導(dǎo)語：辦公網(wǎng)絡(luò)中防火墻的應(yīng)用研究論文一文來源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

摘要：隨著時代的發(fā)展，Internet日益普及，網(wǎng)絡(luò)已經(jīng)成為信息資源的海洋，給人們帶來了極大的方便。但由于Internet是一個開放的，無控制機(jī)構(gòu)的網(wǎng)絡(luò)，經(jīng)常會受到計算機(jī)病毒、黑客的侵襲。它可使計算機(jī)和計算機(jī)網(wǎng)絡(luò)數(shù)據(jù)和文件丟失，系統(tǒng)癱瘓。因此，計算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問題必須放在首位。本文就辦公網(wǎng)絡(luò)中應(yīng)用最多的防火墻技術(shù)做了探討。

關(guān)鍵字：計算機(jī)網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；防火墻技術(shù)

一、前言

企業(yè)內(nèi)部辦公自動化網(wǎng)絡(luò)一般是基于TCP/IP協(xié)議并采用了Internet的通信標(biāo)準(zhǔn)和Web信息流通模式的Intranet，它具有開放性，因而使用極其方便。但開放性卻帶來了系統(tǒng)入侵、病毒入侵等安全性問題。一旦安全問題得不到很好地解決，就可能出現(xiàn)商業(yè)秘密泄漏、設(shè)備損壞、數(shù)據(jù)丟失、系統(tǒng)癱瘓等嚴(yán)重后果，給正常的企業(yè)經(jīng)營活動造成極大的負(fù)面影響。因此企業(yè)需要一個更安全的辦公自動化網(wǎng)絡(luò)系統(tǒng)。

目前企業(yè)內(nèi)部辦公網(wǎng)絡(luò)存在的安全隱患主要有黑客惡意攻擊、病毒感染、口令攻擊、數(shù)據(jù)監(jiān)聽等，在這眾多的安全隱患中要數(shù)黑客惡意攻擊和病毒感染的威脅最大，造成的破壞也最大。所以企業(yè)網(wǎng)絡(luò)中應(yīng)該以防范黑客和病毒為首。

針對企業(yè)辦公網(wǎng)絡(luò)存在的眾多隱患，各個企業(yè)也實(shí)施了安全防御措施，其中包括防火墻技術(shù)、數(shù)據(jù)加密技術(shù)、認(rèn)證技術(shù)、PKI技術(shù)等，但其中應(yīng)用最為廣泛、實(shí)用性最強(qiáng)、效果最好的就是防火墻技術(shù)。本文將就放火墻技術(shù)在企業(yè)辦公中的應(yīng)用給予探討，希望能給廣大企業(yè)辦公網(wǎng)絡(luò)安全建設(shè)帶來一定幫助。

二、防火墻技術(shù)概述

1.防火墻的基本概念

防火墻原是建筑物大廈里用來防止火災(zāi)蔓延的隔斷墻，在這里引申為保護(hù)內(nèi)部網(wǎng)絡(luò)安全的一道防護(hù)墻。從理論上講，網(wǎng)絡(luò)防火墻服務(wù)的原理與其類似，它用來防止外部網(wǎng)上的各類危險傳播到某個受保護(hù)網(wǎng)內(nèi)。從邏輯上講，防火墻是分離器、限制器和分析器；從物理角度看，各個防火墻的物理實(shí)現(xiàn)方式可以有所不同，但它通常是一組硬件設(shè)備(路由器、主機(jī))和軟件的多種組合；而從本質(zhì)上來說防火墻是一種保護(hù)裝置，用來保護(hù)網(wǎng)絡(luò)數(shù)據(jù)、資源和用戶的聲譽(yù)；從技術(shù)上來說，網(wǎng)絡(luò)防火墻是一種訪問控制技術(shù)，在某個機(jī)構(gòu)的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)之間設(shè)置障礙，阻止對信息資源的非法訪問，換句話說，防火墻是一道門檻，控制進(jìn)/出兩個方向的通信，防火墻主要用來保護(hù)安全網(wǎng)絡(luò)免受來自不安全網(wǎng)絡(luò)的入侵，如安全網(wǎng)絡(luò)可能是企業(yè)的內(nèi)部網(wǎng)絡(luò)，不安全網(wǎng)絡(luò)是因特網(wǎng)，當(dāng)然，防火墻不只是用于某個網(wǎng)絡(luò)與因特網(wǎng)的隔離，也可用于企業(yè)內(nèi)部網(wǎng)絡(luò)中的部門網(wǎng)絡(luò)之間的隔離。

