第九章 防火墻

第九章防火墻防火墻防火墻是一種用來加強網(wǎng)絡(luò)之間訪問控制的特殊網(wǎng)絡(luò)設(shè)備，被放在內(nèi)外網(wǎng)絡(luò)之間，它對傳輸?shù)臄?shù)據(jù)包和連接方式按照一定的安全策略對其進行檢查，來決定網(wǎng)絡(luò)之間的通信是否被允許，防火墻能夠有效控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問及數(shù)據(jù)傳輸，從而達到保護內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶的訪問和對不良信息的過濾。目的：限制用戶從一個特別的控制點進入，防止入侵者接近內(nèi)部設(shè)施限定用戶從一個特別的點離開，有效的保護內(nèi)部資源功能要求功能要求所有進出網(wǎng)絡(luò)的通信都應(yīng)該通過防火墻，所有穿過防火墻的通信流都必須有安全策略和計劃的確認和授權(quán)。因為防火墻最初的設(shè)計思想是對內(nèi)部網(wǎng)絡(luò)總是信任的，而對外部網(wǎng)絡(luò)卻總是不信任的，所以最初的防火墻是只對外部進來的通信進行過濾，而對內(nèi)部網(wǎng)絡(luò)用戶發(fā)出的通信不作限制。當然目前的防火墻在過濾機制上有所改變，不僅對外部網(wǎng)絡(luò)發(fā)出的通信連接要進行過濾，對內(nèi)部網(wǎng)絡(luò)用戶發(fā)出的部分連接請求和數(shù)據(jù)包同樣需要過濾，但防火墻仍只對符合安全策略的通信通過，也可以說具有“單向?qū)ā毙?。防火墻基本特性?nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過防火墻這是防火墻所處網(wǎng)絡(luò)位置特性，同時也是一個前提。因為只有當防火墻是內(nèi)、外部網(wǎng)絡(luò)之間通信的惟一通道，才可以全面、有效地保護企業(yè)網(wǎng)部網(wǎng)絡(luò)不受侵害。根據(jù)美國國家安全局制定的《信息保障技術(shù)框架》，防火墻適用于用戶網(wǎng)絡(luò)系統(tǒng)的邊界，屬于用戶網(wǎng)絡(luò)邊界的安全保護設(shè)備。所謂網(wǎng)絡(luò)邊界即是采用不同安全策略的兩個網(wǎng)絡(luò)連接處，比如用戶網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間連接、和其它業(yè)務(wù)往來單位的網(wǎng)絡(luò)連接、用戶內(nèi)部網(wǎng)絡(luò)不同部門之間的連接等。防火墻的目的就是在網(wǎng)絡(luò)連接之間建立一個安全控制點，通過允許、拒絕或重新定向經(jīng)過防火墻的數(shù)據(jù)流，實現(xiàn)對進、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問的審計和控制。防火墻基本特性只有符合安全策略的數(shù)據(jù)流才能通過防火墻這是防火墻的工作原理特性。防火墻之所以能保護企業(yè)內(nèi)部網(wǎng)絡(luò)，就是依據(jù)這樣的工作原理或者說是防護機制進行的。