《防火墙技术论文（精选8篇）》

《防火墙技术论文（精选8篇）》由精心整编，希望在【防火墙技术论文】的写作上带给您相应的帮助与启发。

防火墙技术论文范文 篇1

关键词：网络攻击 防火墙 嵌入式

中图分类号：TP393 文献标识码：A 文章编号：1007-9416（2013）03-0216-01

信息社会的发展使得网络应用成为人们日常生活的一部分。计算机网络突破了传统空间中的地域限制和时间限制，可以快速准确的帮助人们获得所需信息和资源，极大的扩展了人们了解现实的渠道。但是随着计算机网络的普及和经济社会的发展，网络应用给我们带来了巨大的便利，也为我们带来了巨大的安全隐患。网络中的恶意程序以及人为的恶意破坏使得我们必须采取有效的防护措施对自身数据进行保护，防止被非法获取或泄露。防火墙则是基于网络的一种信息安全保障技术，是当前时期网络安全的主要解决方案之一，利用防火墙技术可以有效控制用户和网络之间的数据通信，保障数据的安全。

1 防火墙技术发展概述

防火墙技术主要是对内网和外网之间的访问机制进行控制，但是传统的依靠拓扑结构进行网络划分的防火墙在防止来自网络内部的攻击方面的性能不够完善，无法实现数据的安全防护。为解决该问题，分布式防火墙技术被提出来解决上述问题，该技术将安全策略的执行下放到各主机端，但是在服务端对各主机进行集中管理，统一控制，该技术解决了传统防火墙技术在网络结构、内部安全隐患、“单点失效”、过滤规则、端到端加密、旁点登陆等诸多方面的问题，具有较好的网络防护性能。随着分布式防火墙技术的提出，人们不断对其进行改进，这些改进主要集中于两个方面：硬件和软件。其中基于硬件的防火墙技术被称为嵌入式防火墙技术。

2 经典嵌入式防火墙技术研究

较为经典的嵌入式防火墙技术由以下几种。

2.1 基于OpenBSDUNIX的嵌入式防火墙技术

该技术的实现基础为在OpenBSDUNIX操作系统，该平台具有一体化的安全特性和库，如IPSec栈、KeyNote和SSL等，应用平台中的组件内核扩展程序可以指定安全通信机制；应用平台中的用户层后台处理程序组件可以对防火墙策略进行执行；设备驱动程序组件用于提供通信接口。

2.2 基于Windows平台的嵌入式防火墙技术

该技术的主要实现过程为对主机的具体应用和对外服务制定安全策略。其中数据包过滤引擎被嵌入到内核中的链路层和网络层之间，向用户提供访问控制、状态及入侵检测等防御机制；用户配置接口用于配置本地安全策略。

本文主要对该平台的嵌入式防火墙技术进行研究。

3 基于嵌入式协议栈的内容过滤防火墙技术方案

该技术方案将嵌入式协议栈和动态包过滤进行整合，进而替代主机的应用层防火墙接口和系统功能调用，内容过滤和数据处理。其中，嵌入式协议栈主要用于对数据和通信策略进行检测，动态包过滤主要用于对IP层和TCp层的通信规则进行检测。

该技术方案的优势在于数据包过滤和协议内容分析处于系统的同一层次，这就会提高防火墙的防御效果。

3.1 防火墙结构分析

防火墙系统结构分为主要分为两部分：底层安全策略表和应用层安全策略表。与传统防火墙技术相比，本文所述基于嵌入式协议栈的防火墙技术在防御策略中添加了应用层的安全策略，其中，网络协议还原将原有的网络通信协议进行了还原处理，而应用层协议还原则是对应用层协议进行还原解码处理，经过两次还原，数据信息被送入安全检测模块进行数据分析。

3.2工作流程实现

当网络中的主机进行数据包通信时时，会按照访问规则对数据包进行安全检测，查看是否符合访问规则，若不符合访问规则，则对该数据包进行丢弃处理，若符合访问规则，则按照防火墙状态表对数据包进行二次检测，该检测在协议栈部分进行。

对于需要检测的数据包如HTTP、SMTP、POP3等数据流，其检测过程为，数据进行IP分片还原、TCP连接还原以及应用层协议还原，还原过程结束后应用层的安全策略会产生一个新的状态表，该状态表用于判断数据包是否安全，若判定数据不安全则对其进行丢弃处理，若判定数据安全则对数据包进行转发。

对于不需要检测的数据如多媒体影音数据等，可以直接认定为其在安全层是安全的，可直接进行内容转发。

进入内容转发步骤的数据包即可实现数据的通信，整个嵌入式防火墙过程结束。

3.3 性能分析

该嵌入式防火墙技术将数据包过滤所需的状态表以及通信地址所需的地址表进行了集成，实现了嵌入式协议栈的整合。这种方式具有两方面好处：一是提高了两者之间的通信效率，减少了不必要的通信流程，协议栈可以便捷的更新数据包状态表，数据包状态表的状态可以确定数据包是否进行数据检测；二是集成化处理实现了状态表和协议栈之间的相对统一，降低了内存空间的使用。

4 结语

本文讨论了防火墙技术的应用目标和应用作用，进而就防火墙技术的发展及理论创新进行总结和分析，确定了嵌入式防火墙技术的应用优势，最后就基于Windows系统平台的嵌入式协议栈防火墙技术进行分析和阐述。随着网络环境的日趋复杂，在进行网络应用时必须要注意做好安全防护措施，应用嵌入式防火墙技术即可获得较为理想的安全防护效果。

参考文献

[1]孟英博，嵌入式防火墙的研究与实现[D].南京航空航天大学，2007（1）.

[2]江文，浅议新一代防火墙技术的应用与发展[J].科学之友，2011（12）.

防火墙技术论文 篇2

关键词：网络安全；防火墙

1从软、硬件形式上分

如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。

（1）软件防火墙。

软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称“个人防火墙”。软件防火墙就像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。

（2）硬件防火墙。

这里说的硬件防火墙是指“所谓的硬件防火墙”。之所以加上“所谓”二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。

（3）芯片级防火墙。

芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统），因此防火墙本身的漏洞比较少，不过价格相对比较高昂。

2从防火墙技术分

防火墙技术虽然出现了许多，但总体来讲可分为“包过滤型”和“应用型”两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。

（1）包过滤（Packetfiltering）型。

包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。

在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。

包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

（2）应用（ApplicationProxy）型。

应用型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。

在型防火墙技术的发展过程中，它也经历了两个不同的版本：第一代应用网关型防火和第二代自适应防火墙。

类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。

另外型防火墙采取是一种机制，它可以为每一种应用服务建立一个专门的，所以内外部网络之间的通信不是直接的，而都需先经过服务器审核，通过后再由服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。

防火墙的最大缺点是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的网络服务建立专门的服务，在自己的程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。

3从防火墙结构分

从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。

单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。

这种防火墙其实与一台计算机结构差不多（如下图），同样包括CPU、内存、硬盘等基本组件，主板更是不能少的，且主板上也有南、北桥芯片。它与一般计算机最主要的区别就是一般防火墙都集成了两个以上的以太网卡，因为它需要连接一个以上的内、外部网络。其中的硬盘就是用来存储防火墙所用的基本程序，如包过滤程序和服务器程序等，有的防火墙还把日志记录也记录在此硬盘上。虽然如此，但我们不能说它就与我们平常的PC机一样，因为它的工作性质，决定了它要具备非常高的稳定性、实用性，具备非常高的系统吞吐性能。正因如此，看似与PC机差不多的配置，价格甚远。

