23、防火墙技术综述与思科PIX防火墙解析

防火墙技术综述与思科PIX防火墙解析

1. 常见防火墙类型

1.1 双宿主网关

双宿主网关有多种类型，常见的如应用代理（常称代理服务器）和堡垒主机。从物理层面和操作系统角度看，双宿主网关可同时作为两个不同网络的主机。它并非路由器或交换机，路由器和交换机在OSI模型的第2层或第3层转发数据包，而双宿主网关作为主机接收数据包，并将其一直处理到第7层（应用层），由代理应用进行检查。

代理具备应用感知能力，例如Web代理能理解HTTP协议，可判断用户是否被允许访问特定URL，或特定返回内容能否进入网络。双宿主网关在应用层过滤和审计方面表现出色，日志文件详细但可能很大。

不过，双宿主网关存在一些缺点：
- 速度慢，高延迟会影响实时流量，如流媒体。
- 需针对特定应用编程，若厂商不支持所需服务或协议，需另寻解决方案。
- 一旦被攻破，可能成为攻击受保护网络的跳板，因其常运行通用操作系统，易开发攻击软件。

1.2 包过滤防火墙

包过滤防火墙在网络中运行于比双宿主网关更低的OSI模型层次，常集成于路由器和交换机，仅在第2至4层（数据链路层、网络层和传输层）处理数据包。

包过滤防火墙根据一组规则匹配帧和数据包头部的值，决定是否允许数据包通过。常用字段包括：
- 第2层源地址和目的地址，通常是MAC地址。
- 第3层源地址和目的地址，通常是IP或IPX地址。
- 第3层头部选项，如分段位。
- 第4层源地址和目的地址，通常是TCP或UDP端口。
- 第4层头部选项，如SYN位。

包过滤技术虽历史悠久，但仍有优势：