计算机网络安全与防火墙技术分析

2013-11-15李国芳

电子测试 2013年14期

李国芳

（广州卫生学校，广东广州，510450）

0 引言

计算机安全是全球网络中最重要的课题，计算机安全与管理，特别是关系国计民生的项目，例如银行、航空、电网、科研等都是计算机安全维护的核心和重点。当前影响到计算机网络的因素有很多，不少因素有可能是有意、也可能是人为造成的，因此研究网络安全造成的因素有很现实的意义。

防火墙(英文：firewall)是一项协助确保信息安全的设备，会依照特定的规则，允许或是限制传输的数据通过。其主要指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。

1 防火墙的分类

随着互联网技术的发展，防火墙的技术也在不断更新换代，当前防火墙的分类和功能已经有了明显的提升，从其功能而言，我们可以直接划分为两大类：包过滤防火墙和应用级防火墙。

1.1 包过滤防火墙

又叫网络级防火墙，因为它的整个检测工作主要是在网络层运行的。其主要是通过检测网络中收发的包地址、协议、端口等信息，通过判断该包是否符合发放要求来决定该包是否能够通过。一般而言，路由器中就包含着这样的网络级防火墙。

1.2 应用级防火墙

应用级防火墙主要的工作内容是检测进入的数据包，通过网关复制传递数据，防止受信主机与非受信主机间直接建立联系。

应用级防火墙在实际使用中，由于在网络中通过防火墙访问Internet,，因此一旦网络不稳定或者网络存在故障时，可能会出现多次登录、数据延迟等问题。因此可知，使用应用级防火墙的协议代理软件，其效率远远不及网络防火墙。

包过滤防火墙和应用级防火墙是网络防火墙中最常见的两种防毒方式，它们都是通过分析数据包、根据规则解析数据包，并将数据包再次传递，从而有效的方式病毒的侵入，维护网络安全。

2 防火墙功能分析

当前市面上的防火墙主要有如下几种功能来确保网络安全：

2.1 数据包过滤

包过滤是防火墙所要实现的最基本功能，现在的防火墙已经由最初的地址、端口判定控制，发展到判断通信报文协议头的各部分，以及通信协议的应用层命令、内容、用户认证、用户规则甚至状态检测等等。

2.2 审计和报警机制

在防火墙结合网络配置和安全策略对相关数据分析完成以后，就要作出接受、拒绝、丢弃或加密等决定（target）。如果某个访问违反安全规定，审计和报警机制开始起作用，并作记录，报告等等。

2.3 远程管理

防火墙管理界面一般是对防火墙进行配置、管理和监控、查阅当前状态等。防火墙管理界面设计直接关系到防火墙的使用方便性和安全性。

2.4 NAT

网络地址转换似乎已经成了防火墙的“标配”，绝大多数防火墙都加入了该功能。目前防火墙一般采用双向NAT：SNAT和DNAT。SNAT用于对内部网络地址进行转换，对外部网络隐藏起内部网络的结构，使得对内部的攻击更加困难；并可以节省IP资源，有利于降低成本。DNAT主要实现用于外网主机对内网和DMZ区主机的访问。

2.5 流量控制和统计分析模块

流量控制对于防火墙技术而言是较为简单的统计功能，其主要可以分为基于单个IP地址控制或者基于用户控制。基于IP地址控制是对整个防火墙的网络接口流量进行统一的控制，而基于用户控制是通过判断用户登录的用户名进行分析每个用户的使用流量，从而有效的方式某些应用程序或者用户占用资源过多而造成资源的浪费。

3 有状态防火墙的工作流程和算法

为了能够更清晰的阐述防火墙在防毒过程中的变化，本文就有状态防火墙的算法进行了阐述，当然防火墙的实际算法不止这一种，但是基于此算法我们还能够看出防火墙的整个工作状态。

3.1 有状态放火墙的工作流程。

整个包过滤防火墙在收集到数据包头信息之后，会对其进行数据解析，通过与规则库中的安全规则进行匹配之后，确认该数据包是否需要丢弃或者放行，因此，在此一过程中，CheckPoint首先提出了一种新的防火模式——有状态防火墙。其主要基于一个基本事实，即网络中大部分数据都是通过面向连接的TCP协议进行传输，只要控制整个连接过程就可以认为该信息通信过程是可信的，有状态防火墙的数据处理流程如下图1所示。