摘要：本文介紹網絡安全相關技術特性。

關鍵詞：網絡安全；防火墻；技術特征

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2008)12-20ppp-0c

On the Firewall in the Role of Network Security

YU Shi-qian

(China Telecom Co.， Ltd.，Zhuhai Subsidiary Company，Zhuhai 519000，China)

Abstract: This text introduces the releveant technological characteristics of online security.

Key words: online security; fir wall; technological characteristic

1 引言

21 世紀全世界的計算機都通過Internet 聯到一起，信息安全的內涵也就發(fā)生了根本的變化。它不僅從一般性的防衛(wèi)變成了一種非常普通的防范，而且還從一種專門的領域變成了無處不在。

一個國家的信息安全體系實際上包括國家的法規(guī)和政策，以及技術與市場的發(fā)展平臺。我國在構建信息防衛(wèi)系統(tǒng)時，應著力發(fā)展自己獨特的安全產品， 我國要想真正解決網絡安全問題， 最終的辦法就是通過發(fā)展民族的安全產業(yè)，帶動我國網絡安全技術的整體提高。

網絡安全產品有以下幾大特點：第一， 網絡安全來源于安全策略與技術的多樣化，如果采用一種統(tǒng)一的技術和策略也就不安全了；第二，網絡的安全機制與技術要不斷地變化；第三， 隨著網絡在社會各方面的延伸， 進入網絡的手段也越來越多，因此，網絡安全技術是一個十分復雜的系統(tǒng)工程。為此建立有中國特色的網絡安全體系， 需要國家政策和法規(guī)的支持及集團聯合研究開發(fā)。安全與反安全就像矛盾的兩個方面，總是不斷地向上攀升，所以安全產業(yè)將來也是一個隨著新技術發(fā)展而不斷發(fā)展的產業(yè)。信息安全是國家發(fā)展所面臨的一個重要問題。對于這個問題，我們還沒有從系統(tǒng)的規(guī)劃上去考慮它，從技術上、產業(yè)上、政策上來發(fā)展它。政府不僅應該看見信息安全的發(fā)展是我國高科技產業(yè)的一部分，而且應該看到，發(fā)展安全產業(yè)的政策是信息安全保障系統(tǒng)的一個重要組成部分，甚至應該看到它對我國未來電子化、信息化的發(fā)展將起到非常重要的作用。

2 防火墻技術

網絡防火墻技術是一種用來加強網絡之間訪問控制，防止外部網絡用戶以非法手段通過外部網絡進入內部網絡，訪問內部網絡資源， 保護內部網絡操作環(huán)境的特殊網絡互聯設備。它對兩個或多個網絡之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查， 以決定網絡之間的通信是否被允許， 并監(jiān)視網絡運行狀態(tài)。

目前的防火墻產品主要有堡壘主機、包過濾路由器、應用層網關（代理服務器）以及電路層網關、屏蔽主機防火墻、雙宿主機等類型。雖然防火墻是目前保護網絡免遭黑客襲擊的有效手段，但也有明顯不足：無法防范通過防火墻以外的其它途徑的攻擊，不能防止來自內部變節(jié)者和不經心的用戶們帶來的威脅， 也不能完全防止傳送已感染病毒的軟件或文件，以及無法防范數據驅動型的攻擊。

自從1986 年美國Digital公司在Internet上安裝了全球第一個商用防火墻系統(tǒng)，提出了防火墻概念后，防火墻技術得到了飛速的發(fā)展。國內外已有數十家公司推出了功能各

不相同的防火墻產品系列。

防火墻處于5 層網絡安全體系中的最底層，屬于網絡層安全技術范疇。在這一層上，企業(yè)對安全系統(tǒng)提出的問題是：所有IP是否都能訪問到企業(yè)的內部網絡系統(tǒng)? 如果答案是“是”，則說明企業(yè)內部網還沒有在網絡層采取相應的防范措施。

作為內部網絡與外部公共網絡之間的第一道屏障， 防火墻是最先受到人們重視的網絡安全產品之一。雖然從理論上看，防火墻處于網絡安全的最底層， 負責網絡間的安全認證與傳輸， 但隨著網絡安全技術的整體發(fā)展和網絡應用的不斷變化，現代防火墻技術已經逐步走向網絡層之外的其他安全層次， 不僅要完成傳統(tǒng)防火墻的過濾任務， 同時還能為各種網絡應用提供相應的安全服務。另外還有多種防火墻產品正朝著數據安全與用戶認證、防止病毒與黑客侵入等方向發(fā)展。

根據防火墻所采用的技術不同， 我們可以將它分為四種基本類型：包過濾型、網絡地址轉換——NAT、代理型和監(jiān)測型。

2.1 包過濾型

包過濾型產品是防火墻的初級產品，其技術依據是網絡中的分包傳輸技術。網絡上的數據都是以“包”為單位進行傳輸的，數據被分割成為一定大小的數據包，每一個數據包中都會包含一些特定信息， 如數據的源地址、目標地址、TCP/ UDP 源端口和目標端口等。防火墻通過讀取數據包中的地址信息來判斷這些“包”是否來自可信任的安全站點， 一旦發(fā)現來自危險站點的數據包， 防火墻便會將這些數據拒之門外。系統(tǒng)管理員也可以根據實際情況靈活制訂判斷規(guī)則。

