防火墻原理及其配置(編輯修改稿)

　

【文章內容簡介】 控、報警、 安全策略等 答復 Inter 請求 請求 內部網絡 應用層代理 代理防火墻工作示意圖 應用層 TCP層 IP層 數據鏈路層 物理層 5 4 3 2 1 輸入數據流 輸出數據流 代理防火墻作用在應用層，用來提供應用層服務的控制。其特點是完全“阻隔”了網絡通信流，通過對每種應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用，所以代理防火墻又被稱為應用代理或應用層網關型防火墻。 應用層網關型防火墻控制的內部網絡只接受代理服務器提出的服務請求，拒絕外部網絡其他點的直接請求。它同時提供了多種方法認證用戶。當確認了用戶名和密碼后，服務器根據系統的設置對用戶進行進一步的檢查，驗證其是否可以訪問本服務器。應用層網關型防火墻還對進出防火墻的信息進行記錄，并可由網絡管理員監視和管理防火墻的使用情況。實際中的應用網關通常由專用代理服務器來實現。 代理服務器的優點是可以檢查應用層、傳輸層和網絡層的協議特征，對數據包的檢測能力比較強。 其缺點有以下幾點。 (1) 難以配置，對用戶是不透明的。由于每個應用都要求單獨的代理進程，這就要求網絡管理員能理解每項應用協議的弱點，并能合理地配置安全策略。 (2) 處理速度比較慢。通常應用代理服務器的處理延遲會很大，對于像迅雷那種采用 P2P 多線程下載的軟件來講，如果使用代理服務器，則要占用代理服務器很大的資源，處理不好可能會導致死鎖。 (3) 針對不同的應用，需要建立不同的服務代理，以處理客戶端的訪問請求。 動態包過濾防火墻技術 在包過濾防火墻中提到的無法阻止 “ IP 欺騙 ”的攻擊，如果采用動態設置包過濾規則的方法，就可以避免這樣的問題。這種技術就是所謂的包狀態監測 (State Inspection)技術。 動態包過濾防火墻為了克服包過濾模式明顯的安全性不足的問題，不再只是分別對每 個進出的包簡單地對地址進行檢查，而是從TCP 連接的建立到終止都跟蹤檢測，并且根據需要可動態地增加或減少過濾規則。 使用狀態監測表這種方式提高了系統的性能，因為每一個數據包不是和規則庫比較，而是和狀態監測表比較。并且只有在 SYN 的數據包到來才和規則庫比較。狀態監測表是位于內核模式中的，所有的數據包與狀態檢測表的比較都在內核模式下進行，所以速度很快。結束連接時，當狀態監測模式監測到一個 FIN 或 RST 包的時候，減少時間溢出值，將設定的值 3600s 減少為60s。如果在這個周期內沒有數據包交換，則這個狀態檢測表項將會被刪除，如果有數據包交換，那么這個周期會被重新設置到 60s。如果需要繼續通信，這個連接狀態會被繼續以 60s 的周期維持下去。這種設計方式可以避免一些 DoS 攻擊。 帶狀態檢查包過濾技術 No 數據包到達防火墻接口 數據包是否屬于一個已經存在的連接 對數據包是否含有特定的 內容進行檢測 將數據包轉發到最終的目的地址并且更新對話表，進行日志記錄 策略集是否允許 數據包的內容 數據包到達防火墻接口 該數據包是否通過了規則集的檢測 拒絕該數據包， 進行日志記錄 Yes Yes No Yes Yes No 狀態檢測包過濾技術防火墻的工作邏輯流程圖 防火墻體系結構 通常防火墻是一組硬件設備，包括路由器、主計算機或者路由器、計算機和配有適當軟件的網絡設置等多種組合。防火墻中所使用的主計算機通常被稱為堡壘主機。 (1) 堡壘主機 (Bastion Host)是一種配置了案例防范措施的網絡上的計算機，為網絡間的通信提供了一個阻塞點。如果沒有堡壘主機，網絡之間將不能相互訪問。該主機可以配置成過濾型、代理型或混合型。 (2) 雙宿主主機 (DualHomed Host)。有兩個網絡接口的計算機系統，一個接口接內網，一個接口接外網。 (3) DMZ(Demilitarized Zone，非軍事區或停火區 )。在內網和外網之間增加一個子網。 目前，防火墻的體系結構一般有以下幾種。 (1) 雙重宿主主機體系結構。 (2) 被屏蔽主機體系結構。 (3) 被屏蔽子網體系結構。 雙重宿主主機體系結構 雙重宿主主機體系結構是圍繞具有雙重宿主的主機計算機而構筑的，該計算機至少有兩個網絡接口。