硬件防火墙技术研究

ＩｓｅＶ Ｎ技 术 。 ｐｅ Ｐ 关键 词 ： 络安 全 ； 火墙 ； 道 ； 议 ； 全 区域 网 防 通 协 安
随着 Ｉｔｍｅ 的 日益普及 ，许多 内部 网络 ｎｅ ｔ 已经可 以直接按入 Ｉｔ ｔ ｎ ｍｅ 网络 ， ｅ 这种开放式 的 网络使我们进入 了信息时代 ，但同时也带来 了 许多安全隐患 ： 更快 的病毒传播 ； 更加难 以管理 的非授权 的访 问等信息资产的安全问题 。如何 在网络环境下 全方位地保护信息资产的安全 已 经被越来越 多的企业 和国家单位所重视 ， 因此 ， 防火 墙技术也得 到 了前所未有 的重视 和发展 ， 已经成为网络技术 中最热 门的分支。 防火墙 技术是各种安全技术 的融合 ， 件 硬 防火 墙 采 用 专 用 的 硬 件 结构 ，选 用 高速 的 Ｃ Ｕ 嵌入式 的操作系统、 Ｐ 、 支持各种高速的 Ｌ 接口 ， 用来保护私有 网络 的安全。 它可以独立于 操作系统、 计算机设备运行 。同时 ， 它也可 以提
层对外连接 ， 则认为防火墙在路 由模式下工作 。 此模式下接 口具有 地址 。 当防火墙位于内部 网络和外部 网络之间时 ，需要将防火墙与 内部 网络 、 外部 网络相连的接 口分配不同 网段 的 Ｉ Ｐ 地址 ， 防火墙在 内、 外网之问负责路由寻址 。如 果防火墙通过数据链路层对外连接 ， 则认 为防 火墙在透 明模式下的工作 。 在此模式下 ， 只需在 网络 中像放置 网桥 （ Ｉ ｇ） Ｂ ｉ ｅ 一样串人防火墙 即 ｄ 可， 无需修 改任何 已有的配置 。 但此时防火墙不 能进行 路由寻址 ，连在一起 的两个网络必 须在
科 ；
信息产 业 Ｉ Ｉ Ｉ
硬 件 防火墙 技术研 究
徐 亚 凤
（ 江大学， 牡丹 黑龙江 牡丹江 １７ １１ ５０１
摘 要： 随着 Ｉｔ ｅ 的日益普及 ， ｎｍｔ ｅ 防火墙技术也得到 了前所 未有 的重视和发展 。本文就硬件 防火墙技 术进行 了系统分析 ， 阐述 了防火墙技 式； 重点介绍 了防火墙 Ｖ Ｎ技 术 中的典型技术 ：２ Ｐ Ｖ Ｎ技 术、 Ｒ Ｐ Ｐ ＬＴ Ｐ Ｇ Ｅ Ｖ Ｎ技术和
同一 网段 中 。 ３防火墙 Ｖ Ｎ技术 Ｐ
传 统的 Ｖ Ｎ 虚拟专 用 网） Ｐ （ 组网 主要 采 用 专线 Ⅵ） Ｎ和基 于客户端设备的加密 Ｖ Ｎ两种 Ｐ 供身份 验证 、 数据加 密 、Ｐ Ｖ Ｎ技术 、 地址转 换 、 方式 。 随着 Ｉ 数据通信技术的发展 ， Ｐ 基于 Ｉ Ｐ的 访 问控制等安全特性 ，用户可以根据自己的网 Ｖ Ｎ技术 已经逐渐成为 Ｖ Ｎ市场的主流 。 Ｐ Ｐ 络环境配置安全策 略， 阻止非法访问， 保护 自己 ３１Ｌ Ｔ Ｐ ． ２ Ｐ Ｖ Ｎ技术 的网络安全 。 Ｌ Ｔ 称为二层隧道协议 ， ２Ｐ 是为在用户和企 ｌ 口、 接 网络 与安全 区域 业 的服务 器之 间透明传输 Ｐ Ｐ报文 而设 置 的 Ｐ Ｐ（ 是为 同等单元 之 安全 区域 （ｏ ｅ是防火墙引入 的在 网络安 隧道协 议。