網(wǎng)絡(luò)信息安全與防火墻技術(shù)應(yīng)用之探討-文庫吧
2025-05-17 12:01 本頁面
【正文】 人們感覺到談“網(wǎng)”色變，無所適從。但我們必須清楚地認識到，這一切的安全問題我們不可能一下子全部找到解決方案，況且有的是根本無法找到徹底的解決方案，例如病毒程序，由于任何反病毒程序都只能在新病毒發(fā)現(xiàn)之后才能開發(fā)出來，目前還沒有哪一家反病毒軟件開發(fā)商敢承諾他們的軟件能查殺所有已知的和未知的病毒，所以我們不能有等網(wǎng)絡(luò)安全了再上網(wǎng)的念頭，因為或許網(wǎng)絡(luò)不可能有這么一日，就像“矛”與“盾” ，網(wǎng)絡(luò)與病毒、黑客永遠是一對共存體。在當今網(wǎng)絡(luò)互連的環(huán)境中，網(wǎng)絡(luò)安全體系結(jié)構(gòu)的考查和選擇顯得尤為重要。采用傳統(tǒng)的防火墻網(wǎng)絡(luò)安全體系結(jié)構(gòu)不失為一種簡單有效的選擇方案。2防火墻防火墻是用來對因特網(wǎng)這種特定的連接段進行隔離的任何一臺設(shè)備或一組設(shè)備，他們提供單一的控制點，從而允許或禁止在網(wǎng)絡(luò)中的傳輸流[1]。通常有兩種實現(xiàn)方案，即采用應(yīng)用網(wǎng)關(guān)的應(yīng)用層防火墻和采用過濾路由器的網(wǎng)絡(luò)層防火墻。防火墻的結(jié)構(gòu)模型可劃分為策略(policy)和控制(control)兩部分，前者是指是否賦予服務(wù)請求著相應(yīng)的訪問權(quán)限，后者對授權(quán)訪問著的資源存取進行控制。（applicationlayer firewall）應(yīng)用層防火墻可由下圖簡單示例： CFS 應(yīng)用層防火墻其中C代表客戶；F代表防火墻而居于客戶和提供相應(yīng)服務(wù)的服務(wù)器S之間[2]?？蛻羰紫冉⑴c防火墻間的運輸層連接，而不是與服務(wù)器建立相應(yīng)的連接。域名服務(wù)器DNS受到客戶對服務(wù)器S的域名解析請求后，返回給客戶一個服務(wù)重定向紀錄(service redirection record)，其中包含有防火墻的IP地址。 然后，客戶與防火墻進行會話，從而使防火墻能夠確定客戶的標識，與此同時包含對服務(wù)器S的服務(wù)請求。接下來防火墻F判斷客戶C是否被授權(quán)訪問相應(yīng)的服務(wù)，若結(jié)果肯定，防火墻F建立自身同服務(wù)器S鍵的運輸層連接，并充當二者間交互的中介。應(yīng)用層防火墻不同于網(wǎng)絡(luò)層防火墻之處在于，其可處理和檢驗任何通過的數(shù)據(jù)。但必須指出的是，針對不同的應(yīng)用它并沒有一個統(tǒng)一的解決方案，而必須分別編碼，這嚴重制約了它的可用性和通用性。另外，一旦防火墻崩潰，整個應(yīng)用也將隨之崩潰；由于其自身的特殊機制，帶來的性能損失要比接下來介紹的網(wǎng)絡(luò)層防火墻要大。（IP layer firewall）網(wǎng)絡(luò)層防火墻的基本模型為一個多端口的IP層路由器，它對每個IP數(shù)據(jù)報都運用一系列規(guī)則進行匹配運算[3]，借以判斷該數(shù)據(jù)報是否被前傳或丟棄，也就是利用數(shù)據(jù)包頭所提供的信息，IP數(shù)據(jù)報進行過濾(filter)處理。防火墻路由器具有一系列規(guī)則(rule)，每條規(guī)則由分組刻面(packet profile)和動作(action)組成。分組刻面用來描述分組頭部某些域的值，主要有源IP地址，目的IP地址，協(xié)議號和其他關(guān)于源端和目的端的信息。防火墻的高速數(shù)據(jù)報前傳路徑(high speed datagram forwarding path)對每個分組應(yīng)用相應(yīng)規(guī)則進行分組刻面的匹配。若結(jié)果匹配，則執(zhí)行相應(yīng)動作。典型的動作包括：前傳(forwarding)，丟棄(dropping)，返回失敗信息(sending a failure response)和異常登記(logging for exception tacking)。一般而言，應(yīng)包含一個缺省的規(guī)則，以便當所有規(guī)則均不匹配時，能夠留一個出口，該規(guī)則通常對應(yīng)一個丟棄動作。（policy control level）現(xiàn)在引入策略控制層的概念，正是它在防火墻路由器中設(shè)置過濾器，以對客戶的請求進行認證和權(quán)限校驗，策略控制層由認證功能和權(quán)限校驗功能兩部分組成。前者用來驗證用戶的身份，而后者用來判斷用戶是否具有相應(yīng)資源的訪問權(quán)限。 CF1F2S \ / \_____ / \ \ / A1 Z1 策略控制層如上圖所示，C為客戶，S為服務(wù)器，F(xiàn)F2為處于其間的兩個防火墻。A1和X1分別為認證服務(wù)器和權(quán)限驗證服務(wù)器。 首先由C向S發(fā)送一個數(shù)據(jù)報開始整個會話過程，客戶C使用通常的DNSlookup和網(wǎng)絡(luò)層路由機制。當分組到達防火墻F1時，F(xiàn)1將會進行一系列上述的匹配。由于該分組不可能與任何可接受的分組刻面匹配，所以返回一個“Authentication Required”的標錯信息給C，其中包括F1所信任的認證/權(quán)限校驗服務(wù)器列表。然后客戶C根據(jù)所返回的標錯信息，箱認證服務(wù)器A1發(fā)出認證請求。利用從A1返回的票據(jù)，客戶C向權(quán)限校驗服務(wù)器Z1發(fā)出權(quán)限校驗請求，其中包括所需的服務(wù)和匹配防火墻所需的刻面。Z1隨之進行相應(yīng)的校驗操作，若校驗結(jié)果正確，權(quán)限校驗服務(wù)器Z1知會防火墻F1允許該分組通過。在客戶器C的分組通過F1后，在防火墻F2 處還會被拒絕，從而各部分重復上述過程，通過下圖可清晰的看到上述過程中各事件的發(fā)生和處理。 ____________
公司管理相關(guān)推薦
鄂ICP備17016276號-1