【文章內(nèi)容簡介】 這種檢測型防火墻產(chǎn)品一般還帶有分布式探測器,這些探測器安置在各種應(yīng)用服務(wù)器和其他網(wǎng)絡(luò)的節(jié)點(diǎn)之中,不僅能夠檢測來自網(wǎng)絡(luò)外部的攻擊,同時對來自內(nèi)部的惡意破壞也有極強(qiáng)的防范作用。據(jù)權(quán)威機(jī)構(gòu)統(tǒng)計,在針對網(wǎng)絡(luò)系統(tǒng)的攻擊中,有相當(dāng)比例的攻擊來自網(wǎng)絡(luò)內(nèi)部。因此,監(jiān)測型防火墻不僅超越了傳統(tǒng)防火墻的定義,而且在安全性上也超越了前兩代產(chǎn)品。雖然監(jiān)測型防火墻安全性上已超越了包過濾型和代理服務(wù)器型防火墻,但由于監(jiān)測型防火墻技術(shù)的實(shí)現(xiàn)成本較高,也不易管理,所以目前在實(shí)用中的防火墻產(chǎn)品仍然以第二代代理型產(chǎn)品為主,但在某些方面也已經(jīng)開始使用監(jiān)測型防火墻?；趯ο到y(tǒng)成本與安全技術(shù)成本的綜合考慮,用戶可以選擇性地使用某些監(jiān)測型技術(shù)。這樣既能夠保證網(wǎng)絡(luò)系統(tǒng)的安全性需求,同時也能有效地控制安全系統(tǒng)的總擁有成本。四、防火墻示例當(dāng)今防火墻的產(chǎn)品很多，比如：Check Point FireWall1，聯(lián)想網(wǎng)御2000千兆防火墻，綠盟科技“冰之眼”網(wǎng)絡(luò)入侵檢測系統(tǒng)千兆產(chǎn)品，天融信網(wǎng)絡(luò)衛(wèi)士防火墻4000（千兆），SonicWALL TELE3防火墻，Nokia IP110防火墻，NetScreen5XP防火墻等。NetScreen50是面向大企業(yè)分支辦事處和遠(yuǎn)程辦事處、以及集成安全產(chǎn)品。它可以提供網(wǎng)絡(luò)周邊安全解決方案，并帶有多個DMZ和VPN，可以確保無線LAN的安全性，或保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。NetScreen50設(shè)備是高性能的集成安全產(chǎn)品，可提供170Mbps的防火墻和45Mbps的3DES或AES VPN性能，可扶持64，000條并發(fā)會話和500條VPN隧道。這里以NetScreen 50防火墻為例，介紹其VPN配置。（一）、VPN技術(shù)簡介VPN（Virtual Private Network）是指利用密碼技術(shù)和訪問控制技術(shù)在公共網(wǎng)絡(luò)（如Internet）中建立的專用通信網(wǎng)絡(luò)。在虛擬專用網(wǎng)中，任意兩個節(jié)點(diǎn)之間的連接并沒有傳統(tǒng)專用網(wǎng)所需的端到端的物理鏈路，而是利用某種公眾網(wǎng)的資源動態(tài)組成，虛擬專用網(wǎng)絡(luò)對用戶端透明，用戶好像使用一條專用線路進(jìn)行通信。VPN技術(shù)非常復(fù)雜，它涉及到通信技術(shù)、密碼技術(shù)和現(xiàn)代認(rèn)證技術(shù)，是一項交叉科學(xué)。目前，主要包含兩種技術(shù)：隧道技術(shù)與安全技術(shù)。 隧道技術(shù)隧道技術(shù)的基本過程是在源局域網(wǎng)與公網(wǎng)的接口處將數(shù)據(jù)(可以是ISO 七層模型中的數(shù)據(jù)鏈路層或網(wǎng)絡(luò)層數(shù)據(jù))作為負(fù)載封裝在一種可以在公網(wǎng)上傳輸?shù)臄?shù)據(jù)格式中，在目的局域網(wǎng)與公網(wǎng)的接口處將數(shù)據(jù)解封裝，取出負(fù)載。被封裝的數(shù)據(jù)包在互聯(lián)網(wǎng)上傳遞時所經(jīng)過的邏輯路徑被稱為“隧道”。