【正文】 了系統(tǒng)管理的復(fù)雜性。由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒有直接的數(shù)據(jù)通道,外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)。而從服務(wù)器來看,代理服務(wù)器又是一臺(tái)真正的客戶機(jī)。代理服務(wù)器位于客戶機(jī)與服務(wù)器之間,完全阻擋了二者間的數(shù)據(jù)交流。網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對(duì)于用戶來說是透明的，不需要用戶進(jìn)行設(shè)置，用戶只要進(jìn)行常規(guī)操作即可。當(dāng)符合規(guī)則時(shí)，防火墻認(rèn)為訪問是安全的，可以接受訪問請(qǐng)求，也可以將連接請(qǐng)求映射到不同的內(nèi)部計(jì)算機(jī)中。在外部網(wǎng)絡(luò)通過非安全網(wǎng)卡訪問內(nèi)部網(wǎng)絡(luò)時(shí)，它并不知道內(nèi)部網(wǎng)絡(luò)的連接情況，而只是通過一個(gè)開放的 IP 地址和端口來請(qǐng)求訪問。 在內(nèi)部網(wǎng)絡(luò)通過安全網(wǎng)卡訪問外部網(wǎng)絡(luò)時(shí)，將產(chǎn)生一個(gè)映射記錄。它允許具有私有 IP 地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。有經(jīng)驗(yàn)的黑客很容易偽造 IP 地址,騙過包過濾型防火墻。 但包過濾技術(shù)的缺陷也是明顯的。系統(tǒng)管理員也可以根據(jù)實(shí)際情況靈活制訂判斷規(guī)則。網(wǎng)絡(luò)上的數(shù)據(jù)都是以“包”為單位進(jìn)行傳輸?shù)?數(shù)據(jù)被分割成為一定大小的數(shù)據(jù)包,每一個(gè)數(shù)據(jù)包中都會(huì)包含一些特定信息,如數(shù)據(jù)的源地址、目標(biāo)地址、TCP/UDP 源端口和目標(biāo)端口等。 防火墻的四種基本類型根據(jù)防火墻所采用的技術(shù)不同,我們可以將它分為四種基本類型:包過濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換—NAT、代理型和監(jiān)測(cè)型。 外部路由器實(shí)際上需要做什么呢？外部路由器能有效地執(zhí)行的安全任務(wù)之一（通常別的任何地方不容易做的任務(wù)）是：阻止從 Inter 上偽造源地址進(jìn)來的任何數(shù)據(jù)包。 一般，外部路由器由外部群組提供（例如，用戶的 Inter 供應(yīng)商），同時(shí)用戶對(duì)它的訪問被限制。實(shí)際上，外部路由器傾向于允許幾乎任何東西從周邊網(wǎng)出站，并且它們通常只執(zhí)行非常少的數(shù)據(jù)包過濾。限制堡壘主機(jī)和內(nèi)部網(wǎng)之間服務(wù)的理由是減少由此而導(dǎo)致的受到來自堡壘主機(jī)侵襲的機(jī)器的數(shù)量。這些服務(wù)是用戶的站點(diǎn)能使用數(shù)據(jù)包過濾而不是代理服務(wù)安全支持和安全提供的服務(wù)。 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作。但是禁止內(nèi)部的客戶端與外部世界之間直接通信（即撥號(hào)入網(wǎng)方式）。 （如果用戶的防火墻使用代理軟件）來允許內(nèi)部的客戶端間接地訪問外部的服務(wù)器。例如： （SMTP）會(huì)話，傳送電子郵件到站點(diǎn)； FTP 連接，轉(zhuǎn)接到站點(diǎn)的匿名 FTP 服務(wù)器； （DNS）站點(diǎn)查詢等等。防火墻設(shè)計(jì)工作的一部分就是確保這種通信不致于機(jī)密到閱讀它將損害你的站點(diǎn)的完整性。所以，如果堡壘主機(jī)被損害，內(nèi)部的通信仍將是安全的。