防火墙的核心技术

无论防火墙在网络中如何部署，也无论防火墙性能差异如何巨大，纵观防火墙发展的历史，其核心技术都经历了包过滤、应用代理和状态监测三个阶段。

不同厂商的核心技术在其基础上进行改革，正是这些改革，导致了防火墙产品在健壮性、可靠性、性能，甚至价格方面的巨大差异。

简单包过滤防火墙简单包过滤技术对网络层和传输层协议进行保护，对进出网络的单个包进行检查，具有性能较好和对应用透明的优点，目前绝大多数路由器都提供这种功能。

但是，由于它不能跟踪TCP状态，所以对TCP层的控制有漏洞。

如当它配置了仅允许从内到外的TCP访问时，一些以TCP应答包的形式从外部对内网进行的攻击仍可以穿透防火墙。

因此，它是一种淘汰技术，从1999年开始，主流防火墙产品中已经很少使用该技术。

据悉，美国国防部已经明令禁止在其国防网内使用这种产品。

遗憾的是，我国还有大量的防火墙采用这种技术。

笔者建议，在一些重要领域和行业，不要使用这种体系架构的防火墙。

应用代理防火墙应用代理防火墙也可称之为应用网关防火墙。

应用代理的原理是彻底隔断通信两端的直接通信，所有通信都必须经应用层代理层转发，访问者任何时候都不能与服务器建立直接的TCP连接，应用层的协议会话过程必须符合代理的安全策略要求。

断掉所有的连接，由防火墙重新建立连接，可以使应用代理防火墙具有极高的安全性。

但是，这种高安全性是以牺牲性能和对应用的透明性为代价的。

它不能支持大规模的并发连接，在对速度敏感的行业使用这类防火墙时简直是灾难。

另外，防火墙核心要求预先内置一些已知应用程序的代理，使得一些新出现的应用在代理防火墙内被无情地阻断，不能很好地支持新应用。

在IT领域中，新应用、新技术、新协议层出不穷，代理防火墙很难适应这种局面。

因此，在一些重要的领域和行业的核心业务应用中，代理防火墙正被逐渐疏远。

但是，自适应代理技术的出现让应用代理防火墙技术出现了新的转机，它结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，在不损失安全性的基础上将代理防火墙的性能提高了10倍。

目前，应用代理防火墙依然有很大的市场空间，仍然是主流的防火墙之一。

尤其在那些应用比较单一（如仅仅访问www站点等）、对性能要求不高的中小企业内部网中，具有实用价值。

状态监测防火墙Check Point公司推出的新一代防火墙核心架构——状态监测防火墙，目前已经成为防火墙的标准。

这种防火墙在包过滤防火墙的架构之上进行了改进，它摒弃了包过滤防火墙仅考查进出网络的数据包，而不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。

状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力。

状态监测技术还采用了一系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在一些规则复杂的大型网络上。

因此，它是目前最流行的防火墙技术。

目前，业界很多优秀的防火墙产品都采用了状态监测体系结构，如Cisco的PIX防火墙、NetScreen防火墙等。

从2000年开始，国内的许多防火墙公司，如东软、天融信等公司，都开始采用这一最新的体系架构。

------------摘自《计算机世界》2002/10/7网络通信如何鉴别防火墙功能差异有一些问题常令用户困惑：在产品的功能上，各个厂商的描述十分雷同，一些“后起之秀”与知名品牌极其相似。

面对这种情况，该如何鉴别？描述得十分类似的产品，即使是同一个功能，在具体实现上、在可用性和易用性上，个体差异地十分明显。

一、网络层的访问控制所有防火墙都必须具备此项功能，否则就不能称其为防火墙。

当然，大多数的路由器也可以通过自身的ACL来实现此功能。

1．规则编辑对网络层的访问控制主要表现在防火墙的规则编辑上，我们一定要考察：对网络层的访问控制是否可以通过规则表现出来？访问控制的粒度是否足够细？同样一条规则，是否提供了不同时间段的控制手段？规则配置是否提供了友善的界面？是否可以很容易地体现网管的安全意志？2．IP/MAC地址绑定同样是IP/MAC地址绑定功能，有一些细节必须考察，如防火墙能否实现IP地址和MAC地址的自动搜集？对违反了IP/MAC地址绑定规则的访问是否提供相应的报警机制？因为这些功能非常实用，如果防火墙不能提供IP地址和MAC地址的自动搜集，网管可能被迫采取其他的手段获得所管辖用户的IP与MAC地址，这将是一件非常乏味的工作。

3、NAT（网络地址转换）这一原本路由器具备的功能已逐渐演变成防火墙的标准功能之一。

但对此一项功能，各厂家实现的差异非常大，许多厂家实现NAT功能存在很大的问题：难于配置和使用，这将会给网管员带来巨大的麻烦。

我们必须学习NAT的工作原理，提高自身的网络知识水平，通过分析比较，找到一种在NAT配置和使用上简单处理的防火墙。

二、应用层的访问控制这一功能是各个防火墙厂商的实力比拼点，也是最出彩的地方。

因为很多基于免费操作系统实现的防火墙虽然可以具备状态监测模块（因为Linux、FreeBSD等的内核模块已经支持状态监测），但是对应用层的控制却无法实现“拿来主义”，需要实实在在的编程。

对应用层的控制上，在选择防火墙时可以考察以下几点。

1．是否提供HTTP协议的内容过滤？目前企业网络环境中，最主要的两种应用是WWW访问和收发电子邮件。

能否对WWW访问进行细粒度的控制反映了一个防火墙的技术实力。

2．是否提供SMTP协议的内容过滤？对电子邮件的攻击越来越多：邮件炸弹、邮件病毒、泄漏机密信息等等，能否提供基于SMTP 协议的内容过滤以及过滤的粒度粗细成了用户关注的焦点。

