论文：计算机网络安全与防火墙技术

计算机网络安全与防火墙技术『海√浪』℡12151833摘要:计算机网络的不断发展,加快了我国企业和全社会信息化的脚步,同时网络安全问题已成为信息时代人类共同面临的挑战,网络安全问题也日益突出。

全面分析了目前计算机网络安全问题『海√浪』℡,通过在网络上使用数据加密、网络存取控制等安全策略,以及运用防火墙技术来提高网络安全性能,从而保证网络的安全。

关键词:网络安全;策略;防火墙技术;包过滤Computer network security and firewall technologyYang Chengmin(Computer College & China West Normal University,Nanchong 623000,Sichuan)Abstract:With the development of computer network,network security has become one of the most important problems in tod ay’s information，the issue of network security is increasingly conspicuous.A comprehensive analysis of the current computer network security issues, the network through the use of data encryption, access 『海√浪』℡control, network security strategy, and the use of firewall technology to improve network security, thus ensuring network security.Key words:network security; strategy; firewall technology; packet filtering一、引言随着计算机应用范围的扩大和计算机网络的飞速发展,计算机信息技术正在不断改变着人们的工作、学习和生活方式,使人们的工作效率大为提高,信息资源得到最大程度的共享。

但必须看到,紧随信息技术的发展而带来的网络安全问题日渐突出,如果不很好地解决这个问题,必将阻碍计算机网络化发展的进程，同时也会产生很多不必要的经济损失（附录一）。

二、网络安全网络安全概述:目前网络信息安全不仅从一般性的防卫变成了一种非常普遍的防范，而且还从一种专门的领域变成了无处不在。

当人类步入２１世纪这一信息社会、网络社会的时候，我国将建立起一套完整的『海√浪』℡网络安全体系，特别是从政策上和法律上建立起有自己特色的网络安全体系。

信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。

在构建信息防卫系统时，应着力发展自己独特的安全产品，网络安全产品有以下几大特点：第一，网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了；第二，网络的安全机制与技术要不断地变化；第三，随着网络在社会各方面的延伸，进入网络的手段也越来越多。

因此，网络安全技术是一个十分复杂的系统工程，安全产业将来也是一个随着新术发展而不断发展的产业。

信息安全是网络发展所面临的一个重要的作用.(一)网络安全的定义网络安全从本质上来讲就是网络上的信息安全,就是指网络系统中流动和保存的数据,不受到偶然的或者恶意的破坏、泄露、更改,系统连续正常的工作,网络服务不中断。

从广义上来说,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。

(二)影响网络的安全因素网络中的主机可能会受到非法『海√浪』℡入侵者的攻击,网络中的敏感数据有可能泄露或被修改,从内部网向公共网传送的信息可能被他人窃听或篡改等等。

以上这些影响网络安全的隐患都是网络系统自身存在的安全弱点和系统在使用管理过程中的失误或疏漏而导致的。

影响网络安全的主要因素包括:1. 信息泄密。

主要表现为网络上的信息被窃听,这种仅窃听而不破坏网络中传输信息的网络侵犯者被称为消极侵犯者。

2. 信息被篡改。

这是纯粹的信息破坏,这样的网络侵犯被称为积极侵犯者。

积极侵犯者截取网上的信息包,并对之进行更改使之失效,或者故意添加一些有利于自已的信息,起到信息误导的作用,其破坏作用最大。

3. 传输非法信息流。

只允许用户同『海√浪』℡其他用户进行特定类型的通信,但禁止其它类型的通信,如允许电子邮件传输而禁止文件传送。

4. 网络资源的错误使用。

如不合理的资源访问控制,一些资源有可能被偶然或故意地破坏。

5. 非法使用网络资源。

非法用户登录进入系统使用网络资源,造成资源的消耗,损害了合法用户的利益。

6. 环境影响。

自然环境和社会环境对计算机网络都会产生极大的不良影响。

如恶劣的天气、灾害、事故会对网络造成损害和影响。

7. 软件漏洞。

软件漏洞包括以下几个方面:操作系统、数据库及应用软件、TCP/IP协议、网络软件和服务、密码设置等的安全漏洞。

这些漏洞一旦遭受电脑病毒攻击,就会带来灾难性的后果。

8. 人为安全因素。

除了技术层面上的原因外,人为的因素也构成了目前较为突出的安全因素,无论系统的功能是多么强大或者配备了多少安全设施,如果管理人员不按规定正确地使用,甚至人为泄露系统的关键信息,则其造成的安全后果是难以估量的。

