劳向哪一应用提供的代理，它在应用协议中理解并解释命令。应用级代理的优点为它能解释应用协议从而获得更多的信息，缺点为只适用于单一协议。电路级代理是在客户和效劳器之间不解释应用协议即建立回路。电路级代理的优点在于它能对各种不同的协议提供效劳，缺点在于它对因代理而发生的情况几乎不加控制。.应用层代理的优点应用层代理能够让网络管理员对效劳进行全面的控制，因为代理应用限制了命令集并决定哪些内部主机可以被该效劳访问。网络管理员可以完全控制提供哪些效劳，因为没有特定效劳的代理就表示该效劳不提供。防火墙可以被配置成唯一的可被外部看见的主机，这样可以保护内部主机免受外部主机的进攻。应用层代理有能力支持可靠的用户认证并提供详细的注册信息。另外，用于应用层的过滤规那么相对于包过滤防火墙来说更容易配置和测试。代理工作在客户机和真实效劳器之间，完全控制会话，所以可以提供很详细的日志和平安审计功能。.应用层代理的缺点应用层代理的最大缺点是要求用户改变自己的行为，或者在访问代理效劳的每个系统上安装特殊的软件。比方，透过应用层代理Telnet访问要求用户通过两步而不是一步来建立连接。不过，特殊的端系统软件可以让用户在Telnet命令中指定目标主机而不是应用层代理来使应用层代理透明。每个应用程序都必须有一个代理效劳程序来进行平安控制，每一种应用升级时，一般代理效劳程序也要升级。.全状态检查状态检测技术：在包过滤的同时，检察数据包之间的关联性，数据包中动态变化的状态码。监测引擎：一个在网关上执行网络平安策略的软件模块。监测引擎采用抽取有关数据的方法对网络通信的各层实施监测，抽取状态信息，并动态地保存起来作为以后执行平安策略的参考。当用户访问请求到达网关的操作系统前，状态监视器要抽取有关数据进行分析，结合网络配置和平安规定作出接纳、拒绝、身份认证、报警或给该通信加密等处理动作。.应用层表示层会话层传输层应用层表示层会话层传输层网络层数据链路层物理层网络层数据链路层物理层网络层数据链路层物理层应用层表示层会话层传输层监测引擎状态检测示意图.状态检测的优缺点优点：一旦某个访问违反平安规定，就会拒绝该访问，并报告有关状态作日志记录。它会监测无连接状态的远程过程调用〔RPC〕和用户数据报〔UDP〕之类的端口信息。缺点：降低网络速度配置比较复杂.防火墙的体系结构防火墙的主要体系结构：双重宿主主机体系结构屏蔽主机体系结构屏蔽子网体系结构其它的防火墙结构.双重宿主主机体系结构〔1〕双重宿主主机体系结构是围绕双重宿主主机构筑的。双重宿主主机至少有两个网络接口，它位于内部网络和外部网络之间，这样的主机可以充当与这些接口相连的网络之间的路由器，它能从一个网络接收IP数据包并将之发往另一网络。然而实现双重宿主主机的防火墙体系结构禁止这种发送功能，完全阻止了内外网络之间的IP通信。两个网络之间的通信可通过应用层数据共享和应用层代理效劳的方法实现。一般情况下采用代理效劳的方法。.Internet防火墙双重宿主主机内部网络……双重宿主主机体系结构.双重宿主主机体系结构〔2〕双重宿主主机的特性：平安至关重要〔唯一通道〕，其用户口令控制平安是关键。必须支持很多用户的访问〔中转站〕，其性能非常重要。缺点：双重宿主主机是隔开内外网络的唯一屏障，一旦它被入侵，内部网络便向入侵者敞开大门。.屏蔽主机体系结构〔1〕屏蔽主机体系结构由防火墙和内部网络的堡垒主机承担平安责任。一般这种防火墙较简单，可能就是简单的路由器。典型构成：包过滤路由器＋堡垒主机。包过滤路由器配置在内部网和外部网之间，保证外部系统对内部网络的操作只能经过堡垒主机。堡垒主机配置在内部网络上，是外部网络主机连接到内部网络主机的桥梁，它需要拥有高等级的平安。.屏蔽主机体系结构〔2〕屏蔽路由器可按如下规那么之一进行配置：允许内部主机为了某些效劳请求与外部网上的主机建立直接连接〔即允许那些经过过滤的效劳〕。不允许所有来自外部主机的直接连接。平安性更高，双重保护：实现了网络层平安〔包过滤〕和应用层平安〔代理效劳〕。缺点：过滤路由器能否正确配置是平安与否的关键。如果路由器被损害，堡垒主机将被穿过，整个网络对侵袭者是开放的。.……屏蔽主机体系结构因特网.屏蔽子网体系结构〔1〕屏蔽子网体系结构在本质上与屏蔽主机体系结构一样，但添加了额外的一层保护体系——周边网络。堡垒主机位于周边网络上，周边网络和内部网络被内部路由器分开。原因：堡垒主机是用户网络上最容易受侵袭的机器。通过在周边网络上隔离堡垒主机，能减少在堡垒主机被侵入的影响。.Internet周边网络内部网络……外部路由器堡垒主机内部路由器屏蔽子网体系结构.屏蔽子网体系结构〔2〕周边网络是一个防护层，在其上可放置一些信息效劳器，它们是牺牲主机，可能会受到攻击，因此又被称为非军事区〔DMZ〕。周边网络的作用：即使堡垒主机被入侵者控制，它仍可消除对内部网的侦听。例:netxray等的工作原理。.屏蔽子网体系结构〔3〕堡垒主机堡垒主机位于周边网络，是整个防御体系的核心。堡垒主机可被认为是应用层网关，可以运行各种代理效劳程序。对于出站效劳不一定要求所有的效劳经过堡垒主机代理，但对于入站效劳应要求所有效劳都通过堡垒主机。.屏蔽子网体系结构〔4〕外部路由器〔访问路由器〕作用：保护周边网络和内部网络不受外部网络的侵犯。它把入站的数据包路由到堡垒主机。防止局部IP欺骗，它可分辨出数据包是否真正来自周边网络，而内部路由器不可。内部路由器〔阻塞路由器〕作用：保护内部网络不受外部网络和周边网络的侵害，它执行大局部过滤工作。外部路由器一般与内部路由器应用相同的规那么。.其它的防火墙结构〔1〕OutsideDemilitarizedZones(DMZs)PublicAccessServerPublicAccessServer.其它的防火墙结构〔2〕一个堡垒主机和一个非军事区示意图……DMZ堡垒主机内部网外部路由器Internet.其它的防火墙结构〔3〕两个堡垒主机和两个非军事区外部DMZ外部堡垒主机内部网外部路由器Internet……内部堡垒主机内部DMZ.防火墙的关键技术包过滤技术代理技术状态检查技术地址转换技术〔NAT〕虚拟专网技术〔VPN〕内容检查技术：提供对高层效劳协议数据的监控能力。包括计算机病毒、恶意的JavaApplet或ActiveX控件的攻击、恶意的电子邮件及不健康网页内容等的过滤防护。.防火墙的平安标准〔1〕防火墙技术开展很快，但是现在标准尚不健全，导致不同的防火墙产品兼容性差，给不同厂商的防火墙产品的互联带来了困难。为了解决这个问题目前已提出了2个标准：1、RSA数据平安公司与一些防火墙的生产厂商〔如Checkpoint公司、TIS公司等〕以及一些TCP/IP协议开发商〔如FTP公司等〕提出了Secure／WAN〔S／WAN〕标准，它能使在IP层上由支持数据加密技术的不同厂家生产的防火墙和TCP／IP协议具有互操作性，从而解决了建立虚拟专用网〔VPN〕的一个主要障碍。.防火墙的平安标准〔2〕此标准包含两个局部：①防火墙中采用的信息加密技术一致，即加密算法、平安协议一致，使得遵循此标准生产的防火墙产品能够实现无缝互联，但又不失去加密功能；②平安控制策略的标准性、逻辑上的正确合理性，防止了各大防火墙厂商推出的防火墙产品由于平安策略上的漏洞而对整个内部保护网络产生危害。.防火墙的平安标准〔3〕2、美国国家计算机平安协会NCSA〔NationalComputerSecurityAssociation〕成立的防火墙开发商FWPD〔FirewallProductDeveloper〕联盟制订的防火墙测试标准。3、我国质量技术监督局1999.11.11发布，2000.5.1开始实施：包过滤防火墙平安技术要求应用级防火墙平安技术要求网络代理效劳器的平安技术要求.防火墙技术的回忆与展望防火墙技术与产品回忆第四代防火墙的主要技术与功能防火墙开展现状防火墙技术展望.防火墙技术与产品开展回忆防火墙产品目前已形成一个产业，年增长率达173％。五大根本功能：过滤进、出网络的数据;管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击检测和告警。.防火墙产品开展的四个阶段基于路由器的防火墙用户化的防火墙工具套件建立在通用操作系统上的防火墙具有平安操作系统的防火墙.第一代：

