HCSCA102 HCNA-Security-CBSN 第二章 防火墙基础技术V2.5

19
防火墙的主要功能是策略（policy）和机制（mechanism）的集合，它通过对流经数据 流的报文头标识进行识别，以允许合法数据流对特定资源的授权访问，从而防止那些无 权访问资源的用户的恶意访问或偶然访问。
实现访问控制的主要工作过程如下： 1. 对于需要转发的报文，防火墙先获取报文头信息，包括IP 层所承载的上层协议的 协议号、报文的源地址、目的地址、源端口号和目的端口号。 2. 将报文头信息和设定的访问控制规则进行比较。 3. 根据比较结果，按照访问控制规则设定的动作，允许或拒绝对报文的转发。
防火墙技术是安全技术中的一个具体体现。防火墙原本是指房屋之间修建的一道墙，用 以防止火灾发生时的火势蔓延。我们这里讨论的是硬件防火墙，它是将各种安全技术融 合在一起，采用专用的硬件结构，选用高速的CPU、嵌入式的操作系统，支持各种高速 接口（LAN接口），用来保护私有网络（计算机）的安全，这样的设备我们称为硬件防 火墙。硬件防火墙可以独立于操作系统（HP-UNIX、SUN OS、AIX、NT等）、计算机设 备（IBM6000、普通PC等）运行。它用来集中解决网络安全问题，可以适合各种场合， 同时能够提供高效率的“过滤”。同时它可以提供包括访问控制、身份验证、数据加密 、VPN技术、地址转换等安全特性，用户可以根据自己的网络环境的需要配置复杂的安 全策略，阻止一些非法的访问，保护自己的网络安全。
15
在防火墙中是以接口为单位来进行分类，即同一个接口所连网络的所有网络设备一定位 于同一安全区域中，而一个安全区域可以包含多个接口所连的网络。这里的接口既可以 是物理接口，也可以是逻辑接口。所以可以通过子接口或者VLAN IF等逻辑接口实现将 同一物理接口所连的不同网段的用户划入不同安全区域的功能。
现代的防火墙体系不应该只是一个“入口的屏障”，防火墙应该是几个网络的接入控制 点，所有进出被防火墙保护的网络的数据流都应该首先经过防火墙，形成一个信息进出 的关口，因此防火墙不但可以保护内部网络在Internet中的安全，同时可以保护若干主 机在一个内部网络中的安全。在每一个被防火墙分割的网络内部中，所有的计算机之间 是被认为“可信任的”，它们之间的通信不受防火墙的干涉。而在各个被防火墙分割的 网络之间，必须按照防火墙规定的“策略”进行访问。
本课程重点介绍按照访问控制方式分类。
5
包过滤是指在网络层对每一个数据包进行检查，根据配置的安全策略转发或丢弃数据包 。包过滤防火墙的基本原理是：通过配置访问控制列表（ACL, Access Control List）实施 数据包的过滤。主要基于数据包中的源/目的IP地址、源/目的端口号、IP 标识和报文传 递的方向等信息。
思考：若不同接口均属于同一个安全区域的场景下，域间安全转发策略是否会生效？
16
两个安全区域之间（简称安全域间）的数据流分两个方向： 入方向（inbound）：
数据由低安全级别的安全区域向高安全级别的安全区域传输的方向； 出方向（outbound）：
数据由高安全级别的安全区域向低安全级别的安全区域传输的方向； 高优先级与低优先级是相对的。 不同安全级别的安全区域间的数据流动都将激发USG防火墙进行安全策略的检查。可以 事先为同一安全域间的不同方向设置不同的安全策略，当有数据流在此安全域间的两个 不同方向上流动时ice Awareness）是相对普通报文分析而言的一种新技术，普通报文 检测仅仅分析IP包的四层以下的内容，包括源地址、目的地址、源端口、目的端口以及 协议类型，而SA则在此基础上，增加了对应用层的分析，可识别出各种应用及其内容 。针对不同的协议类型，识别技术一般可划分为以下三类。 基于特征字的识别技术：不同的应用通常会采用不同的协议，而各种协议都有其 特殊的指纹，这些指纹可能是特定的端口、特定的字符串或者特定的Bit序列。基 于特征字的识别技术，正是通过识别数据报文中的指纹信息来确定业务流所承载 的应用。 基于应用层网关识别技术：我们知道，有一类业务的控制流与业务流是分离的， 其业务流没有任何特征。例如，SIP、H323协议都属于这种类型的协议。SIP、 H323通过信令交互过程，协商得到其数据通道，一般是RTP格式封装的语音流。 也就是说，纯粹检测RTP流并不能确定这条RTP流是通过哪种协议建立起来的，只 有通过检测SIP或H323的协议交互，才能得到其完整的分析。 基于行为模式识别技术：在实施行为模式识别技术之前，必须首先对终端的各种 行为进行研究，并在此基础上建立起行为识别模型。从E-mail的内容看，垃圾邮 件（SPAM）业务流发送邮件的速率、目的邮件地址数目、变化频率等参数，建 立起行为识别模型，并以此分拣出垃圾邮件。
包过滤防火墙的设计简单，非常易于实现，而且价格便宜。 包过滤防火墙的缺点主要表现以下几点：
随着ACL 复杂度和长度的增加，其过滤性能呈指数下降趋势； 静态的ACL 规则难以适应动态的安全要求； 包过滤不检查会话状态也不分析数据，这很容易让黑客蒙混过关。例如，攻击者