要使數(shù)據(jù)順利地被封裝、傳送及解封裝，通信協(xié)議是保證的核心。目前VPN隧道協(xié)議有4種：點(diǎn)到點(diǎn)隧道協(xié)議PPTP、第二層隧道協(xié)議L2TP、網(wǎng)絡(luò)層隧道協(xié)議IPSec以及SOCKS v5。各協(xié)議工作在不同層次，無所謂誰更有優(yōu)勢。不同的網(wǎng)絡(luò)環(huán)境適合不同的協(xié)議。安全技術(shù)VPN 是在不安全的Internet 中通信，通信的內(nèi)容可能涉及企業(yè)的機(jī)密數(shù)據(jù)，因此其安全性非常重要。VPN中的安全技術(shù)通常由加密、認(rèn)證及密鑰交換與管理組成。①認(rèn)證技術(shù)防止數(shù)據(jù)的偽造和被篡改，它采用一種稱為“摘要”的技術(shù)?！罢奔夹g(shù)主要采用HASH 函數(shù)將一段長的報文通過函數(shù)變換，映射為一段短的報文即摘要。由于HASH 函數(shù)的特性，兩個不同的報文具有相同的摘要幾乎不可能。該特性使得摘要技術(shù)在VPN 中有兩個用途：驗(yàn)證數(shù)據(jù)的完整性、用戶認(rèn)證。②IPSec通過ISAKMP/IKE/Oakley 協(xié)商確定幾種可選的數(shù)據(jù)加密算法，如DES 、3DES等。DES密鑰長度為56位，容易被破譯，3DES使用三重加密增加了安全性。當(dāng)然國外還有更好的加密算法，但國外禁止出口高位加密算法。基于同樣理由，國內(nèi)也禁止重要部門使用國外算法。國內(nèi)算法不對外公開，被破解的可能性極小。③VPN 中密鑰的分發(fā)與管理非常重要。密鑰的分發(fā)有兩種方法：一種是通過手工配置的方式，另一種采用密鑰交換協(xié)議動態(tài)分發(fā)。手工配置的方法由于密鑰更新困難，只適合于簡單網(wǎng)絡(luò)的情況。密鑰交換協(xié)議采用軟件方式動態(tài)生成密鑰，適合于復(fù)雜網(wǎng)絡(luò)的情況且密鑰可快速更新，可以顯著提高VPN 的安全性。目前主要的密鑰交換與管理標(biāo)準(zhǔn)有IKE （互聯(lián)網(wǎng)密鑰交換）、SKIP （互聯(lián)網(wǎng)簡單密鑰管理）和Oakley。（二）、具體配置首先，按圖7進(jìn)行設(shè)備連接。 圖7通道的配置①初始化防火墻（參照圖8） 圖8，用戶名和密碼相同：netscreen；可采用下一步中的WEB　UI方法來進(jìn)行配置，但容易發(fā)生錯誤，建議使用設(shè)備自帶的配置線連接計算機(jī)的COM口采用超級終端來行配置。上圖中的第一步為配置通道類型，第二步為配置端口的IP地址（這里所指的是一端口），第三步為配置管理IP，第四步保存，第五步重啟防火墻使用設(shè)置生效。②Trust通道的配置（參照圖9） 圖9鍵入相應(yīng)用戶名：netscreen和密碼：netscreen(默認(rèn))進(jìn)入WEB管理界面，點(diǎn)擊左邊菜單中Network展開菜單，點(diǎn)擊Interfaces，（在以下的內(nèi)容中關(guān)于菜單部份我們將采用NetworkInterfaces來表示）在出現(xiàn)的界面中點(diǎn)擊端口名為：ethernet1后的EDIT，出現(xiàn)上圖中內(nèi)容。修改圖中劃線的部份：A、ZoneName（通道類型）：從設(shè)備連接圖中可以看出端口一和內(nèi)網(wǎng)相連，所以我們要選擇Trust（信任區(qū)）；B、IPAddress/Netmask（IP地址和子網(wǎng)掩碼）：，上網(wǎng)用戶網(wǎng)關(guān)地址；C、ManageIp（管理IP）：一般系統(tǒng)不允許修改；D、InterfaceMode（接入方式）：選擇NAT轉(zhuǎn)換模式；E、ManagementServices（服務(wù)類型）：選擇圖中的幾項，為了遠(yuǎn)程管理防火墻。F、OtherServices：建議選擇PING，方便測試網(wǎng)絡(luò)的連通情況。