基于防火墻的網(wǎng)絡(luò)安全技術(shù)

商娟葉，劉 靜

（1.西安外事學(xué)院 陜西 西安 710077；2.西安廣播電視大學(xué) 陜西 西安 710002）

當(dāng)今社會，科技突飛猛進(jìn)，網(wǎng)絡(luò)技術(shù)隨之不斷發(fā)展和完善，我們生活和工作中的許多數(shù)據(jù)、資源與信息都通過計算機(jī)系統(tǒng)來存儲和處理，伴隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)傳送、接收和處理的信息量越來越大。維護(hù)計算機(jī)網(wǎng)絡(luò)安全，越來越成為人們焦慮的問題，而防火墻無疑是解決這一問題最主要、最核心、最有效的手段之一。

1 防火墻的概念及作用

防火墻是指隔離在本地網(wǎng)絡(luò)與外界網(wǎng)絡(luò)之間的一道防御系統(tǒng)，是這一類防范措施的總稱。在互聯(lián)網(wǎng)上防火墻是一種非常有效的網(wǎng)絡(luò)安全模型，防火墻的作用是防止非法通信和未經(jīng)過授權(quán)的通信進(jìn)出被保護(hù)的網(wǎng)絡(luò)。防火墻的任務(wù)就是從各種端口中辨別從外部不安全網(wǎng)絡(luò)發(fā)送到內(nèi)部安全網(wǎng)絡(luò)中的數(shù)據(jù)是否有害，并盡可能地將有害數(shù)據(jù)丟棄，從而達(dá)到初步的網(wǎng)絡(luò)系統(tǒng)安全保障。它還要在計算機(jī)網(wǎng)絡(luò)和計算機(jī)系統(tǒng)受到危害之前進(jìn)行報警、攔截和響應(yīng)。

2 防火墻的基本類型[1]

如今市場上的防火墻有以軟件形式運(yùn)行在普通計算機(jī)之上的，也有以固件形式設(shè)計在路由器之中的?？偟膩碚f可以分為3種：包過濾防火墻、代理服務(wù)器和狀態(tài)監(jiān)視器。

1） 包過濾防火墻 （IP Filting Firewall） 包過濾（Packet Filter）是在網(wǎng)絡(luò)層中對數(shù)據(jù)包實(shí)施有選擇的通過，依據(jù)系統(tǒng)事先設(shè)定好的過濾邏輯，檢查數(shù)據(jù)流中的每個數(shù)據(jù)包，根據(jù)數(shù)據(jù)包的源地址、目標(biāo)地址、以及包所使用端口確定是否允許該類數(shù)據(jù)包通過。

2）代理服務(wù)器（ProxyServer） 代理服務(wù)是設(shè)置在Internet防火墻網(wǎng)關(guān)上的應(yīng)用。代理服務(wù)器通常擁有高速緩存，緩存中存有用戶經(jīng)常訪問站點(diǎn)的內(nèi)容，在下一個用戶要訪問同樣的站點(diǎn)時，服務(wù)器就不用重復(fù)地去訪問同樣的內(nèi)容，既節(jié)約了時間也節(jié)約了網(wǎng)絡(luò)資源。

3）狀態(tài)監(jiān)視技術(shù)（Stateful Inspection） 狀態(tài)監(jiān)視技術(shù)在保留了對每個數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進(jìn)行分析的基礎(chǔ)上，進(jìn)一步發(fā)展了“會話過濾”（Session Filtering）功能。在每個連接建立時，防火墻會為這個連接構(gòu)造一個會話狀態(tài)，里面包含了這個連接數(shù)據(jù)包的所有信息，以后這個連接都基于這個狀態(tài)信息進(jìn)行。

3 防火墻的選擇

防火墻為網(wǎng)絡(luò)安全起到了把關(guān)作用，它是兩個網(wǎng)絡(luò)之間的成分集合。一個好的防火墻應(yīng)具有以下屬性：所有的信息都必須通過防火墻；只有在受保護(hù)網(wǎng)絡(luò)的安全策略中允許的通信才允許通過防火墻；記錄通過防火墻的信息內(nèi)容和活動；對網(wǎng)絡(luò)攻擊的檢測和報警；防火墻本身對各種攻擊免疫。

一個優(yōu)秀的網(wǎng)絡(luò)安全保障系統(tǒng)必須建立在對網(wǎng)絡(luò)安全需求與環(huán)境的客觀分析評估基礎(chǔ)上，在網(wǎng)絡(luò)的應(yīng)用性能及價格和安全保障需求之間確定一個“最佳平衡點(diǎn)”，使得網(wǎng)絡(luò)安全保障引入的額外開銷與它所帶來的效益相當(dāng)。

