典型防火墻產(chǎn)品及其發(fā)展趨勢-資料下載頁
2025-02-15 19:18本頁面
【正文】 引擎）； Round Trip（利用 ping命令測定防火墻到各個應(yīng)用服務(wù)器之間的循回時間，選用循回時間最小者響應(yīng)用戶請求）； Round Robin（根據(jù)記錄表中的情況，簡單地指定下一個應(yīng)用服務(wù)器響應(yīng)）； Random（隨機選取應(yīng)用服務(wù)器響應(yīng)）； Domain（按照域名最近的原則，指定最近的應(yīng)用服務(wù)器響應(yīng)）。? 防火墻的發(fā)展趨勢 目前，防火墻技術(shù)隨著新技術(shù)的發(fā)展，綜合使用包過濾技術(shù)、代理服務(wù)技術(shù)和其他一些新技術(shù)的防火墻真是今后防火墻發(fā)展的趨勢。目前出現(xiàn)幾個新型的防火墻技術(shù)： 包過濾系統(tǒng)向著更具柔性和多功能的方向發(fā)展。比如動態(tài)包過濾系統(tǒng)，在 CheckPoint Firewall一 1中的包過濾規(guī)則可由路由器靈活、快速地設(shè)置。一個輸出的 UDP數(shù)據(jù)包可以引起對應(yīng)的允許應(yīng)答 UDP創(chuàng)立一個臨時的包過濾規(guī)則，允許其對應(yīng)的 UDP包進入內(nèi)部 網(wǎng)。 從外部向內(nèi)看起來像是代理服務(wù)，而由內(nèi)部向外看像一個包過濾系統(tǒng)的綜合性防火墻結(jié)構(gòu)。這些產(chǎn)品通過對大量內(nèi)部網(wǎng)絡(luò)的外向連接請求采用計賬系統(tǒng)和包的批次修改方式，對防火墻的內(nèi)外提供相關(guān)的偽像。? 分布式防火墻技術(shù)。新型的分布式防火墻由中心定義策略，但由各個分布在網(wǎng)絡(luò)中的端點實施這些制定的策略。實現(xiàn)的三個主要步驟：確定哪些連接可以被允許或那些連接被禁止的策略語言、系統(tǒng)管理工具和 IP安全協(xié)議。 策略語言有很多種，如 KeyNote就是一種通用的策略語言。實現(xiàn)分布式防火墻的關(guān)鍵是標(biāo)志內(nèi)部的主機，不應(yīng)該再采用傳統(tǒng)防火墻所用的對物理上的端口進行標(biāo)志的辦法。以IP地址來標(biāo)志內(nèi)部主機是一種可供選擇的方法，但安全性不高，所以更傾向于使用 IP安全協(xié)議中的密碼憑證來標(biāo)志各臺主機，這種新技術(shù)為主機提供了可靠的、唯一的標(biāo)志，并且與網(wǎng)絡(luò)的物理拓?fù)錈o關(guān)。分布式防火墻服務(wù)器系統(tǒng)管理工具用于將形成的策略文件分發(fā)給被防火墻保護的所有主機，應(yīng)該注意的是這里所指的防火墻并不是傳統(tǒng)意義上的物理防火墻，而是邏輯上的分布式防火墻。 IP安全協(xié)議是一種對 TCP/IP協(xié)議族的網(wǎng)絡(luò)層進行加密保護的機制，包括 AH和 ESP，分別對 IP包頭和整個 IP包進行認(rèn)證，可以防止各類主機攻擊。 ? 分布式防火墻的工作方式。首先由制定防火墻接入控制策略的中心通過編譯器將策略語言訴描述轉(zhuǎn)換成內(nèi)部格式，形成策略文件；然后中心采用系統(tǒng)管理工具把策略文件分發(fā)給各臺內(nèi)部主機；內(nèi)部主機將從兩方面來判定是否接受收到的包，一方面是根據(jù) IP安全協(xié)議，另一方面是根據(jù)的策略文件。 ? 分布式防火墻同樣具有普通防火墻的功能：應(yīng)用訪問控制、攻擊的防御、 Inter訪問控制、網(wǎng)絡(luò)狀態(tài)監(jiān)控、日志管理? 另外，需要注意的是目前正在設(shè)計新的 IP協(xié)議 (也被稱為 IP version6)。 IP協(xié)議的變化將對防火墻的建立與運行產(chǎn)生深刻的影響。? 遠(yuǎn)程用戶和撥號用戶可以經(jīng)過 FireWall1的認(rèn)證后，訪問內(nèi)部網(wǎng)絡(luò)資源。在不修改本地服務(wù)器或客戶應(yīng)用程序的情況下，對試圖訪問內(nèi)部服務(wù)器的用戶進行身份認(rèn)證。認(rèn)證服務(wù)集成在安全策略中，通過圖形用戶界面集中管理，通過日志管理器監(jiān)視、跟蹤認(rèn)證會話。FireWall1提供三種認(rèn)證方法：用戶認(rèn)證（ User Authentication），針對特定服務(wù)提供的基于用戶的透明的身份認(rèn)證，服務(wù)限于 FTP、 TELNET、 HTTP、 HTTPS、 RLOGIN；客戶機認(rèn)證（ Client Authentication），基于客戶機 IP的認(rèn)證，對訪問的協(xié)議不做直接的限制，客戶機認(rèn)證不是透明的，需要用戶先登錄到防火墻認(rèn)證 IP和用戶身份之后，才允許訪問應(yīng)用服務(wù)器；會話認(rèn)證（ Session Authentication）：提供基于服務(wù)會話的的透明認(rèn)證，與IP無關(guān)，采用會話認(rèn)證的客戶機必須安裝一個會話認(rèn)證代理，訪問不同的服務(wù)時必須單獨認(rèn)證。 總的來說，我們認(rèn)為防火墻產(chǎn)品正向以下趨勢發(fā)展： (1)防火墻將從目前對子網(wǎng)或內(nèi)部網(wǎng)管理的方式向分布式防火墻結(jié)構(gòu)發(fā)展。 (2)過濾深度的不斷加強，從目前的地址、服務(wù)過濾，發(fā)展到 URL頁面過濾、關(guān)鍵字過濾和對 Active X、 Java等的過濾，并具有抗病毒和掃除病毒的功能。 (3)由于加密需求越來越強，安全協(xié)議將成為下一代防火墻技術(shù)開發(fā)的重點。 (4)對網(wǎng)絡(luò)攻擊的檢測和告警將成為防火墻的重要功能。同時也需要安全管理工具不斷完善，特別是日志分析工具、預(yù)警識別、檢測分析等將成為防火墻技術(shù)中必不可少的組成部分。 綜上所述，未來防火墻技術(shù)將全面考慮網(wǎng)絡(luò)的安全、操作系統(tǒng)的安全、應(yīng)用程序的安全、用戶的安全、數(shù)據(jù)的安全這五大方面。當(dāng)前國內(nèi)也已經(jīng)自行開展了一些研究工作，并推出了相應(yīng)的防火墻產(chǎn)品。當(dāng)然，我國防火墻技術(shù)還處在一個發(fā)展階段，還有許多問題有待解決，因此密切關(guān)注防火墻技術(shù)的最新發(fā)展，對我國信息產(chǎn)業(yè)健康安全的發(fā)展具有重要的意義。演講完畢，謝謝觀看！
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1