信息安全11

目录1 防火墙的概念 (2)1.1 防火墙的工作原理 (2)2 防火墙技术的发展状况 (3)3 防火墙的分类及优缺点 (3)3.1 包过滤型 (3)3.2 代理型 (4)3.3 监测型 (5)4 防火墙发展的新技术趋势 (5)4.1 模式转变 (5)4.2 功能扩展 (5)4.3 性能提高 (6)5 防火墙的作用 (6)6 结束语 (6)参考文献 (7)常用的防火墙技术的概述及其原理摘要：随着计算机网络的发展，网络上的信息是越来越多，而如何保证信息的安全，防火墙作为网络安全的关键技术，受到越来越多的关注。

本文从防火墙技术的概念和分类入手，针对防火墙的发展，探讨了防火墙的类别，对比分析了常用防火墙技术的优缺点，简单阐述了防火墙的作用。

关键词：防火墙的概念；防火墙分类；防火墙作用1 防火墙的概念随着信息化进程的深入和互联网的迅速发展，人们对网络的利用是越来越多，通过网络丰富了生活，信息资源得到了最大程度的共享。

但必须看到，紧随信息技术发展而来的网络安全问题日渐突出：病毒泛滥、垃圾邮件、层出不穷的黑客攻击事件给个人及企业带来了无以估计的损失。

防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，其核心思想是在不安全的网络环境中构造一个相对安全的子网环境，它是防御网络信息遭受攻击的有效手段，越来越多地应用于专用网络与公用网络的互连环境中。

在网络中，防火墙是通过提供访问控制服务来实现对内部网络的安全防护的，它已经在Internet上得到了广泛的应用，但它不是解决所有网络安全的万能药方，而只是网络安全策略的一个组成部分，防火墙技术不仅可融入加密传输技术和认证技术，而且可结合安全协议，以提供更高的安全性。

防火墙是一种网络安全设施，是执行访问控制策略的一个或一组软、硬件系统。

其主要手段是通过放置于网络拓扑结构的合适节点上，使其成为内外通讯的唯一途径，从而隔离内部和外部网络。

并按照根据安全策略制定的过滤规则（访问控制规则）对经过它的信息流进行监控和审查，过滤掉任何不符合安全规则的信息，以保护内部网络不受外界的非法访问和攻击。

防火墙是一种建立在被认为是安全可信的内部网络和被认为是不太安全可信的外部网络（Internet）之间的访问控制机制，是安全策略的具体体现。

[1]1.1 防火墙的工作原理一般说来，防火墙包括如下几个组成部分（见图1.1）。

过滤器（filter)（有时称为屏蔽）用于阻断一定类型的通信传输。

网关是一台或一组机器，它提供中继服务，以补偿过滤器的影响。

驻有网关的网络常被叫作非军事区（DMZ），DMZ 中的网关有时还由一个内部网关协助工作。

一般情况下，两个网关通过内部过滤器到内部的连接比外部网关到其它内部主机的连接更为开放。

外部过滤器可用来保护网关免受攻击，而内部过滤器用来应付一个网关遭到破坏后所带来的后果，两个过滤器均可保护内部网络，使之免受攻击。

一个暴露的网关机器通常被叫做堡垒机。

[3]图1.1 防火墙的基本组成部分2 防火墙技术的发展状况防火墙技术的发展大致可分为三个阶段。

第一代防火墙是包过滤型防火墙，作用于网络层上。

由于发展得最早，所以是目前最成熟的防火墙核心技术之一。

第二代防火墙是代理型防火墙，也就是所谓的代理网关。

很多软件防火墙都可归于此类。

第三代防火墙是基于状态检查技术的包过滤器，是一种更复杂的包过滤器，提供对从网络层到应用层进行全面检查的能力，是目前防火墙技术的发展趋势之一。

防火墙技术的另一发展趋势是与安全协议的结合，这种访问控制和通讯安全技术的结合可以提供更高的网络安全性，已开始成为当今网络安全技术的潮流和热点。

其中特别引人瞩目的是状态检查包过滤技术和网络安全协议的结合。

[2]3 防火墙的分类及优缺点防火墙从其实现的原理和方法上，可分为以下类别。

下面将逐一介绍。

3.1 包过滤型包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术，包过滤一般在路由器上实现，其原理和结构如图3.1所示：图3.1包过滤工作在网络层和逻辑链路层之间，截获所有数据包，每一个数据包都会包含一些特定信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。

通过读取数据包中的数据来过滤所需的相关信息，然后依次按顺序与事先设定的访问控制规则进行一一匹配比较，如果与某条规则相匹配，便执行其规定的动作（如：接收/拒绝、日志等），系统管理员也可以根据实际情况灵活订制判断规则。

包过滤技术的优点是简单实用，实现成本低，速度快，性能高。

由于只对数据包的IP地址、TCP/UDP协议与端口进行分析，不检测应用层信息，因而包过滤防火墙的处理速度较快，并且易于配置，并且对应用程序透明。

但包过滤技术的缺陷也是明显的。

安全性低，包过滤技术是一种完全基于网络层的安全技术，只能根据数据包的的来源、目标和端口等网络信息进行判断，无法识别基于应用层的的恶意侵入，不能识别IP地址的欺骗；不能根据状态信息进行控制，简单包过滤防火墙不建立连接状态表，前后报文无关，所以不能处理新的安全威胁；还有伸缩性差，维护不直观等缺陷。