它可以由管理員自由設(shè)置企業(yè)內(nèi)部網(wǎng)絡(luò)的安全策略，使允許的通信不受影響，而不允許的通信全部拒絕地內(nèi)部網(wǎng)絡(luò)之外。防火墻基本特性防火墻自身應(yīng)具有非常強的抗攻擊免疫力這是防火墻之所以能擔當企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護重任的先決條件。就像公安干警一樣，如果自己都沒有“百毒不侵”的過硬意志和本領(lǐng)，又如何經(jīng)得住罪犯的種種誘惑和攻擊呢？防火墻處于網(wǎng)絡(luò)邊緣，它就像一個邊界衛(wèi)士一樣，每時每刻都要面對黑客的入侵，這樣就要求防火墻自身要具有非常強的抗擊入侵本領(lǐng)。它之所以具有這么強的本領(lǐng)防火墻操作系統(tǒng)本身是關(guān)鍵，只有自身具有完整信任關(guān)系的操作系統(tǒng)才可以談?wù)撓到y(tǒng)的安全性。其次就是防火墻自身具有非常低的服務(wù)功能，除了專門的防火墻嵌入系統(tǒng)外，再沒有其它應(yīng)用程序在防火墻上運行。當然這些安全性也只能說是相對的。使用防火墻的好處防止易受攻擊的服務(wù)控制訪問網(wǎng)點系統(tǒng)集中安全性：防火墻閉合的安全邊界保證可信網(wǎng)絡(luò)和不可信網(wǎng)絡(luò)之間的流量只有通過防火墻才能實現(xiàn)，可以在防火墻設(shè)置統(tǒng)一的策略管理。增強的保密、強化私有權(quán)：使用防火墻系統(tǒng)，站點可以防止finger以及DNS域名服務(wù)。Figer會列出當前使用者名單，他們上次登錄的時間，以及市斗讀過郵件等，防火墻能夠封鎖域名服務(wù)信息，從而使Internet外部主機無法獲得站點名和IP地址。有關(guān)網(wǎng)絡(luò)使用、濫用的記錄和統(tǒng)計政策執(zhí)行：可提供實施和執(zhí)行網(wǎng)絡(luò)訪問政策的工具使用防火墻的缺點不能防范內(nèi)部攻擊不能防范不通過它的連接不能防御全部的威脅不能防范病毒不能防止數(shù)據(jù)驅(qū)動式攻擊防火墻的缺點防火墻不能有效地防范像病毒這類東西的入防火墻侵。在網(wǎng)絡(luò)上傳輸二進制文件的編碼方式太多了，并且有太多的不同的結(jié)構(gòu)和病毒，因此不可能查找所有的病毒。換句話說，它不可能將安全意識（security-consciosness）交給用戶一方?？傊?，它不能防止數(shù)據(jù)驅(qū)動的攻擊：即通過將某種東西郵寄或拷貝到內(nèi)部主機中，然后它再在內(nèi)部主機中運行的攻擊。過去防火墻曾發(fā)生過對不同版本的郵件寄送程序和幻像腳本（ghostscript）和免費PostScript閱讀器的這類攻擊。防火趁墻的抖缺點對病桶毒十班分憂射慮的詠機構(gòu)談應(yīng)當片在整障個機夸構(gòu)范廊圍內(nèi)門采取跨病毒殘控制朗措施抵。不押要試日圖將介病毒器擋在頓防火汽墻之發(fā)外，訊而是氧保證媽每個用脆弱懼的桌被面系外統(tǒng)都榮安裝巖上病幕毒掃孝描軟穗件，腰只要蝴一引啟導(dǎo)計沾防火越墻算孤機就翠對病良毒進更行掃少描。遠利用曲病毒杯防火嘗墻掃臺描軟耍件防仆護你寶的網(wǎng)抄絡(luò)將拔可以躲防止壺通過翅軟盤瞎、調(diào)刷制解坐調(diào)器遭和In旁te揉rn從et傳播蛙的病那毒的霸攻擊銹。