网络安全概论——防火墙原理与计划

一、防火墙概述

防火墙是一种装置，它是由软件/硬件装备组合而成，通常处于企业的内部局域网与 Internet 之间，限定 Internet 用户对内部网络的访问以及管理内部用户访问 Internet 的权限。换言之，一个防火墙在一个被以为是安全和可信的内部网络和一个被以为是不那么安全和可信的外部网络(通常是 Internet)之间提供 一个封锁工具。如果没有防火墙，则整个内部网络的安全性完全依赖于每个主机， 因此，全部的主机都必须到达划一的高度安全水平， 这在现实操纵时非常困难。 而防火墙被计划为只运行专用的访问控制软件的装备，没有其他的服务，因此也 就意味着相对少一些缺陷和安全毛病，这就使得安全管理变得更为方便，易于控 制，也会使内部网络更加安全。 防火墙所依照的原则是在包管网络流通的情况下，尽大概包管内部网络的安 全。它是种被动的技能，是一种静态安全部件。
1、防火墙计划的要求

（对防御内部的攻击无用）：

• 全部收支网络的数据都要通过防火墙（但不肯定要过滤）
  
• 只答应颠末授权的数据流畅过防火墙
  
• 防火墙自身对入侵是免疫的
  

2、防火墙提供的四种控制机制

• 服务控制
  
• 方向控制
  
• 用户控制
  
• 运动控制
  

3、防火墙的几个根本功能

• (1)隔离差异的网络，限定安全题目标扩散，对安全会合管理，简化了安全管理的复杂水平。
  
• (2) 防火墙可以方便地纪录网络上的各种非法运动，监督网络的安全性，遇到告急情况报警。
  
• (3)防火墙可以作为摆设 NAT 的所在，利用 NAT 技能，将有限的 IP 所在动态或静 态地与内部的 IP 所在对应起来，用来缓解所在空间短缺的题目大概埋伏内部网络的布局。
  
• (4)防火墙是审计和纪录 Internet 利用费用的一个最佳所在。
  
• (5)防火墙也可以作为 IPSec 的平台。
  
• (6)内容控制功能。根据数据内容举行控制，比如防火墙可以从电子邮件中过滤 掉垃圾邮件，可以过滤掉内部用户访问外部服务的图片信息。只有署理服务器和先辈的过滤才华实现。
  

二、防火墙分类

一样平常来说，防火墙工作于OSI模子的条理越高，其查抄数据包中的信息就越多，因此防火墙所斲丧的处置惩罚器工作周期就越长；防火墙查抄的数据包越靠近OSI模子的上层，该防火墙布局所提供的安全掩护品级就越高，由于在高层上可以大概得到更多的信息用于安全决议。

OSI七层模子影象口诀：物数网传会表应
0、包过滤防火墙

包过滤防火墙也称分组过滤路由器，又叫网络层防火墙，由于它是工作在网络层。 路由器便是一个网络层防火墙，由于包过滤是路由器的固有属性。它一样平常是通过 查抄单个包的所在、协议、端口等信息来决定是否答应此数据包通过，有静态和 动态两种过滤方式。 这种防火墙可以提供内部信息以阐明所通过的毗连状态和一些数据流的内容，把判定的信息同规则表举行比力，在规则表中界说了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙查抄每一条规则直至发现包中的信息与某规则符合。 如果没有一条规则能符合，防火墙就会利用默认规则(抛弃该包)。在订定命据包过滤规则时，肯定要注意数据包是双向的
1、静态包过滤防火墙

工作于网络层
对于静态包过滤防火墙来说，决定吸收还是拒绝一个数据包，取决于对数据包中IP头和协议头等特定域的查抄和判定。

对数据包的某些特定域举行查抄，这些特定域包罗：源所在、目标所在、应用或协议、源端标语、目标端标语
在每个包过滤器上，安全管理员要根据企业的安全战略界说一个表单，这个表单也被称为访问控制规则库。该规则库包罗许多规则，用来指示防火墙应该拒绝还是继承该数据包。
优缺点：对网络性能有较小的影响，本钱低；安全性较低，缺少状态感知本领，容易遭受IP诱骗攻击，创建访问控制规则比力困难。
静态包过滤防火墙告急实现如下三个功能：

