正文內(nèi)容

防火墻的核心技術(已修改)

2025-10-29 22:08 本頁面

　

【正文】第一篇：防火墻的核心技術無論防火墻在網(wǎng)絡中如何部署，也無論防火墻性能差異如何巨大，縱觀防火墻發(fā)展的歷史，其核心技術都經(jīng)歷了包過濾、應用代理和狀態(tài)監(jiān)測三個階段。不同廠商的核心技術在其基礎上進行改革，正是這些改革，導致了防火墻產(chǎn)品在健壯性、可靠性、性能，甚至價格方面的巨大差異。簡單包過濾防火墻簡單包過濾技術對網(wǎng)絡層和傳輸層協(xié)議進行保護，對進出網(wǎng)絡的單個包進行檢查，具有性能較好和對應用透明的優(yōu)點，目前絕大多數(shù)路由器都提供這種功能。但是，由于它不能跟蹤TCP狀態(tài)，所以對TCP層的控制有漏洞。如當它配置了僅允許從內(nèi)到外的TCP訪問時，一些以TCP應答包的形式從外部對內(nèi)網(wǎng)進行的攻擊仍可以穿透防火墻。因此，它是一種淘汰技術，從1999年開始，主流防火墻產(chǎn)品中已經(jīng)很少使用該技術。據(jù)悉，美國國防部已經(jīng)明令禁止在其國防網(wǎng)內(nèi)使用這種產(chǎn)品。遺憾的是，我國還有大量的防火墻采用這種技術。筆者建議，在一些重要領域和行業(yè)，不要使用這種體系架構的防火墻。應用代理防火墻應用代理防火墻也可稱之為應用網(wǎng)關防火墻。應用代理的原理是徹底隔斷通信兩端的直接通信，所有通信都必須經(jīng)應用層代理層轉發(fā)，訪問者任何時候都不能與服務器建立直接的TCP連接，應用層的協(xié)議會話過程必須符合代理的安全策略要求。斷掉所有的連接，由防火墻重新建立連接，可以使應用代理防火墻具有極高的安全性。但是，這種高安全性是以犧牲性能和對應用的透明性為代價的。它不能支持大規(guī)模的并發(fā)連接，在對速度敏感的行業(yè)使用這類防火墻時簡直是災難。另外，防火墻核心要求預先內(nèi)置一些已知應用程序的代理，使得一些新出現(xiàn)的應用在代理防火墻內(nèi)被無情地阻斷，不能很好地支持新應用。在IT領域中，新應用、新技術、新協(xié)議層出不窮，代理防火墻很難適應這種局面。因此，在一些重要的領域和行業(yè)的核心業(yè)務應用中，代理防火墻正被逐漸疏遠。但是，自適應代理技術的出現(xiàn)讓應用代理防火墻技術出現(xiàn)了新的轉機，它結合了代理防火墻的安全性和包過濾防火墻的高速度等優(yōu)點，在不損失安全性的基礎上將代理防火墻的性能提高了10倍。目前，應用代理防火墻依然有很大的市場空間，仍然是主流的防火墻之一。尤其在那些應用比較單一（如僅僅訪問站點等）、對性能要求不高的中小企業(yè)內(nèi)部網(wǎng)中，具有實用價值。狀態(tài)監(jiān)測防火墻Check Point公司推出的新一代防火墻核心架構——狀態(tài)監(jiān)測防火墻，目前已經(jīng)成為防火墻的標準。這種防火墻在包過濾防火墻的架構之上進行了改進，它摒棄了包過濾防火墻僅考查進出網(wǎng)絡的數(shù)據(jù)包，而不關心數(shù)據(jù)包狀態(tài)的缺點，在防火墻的核心部分建立狀態(tài)連接表，并將進出網(wǎng)絡的數(shù)據(jù)當成一個個的會話，利用狀態(tài)表跟蹤每一個會話狀態(tài)。狀態(tài)監(jiān)測對每一個包的檢查不僅根據(jù)規(guī)則表，更考慮了數(shù)據(jù)包是否符合會話所處的狀態(tài)，因此提供了完整的對傳輸層的控制能力。狀態(tài)監(jiān)測技術還采用了一系列優(yōu)化技術，使防火墻性能大幅度提升，能應用在各類網(wǎng)絡環(huán)境中，尤其是在一些規(guī)則復雜的大型網(wǎng)絡上。