試懶圖御麗病毒買于它借之外鼓只能棋防止借來自In肢te和rn鳥et的病美毒，差而絕冰大多窩數(shù)病此毒是謹通過犬軟盤落傳染交上的茂。防火毯墻的獵缺點盡管赴如此秀，還次是有拉越來摘越多沸的防瞞火墻充廠商崇正防贊火墻竊提供什“病爭毒探價測”睬它。咐這類轎它只貪對那范種交戒換Wi蹄nd垮ow榆s-英on翠-I喝nt求el執(zhí)行晝程序趣和惡險意宏驢應(yīng)用殲文檔思的毫偷無經(jīng)剝驗的宮用戶合有用奔。不決要指肚望這謙種特尼性能尺夠?qū)Χ衾p起到驅(qū)任何劉防范吊作用那。設(shè)置錯防火傾墻的明考慮賴策略網(wǎng)絡(luò)漿策略影響Fi恰re腸wa籠ll系統(tǒng)濤設(shè)計啄、安郊裝和戴使用碌的網(wǎng)創(chuàng)絡(luò)策粱略可蚊分為紀兩級墊，高姻級的僚網(wǎng)絡(luò)喚策略擺定義有允許割和禁戴止的碼服務(wù)筐以及撫如何粉使用慣服務(wù)愉，低體級的蛋網(wǎng)絡(luò)抗策略輝描述Fi燭re迫wa配ll如何蝦限制紡和過行濾在認高級撤策略搏中定祥義的峽服務(wù)島。設(shè)置券防火瞎墻的援考慮亭策略服務(wù)竊訪問挽策略服務(wù)癥訪問娘策略況集中編在In誕te喝rn堤et訪問兇服務(wù)庸以及眼外部賄網(wǎng)絡(luò)先訪問束（如腐撥入朝策略嗚、SL曾IP釣/P轎PP連接黑等）澆。服番務(wù)訪醬問策梁略必垮須是蛾可行醒的和且合理須的。幸可行更的策昆略必歲須在屠阻止磁已知蹦的網(wǎng)猜絡(luò)風臺險和斤提供壞用戶宜服務(wù)源之間睡獲得時平衡壘。典蠟型的哨服務(wù)特訪問果策略務(wù)是：赴允許副通過輛增強瘦認證駝的用瓦戶在盼必要價的情駛況下鋸從In輸te好rn神et訪問賺某些息內(nèi)部斃主機索和服撐務(wù)；吼允許幟內(nèi)部受用戶管訪問攝指定調(diào)的In銷te堂rn眠et主機篩和服期務(wù)。設(shè)置向防火易墻的廣考慮姨策略防火話墻設(shè)遍計策匹略防火始墻設(shè)皇計策啊略基異于特蜓定的Fi膛re叨wa調(diào)ll，定輪義完燥成服銅務(wù)訪背問策違略的逢規(guī)則譜。通足常有帳兩種就基本咱的設(shè)弊計策丑略：巾允許廉任何添服務(wù)掙除非竊被明炊確禁陜止；匪禁止傅任何棚服務(wù)僻除非往被明體確允臺許。厚第一漲種的閉特點突是安征全但紐奉不好喇用，奪第二洗種是股好用糾但不魚安全滾，通讓常采孫用第夾二種亭類型罰的設(shè)血計策敵略。送而姐多數(shù)靜防火喝墻都定在兩臘種之柱間采型取折洪衷。設(shè)置禍防火滿墻的含考慮日策略增強那的認群證許多琴在In瓦te溫rn危et上發(fā)凡生的糟入侵星事件煩源于棍脆弱初的傳擁統(tǒng)用仇戶/口令揀機制習(xí)。多肝年來瓣，用瘡戶被促告知好使用旗難于揚猜測省和破野譯口矛令，唇雖然期如此脈，攻敢擊者隙仍然睛在In貢te棟rn州et上監(jiān)祝視傳睛輸?shù)睦缈诹钍迕魑难?，使松傳統(tǒng)梅的口施令機捎制形即同虛桃設(shè)。瞎增強比的認雜證機魯制包覺含智喊能卡馳，認擦證令旱牌，路生理崗特征槍（指鋪紋）狠以及版基于朽軟件宗（RS棄A）等闖技術(shù)泊，來馳克服創(chuàng)傳統(tǒng)嶺口令墾的弱擇點。淺雖然描存在賤多種沖認證么技術(shù)拋，它適們均昌使用步增強雨的認校證機揚制產(chǎn)錄生難鎮(zhèn)被攻營擊者錫重用妹的口雄令和寄密鑰嚴。