基于智能型防火墙INTRANET网络安全技术的研究

包过滤型防火墙
包过滤 型 防 火 墙 位 于 网 络 级 与 逻 辑 层 的 网 络 层 （ ， &@ 层 ）
它一般由包检查模块实现， 该模块工作在网络层和数据链路层 它 要 抢 在 操 作 系 统 和 C;@ 层 之间， 也 就 是 C;@ 层 &@ 层 之 间 ， 即根据系统事先设定好的过滤逻辑， 检 之前对 &@ 包进行处理。 查数据流中的每个数据包， 再根据数据包的源地址、 目标地址、 以及包所使用端口确定是否允许该数据包通过。 包过滤防火墙 便是基于数据包过滤的防火墙。这类防火墙安全性非常好， 最
智能型防火墙的结构体系 # 智能型防火墙的结构描述 #$3
通过上述分析可知， 传统的包过滤型防火墙与应用代理服 务防火墙形式单一， 若是被外来黑客突破， 整个 %’()*’+( 网络就 会完全暴露给黑客， 而智能防火墙采用一种组合结构， 其结构 由内外路由器、 智能认证服务器、 智能主机和堡垒主机组成。 其 体系结 构 如 图 3 所 示 。 内 外 路 由 器 在 %’()*’+( 和 %’(+)’+( 网 之 。 信息服务器、 堡 间构筑出一个安全子网， 称为非军事区（ 456） 垒主机、 以及其它公 用 服 务 器 布 置 在 456 网 络 中 ， 578+)’ 组， 智能认证服务器安放在 %’()*’+( 网络中。
%
引言
&’()*’+( 的一个最关键的特征是其安全性。在企业 &’(p;’()*’+( 安全性与防火墙服务目的
的方案中， 应设计一个多层次， 多手段的全方位安全防护系统。 因为 随 着 &’(+)’+( 的 迅 速 发 展 和 广 泛 应 用 ， 其安全的重要性日 现在网络安全已成为影响网络技术进一步发展 益 显 现 出 来 ,%-， 和应用的关键因素之一。防火墙（ ./)+01*22） 技 术 是 一 种 行 之 有效的广泛使用的网络安全技术。 防火墙是一类防范措施的总 称， 是一种非常有效的网络安全模型。防火墙可以监控进出网 络通信量， 从而完成看似不可能的任务： 仅让安全、 核准了的信 息进入， 同时又抵制对企业构成威胁的数据。由于防火墙是一 种被动技术， 因为它假设了网络边界和服务， 因此， 对内部的非 法访问难以有效地控制，因此防火墙适合于相对独立的网络， 而 &’()*’+( 等种类是相对集中的网络。目前网络技术的普及虽 然提高了网络应用水平， 但也使网络攻击更加频繁， 攻击手段 攻破事件时有发生 ,!-， 更加高明， 网络被黑客（ 3*45+) 或 4)*45+)） 因此， 传统防火墙技术有待于进一步改进和提高， 论文就基于 防火墙 2’()*’+( 网络安全问题进行研究与探讨。
基于智能型防火墙 !"#$%"&# 网络安全技术的研究
郑崇伟 %
% !
蒋天发 !
（ 温州师范学院， 温州 #!D""# ） （ 中南民族大学计算机科学学院， 武汉 E#""FE ）
G0H*/2： I5AJKI(=L4MN’$+>N$4’
摘
要
论文先比较分析了传统防火墙所存在的缺点，讨论了 &’()*’+( 的网络层与应用层信息在防火墙安全策略制定
!$#
应用代理服务
基于应用代理的防火墙源于人们对越来越牢不可靠的安
全方法的需求。由于包过滤防火墙可以按照 %& 地址禁止未授 权者 的 访 问 ； 但 是 它 不 适 合 %’()*’+( 用 来 控 制 内 部 人 员 访 问 外 界的 网 络 ， 对 于 这 样 的 %’()*’+( 来 说 应 用 代 理 服 务 是 更 好 的 选 择。所谓应用代理服务， 即防火墙外的计算机系统应用层的链 接是在两个终止于应用代理服务的链接来实现的。 这样便成功 地实现了防火墙内外计算机系统的隔离。代理服务设置在 %’,
过程中综合应用的方法， 研究了防火墙过滤规则自动产生与自动配置的途径， 提出了一种基于智能型防火墙 &’()*’+( 网 络安全的方案及其模型和实现方法。它克服了传统防火墙对未列出的黑客攻击不予理会的等弊病。 关键词
&’()*’+(
网络安全技术
包过滤型防火墙
代理服务型防火墙
智能型防火墙
“ 非军事区”
(+)’+( 防火墙网关上的应用是在网管员允许下或拒绝的特定的
应用程序或者特定服务， 同时， 还可应用实施较强的数据流监 控、 过滤、 记录和报告等功能。 应用代服务通常由单独的计算机 和专有应用程序承担。 应用代理服务可提供更为安全的选项。 功能上是作为网络 与外部世界的连接者，它对于客户来说就象是一台真的服务 器， 而对外界的服务器来说， 它又是一台客户机。 当应用代理服 务器接受到用户的请求后会检查用户请求的站点是否符合设 定要求， 如果允许用户访问该站点， 应用代理服务器会象一个 客户一样去那个站点取回所需信息再转发给用户。 应用代理服 务器通常拥有高速缓存，缓存中存有用户经常访问站点的内 容， 在下一个用户要访问同样站点时， 其服务器就用不着重复 地去抓同样的内容， 既节约了时间也节约了网络资源。 但是， 随 着媒体服务的增多，应用代理服务的各种不便显得越来越明 显， 若增加一种新的媒体服务， 必须对应用代理服务器进行设 置， 这说明应用代理的防火墙不够灵活。应用代理的防火墙另 一个显著缺点是在处理通信量方面有瓶颈； 因而， 比包过滤型 防火墙慢得多。