2．是否提供FTP协议的内容过滤？在考察这一功能时一定要细心加小心，很多厂家的防火墙都宣传说具备FTP的内容过滤，但细心对比就会发现，其中绝大多数仅实现了FTP协议中两个命令的控制：PUT和GET。

好的防火墙应该可以对FTP其他所有的命令进行控制，包括CD、LS等，要提供基于命令级控制，实现对目录和文件的访问控制，全部过滤均支持通配符。

三、管理和认证这是防火墙非常重要的功能。

目前，防火墙管理分为基于WEB界面的WUI管理方式、基于图形用户界面的GUI管理方式和基于命令行CLI的管理方式。

各种管理方式中，基于命令行的CLI方式最不适合防火墙。

WUI和GUI的管理方式各有优缺点。

WUI的管理方式简单，不用专门的管理软件，只要配备浏览器就行；同时，WUI的管理界面非常适合远程管理，只要防火墙配置一个可达的IP，可实现在美国管理位于中国分公司的防火墙。

WUI形式的防火墙也有缺点：首先，WEB界面非常不适合进行复杂、动态的页面显示，一般的WUI界面很难显示丰富的统计图表，所以对于审计、统计功能要求比较苛刻的用户，尽量不要选择WUI方式；另外，它将导致防火墙管理安全威胁增大，如果用户在家里通过浏览器管理位于公司的防火墙，信任关系仅仅依赖于一个简单的用户名和口令，黑客很容易猜测到口令，这增加了安全威胁。

GUI是目前绝大多数防火墙普遍采用的方式。

这种方式的特点是专业，可以提供丰富的管理功能，便于管理员对防火墙进行配置。

但缺点是需要专门的管理端软件，同时在远程和集中管理方面没有WUI管理方式灵活。

四、审计和日志以及存储方式目前绝大多数防火墙都提供了审计和日志功能，区别是审计的粒度粗细不同、日志的存储方式和存储量不同。

很多防火墙的审计和日志功能很弱，这一点在那些以DOM、DOC等电子盘（并且不提供网络数据库支持）为存储介质的防火墙中体现得尤为明显，有些甚至没有区分事件日志和访问日志。

如果需要丰富的审计和日志功能，就需要考察防火墙的存储方式，如果是DOM、DOC等Flash 电子盘的存储方式，将可能限制审计和日志的功能效果。

目前绝大多数防火墙审计日志采用硬盘存储的方式，这种方式的优点是可以存储大量的日志（几个G到几十个G），但是在某些极端的情况下，如异常掉电，硬盘受到的损坏往往要比电子盘的损坏严重。

好的防火墙应该提供多种存储方式，便于用户灵活选择和使用。

五、如何区分包过滤和状态监测一些小公司为了推销自己的防火墙产品，往往宣称采用的是状态监测技术; 从表面上看，我们往往容易被迷惑。

这里给出区分这两种技术的小技巧。

1. 是否提供实时连接状态查看？状态监测防火墙可以提供查看当前连接状态的功能和界面，并且可以实时断掉当前连接，这个连接应该具有丰富的信息，包括连接双方的IP、端口、连接状态、连接时间等等，而简单包过滤却不具备这项功能。

2. 是否具备动态规则库？某些应用协议不仅仅使用一个连接和一个端口，往往通过一系列相关联的连接完成一个应用层的操作。

比如FTP协议，用户命令是通过对21端口的连接传输，而数据则通过另一个临时建立的连接（缺省的源端口是20，在PASSIVE模式下则是临时分配的端口）传输。

对于这样的应用，包过滤防火墙很难简单设定一条安全规则，往往不得不开放所有源端口为20的访问。

状态监测防火墙则可以支持动态规则，通过跟踪应用层会话的过程自动允许合法的连接进入，禁止其他不符合会话状态的连接请求。

对于FTP来说，只需防火墙中设定一条对21端口的访问规则，就可以保证FTP传输的正常，包括PASSIVE方式的数据传输。

这一功能不仅使规则更加简单，同时消除了必须开放所有20端口的危险。

-------摘自<<计算机世界>>2002/10/7网络通信安全评估软件 OLM SCAN主要功能具有强大的扫描分析能力OLM SCAN针对因特网网络系统中存在的主要弱点和漏洞，集成了十五类259种方法，能全方位，多侧面的对网络安全隐患进行扫描分析，基本上覆盖了目前网络和操作系统存在的主要弱点和漏洞，具有强大的扫描分析能力。

目前系统集成的方法分类包括：l简单邮件传输协议l文件传输协议l强力攻击l守护进程l网络远程过程调用（RPC）lNFS网络文件系统/X-Windowl服务拒绝lNetBioslNT用户lNT登记注册lNT审计/其它l代理/域名系统lWWW服务（Web站点）lIP欺骗l防火墙具有安全策略的自定义能力OLM SCAN提供安全策略配置功能，用户可根据不同的安全需求，选取或自定义不同的扫描策略，对相应的网络设施进行扫描分析。

l面向多操作系统，具有较强的适用性OLM SCAN检测对象覆盖在用的主流操作系统：Sun Solaris , HP-UX ,IBM Aix,Digital UNIX,SGI IRIX,Linux,Windows NT等系统。

它适用于TCP/IP网络和Internet/Intranet环境；适用于WWW服务器、防火墙、网络主机和其它TCP/IP相关设备。

l具有远程和本地两种工作模式OLM SCAN能够对基于TCP/IP的网络主机实施扫描分析，具有跨网关操作的能力，可通过专线或拨号方式接入任何基于TCP/IP的网络系统，支持本地或远程两种工作模式。