实验三十三：防火墙技术

第一篇：实验三十三：防火墙技术

实验三十三：防火墙技术

一、理论基础

1.什么是防火墙

对于报文的访问控制技术被称为防火墙技术。实施是为了保护内部网络免遭非法数据包的侵害。正如防火墙这一词语本身所显示的那样，防火墙一般部署于一个网络的边缘，用于控制进入网络数据包的种类。

防火墙作为Internet访问控制的基本技术，其主要作用是监视和过滤通过它的数据包，根据自身所配置的访问控制策略决定该包应当被转发还是应当被抛弃，以拒绝非法用户访问网络并保障合法用户正常工作。

一般应将防火墙置于被保护网络的入口点来执行访问控制。例如，将防火墙设置在内部网和外部网的连接处，以保护内部网络或数据免于为未认证或未授权的用户访问，防止来自外网的恶意攻击。也可以用防火墙将企业网中比较敏感的网段与相对开放的网段隔离开来，对受保护数据的访问都必须经过防火墙的过滤，即使该访问是来自组织内部。

防火墙可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。现在的许多防火墙同时还具有一些其它特点，如进行用户身份鉴别，对信息进行安全（加密）处理等等。

在路由器上配置了防火墙特性后，路由器就成了一个健壮而有效的防火墙。

2.防火墙的分类

一般把防火墙分为两类：网络层防火墙、应用层防火墙。网络层的防火墙主要获取数据包的包头信息，如协议号、源地址、目的地址和目的端口等或者直接获取包头的一段数据，而应用层的防火墙则对整个信息流进行分析。

常见的防火墙有以下几类：

应用网关（Application Gateway）包过滤（Packet Filter）代理（Proxy）

3、ACL 华为路由器的防火墙配置包括两个内容，一是定义对特定数据流的访问控制规则，即定义访问控制列表ACL；二是定义将特定的规则应用到具体的接口上，从而过滤特定方向的数据流。

常用的访问控制列表可以分为两种：标准的访问控制列表和扩展的访问控制列表。标准访问控制列表仅仅可以根据IP报文的源地址域区分不同的数据流，扩展访问控制列表则可以根据IP报文中的更多域（如目的IP地址，上层协议信息等）来区分不同数据流。所有的访问控制列表都有一个编号，标准的访问控制列表和扩展的访问控制列表就是按照这个编号来区分的：标准的访问控制列表编号范围是1-99，扩展的访问控制列表编号范围是100-199。

二、实验案例

防火墙的配置

1、实验拓扑结构图：

在实验室我们用RouterA模拟企业网，用另一台路由器RouterB模拟外部网。

2、配置说明：

RouterA的各个接口的地址分别为： E0:192.168.1.1/24 S0:192.168.2.1/24 RouterB的各个接口的地址分别为： E0:192.168.3.1/24 S0:192.168.2.2/24 pcA的地址:192.168.1.2/24 网关：192.168.1.1 pcB的地址:192.168.1.3/24 网关：192.168.1.1 pcC的地址:192.168.3.2/24 网关：192.168.3.2

3、具体的配置：

方法一：（标准的）

RouterA上配置策略(启动防火墙)[routerA]firewall enable Firewall enabled [routerA]acl 1 [routerA-acl-2000]rule normal permit source 192.168.1.2 0.0.0.0 Rule has been added to normal packet-filtering rules [routerA-acl-2000]rule normal deny source 192.168.1.0 0.0.0.255 Rule has been added to normal packet-filtering rules [routerA-acl-2000] [routerA]int s0 [routerA-Serial0]firewall packet-filter 1 outbound [routerA-Serial0] [routerA]dis cur Now create configuration...Current configuration version 1.74 sysname routerA firewall enable aaa-enable aaa accounting-scheme optional acl 2000 match-order auto rule normal permit source 192.168.1.2 0.0.0.0 rule normal deny source 192.168.1.0 0.0.0.255 interface Aux0 async mode flow link-protocol ppp interface Ethernet0 ip address 192.168.1.1 255.255.255.0 interface Serial0 link-protocol ppp ip address 192.168.2.1 255.255.255.0 firewall packet-filter 2000 outbound interface Serial1 link-protocol ppp interface Serial2 link-protocol ppp quit rip network all quit return RouterB的配置： [RouterB]int s0 [RouterB-Serial0]ip address 192.168.2.2 255.255.255.0 [RouterB-Serial0] %15:49:51: Line protocol ip on the interface Serial0 is UP [RouterB-Serial0]int E0 [RouterB-Ethernet0]ip address 192.168.3.1 255.255.255.0 [RouterB-Ethernet0] %15:50:31: Line protocol ip on the interface Ethernet0 is UP [RouterB-Ethernet0] [RouterB]rip waiting...RIP is running [RouterB-rip]network all [RouterB-rip]save Now writing the running config to flash memory.Please wait for a while......write the running config to flash memory successfully [RouterB-rip] [RouterB]int s0 [RouterB-Serial0]clock dteclk3 [RouterB-Serial0] %15:52:25: Interface Serial0 is DOWN %15:52:25: Interface Serial0 is UP %15:52:25: Line protocol ip on the interface Serial0 is UP [RouterB-Ethernet0]save Now writing the running config to flash memory.Please wait for a while......write the running config to flash memory successfully

