|
|
|
|
|
防火墙的概念源于早期为防止火灾蔓延在房屋周围修建的矮墙。在网络安全中，防火墙是在内部网与外部网之间构筑的一道保护屏障，是执行访问控制策略的一个或一组系统。通过执行访问控制策略，提供授权通信，保护内部网不受外部非法用户的入侵，控制内部网与外部网之间数据流量。
|
|
|
|
防火墙可以是硬件，也可以是软件，或是二者结合。防火墙系统决定了哪些内部服务可以被外界访问，外界的哪些人可以访问内部服务，哪些外部服务可以被内部人员访问等。防火墙必须只允许授权的数据通过，其本身也必须能够免于渗透，但防火墙不是对网络内的每台计算机分别进行保护，而是让所有外部对内部网计算机的信息访问都通过某个点，防火墙就是保护这个点。防火墙技术是实现网络安全的主要手段之一。目前，企业内部网络与因特网之间的有效隔离方式大都采用的是防火墙技术。
|
|
|
|
|
|
防火墙主要用于实现网络路由的安全性。网络路由的安全性包括两个方面：限制外部网对内部网的访问，从而保护内部网特定资源免受非法侵犯；限制内部网对外部网的访问，主要是针对一些不健康信息及敏感信息的访问。
|
|
|
|
|
|
（1）保护那些易受攻击的服务。防火墙能过滤那些不安全的服务（如NFS等）。只有预先被允许的服务才能通过防火墙，这样就降低了受到攻击的风险性，大大地提高了网络的安全性。
|
|
|
|
（2）控制对特殊站点的访问。防火墙能控制对特殊站点的访问。如有些主机能被外部网络访问，而有些则要被保护起来，防止不必要的访问。通常会有这样一种情况，在内部网中只有Mail服务器、FTP服务器和WWW服务器能被外部网访问，而其他访问则被主机禁止。
|
|
|
|
（3）集中化的安全管理。对于一个企业而言，使用防火墙比不使用防火墙可能更加经济一些。这是因为如果使用了防火墙，就可以将所有修改过的软件和附加的安全软件都放在防火墙上集中管理；而不使用防火墙，就必须将所有软件分散到各个主机上。
|
|
|
|
（4）对网络访问进行记录和统计。如果所有对Internet的访问都经过防火墙，那么防火墙就能记录下这些访问，并能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能够报警，并提供网络是否受到监测和攻击的详细信息。
|
|
|
|
|
|
（1）限制有用的网络服务。防火墙为了提高被保护网络的安全性，限制或关闭了很多有用但存在安全缺陷的网络服务。
|
|
|
|
（2）不能防范内部网络用户的攻击。目前防火墙只提供了对外部网络用户攻击的防护，对来自内部网络用户的攻击只能依靠内部网络主机系统的安全性。
|
|
|
|
（3）不能完全防范病毒。因为病毒的类型很多，操作系统各异，编码与压缩二进制文件的方法也各不相同，因此防火墙不能完全防止传送已感染病毒的软件或文件，不能期望防火墙对每一个文件进行扫描，查出潜在的病毒。
|
|
|
|
|
|
从技术角度分类，防火墙可以分为包过滤防火墙、代理服务防火墙和复合型防火墙。
|
|
|
|
|
|
网络传输数据是以“包”为单位进行的，数据被分割成一定大小的数据包，每个数据包中都会含有一些特定的信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙可通过对数据包的源地址、目的地址及端口等的检查，判断数据包是否来自可信任的安全站点。如果发现来自危险站点的数据包，防火墙将会拒绝其通过。
|
|
|
|
包过滤防火墙是最简单的防火墙，使用方便，实现成本低。分组过滤在网络层实现，不要求改动应用程序，也不要求用户学习任何新的东西，对用户来讲是透明的，用户基本感觉不到分组过滤器的存在。但也存在一个问题，就是过滤器不能在用户层次上进行安全过滤，即在同一台机器上，过滤器分辨不出是哪个用户的报文。
|
|
|
|
|
|
|
|
|
|
|
|
代理服务防火墙使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器进行实际连接。代理服务防火墙使内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。
|
|
|
|
|
|
|
|
|
|
代理服务防火墙也被称为应用网关防火墙，其核心技术就是代理服务器技术。它采用为每种所需服务在网关上安装特殊代码（代理服务）的方式来管理Internet服务。其应用原理是：当代理服务器收到客户对自己代理的某Web站点的访问请求后，就检查该请求是否符合规定；如果规则允许用户访问该站点时，代理服务器代理客户在该站点取回所需信息，再转发给客户。代理服务器在外部网络向内部网络申请服务时发挥了中间转接的作用，体现了“应用代理”的角色。
|
|
|
|
使用代理服务器技术，所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的TCP连接，彻底隔断了内网与外网的直接通信，从外部网只能看到代理服务器而不能了解内部网的资源信息，如用户的真实IP地址等。代理服务器提供详细的日志和审计功能，应用层的协议会话过程必须符合代理的安全策略要求，访问业务都由“守规矩”的代理服务器代劳。因此，代理服务防火墙的安全性大大提高。
|
|
|
|
代理服务器基于特定的应用，因此需要对每个应用服务（如Telnet、FTP）安装相应的代理服务软件，未被服务器支持的网络服务用户不能使用，因此代理服务防火墙维护量大，使用具有一定的局限性。由于需要代理服务，造成了网络性能下降，网络访问速度变慢。此外，每类应用服务需要使用特殊的客户端软件，并进行一些相关设置，使得代理服务防火墙的透明性较差。
|
|
|
|
|
|
复合型防火墙将前两类防火墙结合起来，形成新的产品，以发挥各自优势，克服各自缺点，满足更高安全性要求。
|
|
|
|
|
|
防火墙通常有两种安全模型可以选择：没有被列为允许访问的服务都是被禁止的；没有被列为禁止访问的服务都是被允许的。
|
|
|
|
为网络建立防火墙，首先需要决定防火墙采取何种安全控制模型。采取第一种安全控制模型，需要确定所有可以被提供的服务以及它们的安全特性，开放这些服务；将所有其他未被列入的服务排除在外，禁止访问。采取第二种安全控制模型，正好相反，需要确定那些被认为是不安全的服务，禁止其访问；而其他服务则被认为是安全的，允许访问。找出网络所有的漏洞，排除所有的非法服务，一般是很难的。从安全性角度考虑，第一种模型更可取一些，而从灵活性和使用方便性的角度考虑，则第二种模型更合适。
|
|
|
|
|
|
根据需要，防火墙与Web服务器的配置会有所不同，主要有三种：
|
|
|
|
（1）Web服务器置于防火墙之内。这种方式Web服务器可以得到安全保护，不易被外界攻击，但Web服务器本身也不易被外界所用。
|
|
|
|
（2）Web服务器置于防火墙之外。这种方式主要保证了内部网安全，Web服务器不受到保护。需要注意的是，有些防火墙结构不允许将Web服务器设置在防火墙之外。
|
|
|
|
（3）Web服务器置于防火墙之上。这种方式增强了Web服务器的安全性，但是如果Web服务器出现问题，整个Web站点和内部网都会处于危险之中。
|
|
|
