防火墻安全技術(shù)

2024-09-10 14:21:15

字體：大中小

供稿：網(wǎng)友

在構(gòu)建安全的網(wǎng)絡(luò)環(huán)境的過程中，防火墻作為第一道安全防線，正受到越來越多用戶的關(guān)注。通常一個公司在購買網(wǎng)絡(luò)安全設(shè)備時，總是把防火墻放在首位。目前，防火墻已經(jīng)成為世界上用得最多的網(wǎng)絡(luò)安全產(chǎn)品之一。那么，防火墻是如何保證網(wǎng)絡(luò)系統(tǒng)的安全，又如何實現(xiàn)自身安全的呢？

眾所周知，防火墻是一種將內(nèi)部網(wǎng)和公眾網(wǎng)如 Internet分開的方法。它能限制被保護(hù)的網(wǎng)絡(luò)與互聯(lián)網(wǎng)絡(luò)之間，或者與其他網(wǎng)絡(luò)之間進(jìn)行的信息存取、傳遞操作。防火墻可以作為不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的出入口，能根據(jù)企業(yè)的安全策略控制出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全。防火墻的安全技術(shù)包括包過濾技術(shù)、網(wǎng)絡(luò)地址轉(zhuǎn)換――NAT技術(shù)、代理技術(shù)等。

包過濾技術(shù)（Packet Filter）是防火墻為系統(tǒng)提供安全保障的主要技術(shù)，它通過設(shè)備對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流進(jìn)行有選擇的控制與操作。包過濾操作通常在選擇路由的同時對數(shù)據(jù)包進(jìn)行過濾（通常是對從互聯(lián)網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)的包進(jìn)行過濾）。用戶可以設(shè)定一系列的規(guī)則，指定允許哪些類型的數(shù)據(jù)包可以流入或流出內(nèi)部網(wǎng)絡(luò)；哪些類型的數(shù)據(jù)包的傳輸應(yīng)該被攔截。包過濾規(guī)則以IP包信息為基礎(chǔ), 對IP包的源地址、 IP包的目的地址、封裝協(xié)議(TCP/UDP/ICMP/IP Tunnel)、端口號等進(jìn)行篩選。包過濾這個操作可以在路由器上進(jìn)行，也可以在網(wǎng)橋，甚至在一個單獨的主機上進(jìn)行。

傳統(tǒng)的包過濾只是與規(guī)則表進(jìn)行匹配。防火墻的IP 包過濾，主要是根據(jù)一個有固定排序的規(guī)則鏈過濾，其中的每個規(guī)則都包含著IP地址、端口、傳輸方向、分包、協(xié)議等多項內(nèi)容。同時，一般防火墻的包過濾的過濾規(guī)則是在啟動時配置好的，只有系統(tǒng)管理員才可以修改，是靜態(tài)存在的，稱為靜態(tài)規(guī)則。東方龍馬防火墻采用了基于連接狀態(tài)的檢查，將屬于同一連接的所有包作為一個整體的數(shù)據(jù)流看待，通過規(guī)則表與連接狀態(tài)表的共同配合進(jìn)行檢查。

網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把內(nèi)部IP地址轉(zhuǎn)換成臨時的、外部的、注冊的IP地址的標(biāo)準(zhǔn)。它允許具有私有IP地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。它還意味著用戶不需要為其網(wǎng)絡(luò)中每臺機器取得注冊的IP地址。

NAT的工作過程如圖所示：