方法二：（扩展的）RouterA的配置：

其它的配置和上面的保持一致，不同的是： [routerA]acl 101 [routerA-acl-3001] [routerA]acl 101 match-order auto [routerA-acl-3001]rule normal permit ip source 192.168.1.2 0.0.0.0 destination 192.168.3.2 0.0.0.0 Rule has been added to normal packet-filtering rules [routerA-acl-3001]rule normal deny ip source 192.168.1.0 0.0.0.255 destination 192.168.3.2 0.0.0.0 Rule has been added to normal packet-filtering rules [routerA-acl-3001] [routerA]dis cur Now create configuration...Current configuration version 1.74 sysname routerA firewall enable aaa-enable aaa accounting-scheme optional acl 3001 match-order auto rule normal permit ip source 192.168.1.2 0.0.0.0 destination 192.168.3.2 0.0.0.0 rule normal deny ip source 192.168.1.0 0.0.0.255 destination 192.168.3.2 0.0.0.0 interface Aux0 async mode flow link-protocol ppp interface Ethernet0 ip address 192.168.1.1 255.255.255.0 interface Serial0 link-protocol ppp ip address 192.168.2.1 255.255.255.0 interface Serial1 link-protocol ppp interface Serial2 link-protocol ppp quit rip network all quit return [routerA] [routerA]int s0 [routerA-Serial0]firewall packet-filter 101 outbound [routerA-Serial0] [routerA]dis cur Now create configuration...Current configuration version 1.74 sysname routerA firewall enable aaa-enable aaa accounting-scheme optional acl 3001 match-order autorule normal permit ip source 192.168.1.2 0.0.0.0 destination 192.168.3.2 0.0.0.0 rule normal deny ip source 192.168.1.0 0.0.0.255 destination 192.168.3.2 0.0.0.0 interface Aux0 async mode flow link-protocol ppp interface Ethernet0 ip address 192.168.1.1 255.255.255.0 interface Serial0 link-protocol ppp ip address 192.168.2.1 255.255.255.0 firewall packet-filter 3001 outbound interface Serial1 link-protocol ppp interface Serial2 link-protocol ppp quit rip network all quit return

三、实验总结

在使用标准的访问控制列表的实验1中，我们只允许IP地址为：192.168.1.2的PCA访问外部网络，而禁止其它PC机访问外网。

在扩展的访问控制列表的实验2中，我们通过配置可以控制只有特定的数据源PCA访问特定的目标PCC，而使用标准的控制列表是不能实现的。

在访问控制列表命令中还有normal字段，这是区别于special的，即我们可以分时间段进行不同的访问控制策略。此时，需要允许时间段控制和设定特定时间段。同时在同一列表中若有多条规则，多条规则之间采用深度优先的原则，即描述的地址范围越小，优先级越高，越先考虑。在多条列表时，先匹配列表序号大的规则，如果匹配则按该规则处理数据包，如果不匹配则匹配较小序号的列表，直到最后。等等一系列的配置在此不再详细阐述，大家可以自行完成。

第二篇：实验 防火墙技术实验

实验九

防火墙技术实验

1、实验目的

防火墙是网络安全的第一道防线，按防火墙的应用部署位置分类，可以分为边界防火墙、个人防火墙和分布式防火墙三类。通过实验，使学生了解各种不同类型防火墙的特点，掌握个人防火墙的工作原理和规则设置方法，掌握根据业务需求制定防火墙策略的方法。

2、题目描述

根据不同的业务需求制定天网防火墙策略，并制定、测试相应的防火墙的规则等。

3、实验要求

基本要求了解各种不同类型防火墙的特点，掌握个人防火墙的工作原理和规则设置方法，掌握根据业务需求制定防火墙策略的方法。提高要求能够使用WindowsDDK开发防火墙。

4、相关知识

1)防火墙的基本原理防火墙（firewall）是一种形象的说法，本是中世纪的一种安全防务：在城堡周围挖掘一道深深的壕沟，进入城堡的人都要经过一个吊桥，吊桥的看守检查每一个来往的行人。对于网络，采用了类似的处理方法，它是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关(securitygateway),也就是一个电子吊桥，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。它决定了哪些内部服务可以被外界访问、可以被哪些人访问，以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身也必须能够免于渗透。典型的网络防火墙如下所示。