随着防火墙技术的发展及应用需求的提高，原来作为单一主机的防火墙现在已发生了许多变化。最明显的变化就是现在许多中、高档的路由器中已集成了防火墙功能，还有的防火墙已不再是一个独立的硬件实体，而是由多个软、硬件组成的系统，这种防火墙，俗称“分布式防火墙”。

原来单一主机的防火墙由于价格非常昂贵，仅有少数大型企业才能承受得起，为了降低企业网络投资，现在许多中、高档路由器中集成了防火墙功能。如CiscoIOS防火墙系列。但这种防火墙通常是较低级的包过滤型。这样企业就不用再同时购买路由器和防火墙，大大降低了网络设备购买成本。

分布式防火墙再也不只是位于网络边界，而是渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡，这样一块防火墙卡同时兼有网卡和防火墙的双重功能。这样一个防火墙系统就可以彻底保护内部网络。各主机把任何其它主机发送的通信连接都视为“不可信”的，都需要严格过滤。而不是传统边界防火墙那样，仅对外部网络发出的通信请求“不信任”。

4按防火墙的应用部署位置分

按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。

边界防火墙是最为传统的，它们于内、外部网络的边界，所起的作用的对内、外部网络实施隔离，保护边界内部网络。这类防火墙一般都属于硬件类型，价格较贵，性能较好。

个人防火墙安装于单台主机中，防护的也只是单台主机。这类防火墙应用于广大的个人用户，通常为软件防火墙，价格最便宜，性能也最差。

混合式防火墙可以说就是“分布式防火墙”或者“嵌入式防火墙”，它是一整套防火墙系统，由若干个软、硬件组件组成，分布于内、外部网络边界和内部各主机之间，既对内、外部网络之间通信进行过滤，又对网络内部各主机间的通信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。

5按防火墙性能分

按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。

因为防火墙通常位于网络边界，所以不可能只是十兆级的。这主要是指防火的通道带宽（Bandwidth），或者说是吞吐率。当然通道带宽越宽，性能越高，这样的防火墙因包过滤或应用所产生的延时也越小，对整个网络通信性能的影响也就越小。

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。

参考文献

［1］孙建华等。网络系统管理-Linux实训篇［M］.北京：人民邮电出版社，2003，（10）.

［2］［美］TerryWilliamOgletree.防火墙原理与实施［M］.北京：电子工业出版社，2001，（2）.

防火墙技术论文 篇3

关键词：防火墙；网络安全；发展趋势

一、防火墙技术在网络安全应用中的重要性

防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。它在网络安全应用中的重要性主要包括以下几个方面：

1.网络安全的屏障

防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。防火墙同时可以保护网络免受基于路由的攻击，防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

2.强化网络安全策略

通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。

3.监控网络存取和访问

如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。

4.防止内部信息的外泄

通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。

二、防火墙技术在网络安全中的应用现状

随着防火墙技术的不断更新，新型的防火墙技术安全性能更高，它综合了过滤和技术，克服二者在安全方面的缺陷，不仅覆盖了传统包过滤防火墙的全部功能，而且在全面对抗IP欺骗、ARP、ICMP、SYNFlood等共计手段方面有明显的优势和效果，增强了服务，并使其与包过滤相融合，加上智能过滤技术，使得防火墙的安全性能有了长足提高。目前新型防火墙技术主要包括以下几种：

1.分布式防火墙技术，指那些驻留在网络中主机如服务器或桌面机并对主机系统自身提供安全保护的软件产品，广义上讲，分布式防火墙是一种新的防火墙体系结构，包括用于内外部网之间和内网之间防护的网络防火墙、对网络中服务器和桌面机保护的主机防火墙、用于保护网络中单一设备的中心边界防火墙等。

2.嵌入式防火墙技术，指内嵌于路由器或交换机的防火墙，通常也被称为阻塞点防火墙，这种防火墙能弥补并改善各类安全能力不足的企业边缘防火墙、基于主机的应用程序、网络程序、入侵检测告警程序和防病毒程序等，确保企业内部和外部的网络安全。

3.职能防火墙技术，通过利用统计、记忆、概率和决策的职能方法对数据进行识别，并达到访问控制的目的，由于这些方法多时人工职能学科采用的方法，也统称为职能防火墙，通常这种防火墙的关键技术包括防攻击技术、防扫描技术、防欺骗技术、入侵防御技术、包擦洗和协议正常化技术、AAA技术等。

虽然防火墙技术越来越成熟，功能也越来越强大，但依然存在一些不足，主要表现在以下几个方面：

1.不能防御不经过防火墙的攻击，显而易见，若果防火墙布置在企业网络的边界 ，对进出企业的信息进行过滤，而企业内部的电脑通过拨号网络直接与外网连接的话，防火墙就不起作用。

2.不能防御计算机病毒的攻击，计算机病毒攻击的方式层出不穷，大多数防火墙都是根据系统存在的漏洞进行攻击，对于这种攻击防火墙常常无能为力。

3.防火墙自身存在安全漏洞，无论是硬件还是软件防火墙，都会或多或少的存在设计漏洞，一些不法分子可能会利用这些设计上的漏洞绕过防火墙对系统进行攻击。

4.对防御数据驱动式的攻击无能为力，作为一种常见的攻击方式，但其每次通过防火墙时的数据却都是符合规则的，但这些数据组合以后就会对系统进行破坏。

5.以损失有用服务为代价，为了信息安全，我们通常会关闭一些不必要的服务，但这些服务中也有许多有价值的服务信息，虽然可以一定程度上提高计算机应用的安全性，但也必须以放弃一部分使用价值为代价。

三、防火墙技术的未来发展趋势

针对目前防火墙不能解决的问题以及越来越多的网络攻击方式的出现，对防火墙技术也必将有更高的要求，未来将向高速度、多功能和安全性更高的方向发展，其未来发展趋势可以从包过滤技术、防火墙体系结构和防火墙系统管理三方面来实现。

1.在防火墙包过滤技术发展方面，首先安全策略功能会更加强大，新的防火墙技术会把在AAA系统上运用的用户认证及其服务扩展到防火墙中，使其拥有可以支持基于用户角色的安全策略功能，使得用户在身份验证方面的安全功能增强。其次，加强防火墙的多级过滤技术，通过多级的过滤技术并配合其它方面的鉴别手段，可以从不同层面过滤掉所有的源路由分组、假冒IP源地址、禁止出或入的协议、有害数据包、控制和监测互联网提供的所有通用服务等，在一定程度上弥补单独过滤技术的不足。同时，新的防火墙技术或会增加更多的扩展功能，甚至包括防病毒和入侵监测等主流功能。

2.在防火墙体系结构发展方面，随着互联网用户的增加，以及用户对网络的更高要求，防火墙技术也必须以更加快速的数据处理来满足显示要求。目前出现的基于ASIC的防火墙和基于网络处理器的防火墙都在不同程度上顺应着这种潮流，这两种防火墙技术性能虽然得到了大幅度的提高，但是，它们依然有其不足之处，如基于ASIC的防火墙是使用专门饿硬件处理网络数据流，但纯硬件的ASIC防火墙缺乏可编程性，使得其灵活性大打折扣。而基于网络处理器的防火墙虽然属于基于软件的解决方案，而且灵活性更强，但其作用的发挥很大程度上取决于软件性能的好坏。因此比较理想化的解决方案是增加ASIC芯片的可编程性，使其能够更好的和软件想配合，这样才能同时满足运行性能和灵活性能的要求。

