防火墙的原理及应用：防火墙产品原理与应用

防火墙的原理及应用|防火墙产品原理与应用

防火墙的原理：

1、包过滤防火墙

包过滤是在网络层中对数据包实施有选择的通过，依据系统事先设定好的过滤逻辑，检查数据据流中的每个数据包，根据数据包的原地址、目标地址、以及包所使用端口确定是否允许该类数据包通过。在互联网这样的信息包交换网络上，所有往来的信息都被分割成许许多多一定长度的信息报，包中包括发送者的IP地址和接受者的IP地址。当这些包被送上互联网时，路由器会读取接受者的IP 并选择一条物理上的线路发送出去，信息包可能以不同的路线抵达目的地，当所有的包抵达后会在目的地重新组装还原。包过滤式的防火墙会检查所有通过信息包里的IP地址，并按照系统管理员所给定的过滤规则过滤信息包。如果防火墙设定某一IP为危险的话，从这个地址而来的所有信息都被会防火墙屏蔽掉。这种防火墙的用法很多，比如国家有关部门可以通过包过滤防火墙来禁止国家用户去访问那些违反我国有关规定或者“有问题”的国外站点，包过滤路由器的最优优点就是他对于用户来说是透明的，也就是说不需要用户名和密码来登陆。这种防火墙速度快而且易于维护，通常作为第一道防线。包过滤路由器的弊端也是很明显的，通常它没有用户的使用记录，这样我们就不能从访问记录中发现黑客的攻击记录，而攻击一个单纯的包过滤式的防火墙对于黑客来说是比较容易的，他们在这一方面已经积了大量的经验。“信息包冲击”是黑客比较常用的一种攻击手段，黑客们对包过滤式防火墙发出一系列信息包，不过这些包中的IP地址已经被替换掉了，取而代之的是一串顺序的IP地址。一旦有一个包通过了防火墙，黑客便可以用这个IP地址来伪装他们发出的信息。在另一些情况下黑客们使用一种他们自己编织的路由器攻击程序，这种程序使用路由器歇息来发送伪造的路由器信息，这样所有的都会被重新路由到一个入侵者所指定的特别抵制。对付这种路由器的另一种技术被称之为“同步淹没”，这实

际上是一种网络炸弹。攻击者向被攻击的计算机发出许许多多个虚

假的“同步请求”信号报，当服务器相应了这种信号报后会等待请

求发出者的回答，而攻击者不做任何的相应。如果服务器在45秒钟

里没有收到反应信号的话就会取消掉这次的请求。但是当服务器在

处理成千上万各虚假请求时，它便没有时间来处理正常的用户请求，处于这种攻击下的服务器和死锁没什么两样。此种防火墙的缺点是

很明显的，通常它没有用户的使用记录，这样我们就不能从访问记

录中发现黑客的攻击记录。此外，配置繁琐也是包过滤防火墙的一

个缺点。它阻挡别人进入内部网络，但也不告诉你何人进入你的系统，或者何人从内部进入网际网路。它可以组织外部对私有网络的

访问，却不能记录内部的访问。包过滤另一个关键的弱点就是不能

再用户级别上进行过滤，即不能鉴别不同的用户和防止IP地址盗用。包过滤防火墙什么某种意义上的绝对安全的系统。

2、应用网关防火墙

应用网关防火墙检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。然而，应用网关防火墙是

通过打破客户机/服务器模式实现的。每个客户机/服务器通信需要

两个链接：一个是从客户端到防火墙，另一个是从防火墙到服务器。另外，每个代理需要一个不同的应用进程，或一个后台运行的服务

程序，对每个新的应用必须添加对此应用的服务程序，否则不能使

用该服务。所以，应用网关防火墙具有可伸缩性差的缺点。

3、状态监测防火墙

状态监测防火墙基本保持了简单包过滤防火墙的优点，性能比较好，同时对应用是透明的，在此基础上，对于安全性有了大幅提升。这种防火墙摒弃了简单包过滤防火墙仅仅考察进出网络的数据包，

不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，

维护了连接，将进出网络的数据当成一个个的事件来处理。可以和

阳朔，状态检测包过滤防火墙规范了网络层和传输层行为，而应用

代理型防火墙则是规范了特定的应用协议上的行为。

4、复合型防火墙

复合型防火墙是指综合了状态检测与透明代理的新一代的防火墙，进一步基于ASIC架构，把防病毒、内容过滤整合到防火墙里，其中

还包裹、IDS功能，多单元融为一体，是一种新突破。常规的防火

墙并不能防止隐蔽在网络流量里的攻击，在网络界面对应用层扫描，把防病毒、内容过滤与防火墙结合起来，这体现了网络与信息安全

的新思路。它在网络边界实施OSI第七层的内容扫描，实现了实时

在网络边缘部署病毒防护、内容过滤等应用层服务措施。

防火墙的典型应用：

1、防止网络入侵

2、防止消息文件泄露

3、保护内网安全

4、检查出入网络的链接，保护一些端口

5、防止计算机接收到非法包