防火墙也并不能防止内部人员的蓄意破坏和对内部服务器的攻击，但是，这种攻击比较容易发现和察觉，危害性也比较小，这一般是用公司内部的规则或者给用户不同的权限来控制。

2)防火墙的分类前市场的防火墙产品主要分类如下：

（1）从软、硬件形式上软件防火墙和硬件防火墙以及芯片级防火墙。（2）从防火墙技术“包过滤型”和“应用代理型”两大类。

（3）从防火墙结构单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。（4）按防火墙的应用部署位置边界防火墙、个人防火墙和混合防火墙三大类。（5）按防火墙性能百兆级防火墙和千兆级防火墙两类。3）防火墙的基本规则

■一切未被允许的就是禁止的(No规则)。■一切未被禁止的就是允许的(Yes规则)。

很多防火墙(例如SunScreenEFS、CiscoIOs、FW-1)以顺序方式检查信息包，当防火墙接收到一个信息包时，它先与第一条规则相比较,然后是第二条、第三条„„当它发现一条匹配规则时，就停止检查并应用那条规则。

4）防火墙自身的缺陷和不足

■限制有用的网络服务。防火墙为了提高被保护网络的安全性，限制或关闭了很多有用但存在安全缺陷的网络服务。

■无法防护内部网络用户的攻击。目前防火墙只提供对外部网络用户攻击的防护，对来自内部网络用户的攻击只能依靠内部网络主机系统的安全性。■Internet防火墙无法防范通过防火墙以外的其他途径的攻击。例如，在一个被保护的网络上有一个没有限制的拨出存在，内部网络上的用户就可以直接通过SLIP或PPP联接进入Internet。

■对用户不完全透明，可能带来传输延迟、瓶颈及单点失效。■Internet防火墙也不能完全防止传送已感染病毒的软件或文件。

■防火墙无法防范数据驱动型的攻击。数据驱动型的攻击从表面上看是无害的数据被邮寄或拷贝到Internet主机上，但一旦执行就开始攻击。例如，一个数据型攻击可能导致主机修改与安全相关的文件，使得入侵者很容易获得对系统的访问权。

■不能防备新的网络安全问题。防火墙是一种被动式的防护手段，它只能对现在已知的网络威胁起作用。

5、实验设备

主流配置PC，安装有windows 2000 SP4操作系统，网络环境，天网防火墙个人版。

6、实验步骤

1）从指导老师处得到天网防火墙个人版软件。

2）天网防火墙个人版的安装。按照安装提示完成安装，并重启后系统。

3）系统设置。在防火墙的控制面板中点击“系统设置”按钮，即可展开防火墙系统设置面板。

天网个人版防火墙系统设置界面如下。

防火墙自定义规则重置：占击该按钮，防火墙将弹出窗口，如下：

如果确定，天网防火墙将会把防火墙的安全规则全部恢复为初始设置，你对安全规则的修改和加入的规则将会全部被清除掉。

防火墙设置向导：为了便于用户合理的设置防火墙，天网防火墙个人版专门为用户设计了防火墙设置向导。用户可以跟随它一步一步完成天网防火墙的合理设置。

应用程序权限设置：勾选了该选项之后，所有的应用程序对网络的访问都默认为通行不拦截。这适合在某些特殊情况下，不需要对所有访问网络的应用程序都做审核的时候。（譬如在运行某些游戏程序的时候）

局域网地址：设置在局域网内的地址。防火墙将会以这个地址来区分局域网或者是INTERNET 的IP来源。日志保存：选中每次退出防火墙时自动保存日志，当你退出防火墙的保护时，天网防火墙将会把当日的日志记录自动保存到SkyNet/FireWall/log文件下，打开文件夹便可查看当日的日志记录。

4）安全级别设置天网个人版防火墙的缺省安全级别分为低、中、高三个等级，默认的安全等级为中级。了解安全级别的说明请查看防火墙帮助文件。为了了解规则的设置等情况，我们选择自定义安全级别。

然后点击左边的将打开自定义的IP规则。

从中可以看出，规则的先后顺序为IP规则、ICMP规则、IGMP规则、TCP规则和UDP规则。自定义IP规则的工具条如下，可以使用这些工具完成规则的增加、修改、删除、保存、调整、导入导出操作。重要：规则增加、修改、删除等操作后一定要点击保存图标进行保存，否则无效。

单击规则前面的，可使该规则不起作用，且其形状变为。

5）修改规则双击该规则，或者点击工具条上的修改按钮可以打开该规则的修改窗体。然后按照需求对各部分进行修改。

（1）首先输入规则的“名称”和“说明”，以便于查找和阅读。（2）然后，选择该规则是对进入的数据包还是输出的数据包有效。

（3）“对方的IP地址”，用于确定选择数据包从那里来或是去哪里，这里有几点说明： ■“任何地址”是指数据包从任何地方来，都适合本规则，■“局域网网络地址”是指数据包来自和发向局域网，■“指定地址”是你可以自己输入一个地址，“指定的网络地址”是你可以自己输入一个网络和掩码。