2.防火墻的工作原理

防火墻的工作原理是按照事先規(guī)定好的配置和規(guī)則，監(jiān)控所有通過防火墻

的數(shù)據(jù)流，只允許授權(quán)的數(shù)據(jù)通過，同時記錄有關(guān)的聯(lián)接來源、服務(wù)器提供的

通信量以及試圖闖入者的任何企圖，以方便管理員的監(jiān)測和跟蹤，并且防火墻本身也必須能夠免于滲透。

3.防火墻的功能

一般來說，防火墻具有以下幾種功能：

①能夠防止非法用戶進(jìn)入內(nèi)部網(wǎng)絡(luò)。

②可以很方便地監(jiān)視網(wǎng)絡(luò)的安全性，并報警。

③可以作為部署NAT（NetworkAddressTranslation，網(wǎng)絡(luò)地址變換）的地點(diǎn)，利用NAT技術(shù)，將有限的IP地址動態(tài)或靜態(tài)地與內(nèi)部的IP地址對應(yīng)起來，用來緩解地址空間短缺的問題。

④可以連接到一個單獨(dú)的網(wǎng)段上，從物理上和內(nèi)部網(wǎng)段隔開，并在此部署WWW服務(wù)器和FTP服務(wù)器，將其作為向外部內(nèi)部信息的地點(diǎn)。從技術(shù)角度來講，就是所謂的停火區(qū)（DMZ）。

4.防火墻的分類

①包過濾型防火墻，又稱篩選路由器(Screeningrouter)或網(wǎng)絡(luò)層防火墻(Networklevelfirewall)，它工作在網(wǎng)絡(luò)層和傳輸層。它基于單個數(shù)據(jù)包實(shí)施網(wǎng)絡(luò)控制，根據(jù)所收到的數(shù)據(jù)包的源IP地址、目的IP地址、TCP/UDP源端口號及目標(biāo)端口號、ICMP消息類型、包出入接口、協(xié)議類型和數(shù)據(jù)包中的各種標(biāo)志等為參數(shù)，與用戶預(yù)定的訪問控制表進(jìn)行比較，決定數(shù)據(jù)是否符合預(yù)先制定的安全策略，決定數(shù)據(jù)包的轉(zhuǎn)發(fā)或丟棄，即實(shí)施過濾。

②服務(wù)器型防火墻

服務(wù)器型防火墻通過在主機(jī)上運(yùn)行的服務(wù)程序，直接對特定的應(yīng)用層進(jìn)行服務(wù)，因此也稱為應(yīng)用型防火墻。其核心是運(yùn)行于防火墻主機(jī)上的服務(wù)器進(jìn)程，它代替網(wǎng)絡(luò)用戶完成特定的TCP/IP功能。一個服務(wù)器實(shí)際上是一個為特定網(wǎng)絡(luò)應(yīng)用而連接兩個網(wǎng)絡(luò)的網(wǎng)關(guān)。

③復(fù)合型防火墻

由于對更高安全性的要求，通常把數(shù)據(jù)包過濾和服務(wù)系統(tǒng)的功能和特點(diǎn)綜合起來，構(gòu)成復(fù)合型防火墻系統(tǒng)。所用主機(jī)稱為堡壘主機(jī)，負(fù)責(zé)服務(wù)。各種類型的防火墻都有其各自的優(yōu)缺點(diǎn)。當(dāng)前的防火墻產(chǎn)品己不再是單一的包過濾型或服務(wù)器型防火墻，而是將各種安全技術(shù)結(jié)合起來，形成一個混合的多級防火墻，以提高防火墻的靈活性和安全性?；旌闲头阑饓σ话悴捎靡韵聨追N技術(shù):①動態(tài)包過濾；②內(nèi)核透明技術(shù)；③用戶認(rèn)證機(jī)制；④內(nèi)容和策略感知能力:⑤內(nèi)部信息隱藏；⑥智能日志、審計和實(shí)時報警；⑦防火墻的交互操作性等。

三、辦公網(wǎng)絡(luò)防火墻的設(shè)計

1.防火墻的系統(tǒng)總體設(shè)計思想

1.1設(shè)計防火墻系統(tǒng)的拓?fù)浣Y(jié)構(gòu)