包過濾技術的優(yōu)點是簡單實用，實現成本較低，在應用環(huán)境比較簡單的情況下，能夠以較小的代價在一定程度保證系統(tǒng)的安全。但包過濾技術的缺陷也是明顯的。包過濾技術是一種完全基于網絡層的安全技術，只能根據數據包的來源、目標和端口等網絡信息進行判斷，無法識別基于應用層的惡意侵入，如惡意的Java小程序以及電子郵件中附帶的病毒。有經驗的黑客很容易偽造IP 地址，騙過包過濾型防火墻。

2.2 網絡地址轉化——NAT

網絡地址轉換是一種用于把IP 地址轉換成臨時的、外部的、注冊的IP地址標準。它允許具有私有IP 地址的內部網絡訪問因特網。它還意味著用戶不需要為其網絡中每一臺機器取得注冊的IP 地址。在內部網絡通過安全網卡訪問外部網絡時，將產生一個映射記錄。系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接，這樣對外就隱藏了真實的內部網絡地址。在外部網絡通過非安全網卡訪問內部網絡時，它并不知道內部網絡的連接情況，而只是通過一個開放的IP 地址和端口來請求訪問。OLM防火墻根據預先定義好的映射規(guī)則來判斷這個訪問是否安全。當符合規(guī)則時，防火墻認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內部計算機中。當不符合規(guī)則時， 防火墻認為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。網絡地址轉換的過程對于用戶來說是透明的， 不需要用戶進行設置， 用戶只要進行常規(guī)操作即可。

2.3 代理型

代理型防火墻也可以被稱為代理服務器，它的安全性要高于包過濾型產品， 并已經開始向應用層發(fā)展。代理服務器位于客戶機與服務器之間， 完全阻擋了二者間的數據交流。從客戶機來看，代理服務器相當于一臺真正的服務器；而從服務器來看， 代理服務器又是一臺真正的客戶機。當客戶機需要使用服務器上的數據時，首先將數據請求發(fā)給代理服務器， 代理服務器再根據這一請求向服務器索取數據，然后再由代理服務器將數據傳輸給客戶機。由于外部系統(tǒng)與內部服務器之間沒有直接的數據通道， 外部的惡意侵害也就很難傷害到企業(yè)內部網絡系統(tǒng)。代理型防火墻的優(yōu)點是安全性較高，可以針對應用層進行偵測和掃描， 對付基于應用層的侵入和病毒都十分有效。其缺點是對系統(tǒng)的整體性能有較大的影響， 而且代理服務器必須針對客戶機可能產生的所有應用類型逐一進行設置， 大大增加了系統(tǒng)管理的復雜性。

2.4 監(jiān)測型

監(jiān)測型防火墻是新一代的產品，這一技術實際已經超越了最初的防火墻定義。監(jiān)測型防火墻能夠對各層的數據進行主動的、實時的監(jiān)測，在這些數據加以分析的基礎上，監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入。同時，這種檢測型防火墻產品一般還帶有分布式探測器，這些探測器安置在各種應用服務器和其他網絡的節(jié)點之中， 不僅能夠檢測來自網絡外部的攻擊，同時對來自內部的惡意破壞也有極強的防范作用。據權威機構統(tǒng)計， 在針對網絡系統(tǒng)的攻擊中， 有相當比例的攻擊來自網絡內部。因此，監(jiān)測型防火墻不僅超越了傳統(tǒng)防火墻的定義，而且在安全性上也超越了前兩代產品。雖然監(jiān)測型防火墻安全性上已超越了包過濾型和代理服務器型防火墻， 但由于監(jiān)測型防火墻技術的實現成本較高，也不易管理，所以目前在實用中的防火墻產品仍然以第二代代理型產品為主，但在某些方面也已經開始使用監(jiān)測型防火墻?；趯ο到y(tǒng)成本與安全技術成本的綜合考慮，用戶可以選擇性地使用某些監(jiān)測型技術。這樣既能夠保證網絡系統(tǒng)的安全性需求，同時也能有效地控制安全系統(tǒng)的總擁有成本。

3 結束語

實際上，作為當前防火墻產品的主流趨勢，大多數代理服務器（也稱應用網關）也集成了包過濾技術，這兩種技術的混合應用顯然比單獨使用具有更大的優(yōu)勢。由于這種產品是基于應用的，應用網關能提供對協(xié)議的過濾。例如，它可以過濾掉FTP連接中的PUT命令，而且通過代理應用，應用網關能夠有效地避免內部網絡的信息外泄。正是由于應用網關的這些特點，使得應用過程中的矛盾主要集中在對多種網絡應用協(xié)議的有效支持和對網絡整體性能的影響上。

參考文獻：

[1] Douglas R1Stinson，著， 馮登國，譯.密碼學原理與實踐[M].北京：電子工業(yè)出版社，2003.

[2] 朱文余，孫琦.計算機密碼應用基礎[M].北京：科學出版社，2000.

[3] 阮傳概，孫偉.近世代數及其應用[M].北京：北京郵電大學出版社，2001.

[4] U1 杜德利著，周仲良譯.基礎數論[M].上海：上?？茖W技術出版社，1980.

[5] 韓其智，孫洪洲.群倫[M].北京：北京大學出版社，1987.

[6] 孫琦，鄭德勛，沈仲琦.快速數論變換[M].北京：科學出版社，1980.

收稿日期：2008-02-12

作者簡介：余詩茜，2002年畢業(yè)于北京郵電大學信息工程學院，現在中國電信股份有限公司珠海市分公司工作。