（4）除了录入选择上面内容，还要录入该规则所对应的协议，其中：

■‘IP’协议不用填写内容，注意，如果你录入了IP协议的规则，一点要保证IP协议规则的最后一条的内容是：“对方地址：任何地址；动作：继续下一规则”。

■‘TCP’协议要填入本机的端口范围和对方的端口范围，如果只是指定一个端口，那么可以在起始端口处录入该端口，结束处，录入同样的端口。如果不想指定任何端口，只要在起始端口都录入0。TCP标志比较复杂，你可以查阅其他资料，如果你不选择任何标志，那么将不会对标志作检查。

■‘ICMP’规则要填入类型和代码。如果输入255，表示任何类型和代码都符合本规则。■‘IGMP’不用填写内容。

（5）当一个数据包满足上面的条件时，你就可以对该数据包采取行动了： ■‘通行’指让该数据包畅通无阻的进入或出去。■拦截’指让该数据包无法进入你的机器

■继续下一规则’指不对该数据包作任何处理，由该规则的下一条同协议规则来决定对该包的处理。（6）在执行这些规则的同时，还可以定义是否记录这次规则的处理和这次规则的处理的数据包的主要内容，并用右下脚的“天网防火墙个人版”图标是否闪烁来“警告”，或发出声音提示。

6）新增规则点击工具条的新增规则按钮可以新增一条规则，并弹出该规则的编辑界面。比如新增一条允许

访问WWW端口的规则，可以按如下方法设置。设置完成后点击“确定”，并点击工具条的保存按钮。

7）普通应用程序规则设置天网防火墙个人版增加对应用程序数据传输封包进行底层分析拦截功能，它可以控制应用程序发送和接收数据传输包的类型、通讯端口，并且决定拦截还是通过。在天网防火墙个人版打开的情况下，首次激活的任何应用程序只要有通讯传输数据包发送和接收存在，都会被天网防火墙个人版先截获分析，并弹出窗口，询问你是通过还是禁止。这时可以根据需要来决定是否允许应用程序访问网络。如果不选中“该程序以后按照这次的操作运行”，那么天网防火墙个人版在以后会继续截获该应用程序的数据传输数据包，并且弹出警告窗口。如果选中“该程序以后按照这次的操作运行”选项，该应用程序将自加入到应用程序列表中，可以通过应用程序设置来设置更为详尽的数据传输封包过滤方式。

8）高级应用程序规则设置单击

可以打开详细的应用程序规则设置。单击应用程序规则面板中对应每一条应用程序规则都有几个按钮

点击“选项”即可激活应用程序规则高级设置页面。

“该应用程序可以”窗口是设定该应用程序可以做的动作。其中：是指此应用程序进程可以向外发出连接请求，通常是用于各种客户端软件。则是指此程序可以在本机打开监听的端口来提供网络服务，这通常用于各种服务器端程序中。

9）根据以上功能，分别完成如下不同需求的防火墙规则设置并进行测试。

需求1：ICMP规则允许ping进来，其它禁止，TCP规则允许访问本机的WWW服务和主动模式的FTP服务，其它禁止，UDP禁止。需求2：ICMP规则允许ping出去，其它禁止，TCP规则禁止所有连接本机，允许IE访问Internet的80端口，UDP规则允许DNS解析，其它进出UDP报文禁止。

7、实验思考

1）根据你所了解的网络安全事件，你认为天网防火墙不具备的功能有哪些？ 2）防火墙是不是绝对的安全？攻击防火墙系统的手段有哪些？

第三篇：三十三 除颤技术

三十三

除颤技术

【目的】

纠正患者心律失常

【准备】

护士：着装整洁，仪表端庄，会熟练使用除颤仪 环境：宽敞、安静、安全。

用物：除颤仪，导电糊（或浸湿生理盐水的纱布），治疗碗内清洁纱布1块，弯盘。【方法】

1、评估：了解室颤的类型及有无伴随症状。

2、备齐用物，携至床旁。

3、核对床号，准确判断室颤类型，暴露病人胸部。

4、取下电极板，打开除颤仪电源，涂抹导电糊，选择非同步除颤及除颤能量360WS（双向波选择能量200WS），按下充电按钮。

5、准确安放电极板，一个电极板（STERNUM）置于胸骨右缘第二肋间(心底部)，另一电极板（APEX）放在左侧腋前线第五肋间(心尖部)，电极板与胸壁紧密接触，嘱所有人离开病床，再次确认室颤类型，两手同时按压放电开关、除颤。

