36、网络安全防护：攻击防护、邮件防护与入侵检测

网络安全防护：攻击防护、邮件防护与入侵检测

1. 攻击防护机制

在网络安全防护中，有一个重要的机制涉及到对连接的限制。每个相关命令都有一个 emb_limit 参数可以设置。当达到这个初始连接限制，并且在连接数量降至该阈值以下之前，所有发往内部主机的 SYN 数据包都会被拦截。

在拦截这些数据包时，防火墙会代表内部主机向发送方发送一个空的 SYN/ACK 数据包作为响应。接着，防火墙会保留一些关于连接尝试的状态信息，丢弃该数据包，并等待发送方的确认。如果收到发送方的 ACK，防火墙会使用保留的状态信息向内部主机发送一个 SYN 数据包，从而在防火墙和内部主机之间完成三次握手。握手完成后，防火墙会允许发送方和内部主机之间恢复正常连接。

在早期版本中，一旦达到初始连接限制，防火墙只是简单地丢弃任何新连接，这可能会使公司的 Web 服务器停止流量，对外不可用。而在后续版本中，这一功能得到了增强。

2. 邮件防护（Mail Guard）

Mail Guard 是一种检查应用层流量的防护机制。它不仅能根据应用数据决定是否允许数据包通过，还能重写某些数据。不过，它也有一些缺点。

在 1982 年，Jon Postel 编写了 RFC 821：简单邮件传输协议（SMTP），该协议定义了几个构成当今电子邮件基础的四字命令。为了安全起见，Mail Guard 忽略了二十年来的改进，只允许使用最初指定的部分命令，具体如下表所示：
| 命令 | 功能 |
| — | — |
| EHLO, HELO | 标识发送者 |
| MAIL | 启动邮件事务 |
|