Ｐ Ｐ 点对点协议 ） ｚｎ ） 全方 面的概念 。也是 防火墙区别于路 由器 的主 间传输数据包而设计的链路层协议。 ２ Ｐ协议 ＬＴ 要特征 。 安全区域 是一个 或多个接 口的组合 ， 不 提供 了对 Ｐ Ｐ链 路层数据包的通道（ ｕｎ １传 Ｐ Ｔ ｎ ｅ） ． 同的安全区域代表不 同的安全级别。因为 当一 输 支持 ， 允许二层链路端点 和 Ｐ Ｐ Ｐ 会话点驻 留 个数 据流通过 防火墙 时，根据其发起 的方 向不 在不 同设备 上并且采用包交换技术进行信 息交 同 ， 引起 的操作也截然不同。 所 所以采用接 口上 互 ， 以此扩展 Ｐ Ｐ模型。 Ｐ 就 职 于牡 丹 江大 学 ，讲 师 职 称 ，０ ０年 入 黑 龙 ２１ ３２ ＧＲ Ｐ ． Ｅ Ｖ Ｎ技 术 江大学计算机学院攻读硕士研 究生学位。主要 检查安全策 略的方式 已经不再适用 ， 将造成用 户在配置上的混乱 ， 因此 ， 防火墙提出了安全 区 ＧＲ 通用路 由协 议封装 ） Ｖ Ｎ的第 三 从事计算机专业的教 学和科研工作。 Ｅ（ 是 Ｐ 域的概念。 层 隧道 协议 ， Ｖ Ｎ提供透明传输 通道。在协 为 Ｐ 现今很 多防火墙 都提供 三个独立 的安全 议层之 间采用 了 Ｔ ｍｉ ｕ ｄ技术。Ｔ ｎ ｅ 可以看作 ｕｎ ｌ 区域 ： 信安 全 区域 （ ｕ ） 非受 信 安全 区域 仅支持点对点连接的虚拟接 口，提供 了一 条通 受 ｔｓ 、 ｒｔ 并 （ａ￣ ｔ、 ｕ ｔ ）非军事化 区域（ Ｍｚ） Ｄ 。也有厂家 的防 路使 封装的数据报能够在这个通 路上传输 ， 火墙 具有四个 安全 区域 ， 除上述三个以外 ， 另加 且 在一个 Ｔ ｎ ｅ 的两端 分别 对数据 报进行 封 ｕ ｎｌ 优 先级最高 的本地逻辑安全 区域 （ ｃ１。其 装 和解封装 。Ｇ Ｅ用来对某些 网络层协议 （ １ａ ｏ ） Ｒ 如 Ｐ 的报文进行封装 ， 被封装 的报 文能够在 另 中 ， ＭＺ域 的优先 级介 于 ｔ ｓ域 与 ｕ ｔ ｓ域 ＩＸ） Ｄ ｒｔ ｕ ｎｒ ｔ ｕ 之间 ， 指代—个逻辑上和物理上都 与内部 网络 和外部网络分离的区域 ，可 以放置需要对外提 供网络服务的设备 ，如 ｗ ｗ ｓ ｖ 、 Ｆ ｅ ｅ ｗ ｒ ｒｇ Ｐ ｓ ｖｒ ￣ｅ ｒ （ 上接 ２ ７页 ） １ 收缩工作 。而这 种肌 肉工 等。 通常情况下 ， 需要 保护的网络应安排在安全 作的形 式在其他运动 中并不多 ， 只是类似 于平 参考文献 级别较 高的区域 ， ｌ ｓ域 ． 网络应安排 如 ￣ ｔ 夕部 ＇ ｕ 地左右前侧 蛙 跳动作 的肌 肉工作 形式 。这 种 ［张亚 东 初学者高山滑雪时应注意几个问题Ⅱ １ 】 等． ｌ 在安全 级别较低 的 区域 ， ｕ ｔ ｓ域 ； 如 ｎｒ ｔ 而对外 ｕ “ 类蛙跳” 动作在滑雪 回转重心交换中只表 现出 冰 雪运动 ． ０ ５ ２ ０． 