目狼前許尾多流痕行的營增強究機制做使用鍵一次胡有效酒的口灘令和報密鑰尋（如Sm釣ar旱tC圾ar舊d和認窮證令誰牌）低。防火梅墻體生系結(jié)宗構(gòu)屏蔽刪路由短器（Sc轟re善en賤in堪g獻Ro譜ut怖er）這是匯防火胃墻最躁基本芒的構(gòu)呆件。繳它可命以由糖廠家很專門醒生產(chǎn)裙的路欲由器廟實現(xiàn)撒，也竭可以彎用主吃機來旨實現(xiàn)窩。屏醋蔽路鼓由器閥作為償內(nèi)外帶連接衡的唯蜓一通溫道，埋要求志所有寒的報往文都逮必須捐在此兇通過舅檢查齒。路繪由器妨上可暑以裝挖基于IP層的殊報文義過濾伍軟件具，實君現(xiàn)報袖文過常濾功都能。避許多巨路由銀器本譯身帶破有報告文過畢濾配浪置選惰項，碎但一熔般比扛較簡初單。單純般由屏拋蔽路寶由器亡構(gòu)成邀的防景火墻托的危扒險帶茅包括辱路由滅器本我身及費路由春器允敏許訪咱問的愧主機住。它防的缺薄點是答一旦超被攻芝陷后艱很難桐發(fā)現(xiàn)樹，而嘉且不疾能識組別不供同的桌用戶效。防火認墻體注系結(jié)勤構(gòu)雙穴哭主機皮網(wǎng)關(guān)掏（Du闖al游H會om炎ed著G診at涂ew薪ay）這種抬配置恒是用她一臺陷裝有膠兩塊懷網(wǎng)卡培的堡唐壘主拋機做彈防火僵墻。泊兩塊奶網(wǎng)卡乘各自醉與受伯保護順網(wǎng)和縣外部山網(wǎng)相尊連。憐堡壘勇主機望上運欄行著笑防火斃墻軟匠件，取可以勾轉(zhuǎn)發(fā)賤應(yīng)用貍程序榆，提志供服精務(wù)等磨。雙穴瀉主機考網(wǎng)關(guān)幣優(yōu)于墊屏蔽蝴路由領(lǐng)器的撫地方田是：妙堡壘陡主機違的系武統(tǒng)軟截件可棟用于膽維護蓄系統(tǒng)健日志積、硬埋件拷副貝日間志或天遠程張日志威。這仍對于鈔日后斯的檢假查很雅有用正。但壯這不姿能幫鍵助網(wǎng)案絡(luò)管燭理者聚確認皮內(nèi)網(wǎng)截中哪膠些主千機可模能已刃被黑罩客入徒侵。雙穴站主機串網(wǎng)關(guān)康的一饑個致指命弱偷點是暈：一受旦入聞侵者值侵入孕堡壘珍主機洪并使吵其只劣具有語路由微功能理，則輛任何囑網(wǎng)上翁用戶法均可遺以隨粥便訪維問內(nèi)爸網(wǎng)。防火寫墻體會系結(jié)抱構(gòu)被屏叢蔽主寒機網(wǎng)考關(guān)（Sc錫re掛en住ed激H怪os歸t泛Ga味te循wa皮y）屏蔽觀主機勇網(wǎng)關(guān)鑰易于豬實現(xiàn)就也很育安全介，因堡此應(yīng)技用廣醫(yī)泛。寧例如能，一霸個分貪組過雪濾路返由器遲連接響外部幫網(wǎng)絡(luò)陣，同劈燕時一拴個堡培壘主絲式機安依裝在粉內(nèi)部刪網(wǎng)絡(luò)岔上，患通常但在路色由器圍上設(shè)移立過調(diào)濾規(guī)撒則，惠并使葛這個貿(mào)堡壘榜主機漸成為穴從外販部網(wǎng)克絡(luò)唯將一可仆直接膊到達趨的主居機，揀這確彼保了皂內(nèi)部查網(wǎng)絡(luò)縱不受我未被響授權(quán)隆的外輸部用委戶的味攻擊羊。如果騎受保些護網(wǎng)歉是一第個虛意擬擴趴展的撓本地酬網(wǎng)，既即沒城有子姿網(wǎng)和脾路由表器，尿那么紐奉內(nèi)網(wǎng)旁的變折化不臺影響聽堡壘駛主機礦和屏劍蔽路品由器頂?shù)呐涿裰?。私危險削帶限評制在庸堡壘爐主機等和屏謠蔽路打由器誦。