firewall

 防火墙技术简介

　　Internet 的发展给政府结构、企事业单位带来了革命性的改革和开放。他们正努力通过利用 Internet 来提高办事效率和市场反应速度，以便更具竞争力。通过 Internet ，企业可以从异地取回重要数据，同时又要面对 Internet 开放带来的数据安全的新挑战和新危险：即客户、销售商、移动用户、异地员工和内部员工的安全访问；以及保护企业的机密信息不受黑客和工业间谍的入侵。因此企业必须加筑安全的 " 战壕 " ，而这个 " 战壕 " 就是防火墙。
　　防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入 Internet 网络为最甚。

　　1 ．什么是防火墙？
　　防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。
　　在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和 Internet 之间的任何活动，保证了内部网络的安全。

防火墙逻辑位置示意图

　　2 ．防火墙能做什么？
　　防火墙是网络安全的屏障：
　　一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的 NFS 协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如 IP 选项中的源路由攻击和 ICMP 重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

　　防火墙可以强化网络安全策略：
　　通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。

　　对网络存取和访问进行监控审计：
　　如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。

　　防止内部信息的外泄：
　　通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如 Finger ， DNS 等服务。 Finger 显示了主机的所有用户的注册名、真名，最后登录时间和使用 shell 类型等。但是 Finger 显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的 DNS 信息，这样一台主机的域名和 IP 地址就不会被外界所了解。
　　除了安全作用，防火墙还支持具有 Internet 服务特性的企业内部网络技术体系 VPN 。通过 VPN ，将企事业单位在地域上分布在全世界各地的 LAN 或专用子网，有机地联成一个整体。不仅省去了专用通信线路，而且为信息共享提供了技术保障。

　　3 ．防火墙的种类
　　防火墙技术可根据防范的方式和侧重点的不同而分为很多种类型，但总体来讲可分为二大类：分组过滤、应用代理。
　　分组过滤（ Packet filtering ）：作用在网络层和传输层，它根据分组包头源地址，目的地址和端口号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。
　　应用代理（ Application Proxy ）：也叫应用网关（ Application Gateway ） , 它作用在应用层，其特点是完全 " 阻隔 " 了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。

　　4. 分组过滤型防火墙
　　分组过滤或包过滤，是一种通用、廉价、有效的安全手段。之所以通用，因为它不针对各个具体的网络服务采取特殊的处理方式；之所以廉价，因为大多数路由器都提供分组过滤功能；之所以有效，因为它能很大程度地满足企业的安全要求。
　　包过滤在网络层和传输层起作用。它根据分组包的源、宿地址，端口号及协议类型、标志确定是否允许分组包通过。所根据的信息来源于 IP 、 TCP 或 UDP 包头。
　　包过滤的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：据以过滤判别的只有网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如 UDP 、 RPC 一类的协议；另外，大多数过滤器中缺少审计和报警机制，且管理方式和用户界面较差；对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

　　5 ．应用代理型防火墙

　　应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作 用。同时也常结合入过滤器的功能。它工作在 OSI 模型的最高层，掌握着应用系统中可用作安全决策的全部信息。

　　6. 复合型防火墙
　　由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的方法结合起来，形成复合型防火墙产品。这种结合通常是以下两种方案。
　　屏蔽主机防火墙体系结构：在该结构中，分组过滤路由器或防火墙与 Internet 相连，同时一个堡垒机安装在内部网络，通过在分组过滤路由器或防火墙上过滤规则的设置，使堡垒机成为 Internet 上其它节点所能到达的唯一节点，这确保了内部网络不受未授权外部用户的攻击。
　　屏蔽子网防火墙体系结构：堡垒机放在一个子网内，形成非军事化区，两个分组过滤路由器放在这一子网的两端，使这一子网与 Internet 及内部网络分离。在屏蔽子网防火墙体系结构中，堡垒主机和分组过滤路由器共同构成了整个防火墙的安全基础。

　　7. 防火墙操作系统
　　防火墙应该建立在安全的操作系统之上，而安全的操作系统来自于对专用操作系统的安全加固和改造，从现有的诸多产品看，对安全操作系统内核的固化与改造主要从以下几方面进行：取消危险的系统调用；限制命令的执行权限；取消 IP 的转发功能；检查每个分组的接口；采用随机连接序号；驻留分组过滤模块；取消动态路由功能；采用多个安全内核，等等。