3.1 網(wǎng)絡(luò)安全體系設(shè)計原則[2]

3.1.1 安全性與便捷

一般來說，網(wǎng)絡(luò)使用的方便性會因采用了網(wǎng)絡(luò)安全措施而降低。防火墻無論從安裝、配置到策略調(diào)整都在同一個GUI界面下完成，管理十分方便快捷，網(wǎng)絡(luò)管理員的額外工作強(qiáng)度很小。此外，防火墻內(nèi)外網(wǎng)卡透明設(shè)置也極大地方便了內(nèi)部用戶，內(nèi)部工作站（包括服務(wù)器）不必增加任何額外的配置。在安全專家的指導(dǎo)下，建立統(tǒng)一安全制度，消滅一般由于系統(tǒng)配置不當(dāng)造成的明顯安全漏洞。

3.1.2 安全性與性能

對網(wǎng)絡(luò)來說，安全措施是靠網(wǎng)絡(luò)資源來完成的，它或者是占用主機(jī)CPU和內(nèi)存，或者是占用網(wǎng)絡(luò)帶寬，或者是增加信息處理的過程，所有這些都可以導(dǎo)致整體性能降低防火墻擁有獨(dú)特的狀態(tài)包過濾技術(shù)，在安全性和速度之間可以自動找到理想的平衡點(diǎn)。

3.1.3 安全性與成本

采用網(wǎng)絡(luò)安全措施或建立網(wǎng)絡(luò)安全系統(tǒng)都會增加額外的成本，這里包括購買硬件、軟件的花費(fèi)，系統(tǒng)設(shè)計和實(shí)施費(fèi)用，管理和維護(hù)安全系統(tǒng)的費(fèi)用。比如利用軟件來實(shí)現(xiàn)安全，例如軟件型的防火墻，使用費(fèi)用比較低廉的共享版本或者免費(fèi)版本的軟件。還可以聘請較有經(jīng)驗的國內(nèi)專業(yè)安全公司制定企業(yè)內(nèi)部網(wǎng)的規(guī)劃，同時系統(tǒng)的安全性維護(hù)主要由內(nèi)部技術(shù)人員兼職完成。

3.1.4 安全性與可擴(kuò)展性

一套相對安全的安全系統(tǒng)并不意味著永遠(yuǎn)保持“相對的安全性”，這就要求原先的系統(tǒng)具有良好的可擴(kuò)展性。

3.2 產(chǎn)品選擇型號的原則

在進(jìn)行防火墻產(chǎn)品選擇型號時，除了必須遵循網(wǎng)絡(luò)安全體系設(shè)計原則外，還要求防火墻應(yīng)包含以下功能[3]：1）訪問控制，通過對特定網(wǎng)段和特定服務(wù)建立的訪問控制體系，將絕大多數(shù)攻擊在到達(dá)攻擊目標(biāo)之前阻止；2）攻擊監(jiān)控，通過對特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實(shí)時地檢測出絕大多數(shù)攻擊，并采取相應(yīng)的行動（如斷開網(wǎng)絡(luò)連接、記錄攻擊過程、跟蹤攻擊源等）；3）加密通信，主動的加密通信，可使攻擊者不能了解、修改敏感信息；4）身份認(rèn)證，良好的認(rèn)證體系可防止攻擊者假冒合法用戶；5）多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊目標(biāo)；6）隱藏內(nèi)部信息，使攻擊者不能了解系統(tǒng)內(nèi)的基本情況；7）安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控，保護(hù)及緊急情況服務(wù)。

在實(shí)際的網(wǎng)絡(luò)中，保障網(wǎng)絡(luò)安全與提供高效靈活的網(wǎng)絡(luò)服務(wù)是矛盾的。從網(wǎng)絡(luò)服務(wù)的可用性、靈活性和網(wǎng)絡(luò)性能考慮，網(wǎng)絡(luò)結(jié)構(gòu)和技術(shù)實(shí)現(xiàn)應(yīng)該盡可能簡捷，不引入額外的控制因素和資源開銷。但從網(wǎng)絡(luò)安全保障考慮，則要求對網(wǎng)絡(luò)系統(tǒng)提供服務(wù)的種類、時間、對象、地點(diǎn)甚至內(nèi)容有盡可能多的了解和控制能力，實(shí)現(xiàn)這樣附加的安全功能不可避免地要耗費(fèi)有限的網(wǎng)絡(luò)資源或限制網(wǎng)絡(luò)資源的使用，從而對網(wǎng)絡(luò)系統(tǒng)的性能、服務(wù)的使用方式和范圍產(chǎn)生顯著影響。此外，保障網(wǎng)絡(luò)安全常常還涉及到額外的硬件、軟件投入及網(wǎng)絡(luò)運(yùn)行管理中的額外投入，由此可見，保障網(wǎng)絡(luò)的安全是有代價的。對安全性的追求可以是無限的，但費(fèi)用也會隨之增長。