可以使用假冒地址进行欺骗，通过把自己主机IP地址设成一个合法主机IP地址， 就能很轻易地通过报文过滤器。 说明：多通道协议，如FTP协议。FTP在控制通道协商的基础上，生成动态的数据通道 端口，而后的数据交互主要在数据通道上进行。
4
防火墙发展至今已经历经三代，分类方法也各式各样，例如按照形态划分可以分为硬件 防火墙及软件防火墙；按照保护对象划分可以分为单机防火墙及网络防火墙等。但总的 来说，最主流的划分方法是按照访问控制方式进行分类。
网络防火墙，能够分布式保护整个网络，其特点： 发安全策略集中； 安全功能复杂多样； 专业管理员维护； 安全隐患小； 策略设置复杂。
17
防火墙支持以下特性： 路由 IPv4路由和IPv6路由 支持静态路由 支持RIP、OSPF、BGP、ISIS等动态路由 支持路由策略和路由叠代 统一管理 SNMP Web管理 NTP Ethernet 支持二层、三层以太网接口。支持二层、三层以太网接口之间互相切换 Eth-Trunk和VLAN 安全 UTM（统一威胁管理） 接入技术
7
状态检测是包过滤技术的扩展。基于连接状态的包过滤在进行数据包的检查时，不仅将 每个数据包看成是独立单元，还要考虑前后报文的历史关联性。我们知道，所有基于可 靠连接的数据流（即基于TCP协议的数据流）的建立都需要经过“客户端同步请求”、 “服务器应答”以及“客户端再应答”三个过程（即“三次握手”过程），这说明每个 数据包都不是独立存在的，而是前后有着密切的状态联系的。基于这种状态联系，从而 发展出状态检测技术。
12
在此组网方式时，防火墙位于内部网络和外部网络之间时，与内部网络、外部网络相 连的上下行业务接口均工作在三层，需要分别配置成不同网段的IP地址，防火墙负责在内 部网络、外部网络中进行路由寻址，相当于路由器。 此组网方式，防火墙可支持更多的安全特性，比如NAT 、UTM等功能，但需要修改原 网络拓扑，例如，内部网络用户需要更改网关，或路由器需要更改路由配置等。因此，做 为设计人员需综合考虑网络改造、业务中断等因素。
防火墙支持多个安全区域，缺省支持非受信区域（Untrust）、非军事化区域（DMZ） 、受信区域（Trust） 、 本地区域（Local） 四种预定义的安全区域外，还支持用户自定 义安全区域。
防火墙缺省保留的四个安全区域相关说明如下： 非受信区域Untrust：低安全级别的安全区域，安全级别为5。 非军事化区域DMZ：中等安全级别的安全区域，安全级别为50。 受信区域Trust：较高安全级别的安全区域，安全级别为85。 本地区域Local：最高安全级别的安全区域，安全级别为100。
随着硬件技术的发展，后来Intel针对PCI总线提出一种新的解决方案——PCIExpress。PCI-E的主要优势就是数据传输速率高，目前最高可达到10GB/s以上。 X86平台使用PCI-E技术后，数据传输速率已经可以满足千兆防火墙的要求，但是 其中断机制对整机处理速率的影响仍然存在，因此X86采用PCI-E技术后仍有很大 的问题需改进。
8
防火墙的硬件平台发展至今，大致可以划分为通用CPU架构、专用集成电路（ASIC, Application Specific Integrated Circuit ） 架 构 、 网 络 处 理 （ NP, Network Processor）架构以及多核处理器架构。下面我们将一一进行介绍。
通用CPU架构
10
在此组网方式下，防火墙只进行报文转发，不能进行路由寻址，与防火墙相连两个业 务网络必须在同一个网段中。此时防火墙上下行接口均工作在二层，接口无IP地址。 防火墙此组网方式可以避免改变拓扑结构造成的麻烦，只需在网络中像放置网桥（ Bridge）一样串入防火墙即可，无需修改任何已有的配置。IP报文同样会经过相关的过滤 检查，内部网络用户依旧受到防火墙的保护。
13
Zone的作用
安全策略都基于安全区域实施
在同一安全区域内部发生的数据流动是不存在安全风险的，不需要实施任何安全 策略。
只有当不同安全区域之间发生数据流动时，才会触发设备的安全检查，并实施相 应的安全策略。
在防火墙中，同一个接口所连网络的所有网络设备一定位于同一安全区域中，而 一个安全区域可以包含多个接口所连的网络。
这四个安全区域无需创建，也不能删除，同时各安全级别也不能重新设置。安全级别用 1 ～ 100 的数字表示，数字越大表示安全级别越高。
需要注意的是，将接口加入安全区域这个操作，实际上意味着将该接口所连网络加入到 安全区域中，而该接口本身仍然属于系统预留用来代表设备本身的Local安全区域 。 USG防火墙最多支持32个安全区域。
6
代理服务作用于网络的应用层，其实质是把内部网络和外部网络用户之间直接进行的业 务由代理接管。代理检查来自用户的请求，用户通过安全策略检查后，该防火墙将代表 外部用户与真正的服务器建立连接，转发外部用户请求，并将真正服务器返回的响应回 送给外部用户。