　　8. NAT 技术
　　NAT 技术能透明地对所有内部地址作转换，使外部网络无法了解内部网络的内部结构，同时使用 NAT 的网络，与外部网络的连接只能由内部网络发起，极大地提高了内部网络的安全性。
NAT 的另一个显而易见的用途是解决 IP 地址匮乏问题。

　　9 ．防火墙的抗攻击能力
　　作为一种安全防护设备，防火墙在网络中自然是众多攻击者的目标，故抗攻击能力也是防火墙的必备功能。

　　10. 防火墙的局限性
　　存在着一些防火墙不能防范的安全威胁，如防火墙不能防范不经过防火墙的攻击。例如，如果允许从受保护的网络内部向外拨号，一些用户就可能形成与 Internet 的直接连接。另外，防火墙很难防范来自于网络内部的攻击以及病毒的威胁。

--------------

　常见防火墙的类型主要有三种：包过滤、电路层网关、应用层网关，每种都有各自的优缺点。
　　包过滤是第一代防火墙技术，它按照安全规则，检查所有进来的数据包，而这些安全规则大都是基于低层协议的，如 IP 、 TCP 。如果一个数据包满足以上所有规则，过滤路由器把数据向上层提交，或转发此数据包，否则就丢弃此包。

　　包过滤的优缺点：
　　优点：一个过滤路由器能协助保护整个网络；数据包过滤对用户透明；过滤路由器速度快、效率高。
　　缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；正常的数据包过滤路由器无法执行某些安全策略。
　　代理是一种较新型的防火墙技术，这种防火墙有时也被称为应用层网关，这种防火墙的工作方式和过滤数据包的防火墙、以路由器为基础的防火墙的工作方式稍有不同。它是基于软件的。
电路层网关是建立应用层网关的一个更加灵活和一般的方法。虽然它们可能包含支持某些特定 TCP/IP 应用程序的代码，但通常要受到限制。如果支持应用程序，那也很可能是 TCP/IP 应用程序。在电路层网关中，可能要安装特殊的客户机软件，用户可能需要一个可变用户接口来相互作用或改变他们的工作习惯。

　　代理技术的优缺点：
　　优点：代理易于配置；代理能生成各项记录；代理能灵活、完全地控制进出的流量、内容；代理能过滤数据内容；代理能为用户提供透明的加密机制；代理可以方便地与其他安全手段集成。
　　缺点：代理速度较路由器慢；代理对用户不透明；对于每项服务代理可能要求不同的服务器；代理服务不能保证你免受所有协议弱点的限制；代理不能改进底层协议的安全性。

