【正文】 構(gòu)造是不同的有的是一臺主機(jī)有的甚至是 一個網(wǎng)絡(luò)系統(tǒng)這要取決于站點的安全要求和投資等綜合因素 防火墻的定義 防火墻 Firewall 的原始含義是一種建筑用以防止著火的時候火不至從一個房間蔓延到另一個房間后來將其引入到計算機(jī)安全的領(lǐng)域來特別是近年來多用于飛速發(fā)展的 Inter 網(wǎng)絡(luò)中所以有時也叫 Inter 防火墻 防火墻 [5]是在兩個網(wǎng)絡(luò)之間強(qiáng)制實施訪問控制策略的一個系統(tǒng)或一組系統(tǒng)是一個由多個部件組成的集合它被放在兩個網(wǎng)絡(luò)之間并具有如下特性 所有的從內(nèi)部到外部或從外部到內(nèi)部的通信都必須經(jīng)過它 只有內(nèi)部訪問策略授權(quán)的通信才能被允許通過 系 統(tǒng)本身要具有高可靠性 簡而言之防火墻就是用來保護(hù)可信網(wǎng)絡(luò)不受非可信網(wǎng)絡(luò)侵入的一種機(jī)制但它允許在這兩個網(wǎng)絡(luò)之間的進(jìn)行通信這兩種網(wǎng)絡(luò)的最典型的例子就是企業(yè)內(nèi)部網(wǎng)和 Inter 從安全策略和網(wǎng)絡(luò)配置的角度來看防火墻就是附加了許多安全機(jī)制的主機(jī)系統(tǒng)或路由器使得內(nèi)部網(wǎng)絡(luò)與 Inter 之間或者與其他外部網(wǎng)絡(luò)互相隔離通過限制網(wǎng)絡(luò)互訪隱藏主機(jī)或子網(wǎng)中的協(xié)議和服務(wù)并保護(hù)其內(nèi)部資源不受外部的攻擊或濫用 防火墻的基本類型 經(jīng)過十余年的發(fā)展過程目前存在應(yīng)用不同技術(shù)的多種防火墻這些技術(shù)之間的區(qū)分不很明顯但就其處理的數(shù) 據(jù)對象和實現(xiàn)層次來說大體上可分為包過濾和應(yīng)用層網(wǎng)關(guān)兩種類型 [6] 包過濾防火墻它是在 IP層實現(xiàn)的其處理對象是網(wǎng)絡(luò)報文 IP包因此它可以只用路由器完成包過濾根據(jù)網(wǎng)絡(luò)報文的源 IP地址目的 IP地址源端口目的端口及報文傳遞方向等報頭信息來判斷是否允許報文通過 應(yīng)用網(wǎng)關(guān)防火墻它是在應(yīng)用層實現(xiàn)的通過對網(wǎng)絡(luò)服務(wù)的代理檢查 進(jìn)出網(wǎng)絡(luò)的各種服務(wù)其處理對象是各種不同的應(yīng)用服務(wù) 由于網(wǎng)絡(luò)通訊基于層次參考模型所以不同類型的防火墻也就處理不同層次抽象出的通訊數(shù)據(jù) IP 包過濾處理網(wǎng)絡(luò)層數(shù)據(jù)應(yīng)用代理處理應(yīng)用層數(shù)據(jù)隨著防火墻技術(shù)的不斷發(fā)展近年 來出現(xiàn)了許多加強(qiáng)功能的防火墻本質(zhì)上講它們都是這兩類基本類型例如現(xiàn)在出現(xiàn)了一種可以分析 IP 包數(shù)據(jù)區(qū)內(nèi)容的智能型包過濾器 [7]它通過深入檢查 IP包而得出的有關(guān)各種 Inter服務(wù)的信息進(jìn)而進(jìn)行訪問控制實際上屬于包過濾型防火墻另外有些防火墻是控制 TCP通信會話層如 SOCKS這種防火墻本質(zhì)上是應(yīng)用網(wǎng)關(guān)只是對所有的應(yīng)用都通過控制連接會話來實施 包過濾防火墻 包過濾防火墻工作于網(wǎng)絡(luò)體系結(jié)構(gòu)的 IP 層作用對象是網(wǎng)絡(luò)報文或稱為 IP包眾所周知在 TCPIP 網(wǎng)絡(luò)中數(shù)據(jù)都是被封裝到不同的 IP 