%DO !""#$! 计算机工程与应用
大的优点就是它对于用户来说是透明的， 也就是说不需要用户 名和密码来登录， 这种防火墙速度快而且易于维护， 通常作为 第一道防线。 然而其弊端也是很明显的， 就是缺乏记帐功能， 通 常它没有用户的使用记录， 这样就不能从访问记录中发现黑客 的攻击记录。 而攻击一个单纯的包过滤式的防火墙对黑客来说 是比较容易的； 另外， 包过滤式的防火墙还具有配置繁琐的缺 点。它阻挡别人进入内部网络， 但也不告诉您何人进入您的系 统， 或者何人从内部进入网际网络。它可以阻止外部对私有网 络的访问， 却不能记录内部的访问。包过滤另一个关键的弱点 就是不能在用户级别上进行过滤， 即不能鉴别不同的用户和防 止 %& 地址盗用，包过滤型防火墙是某种意义上的绝对安全的 系统。
!$-
传统防火墙技术存在的主要问题
从上述分析可知， 传统防火墙存在以下主要问题： 其一， 防火墙系统不能利用网络状态和网络信息自动调整
-
智能型防火墙的工作原理及其实现方法
在 #$! 中 描 述 了 智 能 型 防 火 墙 中 的 内 外 路 由 器 的 工 作 过
规则 ； 其二， 包过滤防火墙效率高， 但规则难以制定； 应用代理 防火墙规则针对性强， 但是工作效能低； 其三， 包过滤防火墙过 滤时使用的信息单一， 包过滤堡垒主机 对外路由器 .+/ 服务 器与应用过滤时使用的信息不能互相利用； 其四， 防火墙工作 方式比较被动， 对于未列出的网络攻击不能及时制止； 防火墙 被攻破后， 不能及时发觉并控制。 为了解决上述问题， 探讨网络 与应用层信息在防火墙安全策略制定过程中综合应用的方法， 研究了防火墙过滤对内路由器规则自动产生， 自动配置的途径
&’()*’+( 安 全 性 主 要 包 括 ： 网 络 服 务 的 可 用 性 （ 67*2/*8/2/9 ，网络信息的保密 （ (: ） ;<’=/>+’(/*02/(: ）和网络信息的完整性 （ 等。 &’(+?)/(: ） 通常，防火墙服务于多个目的：其一，制止他人进入 &’9 过滤掉不安全服务和非法用户； 其二， 防止入侵者 ()*’+( 网 络 ，
!
比较传统的防火墙技术
基金项目： 国家民委科研资助基金（ 编号： KJ!""! ） 作者简介： 郑崇伟， 男， 浙江温州人， 温州师范学院副教授， 主要研究方向： 网络安全。蒋天发， 男， 湖北荆门人， 中南民族大学 %KDO 年生， %KDE 年生， 计算机科学学院教授， 中国高师电子学会常务副理事长， 主要研究方向： 智能控制与网络安全。
0-1
程及其实现方法；并由此可知， %’()*’+( 主机向 %’(+)’+( 主机连 接时， 使 用 同 一 个 %& 地 址 ； 相反地， %’(+)’+( 主 机 向 %’()*’+( 主 机连接时， 必须通过网关映射到 %’()*’+( 主机上。它使 %’(+)’+( 网络看 不 到 %’()*’+( 网 络 ， 从 而 隐 藏 了 %’()*’+( 网 络 。 无 论 何 时， 456 上 堡 垒 主 机 中 的 应 用 过 滤 管 理 程 序 可 通 过 安 全 隧 道 与 %’()*’+( 中的智能认证服务器进行双向保密通信，智能认证 服务器可以通过保密通信修改内外路由器的路由表及过滤规 则。 整个防火墙系统的协调工作主要由专门设计的应用过滤管 理程序和智能认证服务程序来控制执行， 其分别运行在堡垒主 计算机工程与应用 !""#$!
图3 智能防火墙体系结构
#$!
智能型防火墙中的内外路由器
目 前 %’()*’+( 网 络 采 用 的 9:& ; %& 协 议 族 潜 在 着 安 全 漏 洞
必 以及安全机制不健全， %’(+)’+( 网上的黑客趁机而入。为此， 须采用一系列的安全技术， 进行网络安全性管理与建设。外部 路由器用于防范通常的外部攻击， 例如， 源路由攻击、 源地址欺 在缺省情况下， 它只允许 骗等， 并管理 %’(+)’+( 到 456 的访问。 外部合法系统访问堡垒主机指定端口。 网络地址转换器也称为 现多 地址共享器或地址映射器， 初衷是为了解决 %& 地址不足， 用 于 网 络 安 全 。 而 内 部 路 由 器 则 用 于 456 与 %’()*’+( 之 间 的 保 护 %’()*’+( 不 受 456 和 %’(+)’+( 的 侵 害 ， 防止 %& 包 过 滤 等 ， 在 %’()*’+( 网 上 广 播 的 数 据 包 流 入 456 的 网 络 。 在 缺 省 情 况 下， 内部路由器允许任意主机的请求可以到达堡垒主机， 不允 许未经认证的外部主机的访问到达 %’()*’+( 网。