3.在防火墙的系统管理发展方面，分布式和分层的安全结构的集中管理方式是未来的发展趋势，这种集中的管理方式不仅能降低管理成本，而且能在网络安全中保证策略的一致性，使得防火墙能够起到快速响应和快速防御的效果。其次，未来防火墙的系统管理方面将拥有更加强大的审计功能和自动日志分析功能，通过这些方面的加强，能够更早的发现潜在的威胁并采取有效地预防措施，在日常中，通过其日志分析功能，能够及早的帮助计算机管理员发现系统中可能存在的安全漏洞，对做到早预防和调整安全管理策略是必不可少的。最后，网络安全产品的系统化也是未来的发展的趋势，因为目前的防火墙技术难以满足当前的网络安全要求，通过建立以防火墙为核心的安全体系，就可以为内部网络提供更多的安全保障，使各安全技术各司其职，从各个方面防御外来入侵。

参考文献

[1]马东辉。入侵检测系统与防火墙在教育网络中的互动应用研究[D].中国石油大学。2011年

[2]刘波。防火墙穿透技术的研究与实现[D].沈阳工业大学。2009年

[3]黄晗辉。防火墙规则的异常检测及优化研究[D].重庆大学。2010年

[4]陈文惠。防火墙系统策略配置研究[D].中国科学技术大学。2007年

防火墙技术论文 篇4

1.1黑客攻击的问题

因为校园网络需要同互联网连接，从而给师生查找资料提供便利，不过也因此容易受到黑客攻击。当代黑客攻击的技术越来越高明，破坏程度同样越来越严重，黑客攻击校园网络，有着时间长、范围广、损失大以及处理难的特点，校园网络当中的DNS服务器、WEB服务器以及邮件服务器是容易遭到黑客攻击的地方[8]，黑客很多时候使用专业工具攻击校园挽留过，导致校园网络服务器无法正常使用，部分攻击软件甚至可以让非法用户可以随便攻击校园网络，同时篡改校园网络的主页、破坏各种数据从而扰乱教学秩序。

1.2内部用户的问题

现在学生对于网络了解程度比较深，这就导致部分学生会在好奇心趋势下，攻击校园网络系统，从而给校园网络的正常运行带来不利影响，提高了校园网络管理的难度。统计显示内部用户造成的校园网络攻击占到30％左右，大部分情况由学生好奇心而引起，同时学校对于学生的管理以及教育不够重视，纵容他们破坏校园网络安全的种种行为。

2防火墙技术在校园网络安全中的应用

2.1选择合适的防火墙产品

最简单的防火墙是在校园网络的内部网以及外部网间加装应用网关或者是过滤路由器。为更好实现校园网络的安全，很多时候需要综合使用不同的防火墙技术从而组合防火墙系统。这就需要明确设置防火墙设置的方案，然后选择合适的防火墙产品。从形式的角度而言，防火墙可以分成硬件防火墙以及软件防火墙这2大类，硬件防火墙同软件防火墙比较而言，由于使用专用硬件设备，并且集成生产厂商防火墙软件，功能上通过内置安全软件，并且使用强化甚至专属的操作系统，有着管理方便以及更换容易的特点，并且软硬件的搭配往往比较固定。也就是说硬件防火墙的效率更高，可以解决防火墙性能以及效率之间的关系，可以根据校园网络的具体情况来加以选择。

2.2使用服务器

服务器指的是连接校园网络局域网以及Internet的网关，这一网关运行服务软件，可以实现不同网络之间的互相通信。服务器可以在用户以及服务器间实现协同工作，所以提供应用级的网关。客户端往服务器发送请求，请求到达服务器，然后服务器在接收连接请求之后，进行身份认证以及访问控制，要是客户端确认服务器身份认证以及访问控制，那么就代替客户端发送请求。服务器在响应之后，服务器则将数据反馈到客户端。

2.3配置路由器防火墙

防火墙技术论文 篇5

[论文摘要]通过对几种不同防火墙的攻击方法和原理进行研究，针对黑客攻击的方法和原理，我们能够部署网络安全防御策略，为构建安全稳定的网络安全体系提供了理论原理和试验成果。

防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，以保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许。

从理论上看，防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。尽管如此，事情没有我们想象的完美，攻击我们的是人，不是机器，聪明的黑客们总会想到一些办法来突破防火墙。

一、包过滤型防火墙的攻击

包过滤技术是一种完全基于网络层的安全技术，只能根据packet的来源、目标和端口等网络信息进行判断，无法识别基于应用层的恶意入侵。

包过滤防火墙是在网络层截获网络packet，根据防火墙的规则表，来检测攻击行为。根据packet的源ip地址；目的ip地址；tcp/udp源端口；tcp/udp目的端口来过滤。所以它很容易受到如下攻击。

（一）ip欺骗

如果修改packet的源，目的地址和端口，模仿一些合法的packet就可以骗过防火墙的检测。如：我将packet中的源地址改为内部网络地址，防火墙看到是合法地址就会放行。

这种攻击应该怎么防范呢？

如果防火墙能结合接口，地址来匹配，这种攻击就不能成功了。

eth1连接外部网络，eth2连接内部网络，所有源地址为内网地址的packet一定是先到达eth2，我们配置eth1只接受来自eth2的源地址为内网地址的packet，那么这种直接到达eth1的伪造包就会被丢弃。

（二）分片伪造

分片是在网络上传输ip报文时采用的一种技术手段，但是其中存在一些安全隐患。ping of death, teardrop等攻击可能导致某些系统在重组分片的过程中宕机或者重新启动。这里我们只谈谈如何绕过防火墙的检测。

在ip的分片包中，所有的分片包用一个分片偏移字段标志分片包的顺序，但是，只有第一个分片包含有tcp端口号的信息。当ip分片包通过分组过滤防火墙时，防火墙只根据第一个分片包的tcp信息判断是否允许通过，而其他后续的分片不作防火墙检测，直接让它们通过。

工作原理弄清楚了，我们来分析：从上面可以看出，我们如果想穿过防火墙只需要第一个分片，也就是端口号的信息符合就可以了。

那我们先发送第一个合法的ip分片，将真正的端口号封装在第二个分片中，那样后续分片包就可以直接穿透防火墙，直接到达内部网络主机，通过我的实验，观察攻击过程中交换的数据报片断，发现攻击数据包都是只含一个字节数据的报文，而且发送的次序已经乱得不可辨别，但对于服务器tcp/ip堆栈来说，它还是能够正确重组的。

二、nat防火墙的攻击

这里其实谈不上什么攻击，只能说是穿过这种防火墙的技术，而且需要新的协议支持，因为这种方法的是为了让两个不同nat后面的p2p软件用户可以不通过端口映射直接进行连接，我们称为udp打洞技术。

udp打洞技术允许在有限的范围内建立连接。stun（the simple traversal of user datagram protocol through network address translators）协议实现了一种打洞技术可以在有限的情况下允许对nat行为进行自动检测然后建立udp连接。在udp打洞技术中，nat分配的外部端口被发送给协助直接连接的第三方。在nat后面的双方都向对方的外部端口发送一个udp包，这样就在nat上面创建了端口映射，双方就此可以建立连接。一旦连接建立，就可以进行直接的udp通信了。