基于路由器的防火墙称为包过滤防火墙特征：以访问控制表方式实现分组过滤过滤的依据是IP地址、端口号和其它网络特征只有分组过滤功能，且防火墙与路由器一体.第一代：

基于路由器的防火墙(二)缺点：路由协议本身具有平安漏洞路由器上的分组过滤规那么的设置和配置复杂攻击者可假冒地址本质缺陷：一对矛盾，防火墙的设置会大大降低路由器的性能。路由器：为网络访问提供动态灵活的路由防火墙：对访问行为实施静态固定的控制.包过滤型防火墙

.第二代:

用户化的防火墙工具套件特征：将过滤功能从路由器中独立出来，并加上审计和告警功能；针对用户需求提供模块化的软件包；平安性提高，价格降低；纯软件产品，实现维护复杂。缺点：配置和维护过程复杂费时；对用户技术要求高；全软件实现，平安性和处理速度均有局限；.Internet客户通过代理效劳访问内部网主机.第三代：建立在通用操作系统上的防火墙是近年来在市场上广泛可用的一代产品。特征包括分组过滤或借用路由器的分组过滤功能；装有专用的代理系统，监控所有协议的数据和指令；保护用户编程空间和用户可配置内核参数的设置；平安性和速度大为提高。.实现方式：软件、硬件、软硬结合。问题：作为根底的操作系统及其内核的平安性无从保证。通用操作系统厂商不会对防火墙的平安性负责；从本质上看，第三代防火墙既要防止来自外部网络的攻击，还要防止来自操作系统漏洞的攻击。用户必须依赖两方面的平安支持：防火墙厂商和操作系统厂商。上述问题在基于WindowsNT开发的防火墙产品中表现得十清楚显。.第四代：

具有平安操作系统的防火墙1997年初，此类产品面市。平安性有质的提高。获得平安操作系统的方法：通过许可证方式获得操作系统的源码；通过固化操作系统内核来提高可靠性。.特点：防火墙厂商具有操作系统的源代码，并可实现平安内核；对平安内核实现加固处理：即去掉不必要的系统特性，强化平安保护；对每个效劳器、子系统都作了平安处理；在功能上包括了分组过滤、代理效劳，且具有加密与鉴别功能；透明性好，易于使用。.第四代防火墙的主要技术与功能：灵活的代理系统：两种代理机制，一