第十一章 防火墙技术

（1）防火墙的安全策略
① 拒绝没有特别允许的任何事情（No规则） 假定防火墙应该阻塞所有的信息，只允许 符合开放规则的信息进出。 ② 允许没有特别拒绝的任何事情（Yes规则）
假定防火墙只禁止符合屏蔽规则的信息， 而转发所有其他的信息。
IP包
IP包
防火墙规则表
防火墙规则表
匹配规则1？ N
Y
匹配规则1？ N
Y
Y 匹配规则2？ N 匹配规则3？ N 拒绝 接受 Y 匹配规则2？ N 匹配规则3？ N 接受
Y
Y
拒绝
(a) No 规则
(b) Yes 规则
图11-3 防火墙基本规则
（2）机构的安全策略
① Internet防火墙并不是独立的，它只是机构总 体安全策略的一部分。 ② 安全策略必须建立在精心进行的安全分析、 风险评估以及商业需求分析基础之上。 ③ 机构能够负担起什么样的防火墙？
防火墙
过 滤
过 滤
内部网
外部网
图11-1 防火墙示意图
防火墙的基本属性：
（1）防火墙是不同网络或网络安全域之间信息 流通过的唯一出入口，所有双向数据流必须经 过它。 （2）只有被授权的合法数据，即防火墙系统中 安全策略允许的数据，才可以通过。 （3）防火墙系统本身是免疫的，即防火墙本身 具有较强的抗攻击能力。
第十一章 防火墙技术
本章内容：
防火墙的基本概念
防火墙的基本原理 防火墙的体系结构 防火墙的部署和应用
11.1 防火墙概述
1、概念
防火墙一般是指在两个网络间执行访问控制策略 的一个或一组系统，是架设在用户内部网络和外部公 共网络之间的屏障，提供两个网络之间的单点防御， 对其中的一个网络提供安滤防火墙的应用特点
主要优点： 由于静态包过滤防火墙只是简单根据网络地址、 协议和端口进行访问控制，所需进行的处理较 少，因此对网络性能的影响比较小，处理速度 快，硬件和软件都容易实现。 成本较低，配置和使用方法简单，客户端不需 要进行特别配制。 可以提供附加的网络地址映射功能，可以隐藏 内部网络结构。
主要缺点： 不能理解应用层协议，不能对数据分组中更高 层的信息进行分析过滤，因而安全性差。 不能跟踪连接状态和与应用有关的信息。 在支持网络服务的情况下，或者使用动态分配 端口服务的情况下，很难测试用户指定的访问 控制规则的有效性。 过滤规则较多、较复杂的情况下，会引起网络 性能的下降。
（2）状态检测防火墙
① 静态包过滤防火墙存在的问题 不能识别现有的请求是否是已建立 连接的请求。 ② 状态检测防火墙的解决问题的方法 状态检测防火墙使用一种机制保持 跟踪连接的状态。
③ 状态检测防火墙的工作过程
首先利用规则表进行数据包的过滤，如果某个数据 包在进入防火墙时，规则表拒绝它通过，则防火墙将直 接丢弃该数据包，与该数据包相关的后续数据包同样会 被拒绝通过。如果某个数据包在进入防火墙时，与该规 则表中的某一条规则相匹配，并允许其通过。此时，状 态检测防火墙会分析已通过的数据包的相关信息，并在 连接状态表中为这次通信过程建立一个连接。之后当同 一通信过程中的后续数据包进入防火墙时，状态检测防 火墙不再进行规则表的匹配，而是直接与状态表进行匹 配。由于后续的数据包与已经允许通过防火墙的数据包 具有相同的连接信息，所以会直接允许其通过。
主要缺点：
对防火墙CPU、内存等硬件要求较高， 安全性主要依赖于防火墙操作系统的安全性， 安全性不如代理防火墙。
4．代理型防火墙
（1）应用级网关防火墙 ① 应用级网关防火墙的工作原理 应用层网关防火墙在接受网络连接之前，先 在应用层检查网络分组中包含的有效数据，并在 连接建立的整个期间检查应用层分组内容，维护 详细的连接状态和序列信息。所有调用服务的通 信都必须经过网关中的客户机和服务器代理程序 过滤。应用层网关防火墙中的代理仅接收、传递 和过滤由特定服务生成的数据包。
主要缺点：
代理服务可能引入不可忽略的处理延时，进入
的分组需被处理两次（应用程序和其代理）， 这样可能会成为网络的瓶颈。
对不同的应用服务需要编写不同的代理程序，
适应性差，而且无法提供基于UDP、RPC或其它 协议族的代理程序。
用户配置较为复杂，增加了系统管理的工作量。
（2）电路级网关防火墙
服务器
防火墙 代理服务器
客户端代理
客户机
图11-4 代理技术示意图
3．过滤型防火墙
（1）静态包过滤防火墙
① 静态包过滤防火墙的工作原理 它一般工作在TCP/IP协议的IP层。通 常是一台有能力过滤数据包某些内容的路 由器。当执行包过滤时，包过滤规则被定 义在防火墙上，这些规则用来匹配数据包 内容以决定哪些包被允许，哪些包被拒绝。
