8、防火墙基础功能解析：从原理到应用

防火墙基础功能解析：从原理到应用

1. 黑客发送伪造 IP 数据包的原因

在网络安全领域，黑客发送伪造 IP 数据包是一个常见但危险的行为。尽管伪造发送方 IP 地址后，黑客接收返回数据包会有困难，但他们仍有以下几个动机：
- 激活木马程序 ：内部网络中的某台计算机可能已被植入恶意木马程序。黑客只需发送信号激活该程序，就像发送加密消息一样，无需确认，例如“今晚蓝色麻雀将迎来早春”。
- 发起拒绝服务攻击 ：黑客可能想对内部计算机发起拒绝服务攻击，使目标计算机无法正常提供服务。
- 模拟合法响应 ：黑客可能暂时禁用了合法使用伪造 IP 地址的计算机，并在精心安排的时间间隔内假装响应丢失的返回数据包，类似于恼人的语音邮件留言。
- 利用源路由选项 ：带有伪造 IP 地址的数据包可能包含源路由选项，其中列出了返回数据包在到达源 IP 地址途中应访问的 IP 地址。黑客会在源路由列表中列出自己监控的 IP 地址。

为防止源路由选项被利用，防火墙应配置为丢弃所有启用源路由选项的数据包。这是 IP 数据包 IP 选项字段中的一个选项，所有选项仅用于诊断目的，因此防火墙数据包过滤器可丢弃任何设置了选项的数据包。

2. 状态包过滤

传统的无状态包过滤存在安全风险。当 IP 数据包请求信息时，如向公共网站发送 HTTP 请求（端口 80），数据包会列出返回 IP 地址和大于 1023 的未使用返回端口号（如 2065）。无状态包过滤防火墙不知道不久后会有数据包到达端口 2065，只能将所有大于 1