6、再次观察心电监护仪，室颤波形有无改变。

7、恢复窦性心律后，继续给予持续心电监护，整理病人及床单位。

8、若除颤无效，继续胸外心脏按压2min，并根据医嘱用药，产生粗颤，然后再重复电击，再次观察。

9、仪器清洁、消毒，指定地点充电、备用。

10、洗手、记录。

第四篇：防火墙技术论文

【摘要】

21世纪全世界的计算机都将通过Internet联到一起，Internet的迅速发展给现代人的生产和生活都带来了前所未有的飞跃，大大提高了工作效率，丰富了人们的生活，弥补了人们的精神空缺。网络技术在近几年的时间有了非常大的发展，经历了从无到有，从有到快；网上信息资源也是从医乏到丰富多彩，应有尽有。但随着网络速度越来越快，资源越来越丰富，与此同时也给人们带来了一个日益严峻的问题———网络安全。

网络的安全性成为当今最热门的话题之一，而且网络安全防范对我们校园网的正常运行来讲也显得十分重要。现在各种网络安全技术如防火墙技术、IDS、加密技术和防黑防病毒技术等也不断的出现，内容十分广泛。而其中防火墙技术在网络安全技术当中又是最简单，也是最有效的解决方案。很多企业为了保障自身服务器或数据安全都采用了防火墙。随着科技的发展，防火墙也逐渐被大众所接受。但是，由于防火墙是属于高科技产物，许多的人对此还并不是了解的十分透彻。

本文在简要论述防火墙的基本分类、工作方式等的基础上，对防火墙的优缺点以及局限性进行了说明，也简述了防火墙技术在校园网中的应用，并对其的发展趋势作简单展望。

【关键词】

网络安全 防火墙 发展

防火墙

1.1 防火墙的概念

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。

防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的较少，例如国防部以及大型机房等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。

防火墙，英语为firewall，《英汉证券投资词典》的解释为：金融机构内部将银行业务与证券业务严格区分开来的法律屏障，旨在防止可能出现的内幕消息共享等不公平交易出现。使用防火墙比喻不要引火烧身。

当然，既然打算由浅入深的来了解，就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦著火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。在电脑术语中，当然就不是这个意思了，我们可以类比来理解，在网络中，所谓“防火墙”，顾名思义，是一种隔离设备。防火墙是一种高级访问控制设备，臵于不同网络安全域之间的一系列部件的组合，它是不同网络安全域之间通信流的唯一

通道，能根据用户有关的安全策略控制进出网络的访问行为。从专业角度讲，防火墙是位于两个或多个网络间，实施网络访问控制的组件集合。从用户角度讲，防火墙就是被放臵在用户计算机与外网之间的防御体系，网络发往用户计算机的所有数据都要经过其判断处理，才决定能否将数据交给计算机，一旦发现数据异常或有害，防火墙就会将数据拦截，从而实现对计算机的保护。防火墙是网络安全策略的组成部分，它只是一个保护装臵，通过监测和控制网络间的信息交换和访问行为来实现对网络安全的有效管理，其主要目的就是保护内部网络的安全。

1.2 防火墙的功能

（1）访问控制：

■ 限制未经授权的用户访问本企业的网络和信息资源的措施，访问者必需要能适用现行所有的服务和应用。网络卫士防火墙支持多种应用、服务和协议，支持所有的internet服务，包括安全的web浏览器、电子邮件、ftp、telnet及rpc和udp等，还支持如oracle、sybase、sql服务器数据库访问和real audio，vodlive、netmeeting和internet phone等这样的多媒体应用及internet广播服务。

■ 提供基于状态检测技术的ip地址、端口、用户和时间的管理控制； ■ 访问控制对象的多种定义方式支持多种方式定义访问控制对象: ip/mask(如202.100.100.0/24)，ip区间(如202.100.100.1-202.100.100.254)，ip/mask与通配符，ip区间与通配符等，使配臵防火墙的安全策略极为方便。

■ 高效的url和文件级细粒度应用层管理控制；应用层安全控制策略主要针对常用的网络应用协议http和ftp，控制策略可以实现定义访问源对象到目标对象间的常用协议命令通过防火墙的权限，源对象可以是网段、主机。http和ftp的协议端口用户可根据实际情况在策略中定义，协议命令为http和ftp的主要常用命令。通过应用层策略实现了url和文件级的访问控制。

■ 双向nat，提供ip地址转换和ip及tcp/udp端口映射，实现ip复用和隐藏网络结构：nat在ip层上通过地址转换提供ip复用功能，解决ip地址不足的问题，同时隐藏了内部网的结构，强化了内部网的安全。网络卫士防火墙提供了nat功能，并可根据用户需要灵活配臵。当内部网用户需要对外访问时，防火墙系统将访问主体转化为自己，并将结果透明地返回用户，相当于一个ip层代理。防火墙的地址转换是基于安全控制策略的转换，可以针对具体的通信事件进行地址转换。internet用户访问对内部网络中具有保留ip主机的访问，可以利用反向nat实现，即为内部网络主机在防火墙上映射一注册ip地址，这样internet 用户就可以通过防火墙系统访问主机了。映射类型可以为ip级和端口级。端口映射

