计算机防火墙的体系配置与选择实施技术.docVIP

计算机防火墙的体系配置与选择实施技术 　　摘要：计算机已经渗透到日常生活的各个层面，防火墙的建立、使用和维护日益重要，本文分析了计算机防火墙的体系结构和实施技术，并提出了不同用户的选择实施方案建议。 　　关键词：防火墙技术；体系配置；选择实施 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)15-20ppp-0c 　　 　　Deploy and Implementation of Computer Firewall System 　　ZHOU Li 　　(Yunnan Jinma Machinery General Factory,Kunming 650102,China) 　　Abstract:Internet security is not only related to the further development of the Internet and popularity even linked to the Internet to survive.Computer security are many factors to establish an absolute security of information systems,how to build better security defenses,ensure the transmission of information security,the firewall has become the computer technology to examine the important issues of the world.This article analyzed not only the history of the firewall but also how to built up a strong firewall in the future. 　　Key words:Firewall technology;System structure; Choice implementation 　　 　　随着计算机网络技术的不断发展和完善，计算机网络的应用已经渗透到人们日常生活的各个方面，对社会各个领域的发展产生了重要影响。我们生活和工作中的许多数据、资源与信息都通过计算机系统来存储和处理，伴随着网络应用的发展，这些信息都通过网络来传送、接收和处理。然而，由于计算机网络在设计之初只考虑了它的开放性、共享性而忽略了它的安全性，构成计算机网络的许多要素从网络操作系统到网络传输协议 TCP/IP 以及各种网络服务软件都存在着设计缺陷或者系统漏洞，使得一些重要的计算机网络系统极易成为黑客恶意攻击的目标。为了维护计算机网络的安全，人们提出了许多手段和方法，采用防火墙是其中最核心、最有效的手段之一。 　　 　　1 防火墙的体系结构 　　 　　防火墙系统通常是由过滤路由器和代理服务器组成。对于一个典型的防火墙的体系结构来说，它包括屏蔽路由器、双宿主主机、被屏蔽主机，被屏蔽子网等类型。 　　1.1 屏蔽路由器 　　这是防火墙最基本的构件，它可以由厂家专门生产的路由器实现，也可以由主机来实现。屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。路由器上可以装有基于IP层的报文过滤软件，实现报文过滤功能。它的缺点是一旦被攻陷之后很难发现，而且不能识别不同的户。 　　1.2 双宿主主机 　　双宿主主机结构是一台至少装有两块网卡或者说至少具有两个网络接口的堡垒主机构成的。其中的两块网卡分别和内网和外网相连，而防火墙的功能则是用堡垒主机运行的防火墙软件来实现。采用双宿主主机结构时，允许内网和外网与双宿主主机进行连接，但是不允许内网和外网直接通信。双宿主主机将在内网和外网的信息完全切断了，从而保护了内部网络。这种结构的优点是它可以利用堡垒主机中记录下的各种日志，可以便于日后检查。但是由于只有堡垒主机这一道屏障，一旦被攻破，那么防火墙就不会再起作用，整个内网完全暴露了出来。所以为了保护内网，双宿主主机要禁止网络层的路由功能，加强身份认证系统，尽量减少在堡垒主机上的用户的帐户数目。 　　1.3 屏蔽主机网关 　　屏蔽主机网关是由过滤路由器和应用网关组成的。这种结构使用了一台过滤路由器，它提供来自仅仅与内部网络相连的主机的服务，也即强迫所有到达路由器的数据包被发送到被屏蔽主机。对于这种结构来说，堡垒主机是配置在内部网络上的，而在内网和外网之间放有包过滤路由器。并且在路由器上设定好规则，使从外网来的数据必须要经过堡垒主机，而去往其它主机上的信息被阻塞了。在这种体系结构中，主要的安全是由数据包过滤提供的，而