因?yàn)樗兄苓吘W(wǎng)上的通信來自或者通往堡壘主機(jī)或 Inter。即使口令沒被攻破，探聽者仍然能偷看或訪問他人的敏感文件的內(nèi)容，或閱讀他們感興趣的電子郵件等等；探聽者能完全監(jiān)視何人在使用網(wǎng)絡(luò)。在許多網(wǎng)絡(luò)設(shè)置中，用給定網(wǎng)絡(luò)上的任何機(jī)器來查看這個(gè)網(wǎng)絡(luò)上的每一臺(tái)機(jī)器的通信是可能的，對(duì)大多數(shù)以太網(wǎng)為基礎(chǔ)的網(wǎng)絡(luò)確實(shí)如此（而且以太網(wǎng)是當(dāng)今使用最廣泛的局域網(wǎng)技術(shù)）；對(duì)若干其它成熟的技術(shù)，諸如令牌環(huán)和 FDDI 也是如此。如果侵襲者成功地侵入用戶的防火墻的外層領(lǐng)域，周邊網(wǎng)絡(luò)在那個(gè)侵襲者與用戶的內(nèi)部系統(tǒng)之間提供一個(gè)附加的保護(hù)層。作為入侵者，只是進(jìn)行了一次訪問。即使侵襲者設(shè)法侵入堡壘主機(jī)，他將仍然必須通過內(nèi)部路由器。一個(gè)位于周邊網(wǎng)與內(nèi)部的網(wǎng)絡(luò)之間，另一個(gè)位于周邊網(wǎng)與外部網(wǎng)絡(luò)之間（通常為 Inter）?？梢哉f，它只給入侵者一些訪問的機(jī)會(huì)，但不是全部。如果有人成功地侵入屏蔽主機(jī)體系結(jié)構(gòu)中的堡壘主機(jī)，那就毫無阻擋地進(jìn)入了內(nèi)部系統(tǒng)。如果在屏蔽主機(jī)體系結(jié)構(gòu)中，用戶的內(nèi)部網(wǎng)絡(luò)對(duì)來自用戶的堡壘主機(jī)的侵襲門戶洞開，那么用戶的堡壘主機(jī)是非常誘人的攻擊目標(biāo)。堡壘主機(jī)是用戶的網(wǎng)絡(luò)上最容易受侵襲的機(jī)器。 屏蔽子網(wǎng)體系結(jié)構(gòu) 屏蔽子網(wǎng)體系結(jié)構(gòu)添加額外的安全層到被屏蔽主機(jī)體系結(jié)構(gòu),即通過添加周邊網(wǎng)絡(luò)更進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與 Inter 隔離開。主要的是如果侵襲者沒有辦法侵入堡壘主機(jī)時(shí)，而且在堡壘主機(jī)和其余的內(nèi)部主機(jī)之間沒有任何保護(hù)網(wǎng)絡(luò)安全的東西存在的情況下，路由器同樣出現(xiàn)一個(gè)單點(diǎn)失效。多數(shù)情況下，被屏蔽的主機(jī)體系結(jié)構(gòu)提供比雙重宿主主機(jī)體系結(jié)構(gòu)具有更好的安全性和可用性。話說回來，實(shí)際上雙重宿主主機(jī)體系結(jié)構(gòu)在防備數(shù)據(jù)包從外部網(wǎng)絡(luò)穿過內(nèi)部的網(wǎng)絡(luò)也容易產(chǎn)生失?。ㄒ?yàn)檫@種失敗類型是完全出乎預(yù)料的，不大可能防備黑客侵襲）。這完全取決于用戶實(shí)行的安全策略。 不允許來自內(nèi)部主機(jī)的所有連接（強(qiáng)迫那些主機(jī)經(jīng)由堡壘主機(jī)使用代理服務(wù)）。 數(shù)據(jù)包過濾也允許堡壘主機(jī)開放可允許的連接（什么是可允許將由用戶的站點(diǎn)的安全策略決定）到外部世界。任何外部的系統(tǒng)試圖訪問內(nèi)部的系統(tǒng)或者服務(wù)將必須連接到這臺(tái)堡壘主機(jī)上。 在屏蔽的路由器上的數(shù)據(jù)包過濾是按這樣一種方法設(shè)置的:即堡壘主機(jī)是因特網(wǎng)上的主機(jī)能連接到內(nèi)部網(wǎng)絡(luò)上的系統(tǒng)的橋梁（例如，傳送進(jìn)來的電子郵件）。 屏蔽主機(jī)體系結(jié)構(gòu) 雙重宿主主機(jī)體系結(jié)構(gòu)提供來自與多個(gè)網(wǎng)絡(luò)相連的主機(jī)的服務(wù)(但是路由關(guān)閉),而被屏蔽主機(jī)體系結(jié)構(gòu)使用一個(gè)單獨(dú)的路由器提供來自僅僅與內(nèi)部的網(wǎng)絡(luò)相連的主機(jī)的服務(wù)。