網(wǎng)鄭關(guān)的美基本鉆控制懶策略廢由安經(jīng)裝在樓上面沸的軟飲件決杰定。型如果瘋攻擊特者設(shè)她法登尊錄到賊它上植面，篇內(nèi)網(wǎng)爸中的盲其余豬主機兵就會輸受到債很大鉗威脅離。這小與雙吊穴主西機網(wǎng)團關(guān)受航攻擊娘時的頸情形越差不煌多。防火詠墻體維系結(jié)菊構(gòu)被屏產(chǎn)蔽子繳網(wǎng)因（Sc胡re眾en規(guī)ed伸S貌ub病ne壇t）這種烤方法亦是在捉內(nèi)部穩(wěn)網(wǎng)絡(luò)博和外慨部網(wǎng)網(wǎng)絡(luò)之越間建豆立一沾個被僵隔離嫌的子戚網(wǎng)，竟用兩孫臺分兄組過賤濾路危由器揉將這艱一子喝網(wǎng)分氣別與已內(nèi)部辛網(wǎng)絡(luò)廁和外密部網(wǎng)沫絡(luò)分北開。謝在很緊多實沿現(xiàn)中尺，兩擠個分框組過至濾路拍由器拿放在趁子網(wǎng)斤的兩澆端，歐在子脖網(wǎng)內(nèi)枕構(gòu)成騎一個趣“非哀軍事稍區(qū)”DM片Z。有眉的屏填蔽子捧網(wǎng)中慘還設(shè)碧有一疊堡壘蝴主機屠作為龍唯一蘋可訪米問點拐，支狂持終腸端交撐互或朝作為巖應(yīng)用節(jié)網(wǎng)關(guān)第代理鞏。這洗種配半置的帆危險筒帶僅腸包括籍堡壘看主機啟、子擱網(wǎng)主串機及泄所有格連接儲內(nèi)網(wǎng)登、外劉網(wǎng)和寫屏蔽工子網(wǎng)丈的路俱由器嗚。如果脫攻擊鬧者試夾圖完聞全破啄壞防羨火墻唯，他拾必須臣重新割配置鋼連接霜三個個網(wǎng)的炒路由吧器，秋既不籃切斷并連接掃又不暮要把跨自己忌鎖在拘外面灰，同救時又奮不使孤自己耐被發(fā)咬現(xiàn)，撇這樣朱也還啊是可賣能的嬌。但販若禁挺止網(wǎng)競絡(luò)訪渴問路剪由器座或只水允許宰內(nèi)網(wǎng)馬中的穿某些里主機景訪問絨它，烈則攻橫擊會川變得精很困夏難。齡在這助種情糠況下姐，攻且擊者土得先臘侵入凱堡壘沾主機困，然稻后進搶入內(nèi)掘網(wǎng)主鍵機，畜再返藥回來氣破壞鍋屏蔽編路由尖器，政整個鈔過程罪中不抄能引間發(fā)警敬報。術(shù)語周邊笨網(wǎng)絡(luò)賠：是鏈一個半安全紗層。欣是在繼外部今網(wǎng)絡(luò)傭與用黨戶之氣間的識被保需護的奸內(nèi)部招網(wǎng)絡(luò)灰時間殃的附循加的剝網(wǎng)絡(luò)佳。如彎果入拘侵者扮成功豎的侵閣入用臣戶的械防火瞞墻的譽外層灘領(lǐng)域忠，周萌邊網(wǎng)倉絡(luò)在倆那個么入侵炎者與幅用戶邊的內(nèi)吃部系拘統(tǒng)之鄰間提倡供一痛個附濁加的村保護懂層。術(shù)語堡壘漠主機粱：建造撈防火議墻時賴，一堡般很距少采略用單綁一的房誠技術(shù)天，通京常是具多種尊解決古不同活問題迫的技蟲術(shù)的變組合號。這消種組院合主啟要取悠決于撇網(wǎng)管牧中心勉向用多戶提蝦供什美么樣階的服速務(wù)，膏以及濟網(wǎng)管銜中心惰能接詳受什坊么等絮級風低險。叢采用席哪種邪技術(shù)還主要遣取決獨于經(jīng)漁費，盡投資鴿的大脆小或旅技術(shù)邪人員秒的技畝術(shù)、梯時間按等因污素。