因此，它是目前最流行的防火墻技術。目前，業(yè)界很多優(yōu)秀的防火墻產(chǎn)品都采用了狀態(tài)監(jiān)測體系結構，如Cisco的PIX防火墻、NetScreen防火墻等。從2000年開始，國內(nèi)的許多防火墻公司，如東軟、天融信等公司，都開始采用這一最新的體系架構。摘自《計算機世界》2002/10/7網(wǎng)絡通信如何鑒別防火墻功能差異有一些問題常令用戶困惑：在產(chǎn)品的功能上，各個廠商的描述十分雷同，一些“后起之秀”與知名品牌極其相似。面對這種情況，該如何鑒別？描述得十分類似的產(chǎn)品，即使是同一個功能，在具體實現(xiàn)上、在可用性和易用性上，個體差異地十分明顯。一、網(wǎng)絡層的訪問控制所有防火墻都必須具備此項功能，否則就不能稱其為防火墻。當然，大多數(shù)的路由器也可以通過自身的ACL來實現(xiàn)此功能。1．規(guī)則編輯對網(wǎng)絡層的訪問控制主要表現(xiàn)在防火墻的規(guī)則編輯上，我們一定要考察：對網(wǎng)絡層的訪問控制是否可以通過規(guī)則表現(xiàn)出來？訪問控制的粒度是否足夠細？同樣一條規(guī)則，是否提供了不同時間段的控制手段？規(guī)則配置是否提供了友善的界面？是否可以很容易地體現(xiàn)網(wǎng)管的安全意志？ 2．IP/MAC地址綁定同樣是IP/MAC地址綁定功能，有一些細節(jié)必須考察，如防火墻能否實現(xiàn)IP地址和MAC地址的自動搜集？對違反了IP/MAC地址綁定規(guī)則的訪問是否提供相應的報警機制？因為這些功能非常實用，如果防火墻不能提供IP地址和MAC地址的自動搜集，網(wǎng)管可能被迫采取其他的手段獲得所管轄用戶的IP與MAC地址，這將是一件非常乏味的工作。NAT（網(wǎng)絡地址轉換）這一原本路由器具備的功能已逐漸演變成防火墻的標準功能之一。但對此一項功能，各廠家實現(xiàn)的差異非常大，許多廠家實現(xiàn)NAT功能存在很大的問題：難于配置和使用，這將會給網(wǎng)管員帶來巨大的麻煩。我們必須學習NAT的工作原理，提高自身的網(wǎng)絡知識水平，通過分析比較，找到一種在NAT配置和使用上簡單處理的防火墻。二、應用層的訪問控制這一功能是各個防火墻廠商的實力比拼點，也是最出彩的地方。因為很多基于免費操作系統(tǒng)實現(xiàn)的防火墻雖然可以具備狀態(tài)監(jiān)測模塊（因為Linux、FreeBSD等的內(nèi)核模塊已經(jīng)支持狀態(tài)監(jiān)測），但是對應用層的控制卻無法實現(xiàn)“拿來主義”，需要實實在在的編程。對應用層的控制上，在選擇防火墻時可以考察以下幾點。1．是否

點擊復制文檔內(nèi)容

環(huán)評公示相關推薦

防火墻的核心技術(已修改)

防火墻技術畢業(yè)設計論文-資料下載頁

防火墻技術畢業(yè)設計論文-資料下載頁

防火墻技術與應用ppt課件-資料下載頁

防火墻技術與產(chǎn)品ppt課件-資料下載頁

山石防火墻命令-資料下載頁

數(shù)據(jù)庫防火墻技術研究-資料下載頁

多層防火墻技術的研究-狀態(tài)檢測論文-資料下載頁

防火墻技術及應用ppt-資料下載頁

多層防火墻技術的研究-狀態(tài)檢測論文-資料下載頁

防火墻消防標示-資料下載頁

信息系統(tǒng)安全技術--防火墻技術-資料下載頁

5防火墻策略-資料下載頁

windows防火墻設計-資料下載頁

防火墻參數(shù)詳解-資料下載頁

user-防火墻-資料下載頁

防火墻的核心技術(更新版)

防火墻的核心技術(專業(yè)版)

防火墻的核心技術(留存版)

防火墻的核心技術-文庫吧