1. 引言

防火墻技術是建立在現代通信網絡技術和信息安全技術基礎上的應用性安全技術,越來越多地應用于專用網絡與公用網絡的互連環境之中,尤以Internet網絡為最甚。Internet的迅猛發展,使得防火墻產品在短短的幾年內異軍突起,很快形成了一個產業:1995年,剛剛面市的防火墻技術產品市場量還不到1萬套；到1996年底,就猛增到10萬套；據國際權威商業調查機構的預測,防火墻市場將以173%的復合增長率增長,今年底將達到150萬套,市場營業額將從1995年的1.6億美元上升到今年的9.8億美元。?

為了更加全面地了解Internet防火墻及其發展過程,特別是第四代防火墻的技術特色,我們非常有必要從產品和技術角度對防火墻技術的發展演變做一個詳細的考察。?

2. Internet防火墻技術簡介

防火墻原是指建筑物大廈用來防止火災蔓延的隔斷墻。從理論上講,Internet防火墻服務也屬于類似的用來防止外界侵入的。它可以防止Internet上的各種危險(病毒、資源盜用等)傳播到你的網絡內部。而事實上,防火墻并不像現實生活中的防火墻,它有點像古代守護城池用的護城河,服務于以下多個目的:?

1)限定人們從一個特定的控制點進入；?

2)限定人們從一個特定的點離開；?

3)防止侵入者接近你的其他防御設施；?

4)有效地阻止破壞者對你的計算機系統進行破壞。?

在現實生活中,Internet防火墻常常被安裝在受保護的內部網絡上并接入Internet。

從上圖不難看出,所有來自Internet的傳輸信息或你發出的信息都必須經過防火墻。這樣,防火墻就起到了保護諸如電子郵件、文件傳輸、遠程登錄、在特定的系統間進行信息交換等安全的作用。從邏輯上講,防火墻是起分隔、限制、分析的作用,這一點同樣可以從圖1中體會出來。那么,防火墻究竟是什么呢?實際上,防火墻是加強Internet(內部網)之間安全防御的一個或一組系統,它由一組硬件設備(包括路由器、服務器)及相應軟件構成。

3. 防火墻技術與產品發展的回顧?

防火墻是網絡安全策略的有機組成部分,它通過控制和監測網絡之間的信息交換和訪問行為來實現對網絡安全的有效管理。從總體上看,防火墻應該具有以下五大基本功能:?

●過濾進、出網絡的數據；?

●管理進、出網絡的訪問行為；?

●封堵某些禁止行為；?

●記錄通過防火墻的信息內容和活動；?

●對網絡攻擊進行檢測和告警。?

為實現以上功能,在防火墻產品的開發中,人們廣泛地應用了網絡拓撲、計算機操作系統、路由、加密、訪問控制、安全審計等成熟或先進的技術和手段?？v觀防火墻近年來的發展,可以將其劃分為如下四個階段(即四代)。?

3.1 基于路由器的防火墻

由于多數路由器本身就包含有分組過濾功能,故網絡訪問控制可能通過路控制來實現,從而使具有分組過濾功能的路由器成為第一代防火墻產品。第一代防火墻產品的特點是:?

1)利用路由器本身對分組的解析,以訪問控制表(Access List)方式實現對分組的過濾；?

2)過濾判斷的依據可以是:地址、端口號、IP旗標及其他網絡特征；?

3)只有分組過濾的功能,且防火墻與路由器是一體的。這樣,對安全要求低的網絡可以采用路由器附帶防火墻功能的方法,而對安全性要求高的網絡則需要單獨利用一臺路由器作為防火墻。?

第一代防火墻產品的不足之處十分明顯,具體表現為:?

●路由協議十分靈活,本身具有安全漏洞,外部網絡要探尋內部網絡十分容易。例如,在使用FTP協議時,外部服務器容易從20號端口上與內部網相連,即使在路由器上設置了過濾規則,內部網絡的20號端口仍可以由外部探尋。?

●路由器上分組過濾規則的設置和配置存在安全隱患。對路由器中過濾規則的設置和配置十分復雜,它涉及到規則的邏輯一致性。作用端口的有效性和規則集的正確性,一般的網絡系統管理員難于勝任,加之一旦出現新的協議,管理員就得加上更多的規則去限制,這往往會帶來很多錯誤。?