提供有条件服务的网络应安排在 中等安全级别 肌 肉工作的形式上 ， 还需要加腹腰 肌协助转体 ［徐哲珠等涕 ２ 届冬奥会 高山滑雪运动 员身体 ２ 】 ０ 的区域 ， Ｄ 如 ＭＺ域 。两个安全区域 之间的数据 ｌ ２０ ． 完成整体的提重心动作 。在 回转交换前 区如何 的基 本形 态特征口 冰雪运动 ，０６ 流分 两个 方 向 ： ｂ ｕ ｄ和 Ｏ ｔ ｕ ｄ ｎ ｏ ｎ Ｉ ｏｎ ｎ ｕ ｏｎ 。Ｉ ｕ ｄ ｂ ｂ 利用好雪板势能也是现代高山竞技 滑雪技 术的 是指数据由低 安全 级别 的安全区域向高安全 级 关键部分 。 交换 点技术动作要求运 动员应迅速 别 的安全 区域传输 的方 向 ；ｕ ｏｎ 方 向与之 Ｏ ｔ ｕｄ ｂ 地改变身体姿势 ， 充分利用好雪板的势能 ， 快速 相反 ，是由高安全级别 的安全 区域 向低安全级 完成交换动作 ， 保证回 以 转动作的连续。 高 萤 的 别的安全区域传输 的方向。不 同安全级别的安 度（ 身体姿态 的高低） ， 由低（ 通过点杖引伸） 逐渐升 全区域问数据流动 将触发 防火墙进行安全策略 高（铟 过滚落线瞬间为最高）后 又逐渐降低。重 在 之 检查 。 心 的前后由（ 开始阶段逐渐前靠放在中问 进阶 ２典型工作模 式 段） ， 一直保持到结束阶段（ 必要时有稍微的后移） 。 雪 当前 主流 防火墙一 般都支持 两种工 作模 板从开始阶段由逐渐减重到集中承重的过程， 到滑 式 ： 由模式和透明模式。 路 如果防火墙通过 网络
一
个网络层协议（ Ｉ ） 如 Ｐ 中传输 。 ３３ Ｉｓｅ Ｖ Ｎ技 术 ． ｐｅ Ｐ Ｉｓｅ 议族是 ＩＴ ｐｅ 协 Ｅ Ｆ制定的一 系列协议 。 它为 数据报提供高质量的 、可互操作的、 基 于密码学 的安全性 。Ｉｓ 是 一系列为 网络 ｐｅ ｅ 提供完整安全性的协议和服务 的集合 ，这些协 议和服务结合起来提供不同的数据保护 。特定 的通信 双方在 层通过加 密和数据源验 证等 方式 ， 保证报文在网络传输时的私有性 、 真实性 和完整性 ， 并有效 防御重放攻击 。 总之 ， 随着网络与计算机技术 的迅速发展 ， 防火墙已成为网络 的接入控制点 ，所有进 出被 防火墙 保护 的 网络 的数据流 都首先 经过 防火 墙， 形成—个信息进出 的关 口。 防火墙在 网络安 全领域中的地位也将越来越重要 ，防火墙技术 的发展将带动防火墙更好地发挥作用。 参考文献 【］ １王教， 刘绍龙． 算机 网络安 全与防火墙 技术 计 叨 ． 脑知 识 与技 术 ２ ０ （０． 电 ０ ５２ ） 【】 坚， ２刘 林桦． 计算机 网络 安全剖析叨． 各界 （ 科 技与教育 ） Ｏ ０１】 ， ｌ（ｏ． ２ ｆ】 立江， ３姚 谢立． Ｓ 与防 火墙协 同工作设计与 Ｉ￣ Ｐ 实现『 ． Ｊ 小型微型计算机 系 ２ ０ （ ． １ 统’ ４ １ Ｏ ２ 作 者 简 介 ： ￣ ． ９９１～ ， 科 学历 ， 徐 （ ７ ， ）本 １ ２ 现
一
一
１４ Ｏ 一