3.2 代理型代理型防火墙也可以被称为代理服务器，其技术依据是应用代理技术。

开始向应用层发展，其原理和结构如图3.2所示：图3.2代理型防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。

由于外网与内网之间没有直接的数据通道，外网的恶意侵害也就很难伤害到内网中的系统。

代理型防火墙的优点是安全性较高，可以针对应用层进行检测和扫描，对付基于应用层的侵入和病毒都十分有效。

其缺点是对系统的整体性能有较大的影响，对网络层和传输层的保护减弱了，而且代理型防火墙必须针对客户机可能产生的所有应用类型逐一进行设置，大大增加了系统管理的复杂性。

3.3 监测型监测型防火墙是新一代的产品，这一技术已经超越了最初防火墙的定义。

其技术依据是对各层的数据进行主动的、实时的监测，在对这些数据加以分析的基础上，监测型防火墙能够有效地判断出各层中的非法侵入。

同时，这种监测型防火墙一般还带有分布式探测器，这些探测器安置在各种应用服务器和其它网络的节点之中，不仅能够检测出来自外网的攻击，对来自内网的恶意破坏也有极强的防范作用。

监测型防火墙不仅超越了传统防火墙的定义范畴，而且在安全性上也超越了前两代产品。

4 防火墙发展的新技术趋势4.1 模式转变传统的防火墙通常都是设置在网络的边界位置，不论是内网与外网的边界，还是内网中的不同子网的边界，以数据流进行分隔，形成安全管理区域。

但这种设计的最大问题是，恶意攻击的发起不仅仅来自于外网，内网环境同样存在着很多安全隐患，而对于这种问题，边界式防火墙处理起来是比较困难的，所以现在越来越多的防火墙产品也开始体现出一种分布式结构，即分布式防火墙，它以网络节点为保护对象，可以最多限度地覆盖需要保护的对象，大大提升安全防护强度。

4.2 功能扩展现在的防火墙产品已经呈现出一种集成多种功能的设计趋势，包括VPN、AAA、PKI、IPSec等附加功能，甚至防病毒、入侵检测这样的主流功能，都被集成到防火墙产品中了，即其已经逐渐向我们普遍称之为IPS（入侵防御系统）的产品转化了。

有些防火墙集成了防病毒功能，这样的设计会对管理性能带来不少提升，但同时也对防火墙的性能和自身的安全问题产生了影响，所以应该根据具体的情况来做综合的权衡。

4.3 性能提高未来的防火墙产品由于在功能上的扩展，以及应用日益丰富、流量日益复杂所提出的更多的性能要求，诸如并行处理技术等经济实用并且经过足够验证的性能提升手段将越来越多的应用在防火墙平台上来，相对来说，单纯的流量过滤性能是比较容易处理的问题，而与应用层涉及越密，性能提高所需要面对的情况就会越复杂；在大型应用环境中，防火墙的规则库至少有上万条记录，而随着过滤的应用种类的提高，规则数往往会以趋于几何级数的程度上升，这对防火墙的负荷是很大的考验，使用不同的处理器完成不同的功能可能是解决办法之一，另外除了硬件因素外，规则处理的方式及算法也会对防火墙性能造成很明显的影响，所以在防火墙的软件部分也将会融入更多先进的设计技术，并衍生出更多的专用平台技术，以期缓解防火墙的性能要求。

5 防火墙的作用(1) 执行安全策略，提供访问控制，防止不希望的、未授权的通信进出被保护的网络，强化内部网络安全。

(2) 防火墙可集中网络安全，由它根据安全策略统一为整个内部网络提供安全保护和服务；另外可在它上面融入加密传输和认证，以及安全协议等其它安全技术，这样比将安全分散到各主机更经济，更易于管理。

(3) 对网络的使用和误用提供记录和统计，并在探测到试探或攻击等可疑行为时，提供报警。

这些信息对控制和管理防火墙是很重要的，通过它们可了解防火墙是否能抵挡攻击者的攻击，其访问控制是否充足等，并且它们为以后的需求和安全分析提供了实际的基础数据。

[5]6 结束语防火墙技术已经广泛地应用到各行各业，但选择什么类型的防火墙来保障网络安全是用户需要深入研究的问题，期望通过本文的介绍，能够让各行各业的用户更加清楚地了解防火墙，并根据自己的特征来选择防火墙。

参考文献：[1] 蒋朝惠，武彤，王晓鹏，等．信息安全原理与技术 [M] ．中国铁道出版社，2009.[2] 戴蓉，黄成．防火墙的分类和作用 [D]．中国民用航空飞行学院计算机学院，2009．[3] 王龙．防火墙的工作原理与选择 [D]．河南：安阳师范学院计算机与信息工程学院，2010．[4] 苏醒，周祖荣．防火墙技术研究 [J]．山东：青岛科技大学，2010．[5] 吴淼．浅谈网络防火墙技术 [D]．陕西：西安电子科技大学，2009．。