但是udp连接不能够持久连接。udp是无连接的并且没有对谁明确的通信。一般地，nat见了的端口映射，如果一段时间不活动后就是过期。为了保持udp端口映射，必须每隔一段时间就发送udp包，就算没有数据的时候，只有这样才能保持udp通信正常。另外很多防火墙都拒绝任何的外来udp连接。

由于各方面原因，这次没有对建立tcp的连接做研究，估计是能连接的。

三、防火墙的攻击

防火墙运行在应用层，攻击的方法很多。这里就以wingate为例。 wingate是以前应用非常广泛的一种windows95/nt防火墙软件，内部用户可以通过一台安装有wingate的主机访问外部网络，但是它也存在着几个安全脆弱点。

黑客经常利用这些安全漏洞获得wingate的非授权web、socks和telnet的访问，从而伪装成wingate主机的身份对下一个攻击目标发动攻击。因此，这种攻击非常难于被跟踪和记录。

导致wingate安全漏洞的原因大多数是管理员没有根据网络的实际情况对wingate防火墙软件进行合理的设置，只是简单地从缺省设置安装完毕后就让软件运行，这就让攻击者可从以下几个方面攻击：

（一）非授权web访问

某些wingate版本（如运行在nt系统下的2.1d版本）在误配置情况下，允许外部主机完全匿名地访问因特网。因此，外部攻击者就可以利用wingate主机来对web服务器发动各种web攻击（ 如cgi的漏洞攻击等），同时由于web攻击的所有报文都是从80号tcp端口穿过的，因此，很难追踪到攻击者的来源。

检测wingate主机是否有这种安全漏洞的方法如下：

（1）以一个不会被过滤掉的连接（譬如说拨号连接）连接到因特网上。

（2）把浏览器的服务器地址指向待测试的wingate主机。

如果浏览器能访问到因特网，则wingate主机存在着非授权web访问漏洞。

（二）非授权socks访问

在wingate的缺省配置中，socks（1080号tcp端口）同样是存在安全漏洞。与打开的web（80号tcp端口）一样，外部攻击者可以利用socks访问因特网。

（三）非授权telnet访问

它是wingate最具威胁的安全漏洞。通过连接到一个误配置的wingate服务器的telnet服务，攻击者可以使用别人的主机隐藏自己的踪迹，随意地发动攻击。

检测wingate主机是否有这种安全漏洞的方法如下：

1)使用telnet尝试连接到一台wingate服务器。

[root@happy/tmp]#telnet172.29.11.191

trying172.29.11.191….

connectedto172.29.11.191.

escapecharacteris'^]'.

wingate>10.50.21.5

2)如果接受到如上的响应文本，那就输入待连接到的网站。

3)如果看到了该新系统的登录提示符，那么该服务器是脆弱的。

connectedtohost10.50.21.5…connected

sunos5.6

login:

其实只要我们在wingate中简单地限制特定服务的捆绑就可以解决这个问题。

四、监测型防火墙的攻击

一般来说，完全实现了状态检测技术防火墙，智能性都比较高，普通的扫描攻击还能自动的反应。但是这样智能的防火墙也会受到攻击！

（一）协议隧道攻击

协议隧道的攻击思想类似与vpn的实现原理，攻击者将一些恶意的攻击packet隐藏在一些协议分组的头部，从而穿透防火墙系统对内部网络进行攻击。

比如说，许多简单地允许icmp回射请求、icmp回射应答和udp分组通过的防火墙就容易受到icmp和udp协议隧道的攻击。loki和lokid（攻击的客户端和服务端）是实施这种攻击的有效的工具。在实际攻击中，攻击者首先必须设法在内部网络的一个系统上安装上lokid服务端，而后攻击者就可以通过loki客户端将希望远程执行的攻击命令（对应ip分组）嵌入在icmp或udp包头部，再发送给内部网络服务端lokid，由它执行其中的命令，并以同样的方式返回结果。

由于许多防火墙允许icmp和udp分组自由出入，因此攻击者的恶意数据就能附带在正常的分组，绕过防火墙的认证，顺利地到达攻击目标主机。

（二）利用ftp-pasv绕过防火墙认证的攻击

ftp-pasv攻击是针对防火墙实施入侵的重要手段之一。目前很多防火墙不能过滤这种攻击手段。如checkpoint的firewall-1，在监视ftp服务器发送给客户端的包的过程中，它在每个包中寻找“227”这个字符串。如果发现这种包，将从中提取目标地址和端口，并对目标地址加以验证，通过后，将允许建立到该地址的tcp连接。

攻击者通过这个特性，可以设法连接受防火墙保护的服务器和服务。

五、通用的攻击方法

（一）木马攻击

反弹木马是对付防火墙的最有效的方法。攻击者在内部网络的反弹木马定时地连接外部攻击者控制的主机，由于连接是从内部发起的，防火墙（任何的防火墙）都认为是一个合法的连接，因此基本上防火墙的盲区就是这里了。防火墙不能区分木马的连接和合法的连接。

说一个典型的反弹木马，目前变种最多有“毒王”之称的“灰鸽子”，该木马由客户端主动连接服务器，服务器直接操控。非常方便。

(二)d.o.s拒绝服务攻击

简单的防火墙不能跟踪 tcp的状态，很容易受到拒绝服务攻击，一旦防火墙受到d.o.s攻击，它可能会忙于处理，而忘记了自己的过滤功能。简单的说明两个例子。

land（land attack）攻击：在land攻击中，黑客利用一个特别打造的syn包，它的源地址和目标地址都被设置成某一个服务器地址进行攻击。此举将导致接受服务器向它自己的地址发送syn-ack消息，结果这个地址又发回ack消息并创建一个空连接，每一个这样的连接都将保留直到超时，在land攻击下，许多unix将崩溃，nt变得极其缓慢。

ip欺骗dos攻击：这种攻击利用tcp协议栈的rst位来实现，使用ip欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。假设现在有一个合法用户(a.a.a.a)已经同服务器建立了正常的连接，攻击者构造攻击的tcp数据，伪装自己的ip为a.a.a.a，并向服务器发送一个带有rst位的tcp数据段。服务器接收到这样的数据后，认为从a.a.a.a发送的连接有错误，就会清空缓冲区中已建立好的连接。这时，合法用户a.a.a.a再发送合法数据，服务器就已经没有这样的连接了，该用户就被拒绝服务而只能重新开始建立新的连接。

六、结论

我们必须承认以现在的防火墙技术，无法给我们一个相当安全的网络。网络中是没有百分之百安全的，由于我们面对的黑客都属于聪明的高技术性计算机专家，攻击时的变数太大，所以网络安全不可能单靠防火墙来实现，只可能通过不断完善策略、协议等根本因素才行。

在防火墙目前还不算长的生命周期中，虽然问题不断，但是，它也在科学家的苦心经营下不断自我完善，从单纯地拦截一次来自黑客的恶意进攻，逐步走向安全事件管理及安全信息管理的大路，并将最终汇入网络安全管理系统的大海，这应该是一种历史的必然。一旦防火墙把网络安全管理当作自我完善的终极目的，就等同于将发展的方向定位在了网络安全技术的制高点，如果成功，防火墙将成为未来网络安全技术中不可缺少的一部分。

参考文献：

[1]w．richard 详解 卷一：协议[m].机械工业出版社，2000.

[2]黎连业，张维。防火墙及其应用技术[m].北京：清华大学，2004.