■阻止activex、java、javascript等侵入：属于http内容过滤，防火墙能够从http页面剥离activex、javaapplet等小程序及从script、php和asp等代码检测出危险的代码，同时，能够过滤用户上载的cgi、asp等程序。

■ 提供实时监控、审计和告警功能：网络卫士防火墙提供对网络的实时监控，当发现攻击和危险行为时，防火墙提供告警等功能。

■ 可扩展支持第三方ids入侵检测系统，实现协同工作：网络卫士防火墙支持topsec协议，可与第三方ids产品实现无缝集成，协同工作。

（3）用户认证

因为企业网络为本地用户、移动用户和各种远程用户提供信息资源，所以为了保护网络和信息安全，必须对访问连接用户采用有效的权限控制和身份识别，以确保系统安全。

■ 提供高安全强度的一次性口令(otp)用户认证：一次性口令认证机制是高强度的认证机制，能极大地提高了访问控制的安全性，有效阻止非授权用户进入网络，保证网络系统的合法使用。一次性口令用户认证的基本过程是：首先用户向防火墙发送身份认证请求，并指明自己的用户名，防火墙收到请求后，向用户提出挑战及同步信息，用户收到此信息后，结合自己的口令，产生一次性口令并发送给防火墙，防火墙判断用户答复是否正确以鉴别用户的合法性，为防止口令猜测，如果用户连续三次认证失败则在一定时间内禁止该用户认证。由于采用一次性的口令认证机制，即使窃听者在网络上截取到口令，由于该口令的有效期仅为一次，故也无法再利用这个口令进行认证鉴别。在实际应用中，用户采用一次性口令登录程序登陆时，防火墙向用户提供一个种子及同步次数，登录程序根据用户输入的口令、种子、同步次数计算出一次性口令并传给防火墙.用户可以在不同的服务器上使用不同的种子而口令相同，每次在网络上传输的口令也不同，用户可以定期改变种子来达到更高的安全目标.■ 可扩展支持第三方认证和支持智能ic卡、ikey等硬件方式认证：网络卫士防火墙有很好的扩展性，可扩展支持radius等认证，提供拨号用户等安全访问。也可通过扩展支持支持职能ic卡、ikey等硬件方式认证。

（4）安全管理

■ 提供基于otp机制的管理员认证。

■ 提供分权管理安全机制；提供管理员和审计员分权管理的安全机制，保证安全产品的安全管理。

过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

■ 应用代理（Application Proxy）型

应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。

在代理型防火墙技术的发展过程中，它也经历了两个不同的版本：第一代应用网关型代理防火和第二代自适应代理防火墙。

代理类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。

另外代理型防火墙采取是一种代理机制，它可以为每一种应用服务建立一个专门的代理，所以内外部网络之间的通信不是直接的，而都需先经过代理服务器审核，通过后再由代理服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。

代理防火墙的最大缺点是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，代理防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的网络服务建立专门的代理服务，在自己的代理程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。

（3）从防火墙结构上分类

从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。

单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。

0

信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。

（5）按防火墙性能分类

按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。

因为防火墙通常位于网络边界，所以不可能只是十兆级的。这主要是指防火的通道带宽（Bandwidth），或者说是吞吐率。当然通道带宽越宽，性能越高，这样的防火墙因包过滤或应用代理所产生的延时也越小，对整个网络通信性能的影响也就越小。

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。

1.4 各类防火墙的优缺点

（1）包过滤防火墙

使用包过滤防火墙的优点包括：

■ 防火墙对每条传入和传出网络的包实行低水平控制。

■ 每个IP包的字段都被检查，例如源地址、目的地址、协议、端口等。防火墙将基于这些信息应用过滤规则。

■ 防火墙可以识别和丢弃带欺骗性源IP地址的包。

■ 包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙，绕过是困难的。

■ 包过滤通常被包含在路由器数据包中，所以不必额外的系统来处理这个特征。

使用包过滤防火墙的缺点包括：

■ 配臵困难。因为包过滤防火墙很复杂，人们经常会忽略建立一些必要的规则，或者错误配臵了已有的规则，在防火墙上留下漏洞。然而，在市场上，许多新版本的防火墙对这个缺点正在作改进，如开发者实现了基于图形化用户界面(GUI)的配臵和更直接的规则定义。

■ 为特定服务开放的端口存在着危险，可能会被用于其他传输。例如，Web服务器默认端口为80，而计算机上又安装了RealPlayer，那么它会搜寻可以允许连接到RealAudio服务器的端口，而不管这个端口是否被其他协议所使用，RealPlayer正好是使用80端口而搜寻的。就这样无意中，RealPlayer就利用了Web服务器的端口。