這樣的主機可以充當與這些接口相連的網絡之間的路由器，它能夠從一個網絡向另一個網絡發送 IP 數據包。然而，實現雙重宿主主機的防火墻體系結構禁止這種發送功能，因而， IP 數據包從一個網絡(如 Inter)并不是直接發送到其他網絡 (如內部的、被保護的網絡 )。防火墻內部的系統能與雙重宿主主機通信，同時防火墻外部的系統 (在Inter上 )能與雙重宿主主機通信，但是這些系統不能直接互相通信，它們之間的 IP 通信被完全阻止。 雙重宿主主機的防火墻體系結構是相當簡單的：雙重宿主主機位于兩者之間，并且被連接到 Inter 和內部的網絡，如圖 所示。 雙宿 /多宿主機模式 特點：多宿主機又叫“堡壘主機”，至少擁有兩個網絡 接口卡。 外部網絡 多端口主機 內部 網絡 被屏蔽主機體系結構 雙重宿主主機體系結構提供來自多個網絡相連的主機的服務 (但路由關閉 )，而被屏蔽 主機體系結構通過使用一個單獨的路由器提供來自僅與內網相連的主機的服務。在這種體系結構中，主要的安全由數據包過濾，其結構如圖 所示。 屏蔽主機結構 內部 網絡 路由器充當 包過濾防火墻 外部網絡 這種體系結構允許數據包從 Inter 向內部網的移動，所以它的設計比雙重宿主主機體系結構似乎更冒風險。實際上，沒有外部數據包能到達內部網絡的雙重宿主主機體系結構，在防備數據包從外部網絡穿過內部網絡方面也容易產生失敗 (因為這種失敗類型是完全出乎預料的，不太可能防備黑客侵襲 )。進而言之，保衛路由器比保衛主機較易實現，因為它提供非常有限的服務組。多數情況下，被屏蔽的主機體系結構比雙重宿主主機體系結構具有更好的安全性和可用性。 然而，比較其他體系結構，如下面要討論的被屏蔽子網體系結構也是有一些缺點的。 主要是如果當侵襲者沒有辦法侵入堡壘主機時，而在堡壘主機和其余的內部主機之間沒有任何保護網絡安全的設備存在的情況下，路由器同樣出現單點失效問題。如果路由器被損害，整個網絡對侵襲者來說是開放的。 被屏蔽子網體系結構 被屏蔽子網體系結構添加額外的安全層到被屏蔽主機體系結構，即通過添加周邊網絡更進一步地把內部網絡和外部網絡 (通常是 Inter)隔離開。 被屏蔽子網體系結構最簡單的形式是這樣的：兩個屏蔽路由器，每一個都連接到周邊網。一個位于周邊網與內部網絡之間，另一個位于周邊網與外部網絡(通常為 Inter)之間。 這樣就在內部網絡與外部網絡之間形成了一個 “ 隔離帶 ” 。為了侵入用這種體系結構構筑的內部網絡，侵襲者必須通過兩個路由器。即使侵襲者侵入堡壘主機，它將仍然必須通過內部路由器，如圖 所示。 屏蔽子網型結構 DMZ 內部網絡 … 外部路由器 內部路由器 堡壘主機 (1) 周邊網絡。 周邊網絡是另一個安全層，是在外部網絡與用戶的被保護的內部網絡之間附加的網絡。 如果侵襲者成功地侵入用戶的防火墻的外層領域，周邊網絡就在侵襲者與用戶的內部系統之間提供一個附加的保護層。 (2) 堡壘主機。 在被屏蔽的子網體系結構中，用戶把堡壘主機連接到周邊網絡上，這臺主機便是接受來自外界連接的主要入口。例如以下幾方面。 ① 對于進來的電子郵件 (SMTP)會話，傳送電子郵件到站點。 ② 對于進來的 FTP 連接，轉接到站點的匿名FTP 服務器。 ③ 對于進來的域名服務 (DNS)站點查詢等。 另外，其出站服務 (從內部的客戶端到 Inter 上的服務器 )按如下任一方法處理。 ① 在外部和內部的路由器上設置數據包過濾來允許內部的客戶端直接訪問外部的服務器。 ② 設置代理服務器在堡壘主機上運行 (如果用戶的防火墻使用代理軟件 )來允許內部的客戶端間接地訪問外部的服務器。用戶也可以設置數據包過濾來允許內部的客戶端在堡壘主機上同代理服務器交談，反之亦然。但是禁止內部的客戶端與外部直接通信 (即撥號入網方式 )。 (3) 內部路由器。 內部路由器 (在有關防火墻著作中有時被稱為阻塞路由器 )保護內部的網絡使之免受 Inter 和周邊網絡的侵犯。 內部路由器為用戶的防火墻執行大部分的數據包過濾工作。它允許從內部網到 Inter的有選擇的出站服務。這些服務使用戶的站點能使用數據包過濾而不是代理服務安全支持和安全提供的服務。 內部路由器所允許的在堡壘主機 (在周邊網絡上 )和用戶的內部網之間服