嫂一般陽有以儉下幾駁種形派式：使用紙多堡氣壘主府機；合并駱內(nèi)部桿路由哄器與踩外部映路由專器；合并積堡壘挑主機州與外綠部路有由器氏；合并懷堡壘頭主機液與內(nèi)籃部路中由器嶺；使用食多臺筑內(nèi)部揚路由扇器；使用冬多臺教外部船路由息器；使用棒多個憂周邊射網(wǎng)絡(luò)紡；使用曠雙重完宿主皆主機窮與屏厘蔽子像網(wǎng)。包過豪濾技紐奉術(shù)包過季濾防拌火墻虛：包融過濾拍防火閘墻設(shè)楊置在累網(wǎng)絡(luò)境層，房誠可以里在路涌由器陵上實責現(xiàn)包清過濾慰。首愚先應(yīng)史建立店一定內(nèi)數(shù)量魄的信紋息過邀濾表幸，信泰息過叉濾表載是以近其收盛到的傳數(shù)據(jù)既包頭冤信息粱為基陳礎(chǔ)而需建成室的。怎信息娛包頭扭含有酒數(shù)據(jù)框包源IP地址坐、目愿的IP地址輕、傳派輸協(xié)粥議類洞型（TC閱P、UD巨P、IC業(yè)MP等）類、協(xié)庭議源型端口膚號、曲協(xié)議行目的疲端口央號、旨連接另請求仙方向首、IC叮MP報文烈類型調(diào)等。影當一之個數(shù)運據(jù)包碌滿足炮過濾求表中循的規(guī)桿則時男，則情允許撞數(shù)據(jù)鳴包通笨過，表否則傾禁止窄通過助。這至種防致火墻差可以順用于禽禁止喜外部震不合遞法用瓜戶對鑼內(nèi)部勉的訪柄問，聽也可菊以用時來禁蟲止訪語問某腹些服售務(wù)類躁型。擠但包塘過濾職技術(shù)瓜不能悟識別東有危羞險的章信息滅包，圖無法鼠實施箭對應(yīng)泥用級擴協(xié)議壯的處牢理，術(shù)也無旨法處而理UD恰P、RP屑C或動張態(tài)的跑協(xié)議艦。代理烏服務(wù)島技術(shù)代理獲服務(wù)緩是運嗽行在冰防火裝墻主沙機上姓的一石些特摘定的軍應(yīng)用眼程序績或者憂服務(wù)辦器程均序。代理脫服務(wù)象具有而網(wǎng)絡(luò)成地址央轉(zhuǎn)換廣（NA旗T）的擁功能封，NA型T對所勝有內(nèi)孝部地員址作盟轉(zhuǎn)換腸，使唯外部總網(wǎng)絡(luò)務(wù)無法葉了解詳內(nèi)部掠網(wǎng)絡(luò)榨的內(nèi)蓋部結(jié)俘構(gòu)，憶同時療使用NA平T的網(wǎng)烈絡(luò)，擠與外真部網(wǎng)臺絡(luò)的受連接貍只能完有內(nèi)材部網(wǎng)濟絡(luò)發(fā)江起，更極大鏡的提英高了滴內(nèi)部戀網(wǎng)絡(luò)集的安指全性著。NA險T可以俗解決IP地址草匱乏癥的問點題，煙不同卻的內(nèi)慌部主撤機可證以使枝用相騙同的IP地址針向外癥連接悲，內(nèi)路部網(wǎng)省絡(luò)的幻玉計算叫機之濾間的氣通信晌使用蹦內(nèi)部IP代理升服務(wù)擺器的屈功能接收屈和解姓釋客忘戶端犧的請獄求能夠饞創(chuàng)建未到服揀務(wù)器健的新忽連接能夠禾接受服服務(wù)豬器發(fā)狂來的憤響應(yīng)能夠遙發(fā)出液或解祖釋服桑務(wù)器兩的響南應(yīng)并艱將該線響應(yīng)形回傳萌給客蒸戶端代理膏技術(shù)嗎的優(yōu)倍點代理給易于覆配置代理貫?zāi)軌驖M生成陳各項盜紀錄靈，代項理工僚作在叛應(yīng)用白層代理旅能夠帝靈活截、完增全的波控制未進出熄流量勸和內(nèi)榜容代理漂能夠迅過濾構(gòu)數(shù)據(jù)水內(nèi)容代理旅能為記用戶聲提供愿透明憂的加揭密機仆制代理鏡可以脾方便宮的與災(zāi)其他土安全賤手段悅集成代理什的缺薪點代理深速度思較路長由