　　新型防火墙技术：
　　我们的目标是设计并实现一种新型防火墙。这种防火墙既有包过滤的功能，又能在应用层进行代理。较前面分析的防火墙来说，具有先进的过滤和代理体系，能从数据链路层到应用层进行全方位安全处理。 TCP/IP 协议和代理的直接相互配合，使本系统的防欺骗能力和运行的健壮性都大大提高。
　　设计目标
　　我们设计新型防火墙的目标是综合包过滤和代理技术，克服二者在安全方面的缺陷；能从数据链路层一直到应用层施加全方位的控制；实现 TCP/IP 协议的微内核，从而在 TCP/IP 协议层能进行各项安全控制；基于上述微内核，使速度超过传统的包过滤防火墙；提供透明代理模式，减轻客户端的配置工作；支持数据加密、解密（ DES 和 RSA ），提供对虚拟网 VPN 的强大支持；内部信息完全隐藏；产生一个新的防火墙理论。
　　TCP/IP 协议处理
　　TCP/IP 协议处理是本系统的难点和重点之一，非常复杂与庞大。实现 TCP/IP 的第一步必须能正确地理解定义、实现 TCP/IP 各协议的数据包格式。
　　数据链路层是 TCP/IP 协议的最低层，它的常规功能是对上层数据（ IP 或 ARP ）进行物理帧的封装与拆封，当然还包括硬件寻址、管理等功能。在本系统中，数据链路层除了实现上述功能外，还增加了监听网上数据、记录硬件地址和直接读写网卡的功能。
　　从一般的概念来说 ,ARP 和 ICMP 都属于 IP 层 , 实际上 ,ICMP 在 IP 层之上 , 利用 IP 层收、发数据包，而 ARP/RARP 则在 IP 层之下，它们本身并不使用 IP 层，而是直接在数据链路层上进行收发。
　　IP 层的处理较复杂，且可做许多安全方面的工作。若在极端的情况下，我们可以修改 IP 报头，增加安全机制（如认证）。考虑到系统的性能及兼容性，我们没有选择这种方法，而是利用了包过滤技术和 ICMP 、 ARP 提供的功能，提供安全机制。当然，随着安全方面技术的发展，也许第一种方法会是一种好的选择，但前提是路由器的支持。目前，大部分路由器只能处理常规的 IP 包（即 IPV4 ），对于新出台的 IPV6 （它提供了更多的选项，我们可在选项中增加安全机制），路由器还远未支持。
　　我们在 ARP 协议上所做的工作主要想达到以下几个目的 : 防止 ARP 欺骗（即 MAC 地址欺骗） ; 有条件地禁止 ARP 工作 ; 查询主机硬件地址；提供 ARP 服务；检测 ARP 报文。
利用上述几项功能，我们能确保内部 ARP 欺骗的无效，查出欺骗的主机并记录，尤其能防止 ARP 层的拒绝服务。我们通过主机级被动检测、主机级主动检测、服务器级检测、网络级检测、查询主机硬件地址、有条件地禁止 ARP 等机制实现以上功能。
　　ICMP 是为了允许路由器向主机报告投递出错的原因和一些控制而设计的。但事实上，任何一台主机都可以向任何其他机器发送 ICMP 报文，如 Ping 。
　　ICMP 在本系统中的作用主要是：隐藏子网内主机信息和施加一些控制。 ICMP 虽然有一定的作用，如差错报告，但也有更大的安全隐患。一般来讲，对外部， ICMP 应禁止（很多过滤路由器有此项功能）。
　　我们主要是采用了三种策略隐藏子网内主机信息：
　　● 对内部主机的 ICMP 包，虽然转发，但改写了 ICMP 包中的源 IP 地址，使外部不能看到内部的 IP 地址。
　　● 外部 ICMP 请求包一律抛弃。
　　● 对内部有请求时，才动态地接收外部主机的响应， 且一些 ICMP 危胁安全的响应也抛弃，如改变路由的 ICMP 包。
　　另外，我们可以借助 ICMP 来获得一些参数和一些控制，如时钟同步、地址掩码，并可利用 ICMP 目的地不可达报文 “ 优雅 ” 地通知不受欢迎的主机。
　　IP 是通信子网的最高层，它的主要任务是寻址和转发。 IP 层最大的安全问题是 IP 欺骗，且很多上层的安全隐患源于 IP 欺骗，如 DNS 欺骗。 IP 层常用的安全措施是根据源地址、目的地址进行过滤，这一点已在很多路由器中得到应用。在本系统的 IP 层主要完成以下几个功能： IP 地址过滤； IP 地址与 MAC 绑定，防止 IP 欺骗；为上层提供一种通道。
　　TCP/UDP 存在数据包伪装、 SYN Flood 攻击等安全隐患。为避免上述情况，必须要增加一定的验证措施，我们利用 TCP 的特征，设计了一种较有效的过滤手段，对 TCP 报文的有效性进行确认。
我们的产品不仅覆盖了传统包过滤防火墙的全部功能，而且在全面对抗 IP 欺骗、 SYN Flood 、 ICMP 、 ARP 等攻击手段方面有显著优势，增强代理服务，并使其与包过滤相融合，再加上智能过滤技术，使新型防火墙的安全性提升到又一高度。

　包过滤技术
　　包过滤防火墙工作在网络层，对数据包的源及目地 IP 具有识别和控制作用，对于传输层，也只能识别数据包是 TCP 还是 UDP 及所用的端口信息，如下图所示。现在的路由器、 Switch Router 以及某些操作系统已经具有用 Packet Filter 控制的能力。
　　由于只对数据包的 IP 地址、 TCP/UDP 协议和端口进行分析，包过滤防火墙的处理速度较快，并且易于配置。