包中進(jìn)行傳輸?shù)陌^濾防火墻就是 截獲每個通過它的 IP包并進(jìn)行安全檢查如果通過檢查就將該 IP包正常轉(zhuǎn)發(fā)出去否則阻止其通過也就阻斷了網(wǎng)絡(luò)通訊 TCPIP[8]體系結(jié)構(gòu)中 IP 包頭的信息主要包含以下內(nèi)容 IP 源地址 IP 目的地址 協(xié)議表明該 IP 包是 TCPUDP 或 ICMP 包 TCP 或 UDP 的源端口 TCP 或 UDP 的目的端口 ICMP 信息類型 在 Inter 中提供某些特定服務(wù)的服務(wù)器一般都使用相對固定的端口因此包過濾器只需控制端口也就控制了服務(wù) IP 包過濾的功能應(yīng)用十分廣泛最常見的就是包過濾路由器它就是在路由 IP包的同時基于一定的規(guī)則對 IP 包進(jìn)行 安全檢查這些規(guī)則一般是基于一個五元組 協(xié)議類型源地址目的地址源端口目的端口 包過濾就可以通過協(xié)議類型來控制特定協(xié)議通過 IP 地址 [9]來控制特定的源和目的主機(jī)通過控制源和目的端口來控制特定網(wǎng)絡(luò)服務(wù)通過源目的來控制是入網(wǎng)信息還是出網(wǎng)信息即控制信息方向同時還可以制定 IP 地址和端口的組合規(guī)則使得這種安全檢查更加細(xì)致 IP 包過濾能夠有效地控制網(wǎng)絡(luò)的通信具有速度快效率高花費(fèi)少對用戶透明支持任何協(xié)議等優(yōu)點但它仍然存在著以下不足 允許外部客戶機(jī)直接連接內(nèi)部主機(jī)系統(tǒng) 可能導(dǎo)致 IP 欺騙等基于源地址的網(wǎng)絡(luò)攻擊 在復(fù)雜環(huán)境中管 理的復(fù)雜度迅速提高 一般的包過濾的審計功能較弱 不能提供用戶認(rèn)證 包檢查型防火墻是一種新型的防火墻本質(zhì)上也是應(yīng)用了包過濾技術(shù)所不同的是它不只根據(jù) IP 包頭信息進(jìn)行檢查過濾而且還要檢查包的 TCP 頭甚至包的內(nèi)容同時還引入了動態(tài)規(guī)則的概念減少許多防火墻系統(tǒng)的漏洞 應(yīng)用網(wǎng)關(guān) 應(yīng)用網(wǎng)關(guān)就是在網(wǎng)關(guān)上執(zhí)行一些特定的應(yīng)用程序或服務(wù)器程序這些程序統(tǒng)稱為代理 Proxy 程序 在一個網(wǎng)絡(luò)中對于由內(nèi)向外的請求和由外向內(nèi)的請求的處理是不同的一般認(rèn)為內(nèi)部網(wǎng)絡(luò)是比較安全外部網(wǎng)絡(luò)是危險的所以要控制外部網(wǎng)絡(luò)向內(nèi)部的信息請求這時就由代理程 序?qū)⑼獠坑脩魧?nèi)部網(wǎng)絡(luò)的服務(wù)請求依據(jù)已制定的安全規(guī)則決定是否向內(nèi)部真實服務(wù)器提交代理服務(wù)替代外部用戶與內(nèi)部網(wǎng)絡(luò)中的服務(wù)器進(jìn)行連接一個代理就好象在應(yīng)用服務(wù)和用戶之間的一個轉(zhuǎn)發(fā)器當(dāng)一個遠(yuǎn)程用戶要請求內(nèi)部的服務(wù)時它首先與這個代理相連經(jīng)過認(rèn)證后再由代理連到目的主機(jī)同時將服務(wù)器的響應(yīng)傳送回給所代理的客戶如圖 11 所示 在這個過程中代理既是客戶程序又擔(dān)任服務(wù)器的角色對于真正的客戶請求來說它是服務(wù)器而對于服務(wù)器來說它是一個客戶請求進(jìn)程 代理服務(wù)是一種軟件防火墻的解決方案從代理實現(xiàn)在不同的 OSI 網(wǎng)絡(luò)分層次結(jié)構(gòu)上來看代理可分 為回路層代理和應(yīng)用層代理從代理控制的服務(wù)數(shù)來看代理可分為公用代理和專用代理 1 