这主要表现在管理措施不完善,安全意识淡薄,管理人员的误操作等。

三、目前主要的网络安全策略安全策略是指在一个特定的环境里,为保证提供一定级别的安全保护所必须遵守的规则。

网络系统随时会受到各种攻击,安全策略也在不断的完善,使用单一的安全策略不可能很好地对系统起到『海√浪』℡保护作用,往往需要多种措施配合使用。

(一)数据加密（附录二）数据加密是网络系统中一种比较有效的数据保护方式,目的是为了防止网络数据的篡改、泄露和破坏。

通常数据加『海√浪』℡密采用链路加密、端端加密、节点加密和混合加密方式。

1.链路加密链路加密是传输数据仅在物理层前的数据链路层进行加密。

接收方是传送路径上的各台节点机，信息在每台节点机内都要被解密和再加密，依次进行，直至到达目的地。

使用链路加密装置能为某链路上的所有报文提供传输服务。

即经过一台节点机的所有网络信息传输均需加『海√浪』℡、解密，每一个经过的节点都必须有密码装置，以便解密、加密报文。

如果报文仅在一部分链路上加密而在另一部分链路上不加密，则相当于未加密，仍然是不安全的。

与链路加密类似的节点加密方法，是在节点处采用一个与节点机相连的密码装置（被保护的外围设备）,密文在该装置中被解密并被重新加密，明文不通过节点机，避免了链路加密关节点处易受攻击的缺点。

对于在两个网络节点间的某一次通信链路,链路加密能为网上传输的数据提供安全保证。

对于链路加行『海√浪』℡解密,然后先使用下一个链路的密钥对消息进行加密,再进行传输。

所有消息在被传输之前进行加密,在每一个节点对接收到的消息进的地之前,一条消息可能要经过许多通信链路的传输。

由于在每一个中间传输节点消息均被解密后重新进行加密,因此,包括路由信息在内的链路上的所有数据均以密文形式出现。

这样,链路加密就掩盖了被传输消息的源点与终点。

由于填充技术的使用以及填充字符在不需要传输数据的情况下就可以进行加密,这『海√浪』℡使得消息的频率和长度特性得以掩盖,从而可以防止对通信业务进行分析。

尽管链路加密在计算机网络环境中使用得相当普遍,但它并非没有问题。

链路加密通常用在点对点的同步或异步线路上,它要求先对在链路两端的加密设备进行同步,然后使用一种链模式对链路上传输的数据进行加密。

这就给网络的性能和可管理性带来了副作用。

在线路/信号经常不通的海外『海√浪』℡或卫星网络中,链路上的加密设备需要频繁地进行同步,带来的后果是数据丢失或重传。

另一方面,即使仅一小部分数据需要进行加密,也会使得所有传输数据被加密。

在一个网络节点,链路加密仅『海√浪』℡在通信链路上提供安全性,消息以明文形式存在,因此所有节点在物理上必须是安全的,否则就会泄漏明文内容。

2.端端加密端到端加密允许数据在从源点到终点的传输过程中始终以密文形式存在。

采用端到端加密(又称脱线加密或包加密),消息在被传输时到达终点之前不进行解密,因为消息在整个传输过程中均受到保护,所以即使有节点被损坏也不会使消息泄露。

端到端加密系统的价格便宜些,并且与链路加密和节点加密相比更可靠,更容易设计、实现和维护。

端『海√浪』℡到端加密还避免了其它加密系统所固有的同步问题,因为每个报文包均是独立被加密的,所以一个报文包所发生的传输错误不会影响后续的报文包。

此外,从用户对安全需求的直觉上讲,端到端加密更自然些。

单个用户可能会选用这种加密方法,以便不影响网络上的其他用户,此方法只需要源和目的节点是保密的即可。

端到端加密系统通常不允许对消息的目的地址进行加密,这是因为每一个消息所经过的节点都要用此地址来确定如何传输消息。

由于这种加密方法不能掩盖被传输消息的源点与终点,因此它对于防止攻击者分析通信业务是脆弱的。

3.节点加密尽管节点加密能给网络数据提供较高的安全性,但它在操作方式上与链路加密是类似的两者均在通信链路上为传输的消息提供安全性;都在中间节点先对消息进行解密,然后进『海√浪』℡行加密。

因为要对所有传输的数据进行加密,所以加密过程对用户是透明的。

然而,与链路加密不同,节点加密不允许消息在网络节点以明文形式存在,它先把收到的消息进行解密,然后采用另一个不同的密钥进行加密,这一过程是在节点上的一个安全模块中进行。

节点加密要求报头和路由『海√浪』℡信息以明文形式传输,以便中间节点能得到如何处理消息的信息。

因此这种方法对于防止攻击者分析通信业务是脆弱的。

4.混合加密混合加密是采用链路加密和端端加密相结合的混合加密方式,可以有效的保护报头中的敏感数据,获得更高的安全性。

(二)网络存取控制（附录三）网络的存取控制就是对『海√浪』℡网络上的用户进行身份识别,防止非法用户进入系统而使数据泄密或破坏网络数据。

目前的存取控制方法较多,但常用的技术有:身份识别、数字签名、存取权限控制等。

1.身份识别。

身份识别是安全系统应具备的最基本功能。

这是验证通信双方身份的有效手段,用户向其系统请求服务时,要出示自己的身份证明,例如输入UserID和Password。

而系统应具备查验用户的『海√浪』℡身份证明的能力,对于用户的输入,能够明确判别该输入是否来自合法用户。

2. 数字签名。

数字签名是采用电子形式的签名,可以用密码形式实现,安全性更高。

数字签名方式可以用单密钥和双密钥体制。