• 继承每个到达的数据包。
  
• 对数据包接纳过滤规则，对数据包的IP头和传输字段内容举行查抄。如果数据包的头信息与一组规则匹配，则根据该规则确定是转发还是抛弃该数据包。
  
• 如果没有规则与数据包头信息匹配，则对数据包施加默认规则。
  

2、动态包过滤防火墙

毗连创建以后的数据包不必要查抄
优缺点：对网络性能有较小的影响，具有状态感知本领，性能显着提拔；安全性低，容易遭受IP诱骗攻击，难于创建规则（必须思量规则的先后次序）
对数据包的某些特定域举行查抄，这些特定域包罗：源所在、目标所在、应用或协议、源端标语、目标端标语
3、电路级网关

工作于会话层，在许多方面，电路级网关仅仅是包过滤防护墙的一种扩展，它除了举行根本的包过滤查抄之外，还要增长对毗连创建过程中的握手信息及序列号正当性的验证。
在打开一条通过防火墙的毗连或电路之前，电路级网关要查抄和确认TCP及UDP协议会话。因此，电路级网关所查抄的数据比静态包过滤防火墙或动态包过滤防火墙所查抄的数据更多，安全性也更高。
对数据包的某些特定域举行查抄，这些特定域包罗：源所在、目标所在、应用或协议、源端标语、目标端标语、握手信息及序列号
优点：

• 对网络性能有肯定影响，比包过滤性能低，但优于应用署理防火墙。
  
• 堵截了外部网络和防火墙后服务器的直接毗连。
  
• 安全性高。
  

缺点：

• 无法反抗应用层入侵。
  
• 当步伐和资源增长时，电路及网关的许多代码必要修改。
  

4、应用级网关

工作于应用层，只能对特定服务的数据流举行过滤，应用级网关必须为特定的应用服务编写特定的署理步伐。
与电路级网关一样，应用级网关截获收支网络的数据包，运行署理步伐来复兴制华为转达通过网关的信息，起着署理服务器的作用。它可以制止内网中的可敬佩务器或客户机遇外网中某个不可信主机之间的直接毗连。
告急工作在应用层，又称为应用层防火墙。它查抄收支的数据包，通过自身复制 转达数据，防止在受信主机与非受信主机间直接创建接洽。应用层网关可以大概明确 应用层上的协议，可以大概做复杂的访问控制，并做风雅的注册和考核。 根本工作过程是:当客户机必要利用服务器上的数据时，起首将数据哀求发给代 理服务器，署理服务器再根据这一哀求向服务器索取数据，然后再由署理服务器 将数据传输给客户机。常用的应用层网关已有相应的署理服务软件，如 HTTP、 SMTP、 FTP、 Telnet 等，但是对于新开辟的应用，尚没有相应的 署理服务，它们将通过网络层防火墙和一样平常的署理服务。 应用层网关有较好的访问控制本领，是现在最安全的防火墙技能。可以大概提供内容 过滤、用户认证、页面缓存和 NAT 等功能。但实现贫苦，有的应用层网关缺乏“透 明度”。应用层网关每一种协议必要相应的署理软件，利用时工作量大，服从明 显不如网络层防火墙。
优点：

• 在已知安全模子中安全性高
  
• 强大的认证功能
  
• 强大的日记功能
  
• 规则创建简朴
  

缺点：

• 机动性差
  
• 设置繁琐
  
• 性能低
  

应用级网关和电路级网关堵截了数据的端到端运动
5、状态检测防火墙

状态检测防火墙工作于OSI模子的全部7个条理上，以是在理论上具有很高的安全性，但是现有的大多数状态检测防火墙只工作于网络层上，因此其安全性与包过滤防火墙相称。
在全部7层上举行过滤
优点：

• 有更高的安全性，可以大概反抗协议细节攻击
  
• 没有冲破客户/服务器模式
  
• 提供集成的动态包过滤功能
  

缺点：

• 单线程计划，性能不高，无法高并发
  
• 没有冲破客户/服务器布局会产生不可继承的安全风险
  

6、切换署理

现实上是动态包过滤器和一个电路级署理的联合。
前三次握手时是电路级网关，然后再切换到动态包过滤的工作模式下。因此，切换署理起首工作于OSI的会话层，即第5层；当毗连完成后，再切换到动态包过滤模式，即工作于OSI的第3层网络层。

7、氛围隙防火墙

也称做安全网闸，在内网和外网之间实现了真正的物理隔离
三、网络所在转换NAT

完成IP到端口映射
NAT按照实现方式分类：静态网络所在转换，动态网络所在转换，端口所在换换
按照数据流向分类：源所在转换，目标所在转换
全部输入数据包的目标所在=全部输出数据包的源所在=路由器的外部所在