③Untrust通道的配置（參照圖10）點(diǎn)擊菜單中Network＞＞Interfaces，在出現(xiàn)的界面中點(diǎn)擊端口名為：ethernet3后的EDIT，出現(xiàn)上圖中內(nèi)容。修改圖中劃線的部份：A、ZoneName（通道類型）：從設(shè)備連接圖中可以看出端口三和公網(wǎng)相連，所以我們要選擇UNTrust（非信任區(qū)）；B、ObtainIPusingPPPoE（選擇）：填寫上網(wǎng)的用戶名和密碼；C、ManageIp（管理IP）：一般系統(tǒng)不允許修改；D、InterfaceMode（接入方式）：選擇NAT轉(zhuǎn)換模式；E、ManagementServices（服務(wù)類型）：為了安全建議不選擇任何內(nèi)容；F、OtherServices：建議不選擇PING。 圖10④路由的配置（參照圖11） 圖11點(diǎn)擊菜單中Network＞＞Routing＞＞RoutingTable，在出現(xiàn)的界面中可以看出當(dāng)我們拔號成功時系統(tǒng)能夠自動為我們加上路由（因?yàn)椴捎玫氖莿討B(tài)IP），所以沒有必要在手功加路由了。⑤定義策略（參照圖12）點(diǎn)擊菜單中Policies，選擇From：Trust，To：Untrust點(diǎn)擊右邊的NEW按鈕，出現(xiàn)上圖所示內(nèi)容。修改圖中劃線部份：A、Name（名稱）：可任意輸入；B、SourceAddress：當(dāng)選擇New：；當(dāng)選中AddressBook且選擇了ANY時所有內(nèi)網(wǎng)用戶都可以防問公網(wǎng)；C、DestinationAddress：當(dāng)選擇NewAddress并寫入相相應(yīng)IP地址和子網(wǎng)掩碼時所表示的意思是：只允許防問公網(wǎng)的一個地址或一個地址段，這取決于子網(wǎng)掩碼的設(shè)置。，反之指一個地址段；當(dāng)選中AddressBook且選擇了ANY時用戶可以防問公網(wǎng)的所有地址；D、Service：用來控制用戶訪問公網(wǎng)時的服務(wù)類型，如選擇HTTP時用戶只能瀏覽網(wǎng)頁； 圖12VPN的配置①定義VPN用戶訪問地址（參照圖13） 圖13點(diǎn)擊菜單中ObjcctsAddressesList，點(diǎn)擊右邊的NEW按鈕，出現(xiàn)上圖所示內(nèi)容。修改圖中劃線部份： A、AddressesName（名稱）：填寫VPN＿LAN；B、IP/Netmask：，所表示意思為VPN用戶拔號進(jìn)入后可防問內(nèi)網(wǎng)中所有主機(jī)； C、Zone：選擇Trust；D、點(diǎn)擊OK按鈕。②定義用戶組（參照圖14）點(diǎn)擊菜單中ObjcctsUserGroupsLocal，點(diǎn)擊右邊的NEW按鈕，出現(xiàn)上圖所示內(nèi)容。修改圖中劃線部份：A、GroupsName（名稱）：填寫info_Group，注意定義名稱時為了好區(qū)分采用了39。部門名稱＿Group39。；B、點(diǎn)擊OK按鈕。 圖14 ③為用戶組定義用戶（參照圖15） 圖15點(diǎn)擊菜單中ObjcctsUserLocal，點(diǎn)擊右邊的NEW按鈕，出現(xiàn)上圖所示內(nèi)容。修改圖中劃線部份：A、UserName（名稱）：填寫info，注意定義名稱時為了好區(qū)分采用了39。部門名稱39。；B、UserGroup：填寫剛才建立的組名info_group；C、選擇IKE　User，NumberofMultipleLoginswithSameID（在該組同時允許多少個用戶登陸）可按自己的實(shí)際需要填寫數(shù)偷值；D、選擇SimpleIdentity，IKEIDType選擇AUTO，IKE　Identity：；E、點(diǎn)擊OK按鈕。④定義網(wǎng)關(guān)和預(yù)共享密鑰（參照圖16）