[3]marcus goncalves. 防火墙技术指南[m].北京：机械工业出版社，2000.

防火墙技术论文 篇6

[论文摘要]计算机网络日益成为重要信息交换手段，认清网络的脆弱性和潜在威胁以及现实客观存在的各种安全问题，采取强有力的安全策略，保障网络信息的安全，是每一个国家和社会以及个人必须正视的事情。本文针对计算机网络应用相关的基本信息安全问题和解决方案进行了探讨。

随着计算机网络技术的不断发展，全球信息化己成为人类发展的大趋势，计算机网络已经在同防军事领域、金融、电信、证券、商业、教育以及日常生活巾得到了大量的应用。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、怪客、恶意软件和其他不轨的攻击。所以网上信息的安全和保密是一个至关重要的问题。因此，网络必须有足够强的安全措施，否则网络将是尤用的，相反会给使用者带来各方面危害，严重的甚至会危及周家安全。

一、信息加密技术

网络信息发展的关键问题是其安全性，因此，必须建立一套有效的包括信息加密技术、安全认证技术、安全交易议等内容的信息安全机制作为保证，来实现电子信息数据的机密性、完整性、不可否认性和交易者身份认证忡，防止信息被一些怀有不良用心的人看到、破坏，甚至出现虚假信息。

信息加密技术是保证网络、信息安全的核心技术，是一种主动的信息安全防范措施，其原理是利用一定的加密算法，将明文转换成不可直接读取的秘文，阻止非法用户扶取和理解原始数据，从而确保数据的保密忭。ⅱ月文变成秘文的过程称为加密，南秘文还原成明文的过程称为解密，加密、解密使用的町变参数叫做密钥。

传统上，几种方法町以用来加密数据流，所有这些方法都町以用软件很容易的实现，当只知道密文的时候，是不容易破译这些加密算法的。最好的加密算法埘系统性能几乎没有影响，并且还可以带来其他内在的优点。例如，大家郜知道的pkzip，它既压缩数据义加密数据。义如，dbms的一些软件包包含一些加密方法使复制文件这一功能对一些敏感数据是尢效的，或者需要用户的密码。所有这些加密算法都要有高效的加密和解密能力。

二、防火墙技术

“防火墙”是一个通用术i五，是指在两个网络之间执行控制策略的系统，是在网络边界上建立的网络通信监控系统，用来保障计算机网络的安全，它是一种控制技术，既可以是一种软件产品，又可以制作或嵌入到某种硬什产品中。防火墙通常是巾软什系统和硬什设备组合而成，在内部网和外部网之间构建起安全的保护屏障。

从逻辑上讲，防火墙是起分隔、限制、分析的作用。实际上，防火墙是加强intranet(内部网)之间安全防御的一个或一组系统，它南一组硬件设备(包括路由器、服务器)及相应软件构成。所有来自intemet的传输信息或发出的信息都必须经过防火墙。这样，防火墙就起到了保护诸如电子邮件传输、远程登录、布特定的系统问进行信息交换等安全的作用。

防火墙可以被看成是阻塞点。所有内部网和外部网之间的连接郝必须经过该阻塞点，在此进行检查和连接，只有被授权的通信才能通过该阻塞点。防火墙使内部网络与外部网络在一定条件下隔离，从而防止非法入侵及非法使用系统资源。同时，防火墙还日，以执行安全管制措施，记录所以可疑的事件，其基本准则有以下两点：

(1)一切未被允许的就是禁止的。基于该准则，防火墒应封锁所有信息流，然后对希单提供的服务逐项丌放。这是一种非常灾用的方法，可以造成一种十分安全的环境，为只有经过仔细挑选的服务才被允许使用。其弊端是，安全件高于片j户使片j的方便件，用户所能使用的服务范同受到限制。

(2)一切未被禁止的就是允许的。基于该准则，防火埔转发所有信息流，然后逐项屏蔽可能有害的服务。这种方法构成了一种更为灵活的应用环境，可为用户提供更多的服务。其弊端是，在口益增多的网络服务面前，网管人员疲于奔命，特别是受保护的网络范嗣增大时，很难提供町靠的安全防护。

较传统的防火墙来说，新一代防火墙具有先进的过滤和体系，能从数据链路层到应用层进行全方位安全处理，协议和的直接相互配合，提供透明模式，使本系统的防欺骗能力和运行的健壮件都大大提高；除了访问控制功能外，新一代的防火墙还集成了其它许多安全技术，如nat和vpn、病毒防护等、使防火墙的安全性提升到义一高度。

三、网络入侵检测与安全审计系统设计

在网络层使用了防火墙技术，经过严格的策略配置，通常能够在内外网之问提供安全的网络保护，降低了网络安全风险。但是，仪仪使用防火墙、网络安全还远远不够。因为日前许多入侵手段如icmp重定向、盯p反射扫描、隧道技术等能够穿透防火墒进入网络内部；防火墙无法防护不通过它的链接(如入侵者通过拨号入侵)；不能防范恶意的知情者、不能防范来自于网络内部的攻击；无法有效地防范病毒；无法防范新的安全威胁；南于性能的限制，防火墙通常不能提供实时动态的保护等。

因此，需要更为完善的安全防护系统来解决以上这些问题。网络入侵监测与安全审计系统是一种实时的网络监测包括系统，能够弥补防火墒等其他系统的不足，进一步完善整个网络的安全防御能力。网络中部署网络入侵检测与安全审计系统，可以在网络巾建立完善的安全预警和安全应急反应体系，为信息系统的安全运行提供保障。

在计算机网络信息安全综合防御体系巾，审计系统采用多agent的结构的网络入侵检测与安全审计系统来构建。整个审计系统包括审计agent，审计管理中心，审计管理控制台。审计agent有软什和硬什的形式直接和受保护网络的设备和系统连接，对网络的各个层次(网络，操作系统，应用软件)进行审计，受审计巾心的统一管理，并将信息上报到各个巾心。审计巾心实现对各种审计agent的数据收集和管理。审计控制会是一套管理软件，主要实现管理员对于审计系统的数据浏览，数据管理，规则没置功能。管理员即使不在审计中心现场也能够使用审计控制台通过远程连接审计中心进行管理，而且多个管理员可以同时进行管理，根据权限的不同完成不同的职责和任务。

四、结论

当前信息安全技术发展迅速，但没有任一种解决方案可以防御所有危及信息安全的攻击，这是“矛”与“盾”的问题，需要不断吸取新的技术，取众家所长，才能使“盾”更坚，以防御不断锋利的“矛”，因此，要不断跟踪新技术，对所采用的信息安全技术进行升级完善，以确保相关利益不受侵犯。

防火墙技术论文 篇7

1网络安全与校园网安全

1.1网络安全

网络安全不是目的，只是一种保障。就网络安全来说，其造成威胁的因素又可分为内因和外因。内因主要是计算机本身的问题所致，例如自身的系统缺陷、访问控制中的安全隐患和漏洞、www等域名的服务漏洞、网络操作系统的安全缺陷等。外因主要是指来自外界的威胁和干扰。包括计算机病毒、非授权的冒充使用、物理环境的安全性差等因素。