在確定防火墻系統(tǒng)的拓?fù)浣Y(jié)構(gòu)時，首先必須確定被保護(hù)網(wǎng)絡(luò)的安全級別。從整個系統(tǒng)的成本、安全保護(hù)的實(shí)現(xiàn)、維護(hù)、升級、改造以及重要的資源的保護(hù)等方面進(jìn)行考慮，以決定防火墻系統(tǒng)的拓?fù)浣Y(jié)構(gòu)。

1.2制定網(wǎng)絡(luò)安全策略

在實(shí)現(xiàn)過程中，沒有允許的服務(wù)是被禁止的，沒有被禁止的服務(wù)都是允許的，因此網(wǎng)絡(luò)安全的第一條策略是拒絕一切未許可的服務(wù)。防火墻封鎖所有信息流，逐一完成每一項許可的服務(wù)；第二條策略是允許一切沒有被禁止的服務(wù)，防火墻轉(zhuǎn)發(fā)所有的信息，逐項刪除被禁止的服務(wù)。

1.3確定包過濾規(guī)則

包過濾規(guī)則是以處理IP包頭信息為基礎(chǔ)，設(shè)計在包過濾規(guī)則時，一般先組織好包過濾規(guī)則，然后再進(jìn)行具體設(shè)置。

1.4設(shè)計服務(wù)

服務(wù)器接受外部網(wǎng)絡(luò)節(jié)點(diǎn)提出的服務(wù)請求，如果此請求被接受，服務(wù)器再建立與實(shí)服務(wù)器的連接。由于它作用于應(yīng)用層，故可利用各種安全技術(shù)，如身份驗證、日志登錄、審計跟蹤、密碼技術(shù)等，來加強(qiáng)網(wǎng)絡(luò)安全性，解決包過濾所不能解決的問題。

1.5嚴(yán)格定義功能模塊，分散實(shí)現(xiàn)

防火墻由各種功能模塊組成，如包過濾器、服務(wù)器、認(rèn)證服務(wù)器、域名服務(wù)器、通信監(jiān)控器等。這些功能模塊最好由路由器和單獨(dú)的主機(jī)實(shí)現(xiàn)，功能分散減少了實(shí)現(xiàn)的難度，增加了可靠程度。

1.6防火墻維護(hù)和管理方案的考慮

防火墻的日常維護(hù)是對訪問記錄進(jìn)行審計，發(fā)現(xiàn)入侵和非法訪問情況。據(jù)此對防火墻的安全性進(jìn)行評價，需要時進(jìn)行適當(dāng)改進(jìn)，管理工作要根據(jù)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的改變或安全策略的變化，對防火墻進(jìn)行硬件和軟件的修改和升級。通過維護(hù)和管理進(jìn)一步優(yōu)化其性能，以保證網(wǎng)絡(luò)極其信息的安全性。

2.一種典型防火墻設(shè)計實(shí)例——數(shù)據(jù)包防火墻設(shè)計

數(shù)據(jù)包過濾防火墻工作于DOD(DepartmentofDefense)模型的網(wǎng)絡(luò)層，其技術(shù)核心是對是流經(jīng)防火墻每個數(shù)據(jù)包進(jìn)行行審查，分析其包頭中所包含的源地址、目的地址、封裝協(xié)議(TCP，UDP、ICMP，IPTunnel等)、TCP/UDP源端口號和目的端口號、輸人輸出接口等信息，確定其是否與系統(tǒng)預(yù)先設(shè)定的安全策略相匹配，以決定允許或拒絕該數(shù)據(jù)包的通過。從而起到保護(hù)內(nèi)部網(wǎng)絡(luò)的作用，這一過程就稱為數(shù)據(jù)包過濾。

本例中網(wǎng)絡(luò)環(huán)境為：內(nèi)部網(wǎng)絡(luò)使用的網(wǎng)段為192.168.1.0，eth0為防火墻與Internet接口的網(wǎng)卡，eth1為防火墻與內(nèi)部網(wǎng)絡(luò)接口的網(wǎng)卡。

數(shù)據(jù)包過濾規(guī)則的設(shè)計如下：

2.1與服務(wù)有關(guān)的安全檢查規(guī)則

這類安全檢查是根據(jù)特定服務(wù)的需要來決定是否允許相關(guān)的數(shù)據(jù)包被傳輸.這類服務(wù)包括WWW，F(xiàn)TP，Telnet，SMTP等.我們以WWW包過濾為例，來分析這類數(shù)據(jù)包過濾的實(shí)現(xiàn).

