防火墻安全技術(shù)論(編輯修改稿)
2025-02-04 11:20 本頁面
【文章內(nèi)容簡介】 構(gòu)的防火墻也不過如此，那么購買這種防火墻還不如自己找技術(shù)人員專門騰出一臺計算機(jī)來做防火墻方案了。雖然這樣做也是可以的，但是工作效率并不能和真正的 pc 架構(gòu)防火墻相比，因為 pc 架構(gòu) 防火墻采用的是專門修改簡化過的系統(tǒng)和相應(yīng)防火墻程序，比一般計算機(jī)系統(tǒng)和軟件防火墻更高度緊密集合，而且由于它的工作性質(zhì)決定了它要具備非常高的穩(wěn)定性、實用性和非常高的系統(tǒng)吞吐性能，這些要求并不是安裝了多網(wǎng)卡的計算機(jī)就能簡單替代的，因此 pc 架構(gòu)防火墻雖然是與計算機(jī)差不多的配置，價格卻相差很大。 現(xiàn)實中我們往往會發(fā)現(xiàn)，并非所有企業(yè)都架設(shè)了芯片級硬件防火墻，而是用pc 架構(gòu)防火墻甚至前面提到的計算機(jī)替代方案支撐著，為什么？這大概就是硬件防火墻最顯著的缺點了：它太貴了！購進(jìn)一臺 pc架構(gòu)防火墻的成本至少都要幾千元，高檔次的 芯片級防火墻方案更是在十萬元以上，這些價格并非是小企業(yè)所能承受的，而且對于一般家庭用戶而言，自己的數(shù)據(jù)和系統(tǒng)安全也無需專門用到一個硬件設(shè)備去保護(hù)，何況為一臺防火墻投入的資金足以讓用戶購買更高檔的電腦了，因而廣大用戶只要安裝一種好用的軟件防火墻就夠了。 為防火墻分類的方法很多，除了從形式上把它分為軟件防火墻和硬件防火墻以外，還可以從技術(shù)上分為“包過濾型”、“應(yīng)用代理型”和“狀態(tài)監(jiān)視”三類；從結(jié)構(gòu)上又分為單一主機(jī)防火墻、路由集成式防火墻和分布式防火墻三種；按工作位置分為邊界防火墻、個人防火墻和混合防火墻；按 防火墻性能分為百兆級防火墻和千兆級防火墻兩類??雖然看似種類繁多，但這只是因為業(yè)界分類方法不同罷了，例如一臺硬件防火墻就可能由于結(jié)構(gòu)、數(shù)據(jù)吞吐量和工作位置而規(guī)劃為“百兆級狀態(tài)監(jiān)視型邊界防火墻”，因此這里主要介紹的是技術(shù)方面的分類，即“包過濾型”、“應(yīng)用代理型”和“狀態(tài)監(jiān)視型”防火墻技術(shù)。 那么，那些所謂的“邊界防火墻”、“單一主機(jī)防火墻”又是什么概念呢？所謂“邊界”，就是指兩個網(wǎng)絡(luò)之間的接口處，工作于此的防火墻就被稱為“邊界防火墻”；與之相對的有“個人防火墻”，它們通常是基于軟件的防火墻，只處理一臺計算機(jī)的 數(shù)據(jù)而不是整個網(wǎng)絡(luò)的數(shù)據(jù)，現(xiàn)在一般家庭用戶使用的軟件防火墻就河北大學(xué)人民武裝學(xué)院 是這個分類了。而“單一主機(jī)防火墻”呢，就是我們最常見的一臺臺硬件防火墻了；一些廠商為了節(jié)約成本，直接把防火墻功能嵌進(jìn)路由設(shè)備里，就形成了路由集成式防火墻 。 河北大學(xué)人民武裝學(xué)院 三 、 防火墻技術(shù) 傳統(tǒng)意義上的防火墻技術(shù)分為三大類。 1.“包過濾”（ packet filtering）、據(jù)都在于 過濾規(guī)則的實施，但是偏又不能滿足建立精細(xì)規(guī)則的要求（規(guī)則數(shù)量和防火墻性能成反比），而且它只能工作于網(wǎng)絡(luò)層和傳輸層，并不能判斷高級協(xié)議里的數(shù)據(jù)是否有害，但是由于它廉價，容易實現(xiàn)，所以它依然服役在各種領(lǐng)域，在技術(shù)人員頻繁的設(shè)置下為我們工作著。 由于包過濾技術(shù)無法提供完善的數(shù)據(jù)保護(hù)措施，而且一些特殊的報文攻擊僅僅使用過濾的方法并不能消除危害（如 syn 攻擊、 icmp洪水等），因此人們需要一種更全面的防火墻保護(hù)技術(shù)，在這樣的需求背景下，采用“應(yīng)用代理”（ application proxy）技術(shù)的防火墻誕生了。我們的讀者還記得“代理”的概念嗎？代理服務(wù)器作為一個為用戶保密或者突破訪問限制的數(shù)據(jù)轉(zhuǎn)發(fā)通道，在網(wǎng)絡(luò)上應(yīng)用廣泛。我們都知道，一個完整的代理設(shè)備包含一個服務(wù)端和客戶端，服務(wù)端接收來自用戶的請求，調(diào)用自身的客戶端模擬一個基于用戶請求的連接到目標(biāo)服務(wù)器，再把目標(biāo)服務(wù)器返回的數(shù)據(jù)轉(zhuǎn)發(fā)給用戶，完成一次代理工作過程。那么，如果在一臺代理設(shè)備的服務(wù)端和客戶端之間連接一個過濾措施呢？這樣的思想便造就了“應(yīng)用代理”防火墻，這種防火墻實際上就是一臺小型的帶有數(shù)據(jù)檢測過濾功能的透明代理服務(wù)器（ transparent proxy），但是它并不是單純的在一個代理設(shè)備中嵌入包過濾技術(shù)，而是一種被稱為“應(yīng)用協(xié)議分析”（ application protocol analysis）的新技術(shù)。 “應(yīng)用協(xié)議分析”技術(shù)工作在 osi 模型的最 高層 —— 應(yīng)用層上，在這一層里能接觸到的所有數(shù)據(jù)都是最終形式，也就是說，防火墻“看到”的數(shù)據(jù)和我們看到的是一樣的，而不是一個個帶著地址端口協(xié)議等原始內(nèi)容的數(shù)據(jù)包，因而它可以實現(xiàn)更高級的數(shù)據(jù)檢測過程。整個代理防火墻把自身映射為一條透明線路，在用戶
公司管理相關(guān)推薦
鄂ICP備17016276號-1