4 防火墻架構(gòu)

一套完整的防火墻系統(tǒng)通常是由屏蔽路由器和代理服務(wù)器組成。屏蔽路由器主要用來防止IP欺騙攻擊，其最大優(yōu)點(diǎn)就是架構(gòu)簡單且硬件成本較低，而缺點(diǎn)則是建立包過濾規(guī)則比較困難，以及屏蔽路由器的管理成本及用戶級身份認(rèn)證的缺乏等。路由器生產(chǎn)商們已經(jīng)開始開發(fā)編輯包過濾規(guī)則的圖形用戶界面，制訂標(biāo)準(zhǔn)的用戶級身份認(rèn)證協(xié)議，供遠(yuǎn)程用戶身份認(rèn)證撥入。代理服務(wù)器可以識別并屏蔽非法的請求，其最大優(yōu)點(diǎn)在于用戶級的身份認(rèn)證、日志記錄和帳號管理容易實(shí)現(xiàn)。而缺點(diǎn)是要想提供全面的安全保證，就要對每一項服務(wù)都建立對應(yīng)的應(yīng)用層網(wǎng)關(guān)，這很難被應(yīng)用采納。

防火墻是監(jiān)測并過濾所有通向外部網(wǎng)和從外部網(wǎng)傳來的信息，防火墻保護(hù)著內(nèi)部敏感的數(shù)據(jù)不被偷竊和破壞，并記下通信發(fā)生的時間和操作等，新一代的防火墻甚至可以阻止內(nèi)部人員故意將敏感數(shù)據(jù)傳輸?shù)酵饨纭⒕植烤W(wǎng)絡(luò)放置防火墻之后可以阻止來自外界的攻擊。

建立一個可靠的規(guī)則集，搭建安全體系結(jié)構(gòu)是防火墻成功的關(guān)鍵步驟，這還離不開規(guī)則集中的每條規(guī)則的落實(shí)。要重點(diǎn)把握以下幾點(diǎn)[4]：切斷默認(rèn)防火墻的不必要的服務(wù)；允許內(nèi)部網(wǎng)絡(luò)的任何人出網(wǎng)，與安全策略中所規(guī)定的一樣，所有的服務(wù)都被許可；添加鎖定規(guī)則，阻塞對防火墻的任何訪問，這是所有規(guī)則集都應(yīng)有的一條標(biāo)準(zhǔn)規(guī)則，除了防火墻管理員，任何人都不能訪問防火墻；丟棄不匹配的數(shù)據(jù)包并不記錄；允許Internet用戶訪問DNS服務(wù)器；允許Internet和內(nèi)網(wǎng)用戶通過SMTP（簡單郵件傳遞協(xié)議）訪問郵件服務(wù)器；允許Internet和內(nèi)網(wǎng)用戶通過HTTP訪問Web服務(wù)器；阻塞內(nèi)網(wǎng)用戶公開訪問DMZ；允許內(nèi)部的POP訪問；只要有從DMZ到內(nèi)網(wǎng)用戶的通話，它就會發(fā)出拒絕、做記錄并發(fā)出警告；允許管理員（受限于特殊的資源IP）以加密方式訪問內(nèi)部網(wǎng)絡(luò)；只要有可能，就把最常用的規(guī)則移到規(guī)則集的頂端。防火墻只分析較少數(shù)的規(guī)則，這樣能提高防火墻性能。

5 防火墻方案具體實(shí)現(xiàn)

5.1 部署外部防火墻

設(shè)置外部防火墻可以實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的有效隔離，可有效防范外部網(wǎng)絡(luò)的攻擊。外部防火墻可以制定訪問策略，只有被授權(quán)的外部主機(jī)可以訪問內(nèi)部網(wǎng)絡(luò)有限的IP地址，保證外部網(wǎng)絡(luò)只能訪問內(nèi)部網(wǎng)絡(luò)中必要的資源，與業(yè)務(wù)無關(guān)的操作將被拒絕。外部防火墻可以進(jìn)行地址轉(zhuǎn)換工作，外部網(wǎng)絡(luò)不能看到內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)，使黑客攻擊失去目標(biāo)[5]。