回路層代理 回路層代理是工作在傳輸層上的一種代理方法實現(xiàn)時通常在通用的傳輸層之上插入代理模塊由于對于所有網(wǎng)絡(luò)服務(wù)都通過共同的回路層代理所以這種代理也叫公共代理 所有的入站和出站連接都必須先連接代理在建立連接之前由代理服務(wù)器先檢查連接會話請求應(yīng)用訪問控制規(guī)則決定是否建立連接然后再建立連接并一直監(jiān)控連接狀態(tài)當(dāng)連接打開時回路層代理會將 IP 包在用戶應(yīng)用程序和 Inter服務(wù)之間進(jìn)行轉(zhuǎn)發(fā)如果符合安全規(guī)則則正常轉(zhuǎn)發(fā)否則 IP 數(shù)據(jù)包不 得通過 回路層代理可以提供較詳盡的訪問控制機(jī)制其中包括認(rèn)證和其它客戶與代理之間的信息交換其缺點在于它是控制連接的不支持 UDP 的服務(wù)另外這種代理不能提供太詳盡的審計信息 2 應(yīng)用層代理 應(yīng)用層代理防火墻能針對不同的應(yīng)用協(xié)議和特殊的安全服務(wù)需求進(jìn)行處理并且能對 IP 包中的數(shù)據(jù)甚至數(shù)據(jù)重組后的內(nèi)容進(jìn)行不同的處理的通常在這類防火墻系統(tǒng)中都會有多個代理分別對應(yīng)不同的應(yīng)用每出現(xiàn)一種新的應(yīng)用就必須提供新的與之對應(yīng)的代理因此屬于專用代理與回路層代理相比應(yīng)用層代理與其對等實體之間具有更好的交互性 在這個過程中代理程序既是 客戶程序又是服務(wù)器程序首先代理以服務(wù)器的身份接收的來自真正客戶的請求然后對客戶進(jìn)行認(rèn)證和安全檢查安全檢查通過后再以客戶機(jī)的身份將客戶請求轉(zhuǎn)發(fā)給真正的服務(wù)器待會話建立后代理就作為一個轉(zhuǎn)接器在已初始化的客戶機(jī)和服務(wù)器之間拷貝數(shù)據(jù) 因為在客戶機(jī)和服務(wù)器之間的所有數(shù)據(jù)都由應(yīng)用程序代理存儲轉(zhuǎn)發(fā)它對會話和數(shù)據(jù)擁有全部控制權(quán)所以應(yīng)用層代理能提供非常細(xì)致的認(rèn)證和對應(yīng)用服務(wù)進(jìn)行訪問控制 13 設(shè)計與實現(xiàn) Linux 防火墻的緣起與目標(biāo) 近幾年來迅速崛起的 Linux 成為 IT 產(chǎn)業(yè)最引人注目的焦點之一 Linux[10]作為類 Unix 的 一個網(wǎng)絡(luò)操作系統(tǒng)其良好的穩(wěn)定性低廉的價格和開放的源代碼在全球產(chǎn)生了巨大的影響 Linux是一種符合 GNU通用公共版權(quán)協(xié)議 GPL的完全公開源碼的類 UNIX 系統(tǒng)自 1991 年芬蘭赫爾辛基大學(xué)的 Lines Torvalds 首先開發(fā)成功得到了許多 UNIX程序員和愛好者地不斷完善借助全新的 Inter開發(fā)模式短短幾年時間 Linux 已經(jīng)成長為一種功能強(qiáng)大性能穩(wěn)定的操作系統(tǒng) Linux 與 UNIX 高度兼容穩(wěn)定性和可靠性都很好但價格卻低廉得多而且由于完全開放源代碼用戶不必?fù)?dān)心操作系統(tǒng)中存在后門與之相對的是 Windows 系統(tǒng)的 安全漏洞和后門時有報道如最近披露的關(guān)于 FrontPage98 的秘密口令使網(wǎng)站的非授權(quán)訪問易如反掌越來越多的廠商開始支持 Linux 并在其上開發(fā)應(yīng)用使得Linux 的發(fā)展和推廣速度遠(yuǎn)遠(yuǎn)高于其他操作系統(tǒng)如今已在網(wǎng)絡(luò)服務(wù)器領(lǐng)域占據(jù)了超過 20 