它們之間的 IP 通信被完全阻止。因而，IP 數(shù)據(jù)包從一個(gè)網(wǎng)絡(luò)（例如，因特網(wǎng)）并不是直接發(fā)送到其它網(wǎng)絡(luò)（例如，內(nèi)部的、被保護(hù)的網(wǎng)絡(luò)）。這樣的主機(jī)可以充當(dāng)與這些接口相連的網(wǎng)絡(luò)之間的路由器；它能夠從一個(gè)網(wǎng)絡(luò)到另一個(gè)網(wǎng)絡(luò)發(fā)送 IP 數(shù)據(jù)包。目前,防火墻的體系結(jié)構(gòu)一般有以下幾種: （1）雙重宿主主機(jī)體系結(jié)構(gòu)； （2）被屏蔽主機(jī)體系結(jié)構(gòu)； （3）被屏蔽子網(wǎng)體系結(jié)構(gòu)。例如,它可以過濾掉 FTP 連接中的 PUT 命令,而且通過代理應(yīng)用,應(yīng)用網(wǎng)關(guān)能夠有效地避免內(nèi)部網(wǎng)絡(luò)的信息外泄。實(shí)際上,作為當(dāng)前防火墻產(chǎn)品的主流趨勢(shì),大多數(shù)代理服務(wù)器(也稱應(yīng)用網(wǎng)關(guān))也集成了包過濾技術(shù),這兩種技術(shù)的混合應(yīng)用顯然比單獨(dú)使用具有更大的優(yōu)勢(shì)。包過濾技術(shù)是一種完全基于網(wǎng)絡(luò)層的安全技術(shù),只能根據(jù)數(shù)據(jù)包的來源、目標(biāo)和端口等網(wǎng)絡(luò)信息進(jìn)行判斷,無法識(shí)別基于應(yīng)用層的惡意侵入,如惡意的 Java 小程序以及電子郵件中附帶的病毒。另外還有多種防火墻產(chǎn)品正朝著數(shù)據(jù)安全與用戶認(rèn)證、防止病毒與黑客侵入等方向發(fā)展。 為內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間的第一道屏障,防火墻是最先受到人們重視的網(wǎng)絡(luò)安全產(chǎn)品之一。 防火墻處于 5 層網(wǎng)絡(luò)安全體系中的最底層,屬于網(wǎng)絡(luò)層安全技術(shù)范疇。 自從 1986 年美國(guó) Digital 公司在 Inter 上安裝了全球第一個(gè)商用防火墻系統(tǒng)，提出了防火墻概念后，防火墻技術(shù)得到了飛速的發(fā)展。 目前的防火墻產(chǎn)品主要有堡壘主機(jī)、包過濾路由器、應(yīng)用層網(wǎng)關(guān)(代理服務(wù)器)以及電路層網(wǎng)關(guān)、屏蔽主機(jī)防火墻、雙宿主機(jī)等類型。 防火墻的簡(jiǎn)介網(wǎng)絡(luò)防火墻技術(shù)是一種用來加強(qiáng)網(wǎng)絡(luò)之間訪問控制，防止外部網(wǎng)絡(luò)用戶以非法手段通過外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)，訪問內(nèi)部網(wǎng)絡(luò)資源，保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備。 策略執(zhí)行防火墻提供了制定和執(zhí)行網(wǎng)絡(luò)安全策略的手段。 增強(qiáng)的保密性使用防火墻可以阻止攻擊者獲取攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，如 Figer 和 DNS。Firewall可以定義不同的認(rèn)證方法， 而不需要在每臺(tái)機(jī)器上分別安裝特定的認(rèn)證軟件。例如， Firewall 允許外部訪問特定的 Mail Server 和 Web Server。 控制對(duì)系統(tǒng)的訪問防火墻可以提供對(duì)系統(tǒng)的訪問控制。 使用防火墻的益處 保護(hù)脆弱的服務(wù) 通過過濾不安全的服務(wù)，防火墻可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險(xiǎn)。 