■ 可能还有其他方法绕过防火墙进入网络，例如拨入连接。但这个并不是

213

也不要忘记了防火墙内的安全保障。

其次，防火墙技术的另外一个显著不足是无法有效地应付病毒。当网络内的用户在访问外网中的含有病毒的数据时，防火墙无法区分带毒数据与正常数据，内部网络随时都有受到病毒危害的可能，防火墙技术的这个缺点给网络带来很大的隐患。

另外，由于防火墙技术的自身不断发展，其自身问题和漏洞也使其具有局限性。防火墙本身作为一个独立的系统，其软、硬件在发展过程中必然也有其自己的bug和漏洞，所以各种故障和因漏洞所遭受的各种攻击也不可避免。防火墙的技术原理与杀毒软件类似：先出现病毒，杀毒软件获得病毒的特征码，将其加入到病毒库内来实现查杀。防火墙的防御、检测策略，也是在发生攻击行为后分析其特征而设臵的。如果出现新的未知攻击行为，防火墙也将束手无策。

最后，防火墙的检测机制容易造成拥塞以及溢出现象。由于防火墙需要处理每一个通过它的数据包，所以当数据流量较大时，容易导致数据拥塞，影响整个网络性能。严重时，如果发生溢出，就像大坝决堤一般，无法阻挡，任何数据都可以来去自由了，防火墙也就不再起任何作用。

1.6 防火墙的未来发展趋势

尽管罗列了这么多防火墙技术的局限性，但防火墙在网络安全中所扮演的重要角色是不可撼动的。未来的防火墙发展朝高速、多功能化、更安全的方向发展。

实现高速防火墙，可以应用ASIC硬件加速技术、FPGA和网络处理器等方法。其中以采用网络处理器最好，因为网络处理器采用微码编程，可以根据需要随时升级，甚至可以支持IPv6；并且网络处理器中集成了很多硬件协处理单元，通过算法也比较容易实现高速。防火墙将会集成更多的网络安全功能，入侵检测、防病毒、防御拒绝服务攻击等安全技术都可以模块形式安装到防火墙的机箱内。既节省宝贵的机柜空间，又能为企业节约一部分安全支出，更主要的是可以实现网络安全设备之间的联动。防火墙将会更加的行业化。

任何一种防火墙只是为内部网络提供安全保障，但网络安全不能完全依赖于防火墙，还需要加强内部的安全管理，完善安全管理制度，提高用户的安全意识，从而形成全方位的安全防御体系。防火墙技术在校园网中的应用

随着高校信息化进程的推进，学院校园网上运行的应用系统越来越多，信息

51617

第五篇：防火墙技术报告

《网络与信息安全技术》

防火墙技术浅谈

班 级：

11计算机科学与技术3班

学 号：

2011404010306

姓 名： 王 志 成 分 数：

2013年12月12日

防火墙技术浅谈

摘要：随着计算机网络的发展，全球上网的人数在不断地增大，网上的资源也不断地增加，网络的开放性、共享性、互连程度也随之不断扩大。然而，因特网的迅猛发展在给人们的生活带来了极大方便的同时，因特网本身也正遭遇着前所未有的威胁。所以，网络的安全问题也越来越成为人们现在考虑的十分重视的问题。

本文主要介绍讨论了防火墙的定义、特点、基本功能，数据包头分析后与过滤规则的匹配、对数据包的拒绝和日志数据库的存储。关键词：防火墙技术 数据包过滤 数据库

引言

网络的安全问题正越来越成为人们现在十分重视的问题。如何使用有效、可行的方法使网络危险降到人们可接受的范围之内已越来越受到人们的关注。而如何实施防范策略，首先取决于当前系统的安全性。对网络安全的各独立元素——防火墙、漏洞扫描、入侵检测和反病毒等进行风险评估也是很有必要的。防火墙技术作为时下比较成熟的一 种技术，其安全性直接关系到用户的切身利益。针对网络安全独立元素——防火墙技术，判断系统的安全等级，实现对目标网络的网络安全风险评估，为提高系统的安全性提供科学依据。对网络安全的威胁主要表现在：非授权访问，冒充合法用户，破坏数据完整性，干扰系统的安全等级；其中，对网络安全的威胁表现在：非授权访问，冒充合法用户，破坏数据完整性，干扰正常运行，利用网络传播病毒，线路窃听等方面，实现对目标网络的网络安全风险评估以及对风险的防范，为提高系统的安全性提供科学依据。

1.防火墙概述

1.1防火墙的定义

所谓“防火墙”，是在两个网络之间执行说控制策略的一个或一组系统，包括硬伯和软件，目的是保护网络不被他人侵扰。它是一种将内部网和公众访问网(如Internet)分开的