設(shè)置外部防火墻的正確位置應(yīng)該在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間。內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)被完全隔離開，所有來自外部網(wǎng)絡(luò)的服務(wù)請求只能到達(dá)防火墻，防火墻對收到的數(shù)據(jù)包進(jìn)行分析后將合法的請求傳送給相應(yīng)的服務(wù)主機(jī)，對于非法訪問加以拒絕。內(nèi)部網(wǎng)絡(luò)的情況對于外部網(wǎng)絡(luò)的用戶來說是完全不可見的。由于防火墻是內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的唯一通信信道，因此防火墻可以對所有針對內(nèi)部網(wǎng)絡(luò)的訪問進(jìn)行詳細(xì)的記錄，形成完整的日志文件。防火墻要保護(hù)的網(wǎng)絡(luò)與外部網(wǎng)絡(luò)應(yīng)該只有唯一的連接通路，如果防火墻后還有其他通路，防火墻將被短路，無法完成保護(hù)內(nèi)部網(wǎng)絡(luò)的工作。如果內(nèi)部網(wǎng)絡(luò)有多個外部連接，就應(yīng)該在每個入口處都放置防火墻。部署外部防火墻如圖1所示。

圖1 外部防火墻部署圖

5.2 部署內(nèi)部防火墻

在服務(wù)器的入口處設(shè)置內(nèi)部防火墻，可以制定完善的安全策略，有效地控制內(nèi)部網(wǎng)絡(luò)的訪問。內(nèi)部防火墻可以精確制定每個用戶的訪問權(quán)限，保證內(nèi)部網(wǎng)絡(luò)用戶只能訪問必要的資源，對于撥號備份線路的連接，通過強(qiáng)大的認(rèn)證功能，實(shí)現(xiàn)對遠(yuǎn)程用戶的管理。內(nèi)部防火墻可以記錄網(wǎng)段間的訪問信息，及時發(fā)現(xiàn)誤操作和來自內(nèi)部網(wǎng)絡(luò)其他網(wǎng)段的攻擊行為防火墻通過安全策略的集中管理，每個網(wǎng)段上的主機(jī)不必再單獨(dú)設(shè)立安全策略，降低人為因素導(dǎo)致的網(wǎng)絡(luò)安全問題[6]。內(nèi)部防火墻部署如圖2所示。

圖2 內(nèi)部防火墻部署圖

綜上所述，計算機(jī)網(wǎng)絡(luò)中設(shè)置防火墻后，一方面可以有效地防范來自外部網(wǎng)絡(luò)的攻擊行為，另一方面可以為內(nèi)部網(wǎng)絡(luò)制定完善的安全訪問策略，從而使得整個網(wǎng)絡(luò)具有較高的安全級別。

6 結(jié)束語

防火墻的核心思想是在不安全的網(wǎng)際環(huán)境中構(gòu)造一個相對安全的子網(wǎng)環(huán)境。通過防火墻概念、作用、基本類型及架構(gòu)的介紹，重點(diǎn)分析如何選擇防火墻、組織架構(gòu)防火墻，解決防火墻在網(wǎng)絡(luò)中的具體實(shí)現(xiàn)。正因為防火墻不是萬能的，所以一定要克服那種“有了防火墻就可以高枕無憂”的麻痹思想和僥幸心理，要高度重視計算機(jī)網(wǎng)絡(luò)的信息安全，扎扎實(shí)實(shí)落實(shí)安全措施與各項安全制度要求，并不斷豐富完善計算機(jī)網(wǎng)絡(luò)安全的各種技術(shù)措施，共同建立一個有效的網(wǎng)絡(luò)安全防護(hù)體系。

[1]閻慧，王偉，寧宇鵬，等.防火墻原理與技術(shù)[M].北京：機(jī)械工業(yè)出版社，2005.

[2]畢曉東.基于防火墻的網(wǎng)絡(luò)安全技術(shù)初探[J].山東省農(nóng)業(yè)管理干部學(xué)院學(xué)報，2007，23（2）：175-176.

[3]卡拉西克-亨姆.防火墻核心技術(shù)精解[M].北京：中國水利水電出版社，2005.

[4]阮燦華.基于防火墻的網(wǎng)絡(luò)安全技術(shù) [J].福建電腦，2006（6）：48-49.

[5]劉益洪，陳林.基于防火墻的網(wǎng)絡(luò)安全技術(shù)分析[J].通信技術(shù)，2008，06（41）：136-138.

[6]張連根.防火墻技術(shù)在網(wǎng)絡(luò)安全中的應(yīng)用[J].科技資訊，2007（9）：188-190.