【软考】防火墙技术

1. 概念

• 1.防火墙(Firewall)是建立在内外网络边界上的过滤封锁机制，它认为内部网络是安全和可信赖的，而外部网络是不安全和不可信赖的。
• 2.防火墙的作用是防止不希望的、未经授权地进出被保护的内部网络，通过边界控制强化内部网络的安全策略。
• 3.防火墙作为网络安全体系的基础和核心控制设施，贯穿于受控网络通信主干线，对通过受控干线的任何通信行为进行安全处理，如控制、审计、报警和反应等，同时也承担着繁重的通信任务。
• 4.由于其自身处于网络系统中的敏感位置，自身还要面对各种安全威胁，因此，选用一个安全、稳定和可靠的防火墙产品，其重要性不言而喻。
• 5.防火墙技术经历了包过滤、应用代理网关和状态检测技术三个发展阶段。

2. 包过滤防火墙

• 1.包过滤防火墙一般有一个包检査块(通常称为包过滤器)，数据包过滤可以根据数据包头中的各项信息来控制站点与站点、站点与网络、网络与网络之间的相互访问，但无法控制传输数据的内容，因为内容是应用层数据，而包过滤器处在网络层和数据链路层(即 TCP 和 IP 层)之间。
• 2.通过检查模块，防火墙能够拦截和检查所有出站和进站的数据，它首先打开包，取出包头，根据包头的信息确定该包是否符合包过滤规则，并进行记录。对于不符合规则的包，应进行报警并丢弃该包。
• 3.过滤型的防火墙通常直接转发报文，它对用户完全透明，速度较快。
• 4.其优点是防火墙对每条传入和传出网络的包实行低水平控制；每个包的字段都被检查，例如源地址、目的地址、协议和端口等；防火墙可以识别和丢弃带欺骗性源 正地址的包；包过滤防火墙是两个网络之间访问的唯一来源；包过滤通常被包含在路由器数据包中，所以不需要额外的系统来处理这个特征。
• 5.缺点是不能防范黑客攻击，因为网管不可能区分出可信网络与不可信网络的界限；不支持应用层协议，因为它不识别数据包中的应用层协议，访问控制粒度太粗糙；不能处理新的安全威胁。

3. 应用代理网关防火墙

• 1.应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。
• 2.所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的 TCP连接，应用层的协议会话过程必须符合代理的安全策略要求。
• 3.应用代理网关的优点是可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强。
• 4.缺点是难以配置;处理速度非常慢。

4. 状态检测技术防火墙

• 1.状态检测技术防火墙结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，在不损失安全性的基础上，提高了代理防火墙的性能。
• 2.状态检测防火墙摒弃了包过滤防火墙仅考査数据包的IP地址等几个参数而不关心数据包连接状态变化的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。
• 3.状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力，同时也改进了流量处理速度。
• 4.因为它采用了一系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在一些规则复杂的大型网络上。
• 5.一个防火墙系统通常是由过滤路由器和代理服务器组成。
• 6.过滤路由器是一个多端口的P路由器，它能够拦截和检查所有出站和进站的数据。
• 7.代理服务器防火墙使用一个客户程序与特定的中间结点(防火墙)连接，然后中间结点与期望的服务器进行实际连接。
• 8.内部与外部网络之间不存在直接连接，因此，即使防火墙发生了问题，外部网络也无法获得与被保护的网络的连接。
• 9.典型防火墙的体系结构分为包过滤路由器、双宿主主机、屏蔽主机网关和被屏蔽子网等类型。