　　包过滤防火墙具有根本的缺陷：
　　1 ．不能防范黑客攻击。包过滤防火墙的工作基于一个前提，就是网管知道哪些 IP 是可信网络，哪些是不可信网络的 IP 地址。但是随着远程办公等新应用的出现，网管不可能区分出可信网络与不可信网络的界限，对于黑客来说，只需将源 IP 包改成合法 IP 即可轻松通过包过滤防火墙，进入内网，而任何一个初级水平的黑客都能进行 IP 地址欺骗。
　　2 ．不支持应用层协议。假如内网用户提出这样一个需求，只允许内网员工访问外网的网页（使用 HTTP 协议），不允许去外网下载电影（一般使用 FTP 协议）。包过滤防火墙无能为力，因为它不认识数据包中的应用层协议，访问控制粒度太粗糙。
　　3 ．不能处理新的安全威胁。它不能跟踪 TCP 状态，所以对 TCP 层的控制有漏洞。如当它配置了仅允许从内到外的 TCP 访问时，一些以 TCP 应答包的形式从外部对内网进行的攻击仍可以穿透防火墙。
　　综上可见，包过滤防火墙技术面太过初级，就好比一位保安只能根据访客来自哪个省市来判断是否允许他（她）进入一样，难以履行保护内网安全的职责。

　　应用代理网关技术
　　应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的 TCP 连接，应用层的协议会话过程必须符合代理的安全策略要求。
　　应用代理网关的优点是可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强。
　　
　　缺点也非常突出，主要有：
　　· 难于配置。由于每个应用都要求单独的代理进程，这就要求网管能理解每项应用协议的弱点，并能合理的配置安全策略，由于配置繁琐，难于理解，容易出现配置失误，最终影响内网的安全防范能力。
　　· 处理速度非常慢。断掉所有的连接，由防火墙重新建立连接，理论上可以使应用代理防火墙具有极高的安全性。但是实际应用中并不可行，因为对于内网的每个 Web 访问请求，应用代理都需要开一个单独的代理进程，它要保护内网的 Web 服务器、数据库服务器、文件服务器、邮件服务器，及业务程序等，就需要建立一个个的服务代理，以处理客户端的访问请求。这样，应用代理的处理延迟会很大，内网用户的正常 Web 访问不能及时得到响应。
　　总之，应用代理防火墙不能支持大规模的并发连接，在对速度敏感的行业使用这类防火墙时简直是灾难。另外，防火墙核心要求预先内置一些已知应用程序的代理，使得一些新出现的应用在代理防火墙内被无情地阻断，不能很好地支持新应用。
　　在 IT 领域中，新应用、新技术、新协议层出不穷，代理防火墙很难适应这种局面。因此，在一些重要的领域和行业的核心业务应用中，代理防火墙正被逐渐疏远。
　　但是，自适应代理技术的出现让应用代理防火墙技术出现了新的转机，它结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，在不损失安全性的基础上将代理防火墙的性能提高了 10 倍。

　　 状态检测技术
　　我们知道， Internet 上传输的数据都必须遵循 TCP/IP 协议，根据 TCP 协议，每个可靠连接的建立需要经过 “ 客户端同步请求 ” 、 “ 服务器应答 ” 、 “ 客户端再应答 ” 三个阶段，我们最常用到的 Web 浏览、文件下载、收发邮件等都要经过这三个阶段。这反映出数据包并不是独立的，而是前后之间有着密切的状态联系，基于这种状态变化，引出了状态检测技术。
　　状态检测防火墙摒弃了包过滤防火墙仅考查数据包的 IP 地址等几个参数，而不关心数据包连接状态变化的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力。
　　网关防火墙的一个挑战就是能处理的流量，状态检测技术在大为提高安全防范能力的同时也改进了流量处理速度。状态监测技术采用了一系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在一些规则复杂的大型网络上。
　　任何一款高性能的防火墙，都会采用状态检测技术。
　　从 2000 年开始，国内的著名防火墙公司，如北京天融信等公司，都开始采用这一最新的体系架构，并在此基础上，天融信 NGFW4000 创新推出了核检测技术，在操作系统内核模拟出典型的应用层协议，在内核实现对应用层协议的过滤，在实现安全目标的同时可以得到极高的性能。目前支持的协议有 HTTP/1.0/1.1 、 FTP 、 SMTP 、 POP3 、 MMS 、 H.232 等最新和最常用的应用协议。