1.2校园网安全

校园网相对来说是一个比较特殊的环境，由于面向的群体主要是学生，因此除了要保证网络的正常运行外，还必须做好对内容不健康信息的过滤功能以及应对个别同学喜欢尝试各种试图攻击和入侵服务器的行为。通过分析目前校园网中存在的问题，应该从以下几方面进行着手维护：制定和实施访问安全，身份认证，禁止未授权的访问者非法进入；对于电子阅览室、网络实验室等学校人员经常使用的计算机，安装上防火墙，过滤掉淫秽、暴力等不健康的网站；对重要或敏感的信息和数据进行加密，保证信息的内容的安全性，防止例如学生成绩信息等重要数据被非法篡改；确保网络运行设施的可靠性和安全监测手段的有效性，防范非法入侵而使系统功能受到影响情况的出现；学校可设立网络安全管理机制，负责网络安全管理和规划等工作，加强学校安全管理教育工作的开展。

2防火墙技术

防火墙是一种为了保护内部网安全，在计算机的硬件和软件相互搭配组合下，在互联网和内部网之间形成安全屏障的技术，是确保网络安全的重要手段。作为现代网络时代不可或缺的安全产品，防火墙已经成为了校园网络必要的存在。就目前来说，防火墙主要通过对未经证实的主机的TCP/IP进行分组过滤、利用IP地址进行伪装、通过功能，断绝内外部之间的连接等三个主要手段对内部网进行安全保护。

2.1防火墙的功能

（1）管理进出网络的访问行为作为双向沟通间的控制点，防火墙可以利用自身的阻塞点，对访问的信息进行管理和控制，并过滤掉不安全的服务和信息，只允许经过选择的应用选择通过防火墙，这在很大程度上降低了访问的风险，提高了内部网络的安全性。（2）记录通过防火墙的信息内容和活动防火墙的建立使得所有信息的访问在经过防火墙的时候都会留下记录，防火墙内部会根据这些数据统计网络的使用情况，并作出日志记录。（3）监测和反馈网络攻击行为在信息监测的过程中，当有可疑的情况发生时，防火墙会适当的报警，并把详细信息自动生成电子邮件发送给网络维护者，提供网络是否受到监测和攻击的信息。（4）防止内部信息的泄漏在实施保护的过程中，可以通过防火墙的内部网络划分，将重点网段进行隔离，防止了局部重点或敏感段落出现问题对全局造成影响。

2.2防火墙特性

（1）是双向网络载体通信之间的中间存在点；（2）具有透明性，其存在不影响信息之间的交流和沟通；（3）它只对符合本地开放安全的信息进行授权，而只有经过授权的信息才可以自由出入网络。

3防火墙技术在大学校园网中的应用

在目前，各种维护网络的软硬件层出不穷，但大多数只能解决学校网络安全中的一部分，例如金山、瑞星等软件解决病毒防范，天网、天融信等软件解决网络攻击问题，这些软件的存在都是以解决单一或部分问题为目标，并不能对学校的网络安全形成整体的解决方案。由于学校的特殊性，学校对网络的需求也有所不同，因此校园网络应该根据学校的需求特点出发，以第一评价为标准，完善网络体系，具体来说，有以下几个步骤：

3.1入侵监测系统

入侵检测是一种能够及时监测和发现网络系统中异常现象的实时监测技术。在监测过程中除了利用审计记录，监测出任何不希望有的活动以外，它还可以实时防护来自IPSpoofing、PingofDeath以及其它外界的攻击，以保护系统的安全。而在监测到攻击行为时它还可以自动生成电子邮件通知系统管理员，使其可以在第一时间处理危机。

3.2建立用户认证

建立和完善网络的用户认证机制，对于不可信网站的访问，防火墙可以经过内建用户数据库或IP/MAC绑定资料等进行认证，并决定是否给予访问的权限。而防火墙也可以限定授权用户通过防火墙进行一些有限制的活动。

3.3防火墙系统的检测和维护

在合理配置了防火墙后，必须要对防火墙进行经常性的检测和监督，并对监测到的网络流量进行分析，时刻关注异常流量的情况，做好日志备份等处理工作，以便日后信息的查阅。最后，防火墙的配置也要根据网络结构的变化而变化，从而保证其能在保护校园网中发挥更好的作用。

3.4漏洞扫描系统

要想解决网络中的安全问题，首先要清楚存在了哪些安全隐患。面对强大的网络覆盖面和不断变化的网络复杂性，如果仅仅只依靠网络技术管理人员的技术去查找漏洞是存在着巨大困难的，也是不现实的。因此唯一的方法就是找出一种可以替代人工查询漏洞，并做出及时评估、提出修改意见的安全扫描工具，它可以在系统优化的过程中弥补安全漏洞，消除安全隐患。

3.5利用网络监听维护子网安全

威胁校园网络安全有内因和外因两个部分，对于外因，我们可以通过安装防火墙来解决，但是对于校园内部的入侵我们则无能为力，在这种情况下，学校可以在网络监控部门中设立一个专门管理和分析网络运作状态的子网监听程序，该监听程序可以包含一定的审计功能，方便在长期监听子网的情况中，为系统中各个服务器的审计文件提供备份，并在监听的程序之间建立联系，保证相互联系的计算机，在其它服务器收不到联系的情况下，会自动发出警报提示。

4结语

随着目前网络技术的普及和提高，网络技术的攻击和侵害手段也更加频繁和高明，因此要想真正做好校园安全工作，必须抓好防火墙技术这个网络安全屏障，从全方面进行着手维护。但是，我们也必须明白，由于技术的有限，防火墙根本不能解决校园安全的全部问题，例如信息加密技术、身份鉴别等因素还是需要其它技术和非技术的支持，因此在维护的过程中不可过分依赖防火墙技术，更要时刻重视安全教育工作以及制定法规等非技术因素的协调维护。总之，防火墙是网络安全的重要屏障之一，如何利用防火墙来保证系统的高速运行，将是一个随着网络技术发展需要不断研究的课题。

防火墙技术论文 篇8

关键词：Internet网路安全防火墙过滤地址转换

1．引言

防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业：1995年，刚刚面市的防火墙技术产品市场量还不到1万套；到1996年底，就猛增到10万套；据国际权威商业调查机构的预测，防火墙市场将以173%的复合增长率增长，今年底将达到150万套，市场营业额将从1995年的1.6亿美元上升到今年的9.8亿美元。

为了更加全面地了解Internet防火墙及其发展过程，特别是第四代防火墙的技术特色，我们非常有必要从产品和技术角度对防火墙技术的发展演变做一个详细的考察。

2.Internet防火墙技术简介

防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲，Internet防火墙服务也属于类似的用来防止外界侵入的。它可以防止Internet上的各种危险(病毒、资源盗用等)传播到你的网络内部。而事实上，防火墙并不像现实生活中的防火墙，它有点像古代守护城池用的护城河，服务于以下多个目的：

1)限定人们从一个特定的控制点进入；

2)限定人们从一个特定的点离开；

3)防止侵入者接近你的其他防御设施；

4)有效地阻止破坏者对你的计算机系统进行破坏。

在现实生活中，Internet防火墙常常被安装在受保护的内部网络上并接入Internet，如图1所示。

图1防火墙在Internet中的位置

从上图不难看出，所有来自Internet的传输信息或你发出的信息都必须经过防火墙。这样，防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲，防火墙是起分隔、限制、分析的作用，这一点同样可以从图1中体会出来。那么，防火墙究竟是什么呢？实际上，防火墙是加强Internet(内部网)之间安全防御的一个或一组系统，它由一组硬件设备(包括路由器、服务器)及相应软件构成。3.防火墙技术与产品发展的回顾