WWW數(shù)據(jù)包采用TCP或UDP協(xié)議，其端口為80，設(shè)置安全規(guī)則為允許內(nèi)部網(wǎng)絡(luò)用戶對Internet的WWW訪問，而限制Internet用戶僅能訪問內(nèi)部網(wǎng)部的WWW服務(wù)器，(假定其IP地址為192.168.1.11)。

要實(shí)現(xiàn)上述WWW安全規(guī)則，設(shè)置WWW數(shù)據(jù)包過濾為，在防火eth0端僅允許目的地址為內(nèi)部網(wǎng)絡(luò)WWW服務(wù)器地址數(shù)據(jù)包通過，而在防火墻eth1端允許所有來自內(nèi)部網(wǎng)絡(luò)WWW數(shù)據(jù)包通過。

#DefineHTTPpackets

#允許Internet客戶的WWW包訪問WWW服務(wù)器

/sbin/ipchains-Ainput-ptcp-s0.0.0.0/01024:-d192.168.1.11/32www-ieth0–jACCEPT

/sbin/ipchains-Ainput-ptcp-s0.0.0.0/fl1024:-d192.168.1.11132www-ieth0–jACCEPT

#允許WWW服務(wù)器回應(yīng)Internet客戶的WWW訪問請求

/sbin/ipchains-Ainput-ptcp-s192.168.1.11/32www:-d0.0.0.0/01024:-iethl–jACCEPT

/sbin/ipchains-Ainput-pudp-s192.168.1.11/32www:-d0.0.0.0/01024:-ieth1–jACCEPT

顯然，設(shè)置此類數(shù)據(jù)過濾的關(guān)鍵是限制與服務(wù)相應(yīng)的目地地址和服務(wù)端口。

與此相似，我們可以建立起與FTP，Telnet，SMTP等服務(wù)有關(guān)的數(shù)據(jù)包檢查規(guī)則；

2.2與服務(wù)無關(guān)的安全檢查規(guī)則

這類安全規(guī)則是通過對路由表、數(shù)據(jù)包的特定IP選項和特定段等內(nèi)容的檢查來實(shí)現(xiàn)的，主要有以下幾點(diǎn)：

①數(shù)據(jù)包完整性檢查(TinyFragment):安全規(guī)則為拒絕不完整數(shù)據(jù)包進(jìn)人Ipchains本身并不具備碎片過濾功能，實(shí)現(xiàn)完整性檢查的方法是利用REDHAT，在編譯其內(nèi)核時設(shè)定IP；alwaysdefraymentssetto‘y’。REDHAT檢查進(jìn)人的數(shù)據(jù)包的完整性，合并片段而拋棄碎片。

②源地址IP(SourceIPAddressSpoofing)欺騙:安全規(guī)則為拒絕從外部傳輸來的數(shù)據(jù)包偽裝成來自某一內(nèi)部網(wǎng)絡(luò)主機(jī)，以期能滲透到內(nèi)部網(wǎng)絡(luò)中.要實(shí)現(xiàn)這一安全規(guī)則，設(shè)置拒絕數(shù)據(jù)包過濾規(guī)則為，在防火墻eth0端拒絕1P源地址為內(nèi)部網(wǎng)絡(luò)地址的數(shù)據(jù)包通過。

③源路由(SourceRouting)欺騙:安全規(guī)則為拒絕從外部傳輸來的數(shù)據(jù)包包含自行指定的路由信息，實(shí)現(xiàn)的方法也是借助REDHAT的路由功能，拒絕來自外部的包含源路由選項的數(shù)據(jù)包。

總之，放火墻優(yōu)點(diǎn)眾多，但也并非萬無一失。所以，安全人員在設(shè)定防火墻后千萬不可麻痹大意，而應(yīng)居安思危，將防火墻與其他安全防御技術(shù)配合使用，才能達(dá)到應(yīng)有的效果。

參考文獻(xiàn)：

[1]張曄,劉玉莎.防火墻技術(shù)的研究與探討[J].計算機(jī)系統(tǒng)應(yīng)用,1999

[2]王麗艷.淺談防火墻技術(shù)與防火墻系統(tǒng)設(shè)計.遼寧工學(xué)院學(xué)報.2001

[3]郭偉.數(shù)據(jù)包過濾技術(shù)與防火墻的設(shè)計.江漢大學(xué)學(xué)報.2001

[4]AnthonyNorthup.NTNetworkPlumbing:Routers,Proxies,andWebServices[M].

NewYork:IDGBooksWorldwide,1998.

[5](美)ChrisHareKaranjitSiyan.Internet防火墻與網(wǎng)絡(luò)安全.北京:機(jī)械工業(yè)出版社,1998