的市場份額操作系統(tǒng)作為用戶和計算機(jī)之間的界面它一方面管理所有計算機(jī)系統(tǒng)資源另一方面為用戶提供一個抽象的虛擬機(jī)避免了對系統(tǒng)硬件的直接操作 Linux 良好的應(yīng)用前景和開放的代碼使得它成為我們開發(fā)防火墻的理想平臺此外 Linux 內(nèi)置的路由和防火墻功能亦是本課題緣起的另一重要因素 本課題目標(biāo)是 設(shè)計并實現(xiàn)一種新型防火墻這種防火墻既有包過濾的功能又能在應(yīng)用層進(jìn)行代理具有先進(jìn)的過濾和代理體系能從數(shù)據(jù)鏈路層到應(yīng)用層進(jìn)行全方位安全處理 TCPIP 協(xié)議和代理的直接相互配合使系統(tǒng)的防欺騙能力和運(yùn)行的健壯性都大大提高 第 2 章 使用防火墻構(gòu)造安全的解決方案 21 堡壘主機(jī)或雙穴主機(jī)網(wǎng)關(guān) 如圖 21 所示這種配置是用一臺裝有兩塊網(wǎng)卡的堡壘主機(jī)做防火墻兩塊網(wǎng)卡各自與受保護(hù)網(wǎng)和外部網(wǎng)相連堡壘主機(jī)上運(yùn)行著防火墻軟件可以轉(zhuǎn)發(fā)應(yīng)用程序提供服務(wù)等 雙穴主機(jī)網(wǎng)關(guān) [11]裝配的防火墻軟件一般不轉(zhuǎn)發(fā) TCPIP 協(xié)議它為每種服務(wù)提供專 門的應(yīng)用程序其使用的便利性及安全性取決于管理者設(shè)置的訪問方式是否允許用戶登錄到防火墻上如果設(shè)為允許方便性提高了但安全性會降低例如若某一合法用戶設(shè)置的口令比較脆弱 weak 很容易被計算出來那么設(shè)法取得該用戶口令的黑客會利用該用戶的帳戶登錄到防火墻上設(shè)法取得超級用戶特權(quán)這樣危險帶擴(kuò)展到整個受保護(hù)網(wǎng) 雙穴主機(jī)網(wǎng)關(guān)優(yōu)于屏蔽路由器的地方是堡壘主機(jī)的系統(tǒng)軟件可用于維護(hù)系統(tǒng)日志硬件拷貝日志或遠(yuǎn)程日志這對于日后的檢查很有用但這不能幫助網(wǎng)絡(luò)管理者確認(rèn)內(nèi)網(wǎng)中哪些主機(jī)可能已被黑客入侵 雙穴主機(jī)網(wǎng)關(guān)的一個致命弱點是一旦入侵者侵入堡壘 主機(jī)并使其只具有路由功能則任何網(wǎng)上用戶均可以隨便訪問內(nèi)網(wǎng)例如若堡壘主機(jī)的操作系統(tǒng)是 UNIX系統(tǒng)管理者可以修改核心變量 ipforwarding 來禁止 TCPIP 轉(zhuǎn)發(fā)但熟知該操作系統(tǒng)的黑客設(shè)法取得系統(tǒng)特權(quán)后也可以重設(shè)該變量使其具有路由功能系統(tǒng)管理員必須很注意監(jiān)視軟件的校訂級和網(wǎng)關(guān)主機(jī)的配置才能及早發(fā)現(xiàn) 22 被屏蔽主機(jī)網(wǎng)關(guān) 屏蔽主機(jī)網(wǎng)關(guān) [11]易于實現(xiàn)也很安全因此應(yīng)用廣泛如圖 22 所示一個分組過濾路由器連接外部網(wǎng)絡(luò)同時一個堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上通常在路由器上設(shè)立過濾規(guī)則并使這個堡壘主機(jī)成為從外部網(wǎng)絡(luò)唯一可直接 到達(dá)的主機(jī)這確保了內(nèi)部網(wǎng)絡(luò)不受未被授權(quán)的外部用戶的攻擊進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)只能沿圖中的虛線流動 如果受保護(hù)網(wǎng)是一個虛擬擴(kuò)展的本地網(wǎng)即沒有子網(wǎng)和路由器那么內(nèi)網(wǎng)的變化不影