防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看，防火墙应该具有以下五大基本功能：

过滤进、出网络的数据；

管理进、出网络的访问行为；

封堵某些禁止行为；

记录通过防火墙的信息内容和活动；

对网络攻击进行检测和告警。

为实现以上功能，在防火墙产品的开发中，人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年来的发展，可以将其划分为如下四个阶段(即四代)。

3.1基于路由器的防火墙

由于多数路由器本身就包含有分组过滤功能，故网络访问控制可能通过路控制来实现，从而使具有分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是：

1)利用路由器本身对分组的解析，以访问控制表(AccessList)方式实现对分组的过滤；

2)过滤判断的依据可以是：地址、端口号、IP旗标及其他网络特征；

3)只有分组过滤的功能，且防火墙与路由器是一体的。这样，对安全要求低的网络可以采用路由器附带防火墙功能的方法，而对安全性要求高的网络则需要单独利用一台路由器作为防火墙。

第一代防火墙产品的不足之处十分明显，具体表现为：

路由协议十分灵活，本身具有安全漏洞，外部网络要探寻内部网络十分容易。例如，在使用FTP协议时，外部服务器容易从20号端口上与内部网相连，即使在路由器上设置了过滤规则，内部网络的20号端口仍可以由外部探寻。

路由器上分组过滤规则的设置和配置存在安全隐患。对路由器中过滤规则的设置和配置十分复杂，它涉及到规则的逻辑一致性。作用端口的有效性和规则集的正确性，一般的网络系统管理员难于胜任，加之一旦出现新的协议，管理员就得加上更多的规则去限制，这往往会带来很多错误。

路由器防火墙的最大隐患是：攻击者可以“假冒”地址。由于信息在网络上是以明文方式传送的，黑客(Hacker)可以在网络上伪造假的路由信息欺骗防火墙。

路由器防火墙的本质缺陷是：由于路由器的主要功能是为网络访问提供动态的、灵活的路由，而防火墙则要对访问行为实施静态的、固定的控制，这是一对难以调和的矛盾，防火墙的规则设置会大大降低路由器的性能。

可以说基于路由器的防火墙技术只是网络安全的一种应急措施，用这种权宜之计去对付黑客的攻击是十分危险的。

3.2用户化的防火墙工具套

为了弥补路由器防火墙的不足，很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的网络，从而推动了用户防火墙工具套的出现。

作为第二代防火墙产品，用户化的防火墙工具套具有以下特征：

1)将过滤功能从路由器中独立出来，并加上审计和告警功能；

2)针对用户需求，提供模块化的软件包；

3)软件可以通过网络发送，用户可以自己动手构造防火墙；

4)与第一代防火墙相比，安全性提高了，价格也降低了。

由于是纯软件产品，第二代防火墙产品无论在实现上还是在维护上都对系统管理员提出了相当复杂的要求，并带来以下问题：

配置和维护过程复杂、费时；

对用户的技术要求高；

全软件实现，使用中出现差错的情况很多。

3.3建立在通用操作系统上的防火墙

基于软件的防火墙在销售、使用和维护上的问题迫使防火墙开发商很快推出了建立在通用操

作系统上的商用防火墙产品。近年来市场上广泛使用的就是这一代产品，它们具有如下一些

特点：

1)是批量上市的专用防火墙产品；

2)包括分组过滤或者借用路由器的分组过滤功能；

3)装有专用的系统，监控所有协议的数据和指令；

4)保护用户编程空间和用户可配置内核参数的设置；

5)安全性和速度大大提高。

第三代防火墙有以纯软件实现的，也有以硬件方式实现的，它们已经得到了广大用户的认同

。但随着安全需求的变化和使用时间的推延，仍表现出不少问题，比如：

1)作为基础的操作系统及其内核往往不为防火墙管理者所知，由于源码的保密，其安全性

无从保证；

2)由于大多数防火墙厂商并非通用操作系统的厂商，通用操作系统厂商不会对操作系统的

安全性负责；

3)从本质上看，第三代防火墙既要防止来自外部网络的攻击，还要防止来自操作系统厂商

的攻击；

4)在功能上包括了分组过滤、应用网关、电路级网关且具有加密鉴别功能；

5)透明性好，易于使用。

4.第四代防火墙的主要技术及功能

第四代防火墙产品将网关与安全系统合二为一，具有以下技术功能。

4.1双端口或三端口的结构

新一代防火墙产品具有两个或三个独立的网卡，内外两个网卡可不做IP转化而串接于内部与外部之间，另一个网卡可专用于对服务器的安全保护。

4.2透明的访问方式

以前的防火墙在访问方式上要么要求用户做系统登录，要么需要通过SOCKS等库路径修改客户机的应用。第四代防火墙利用了透明的系统技术，从而降低了系统登录固有的安全风险和出错概率。

4.3灵活的系统

系统是一种将信息从防火墙的一侧传送到另一侧的软件模块，第四代防火墙采用了两种机制：一种用于从内部网络到外部网络的连接；另一种用于从外部网络到内部网络的连接。前者采用网络地址转接(NIT)技术来解决，后者采用非保密的用户定制或保密的系统技术来解决。

4.4多级过滤技术

为保证系统的安全性和防护水平，第四代防火墙采用了三级过滤措施，并辅以鉴别手段。在分组过滤一级，能过滤掉所有的源路由分组和假冒IP地址；在应用级网关一级，能利用FTP、SMTP等各种网关，控制和监测Internet提供的所有通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务的通行实行严格控制。

4.5网络地址转换技术

第四代防火墙利用NAT技术能透明地对所有内部地址做转换，使得外部网络无法了解内部网络的内部结构，同时允许内部网络使用自己编的IP源地址和专用网络，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。

4.6Internet网关技术

由于是直接串联在网络之中，第四代防火墙必须支持用户在Internet互联的所有服务，同时还要防止与Internet服务有关的安全漏洞，故它要能够以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性，对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。

在域名服务方面，第四代防火墙采用两种独立的域名服务器：一种是内部DNS服务器，主要处理内部网络和DNS信息；另一种是外部DNS服务器，专门用于处理机构内部向Internet提供的部分DNS信息。

在匿名FTP方面，服务器只提供对有限的受保护的部分目录的只读访问。在WWW服务器中，只支持静态的网页，而不允许图形或CGI代码等在防火墙内运行。在Finger服务器中，对外部访问，防火墙只提供可由内部用户配置的基本的文本信息，而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件做处理，并利用邮件映射与标头剥除的方法隐除内部的邮件环境。Ident服务器对用户连接的识别做专门处理，网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。

4.7安全服务器网络(SSN)

为了适应越来越多的用户向Internet上提供服务时对服务器的需要，第四代防火墙采用分别保护的策略对用户上网的对外服务器实施保护，它利用一张网卡将对外服务器作为一个独立网络处理，对外服务器既是内部网络的一部分，又与内部网关完全隔离，这就是安全服务器网络(SSN)技术。而对SSN上的主机既可单独管理，也可设置成通过FTP、Tnlnet等方式从内部网上管理。

SSN方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多，因为SSN与外部网之间有防火墙保护，SSN与风部网之间也有防火墙的保护，而DMZ只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之，一旦SSN受破坏，内部网络仍会处于防火墙的保护之下，而一旦DMZ受到破坏，内部网络便暴露于攻击之下。4.8用户鉴别与加密