它可通過監(jiān)測(cè)、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對(duì)外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運(yùn)行狀況，以此來實(shí)現(xiàn)網(wǎng)絡(luò)的安全保護(hù)。政府不僅應(yīng)該看見信息安全的發(fā)展是我國(guó)高科技產(chǎn)業(yè)的一部分，而且應(yīng)該看到，發(fā)展安全產(chǎn)業(yè)的政策是信息安全保障系統(tǒng)的一個(gè)重要組成部分，甚至應(yīng)該看到它對(duì)我國(guó)未來電子化、信息化的發(fā)展將起到非常重要的作用。 信息安全是國(guó)家發(fā)展所面臨的一個(gè)重要問題。為此建立有中國(guó)特色的網(wǎng)絡(luò)安全體系，需要國(guó)家政策和法規(guī)的支持及集團(tuán)聯(lián)合研究開發(fā)。我國(guó)在構(gòu)建信息防衛(wèi)系統(tǒng)時(shí)，應(yīng)著力發(fā)展自己獨(dú)特的安全產(chǎn)品，我國(guó)要想真正解決網(wǎng)絡(luò)安全問題，最終的辦法就是通過發(fā)展民族的安全產(chǎn)業(yè)，帶動(dòng)我國(guó)網(wǎng)絡(luò)安全技術(shù)的整體提高。當(dāng)人類步入 21 世紀(jì)這一信息社會(huì)、網(wǎng)絡(luò)社會(huì)的時(shí)候，我國(guó)將建立起一套完整的網(wǎng)絡(luò)安全體系，特別是從政策上和法律上建立起有中國(guó)自己特色的網(wǎng)絡(luò)安全體系。21 世紀(jì)全世界的計(jì)算機(jī)都將通過 Inter 聯(lián)到一起，信息安全的內(nèi)涵也就發(fā)生了根本的變化。隨著計(jì)算機(jī)的發(fā)展，人們?cè)絹碓揭庾R(shí)到網(wǎng)絡(luò)的重要性，通過網(wǎng)絡(luò)，分散在各處的計(jì)算機(jī)被網(wǎng)絡(luò)聯(lián)系在一起。對(duì)于這個(gè)問題，我們還沒有從系統(tǒng)的規(guī)劃上去考慮它，從技術(shù)上、產(chǎn)業(yè)上、政策上來發(fā)展它。安全與反安全就像矛盾的兩個(gè)方面，總是不斷地向上攀升，所以安全產(chǎn)業(yè)將來也是一個(gè)隨著新技術(shù)發(fā)展而不斷發(fā)展的產(chǎn)業(yè)。 防火墻有以下幾大特點(diǎn)：第一，防火墻來源于安全策略與技術(shù)的多樣化，如果采用一種統(tǒng)一的技術(shù)和策略也就不安全了；第二，網(wǎng)絡(luò)的安全機(jī)制與技術(shù)要不斷地變化；第三，隨著網(wǎng)絡(luò)在社會(huì)個(gè)方面的延伸，進(jìn)入網(wǎng)絡(luò)的手段也越來越多，因此，防火墻技術(shù)是一個(gè)十分復(fù)雜的系統(tǒng)工程。 一個(gè)國(guó)家的信息安全體系實(shí)際上包括國(guó)家的法規(guī)和政策，以及技術(shù)與市場(chǎng)的發(fā)展平臺(tái)。它不僅從一般性的防衛(wèi)變成了一種非常普通的防范，而且還從一種專門的領(lǐng)域變成了無處不在。做為網(wǎng)絡(luò)的組成部分，把眾多的計(jì)算機(jī)聯(lián)系在一起，組成一個(gè)局域網(wǎng)，在這個(gè)局域網(wǎng)中，可以在它們之間共享程序、文檔等各種資源；還可以通過網(wǎng)絡(luò)使多臺(tái)計(jì)算機(jī)共享同一硬件，如打印機(jī)、調(diào)制解調(diào)器等；同時(shí)我們也可以通過網(wǎng)絡(luò)使用計(jì)算機(jī)發(fā)送和接收傳真，方便快捷而且經(jīng)濟(jì)。由此引出的問題和解決辦法就是這一課題的主要研究對(duì)象?？梢愿鶕?jù)自己愛好或用