封包，并且封锁其他的封包(通常是直接将封包丢弃)。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。

（2）防火墙的基本功能

 防火墙能够强化安全策略

因为因特网上每天都有上百万人浏览信息、交换信息，不可避免地会出现个别品德不良或违反规则的人。防火墙是为了防止不良现象发生的“交通警察”，它执行站点的安全策略，仅仅容许“认可的”和符合规则的请求通过。 防火墙能有效地记录因特网上的活动

因为所有进出信息都必须通过防火墙，所以防火墙非常适用收集关于系统和网络使用和误用的信息。作为访问的唯一点，防火墙记录着被保护的网络和外部网络之间进行的所有事件。

 防火墙限制暴露用户点

防火墙驹用来隔开网络中的一个网段与另一个网段。这样，就能够有效控制影响一个网段的问题通过整个网络传播。

 防火墙是一个安全策略的检查站

所有进出网络的信息都必须通过防火墙，防火墙便成为一个安全检查点，使可疑的访问被拒绝于门外。

1.3.防火墙的体系结构

目前，防火墙的体系结构一般有3种：双重宿主主机体系结构、主机过滤体系结构和子网过滤体系结构。

（1）双重宿主主机体系结构

双重宿主主机体系结构是围绕具有双重宿主的主体计算机而构筑的。该计算机至少有两个网络接口，这样的主机可以充当与这些接口相连的网络之间的路由器，并能够从一个网络向另一个网络发送IP数据包。防火墙内部的网络系统能与双重宿主主机通信，同时防火墙

分布式防火墙的优势：

（1）增强了系统安全性：增加了针对主机的入侵检测和防护功能，加强了对来自内部攻击防范，可以实施全方位的安全策略。

（2）提高了系统性能：消除了结构性瓶颈问题，提高了系统性能。

（3）系统的扩展性：分布式防火墙随系统扩充提供了安全防护无限扩充的能力。（4）实施主机策略：对网络中的各节点可以起到更安全的防护。（5）应用更为广泛，支持VPN通信。

3.数据包过滤处理原理分析

防火墙技术其实是基于对工作在网络层中的数据包的过滤，数据包的过滤原理要遵揗一些过滤规则：（1）过滤规则

本系统采用的默认过滤规则是：默认接收所有的进入、外出和转发数据包;接收所有本地环路接口上的进出包。当要有选择地接收数据包时，本地的过滤规则需要进行相应的设置。比如:现在要拒绝IP地址为192.168.0.161(局域网内的一主机的IP地址)的主机与本地主机通信，在用户相应的选项卡中，填上这一I地址就是表示拒绝此IP地址主机向本机发出的所有数据包，这就是数据包的IP 过滤功能。

当然也要实现端口的过滤功能。比如:想禁止某一服务的业务功能，就可以在相应的IP 号下同时设置端口号，就是表示对任一用户的这一服务被禁止。其实，这只能对某一些常用的端口号进行过滤，如：对HTTP(端口80)进行过滤，就是禁止外部用户通过防火墙访问内部HTTP 服务器；对FTP(端口20，21)进行过滤，就是禁止外部主机通过防火墙访问内部FTP服务器。

数据处理模块用到的过滤规则将在用户界面中直接对规则数据库操作进而来设置要过滤的规则，而数据处理模块则从数据库中直接调用。因此，过滤规则是在数据库中定义，由用户在数据库操作界面上输入的，供底层应用程序调用。

外部命令，在C语言中可以用execlp()这一函数来执行外部命令。（4）存入日志数据库

对数据包头分析处理后，可以得到此IP访问的源IP地址、目的IP 地址、端口以及被拒绝通过的情况。数据库的连接与上文所说的一样，因此，此处存入的是被拒绝的数据包头信息。

5.结束语

防火墙技术作为目前用来实现网络安全措施的一种用来拒绝未经授权用户的访问，阻止未经授权用户存取敏感数据，同时允许合法用户不受妨碍的访问网络资源的主要手段。如果使用得当，可以在很大程度上提高网络安全。但是没有一种技术可以百分之百地解决网络上的所有问题，比如防火墙虽然能对来自外部网络的攻击进行有效的保护，但对于来自网络内部的攻击却无能为力。事实上60%以上的网络安全问题来自网络内部。因此网络安全单靠防火墙是不够的，还需要有其它技术和非技术因素的考虑，如信息加密技术、身份验证技术、制定网络法规、提高网络管理人员的安全意识等等。

参考文献：

1）袁津生 吴砚农 《计算机网络安全基础》 北京：人民邮电出版社 2013 2）黎连业，张维，防火墙及其应用技术，清华大学出版社.2004 3）程代伟，网络安全完全手册，电子工业出版社.2006 4）李涛，网络安全概论，电子工业出版社.2004