关于防火墙技术要点探索与思考.pdf

2014年2月 (上旬刊)I设计与应用 关于防火墙技术要点探索与思考 张光 身份证号 摘要：本文首先阐述了防火墙技术的基本原理，然后分析了防火墙技术的分类、功能和设计及其选型，最后深入探讨了在实际中如 何管理防火墙。防火墙技术是网络安全的重要技术之一，是防御非法入侵和非法访问的有效手段之一。本文谈 了谈 自己的一些看 法 ，希望对 同行工作者有所帮助。 关键词 ：网络安全 防火墙技术 防火墙应用 防火墙虽是一项 比较成熟 的产 品．但也在不断地完善与发 人主机进行保护 。而防火墙厂商 中做网络版软件防火墙最 出名 展 。怎样让防火墙具有高安全性、高透 明性和高网络性 高为一 的莫过于 CheckPoint及微软的ISA软件防火墙 体的性能．是网络安伞人员面临的一个艰巨课题 二 、防火墙的主要功能分析 一 、 防火墙的基本类型分析 防火墙能提高网络、主机 (主机群)以及应用系统的安全性 ． 1、按使用技术分类 它主要有 以下功能 ： 一 是包过滤型防火墙 静态包过滤防火墙是最简单 的防火 1、网络安全 的屏障。对网络存取和访问进行监控和审计 ．提 墙 。静态包过滤被应用于路南器的访问控制列表 ，在网络层对数 供内部网络的安全性 ．过滤不安全的服务 ．对网络攻击进行检测 据包实施有选择 的通过 。根据系统内的过滤逻辑 。在收到网络数 和报警 ，比如说 ，它可以禁止NFS(网络文件系统)服务。把 防火墙 据包后 ．检查数据流 中的每个数据包 ．根据这数据包 的源 IP地 作为网络通信 的阻塞点，为 网络安全起到了把关 的作用 。所以，我 址 、目的 IP地址和 目的TCP／UDP端 口及数据包头的各种标志位 们就可 以把 网络安全防范集中在这个阻塞点上 等因素．以确定是转发还是丢弃．它的核心是安全策略即过滤算 2、强化 网络安全策略。通过集 中的安全管理 ．在防火墙上可 法 的设计 。静态包过滤的优点是逻辑简单 、对 网络性能影响小 、 以实现安全技术应用 (加密 、身份鉴别与认证 、口令密码等)，过滤 有较强的透 明性 、与应用层无关，所 以无须改应用程序。它也存 掉不安全的服务和非法用户 在一些不足 ：不检查数据 区、不建立连接状态 、前后报文无关 、对 3、防止 内部信息外泄 。对于 内部网络 ．可 以根据不同的服务 应用层 的控制弱 设置不 同的安全级别 ，从而实现内部重点网段 的隔离与保护 ．限 二是应用代理型防火墙 代理型防火墙 ．又可分为电路级代 制敏感 的安全问题影 响整个 网络 理和应用级代理 应用代理技术是在网络的应用层提供 网络数 4、限制暴露用户 。封堵禁止 的访 问行为，有效记录 Intemet 据流保护功能．用来过滤应用层的服务 ．是 内部网与外部网的隔 上 的活动 ．管理进 出网络的访问行为。 离点．起着 内外网之间申请服务时的中间转接作用 ．监视并隔绝 三、防火墙的设计 问题分析 应用层 的通信流 应用代理服务是运行在防火墙主机上的特殊 防火墙的设计策略是基于特定的防火墙 ．通常有两种基本的 的应用程序或者服务器程序 ．不 同服务的代理功能需要开发不 设计策略：限制策略，拒绝任何服务除非被 明确允许 ：宽松策略， 同的代理服务程序 ．而对大多数代理服务来说 ．要求要有合适 的 接受任何服务除非被 明确禁止。第一种相对保守，也相对安全 ： 代理服务器软件 由于代理提供替代连接并充当服务的网关 ．所 第二种可能造成安全隐患。一般建议采用限制型包过滤策略。在 以．应用代理有时也被称为应用级网关 。它 的优点在于 ：不允许 配置 防火墙 时 ．必须要遵循一定 的原则 ．首要 的原则是安全且实 内外主机直接连接 、能提供详细的 日志和安全审计功能、隐藏 内 用。从这个角度，在防