2005年度千兆防火墻公開比較評測報告-資料下載頁
2025-08-14 20:47本頁面
【正文】 600是一樣的，Skype聯(lián)機(jī)成功與否完全取決于防火墻是否打開控制功能。Check Point iSECURITY SP5500應(yīng)用智能的P2P控制部分有MSN和Kazaa等項目，盡管其中沒有對Skype的控制選項，但在P2P和其他很多針對應(yīng)用層的控制欄目中，Check Point都提供了新增特征的功能。即通過輸入某種軟件的應(yīng)用層特征，來實現(xiàn)對該軟件的控制。這是一個非常好的特性!因為現(xiàn)在每天都會有新的P2P軟件被開發(fā)出來，使用這種特性可以使用戶不必等到下次產(chǎn)品升級就可以對其進(jìn)行控制。Check Point的工程師在測試過程中將Skype的特征碼發(fā)給了我們。令人欣喜的是，F(xiàn)ortiGate 3600也支持新增特征。 在測試前，我們聽說有一些網(wǎng)關(guān)產(chǎn)品通過訪問控制規(guī)則而不是應(yīng)用層特征來控制IM，這些規(guī)則過濾掉了到Internet上IM用戶注冊服務(wù)器的部分或全部通信。我們認(rèn)為這種方法不靈活而且容易失效。因而設(shè)計了Skype穿過防火墻通過代理服務(wù)器進(jìn)行聯(lián)機(jī)的測試拓?fù)??！ 嶋H應(yīng)用中，防火墻可以封掉到某些代理服務(wù)器的通信。我們這個測試主要想觀察一下設(shè)備在過濾Skype通信時的做法，因而需要在防火墻上設(shè)置允許到代理服務(wù)器的數(shù)據(jù)通過。 經(jīng)過測試，Check Point iSECURITY SP5500和FortiGate 3600都能控制成功，而此時Skype用戶的筆記本電腦上MSN依然可以登陸(MSN未加控制)。由于內(nèi)網(wǎng)Skype用戶所有的通信都指向了代理服務(wù)器(經(jīng)Sniffer抓包確實如此)，所以它們應(yīng)該都是通過在應(yīng)用層分析Skype的特征來實現(xiàn)控制的。防DoS攻擊 測試工程師:我們沒有將測試儀中所有的DoS攻擊武器都搬出來考驗防火墻，而是僅僅選取了Ping_Flood和Syn_Flood兩種攻擊。這兩種攻擊都會使目標(biāo)主機(jī)在極短時間內(nèi)陷入癱瘓，比較而言，Syn_Flood由于半開連接更耗資源等因素，其危害更大。 測試實況:正如我們所料，這些產(chǎn)品都可以對這兩種DoS攻擊進(jìn)行防范?！ ∥覀冊跍y試儀IXIA 1600T上使用攻擊軟件IxAttack和IxExplorer來模擬攻擊源。由于我們還要考察攻擊情況下的Web應(yīng)用的性能，為避免形成帶寬瓶頸，我們所有的攻擊測試都在測試儀的百兆端口上進(jìn)行。測試拓?fù)淙鐖D4所示，當(dāng)防火墻不啟動相應(yīng)的DoS攻擊防御時，測試儀的攻擊按鈕剛剛按下，位于DMZ的Windows Server 2003立即“死機(jī)”。圖為：防DoS拓?fù)鋱D 所有參測產(chǎn)品都可以設(shè)置攻擊數(shù)據(jù)包數(shù)目的閾值，當(dāng)啟動防御后，再次進(jìn)行攻擊，服務(wù)器可以正常工作，CPU利用率維持在10%以下，通過Sniffer抓包，也可以發(fā)現(xiàn)不同廠商在應(yīng)對DoS攻擊時的不同做法。有的仍讓很少量的包通過，有的則丟棄所有的包。我們此次測試沒有對防DoS攻擊的漏包數(shù)目的精確度進(jìn)行衡量。 需要說明的一點，首信CF 2000EP500的防DoS攻擊表現(xiàn)有所不同。一開始，我們在其上進(jìn)行防御配置后，DMZ的服務(wù)器仍然會迅速“死機(jī)”。它此時并不認(rèn)為這是一種攻擊，而將攻擊源發(fā)來的數(shù)據(jù)轉(zhuǎn)發(fā)給DMZ的服務(wù)器。后來，我們在測試儀上將攻擊源的IP地址設(shè)為不斷變化，它可以防范成功。在使用攻擊軟件xdos進(jìn)行嘗試也可以成功防御?！ ≡诠暨^程中，我們還考察了防火墻是否可以將攻擊事件準(zhǔn)確地記錄到日志中。對于支持Syslog服務(wù)器的產(chǎn)品，我們使用3CDeamon作為SyslogVoIP支持 測試工程師:，也使用較多的動態(tài)端口進(jìn)行通信。有些防火墻，只能通過規(guī)則靜態(tài)地打開一段端口來保證IP電話的正常運行，這一段打開的端口，在黑客眼中，就像是一扇打開的大門。此次測試?！ y試實況:結(jié)果發(fā)現(xiàn)。，一臺Windows XP筆記本位于防火墻內(nèi)，一臺裝有Windows 2000 Pro的臺式機(jī)位于防火墻的外網(wǎng)，它們都預(yù)裝了NetMeeting，測試拓?fù)湟妶D5所示。圖為：VoIP測試拓?fù)鋱D 經(jīng)測試，每個防火墻都支持這項服務(wù)。一開始，防火墻的策略設(shè)置為“permit any”， 端點連接到防火墻，并針對對方的IP發(fā)起呼叫，結(jié)果通話可以順利進(jìn)行?！ ∨c此同時，我們用Sniffer對通信的全過程進(jìn)行抓包。可以發(fā)現(xiàn)固定使用的TCP端口1720和其他的TCP、UDP動態(tài)端口?！ ∪缓?，我們刪除“permit any”這條策略。當(dāng)端點發(fā)起呼叫后，對方接受并開始通話，沒有感覺到和第一次有何不同?！ τ谔砑恿岁P(guān)守或網(wǎng)關(guān)的組網(wǎng)模式，各家也都提出了解決辦法。測試中，我們僅測試了端點到端點這一種拓?fù)?
化學(xué)相關(guān)推薦
鄂ICP備17016276號-1