当代理服务器接收到所请求的Web页面后，它并不是 将这个IP包发往最初的请求客户，而是对返回的数据进 行一些管理员所设置的安全检查。如果通过了检查，代 理服务器就用它的本地网络适配器作为源地址创建一个 新的IP包，将页面数据发送到客户。 代理服务器的工作是双向的。可以使用代理服务器 来控制内部网络哪些用户可以建立因特网的请求，也可 以使用它来决定哪些外部客户或者主机可以向内部网络 发送服务请求。在这两种情况下，这两个网络之间都没 有直接的IP包通过。
① 电路级网关的工作原理
电路级网关的电路指的是虚电路,在TCP/ IP 协议之 中,当TCP 或UDP 发起(open) 一个连接前,验证该会话的可 靠性。只有在三次握手被验证为合法且握手完成之后,才允 许数据的通过。一次会话建立之后,此会话的信息被写入防 火墙维护的有效连接表中。数据包只有在它所含的会话信 息符合该有效连接表的某一入口时,才允许通过。会话结束 后,该会话在表中的入口被删除。电路级网关只对连接会话 层进行验证。一但验证通过,在该连接上可以运行任何应用 程序。
按照防火墙在网络中的应用部署位 置，可以将防火墙分为如下3类： 边界防火墙 个人防火墙 混合防火墙
3、防火墙的功能
防火墙通过如下4种技术来控制访问和执行站点 安全策略： （1）服务控制——确定可以访问的网络服务类型。防 火墙可以在IP地址和TCP端口号的基础上过滤通信量。 （2）方向控制——确定特定的服务请求通过防火墙流 动的方向。 （3）用户控制——根据哪个用户尝试访问服务来控制 对于一个服务的访问。 （4）行为控制——控制怎样使用特定的服务。
应用客户端 发送 方法通报
Socks v5 检查策略
应用服务器
方法验证
发送 所选方法
SocksV4协议的功能：

防火墙技术的发展阶段：
动态包过滤 应用层防火墙 包过滤 电路级防火墙 分布式防火墙 自治代理防火墙
1980(年）
1990
2000
图11-2 防火墙技术的发展阶段
2、防火墙的分类
从软、硬件形式上可以把防火墙分为如下3类： 软件防火墙 硬件防火墙 芯片级防火墙
按照防火墙在网络协议栈进行过滤 的层次不同，可以把防火墙分为如下3类： 包过滤防火墙 电路级网关防火墙 应用层网关防火墙
若有需要，电路级网关提示用户进行身份认证。 用户通过身份认证后，电路级网关为目的URL发出一
个DNS请求，然后用自己的IP地址和目的IP地址建立 一个连接。
电路级网关然后把目的URL服务器的应答转给用户。
③ 电路级网关的应用特点
主要优点： 在OSI上实现的层次较高，可以对更多的元素进行过 滤，同时还提供认证功能，安全性比静态包过滤防火 墙高； 不需要对不同的应用设置不同的代理模块，比应用层 网关防火墙具有优势。 切断了外部网络到防火墙后面服务器的直接连接，使 数据包不能在服务器与客户机之间直接流动，从而保 护了内部网络主机； 可以提供网络地址映射功能。
4.防火墙的局限性
（1）防火墙会限制有用的网络服务。 （2）防火墙无法防护内部网络用户的攻击。 （3）防火墙无法防范通过防火墙以外的其他途 径的攻击。 （4）防火墙不能防止传送已感染病毒的软件或 文件。 （5）防火墙无法防范数据驱动型的攻击。
（6）防火墙不能防备新的网络安全问题。
5.防火墙的设计原则
主要缺点：
无法进行高层协议的严格安全检查，如无法对
数据内容进行检测，以抵御应用层的攻击；
对访问限制规则的测试较为困难。
④电路级网关的实例
电路级网关的实现典型是Socks协议，目 前已发展到第五版，它是IETF认可的、标准 的、基于TCP/IP的网络代理协议。 Socks包括两个部件：Socks服务器和 Socks客户端。Socks服务器在应用层实现，而 Socks客户端的实现位于应用层和传输层之间。 Socks协议的基本目的就是让Socks服务器两边 的主机能够互相访问，而不需要直接的IP互联，
②应用层网关防火墙的应用特点
主要优点： 不允许内部网络主机和外部网络服务器之间的直 接连接，可隐藏内部地址，安全性高。 可以被设置来记录所提供的服务和相关信息，产 生丰富的审计记录并且对可疑活动和未授权的访 问进行报警。 可以筛选返回数据的内容，并阻塞对某些站点的 访问，也能够阻塞包含已知病毒和其他可疑对象 的包。
电路级网关
Out 外部连接 外部主机 Out Out
In In In
内部连接
内部主机
图11-8 电路级网关防火墙示意图
② 电路级网关的工作过程
假定有一用户正在试图和目的URL进行连接。 此时，该用户所使用的客户应用程序不是为这个URL
发出的DNS请求，而是将请求发到地址已经被解析的 电路级网关的接口上。
防火墙的功能：
（1）Internet防火墙允许网络管理员定义一个中心 “扼制点”来防止非法用户进入内部网络。 （2）在防火墙上可以很方便地监视网络的安全性，并 产生报警。 （3）防火墙可以作为部署网络地址转换的逻辑地址。 （4）防火墙是审计和记录Internet使用量的一个最佳 地方。 （5）防火墙也可以成为向客户发布信息的地点。