为了减低防火墙产品在Tnlnet、FTP等服务和远程管理上的安全风险，鉴别功能必不可少。第四代防火墙采用一次性使用的口令系统来作为用户的鉴别手段，并实现了对邮件的加密。

4.9用户定制服务

为了满足特定用户的特定需求，第四代防火墙在提供众多服务的同时，还为用户定制提供支持，这类选项有：通用TCP、出站UDP、FTP、SMTP等，如果某一用户需要建立一个数据库的，便可以利用这些支持，方便设置。

4.10审计和告警

第四代防火墙产品采用的审计和告警功能十分健全，日志文件包括：一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站、FTP、出站、邮件服务器、名服务器等。告警功能会守住每一个TCP或UDP探寻，并能以发出邮件、声响等多种方式报警。

此外，第四代防火墙还在网络诊断、数据备份保全等方面具有特色。

5．第四代防火墙技术的实现方法

在第四代防火墙产品的设计与开发中，安全内核、系统、多级过滤、安全服务器、鉴别与加密是关键所在。

5.1安全内核的实现

第四代防火墙是建立在安全操作系统之上的，安全操作系统来自对专用操作系统的安全加固和改造，从现在的诸多产品看，对安全操作系统内核的固化与改造主要从以下几个方面进行：

1)取消危险的系统调用；

2)限制命令的执行权限；

3)取消IP的转发功能；

4)检查每个分组的接口；

5)采用随机连接序号；

6)驻留分组过滤模块；

7)取消动态路由功能；

8)采用多个安全内核。

5.2系统的建立

防火墙不允许任何信息直接穿过它，对所有的内外连接均要通过系统来实现，为保证整个防火墙的安全，所有的都应该采用改变根目录方式存在一个相对独立的区域以安全隔离。

在所有的连接通过防火墙前，所有的要检查已定义的访问规则，这些规则控制的服务根据以下内容处理分组：

1)源地址；

2)目的地址；

3)时间；

4)同类服务器的最大数量。

所有外部网络到防火墙内部或SSN的连接由进站处理，进站要保证内部主机能够了解外部主机的所有信息，而外部主机只能看到防火墙之外或SSN的地址。

所有从内部网络SSN通过防火墙与外部网络建立的连接由出站处理，出站必须确保完全由它代表内部网络与外部地址相连，防止内部网址与外部网址的直接连接，同时还要处理内部网络SSN的连接。

5.3分组过滤器的设计

作为防火墙的核心部件之一，过滤器的设计要尽量做到减少对防火墙的访问，过滤器在调用时将被下载到内核中执行，服务终止时，过滤规则会从内核中消除，所有的分组过滤功能都在内核中IP堆栈的深层运行，极为安全。分组过滤器包括以下参数。

1)进站接口；

2)出站接口；

3)允许的连接；

4)源端口范围；

5)源地址；

6)目的端口的范围等。

对每一种参数的处理都充分体现设计原则和安全政策。

5.4安全服务器的设计

安全服务器的设计有两个要点：第一，所有SSN的流量都要隔离处理，即从内部网和外部网而来的路由信息流在机制上是分离的；第二，SSN的作用类似于两个网络，它看上去像是内部网，因为它对外透明，同时又像是外部网络，因为它从内部网络对外访问的方式十分有限。

SSN上的每一个服务器都隐蔽于Internet，SSN提供的服务对外部网络而言好像防火墙功能，由于地址已经是透明的，对各种网络应用没有限制。实现SSN的关键在于：

1)解决分组过滤器与SSN的连接；

2)支持通过防火墙对SSN的访问；

3)支持服务。

5.5鉴别与加密的考虑

鉴别与加密是防火墙识别用户、验证访问和保护信息的有效手段，鉴别机制除了提供安全保护之外，还有安全管理功能，目前国外防火墙产品中广泛使用令牌鉴别方式，具体方法有两种一种是加密卡(CryptoCard)；另一种是SecureID，这两种都是一次性口令的生成工具。



对信息内容的加密与鉴别则涉及加密算法和数字签名技术，除PEM、PGP和Kerberos外，目前国外防火墙产品中尚没有更好的机制出现，由于加密算法涉及国家信息安全和，各国有不同的要求。

6．第四代防火墙的抗攻击能力

作为一种安全防护设备，防火墙在网络中自然是众多攻击者的目标，故抗攻击能力也是防火墙的必备功能。在Internet环境中针对防火墙的攻击很多，下面从几种主要的攻击方法来评估第四代防火墙的抗攻击能力。

6.1抗IP假冒攻击

IP假冒是指一个非法的主机假冒内部的主机地址，骗取服务器的“信任”，从而达到对网络的攻击目的。由于第四代防火墙已经将网内的实际地址隐蔽起来，外部用户很难知道内部的IP地址，因而难以攻击。

6.2抗特洛伊木马攻击

特洛伊木马能将病毒或破坏性程序传入计算机网络，且通常是将这些恶意程序隐蔽在正常的程序之中，尤其是热门程序或游戏，一些用户下载并执行这一程序，其中的病毒便会发作。第四代防火墙是建立在安全的操作系统之上的，其内核中不能执行下载的程序，故而可以防止特洛伊木马的发生。必须指出的是，防火墙能抗特洛伊木马的攻击并不表明其保护的某个主机也能防止这类攻击。事实上，内部用户可以通过防火墙下载程序，并执行下载的程序。



6.3抗口令字探寻攻击

在网络中探寻口令的方法很多，最常见的是口令嗅探和口令解密。嗅探是通过监测网络通信，截获用户传给服务器的口令字，记录下来，以便使用；解密是指采用强力攻击、猜测或截获含有加密口令的文件，并设法解密。此外，攻击者还常常利用一些常用口令字直接登录。

第四代防火墙采用了一次性口令字和禁止直接登录防火墙措施，能够有效防止对口令字的攻击。

6.4抗网络安全性分析

网络安全性分析工具是提供管理人员分析网络安全性之用的，一旦这类工具用作攻击网络的手段，则能够比较方便地探测到内部网络的安全缺陷和弱点所在。目前，SATA软件可以从网上免费获得，InternetScanner可以从市面上购买，这些分析工具给网络安全构成了直接的威胁。第四代防火墙采用了地址转换技术，将内部网络隐蔽起来，使网络安全分析工具无法从外部对内部网络做分析。

6.5抗邮件诈骗攻击

邮件诈骗也是越来越突出的攻击方式，第四代防火墙不接收任何邮件，故难以采用这种方式对它攻击，同样值得一提的是，防火墙不接收邮件，并不表示它不让邮件通过，实际上用户仍可收发邮件，内部用户要防邮件诈骗，最终的解决办法是对邮件加密。

7．防火墙技术展望

伴随着Internet的飞速发展，防火墙技术与产品的更新步伐必然会加强，而要全面展望防火墙技术的发展几乎是不可能的。但是，从产品及功能上，却又可以看出一些动向和趋势。下面诸点可能是下一步的走向和选择：

1)防火墙将从目前对子网或内部网管理的方式向远程上网集中管理的方式发展。

2)过滤深度会不断加强，从目前的地址、服务过滤，发展到URL(页面)过滤、关键字过滤和对ActiveX、Java等的过滤，并逐渐有病毒扫描功能。

3)利用防火墙建立专用网是较长一段时间用户使用的主流，IP的加密需求越来越强，安全协议的开发是一大热点。

4)单向防火墙(又叫做网络二极管)将作为一种产品门类而出现。

5)对网络攻击的检测和各种告警将成为防火墙的重要功能。