●路由器防火墻的最大隱患是:攻擊者可以“假冒”地址。由于信息在網絡上是以明文方式傳送的,黑客(Hacker)可以在網絡上偽造假的路由信息欺騙防火墻。?

●路由器防火墻的本質缺陷是:由于路由器的主要功能是為網絡訪問提供動態的、靈活的路由,而防火墻則要對訪問行為實施靜態的、固定的控制,這是一對難以調和的矛盾,防火墻的規則設置會大大降低路由器的性能。?

可以說基于路由器的防火墻技術只是網絡安全的一種應急措施,用這種權宜之計去對付黑客的攻擊是十分危險的。?

3.2 用戶化的防火墻工具套

為了彌補路由器防火墻的不足,很多大型用戶紛紛要求以專門開發的防火墻系統來保護自己的網絡,從而推動了用戶防火墻工具套的出現。?

作為第二代防火墻產品,用戶化的防火墻工具套具有以下特征:?

1)將過濾功能從路由器中獨立出來,并加上審計和告警功能；?

2)針對用戶需求,提供模塊化的軟件包；?

3)軟件可以通過網絡發送,用戶可以自己動手構造防火墻；?

4)與第一代防火墻相比,安全性提高了,價格也降低了。?

由于是純軟件產品,第二代防火墻產品無論在實現上還是在維護上都對系統管理員提出了相當復雜的要求,并帶來以下問題:?

配置和維護過程復雜、費時；?

對用戶的技術要求高；

全軟件實現,使用中出現差錯的情況很多。?

3.3 建立在通用操作系統上的防火墻

基于軟件的防火墻在銷售、使用和維護上的問題迫使防火墻開發商很快推出了建立在通用操作系統上的商用防火墻產品。近年來市場上廣泛使用的就是這一代產品,它們具有如下一些特點:?

1)是批量上市的專用防火墻產品；?

2)包括分組過濾或者借用路由器的分組過濾功能；?

3)裝有專用的代理系統,監控所有協議的數據和指令；?

4)保護用戶編程空間和用戶可配置內核參數的設置；?

5)安全性和速度大大提高。?

第三代防火墻有以純軟件實現的,也有以硬件方式實現的,它們已經得到了廣大用戶的認同。但隨著安全需求的變化和使用時間的推延,仍表現出不少問題,比如:?

1)作為基礎的操作系統及其內核往往不為防火墻管理者所知,由于源碼的保密,其安全性無從保證；?

2)由于大多數防火墻廠商并非通用操作系統的廠商,通用操作系統廠商不會對操作系統的安全性負責；3)從本質上看,第三代防火墻既要防止來自外部網絡的攻擊,還要防止來自操作系統廠商的攻擊；?

4)在功能上包括了分組過濾、應用網關、電路級網關且具有加密鑒別功能；?

5)透明性好,易于使用。

4. 第四代防火墻的主要技術及功能?

第四代防火墻產品將網關與安全系統合二為一,具有以下技術功能。?

4.1 雙端口或三端口的結構

新一代防火墻產品具有兩個或三個獨立的網卡,內外兩個網卡可不做IP轉化而串接于內部與外部之間,另一個網卡可專用于對服務器的安全保護。?

4.2 透明的訪問方式

以前的防火墻在訪問方式上要么要求用戶做系統登錄,要么需要通過SOCKS等庫路徑修改客戶機的應用。第四代防火墻利用了透明的代理系統技術,從而降低了系統登錄固有的安全風險和出錯概率。?

4.3 靈活的代理系統

代理系統是一種將信息從防火墻的一側傳送到另一側的軟件模塊,第四代防火墻采用了兩種代理機制:一種用于代理從內部網絡到外部網絡的連接；另一種用于代理從外部網絡到內部網絡的連接。前者采用網絡地址轉接(NIT)技術來解決,后者采用非保密的用戶定制代理或保密的代理系統技術來解決。?

4.4 多級過濾技術

為保證系統的安全性和防護水平,第四代防火墻采用了三級過濾措施,并輔以鑒別手段。在分組過濾一級,能過濾掉所有的源路由分組和假冒IP地址；在應用級網關一級,能利用FTP、SMTP等各種網關,控制和監測Internet提供的所有通用服務；在電路網關一級,實現內部主機與外部站點的透明連接,并對服務的通行實行嚴格控制。?

4.5 網絡地址轉換技術

第四代防火墻利用NAT技術能透明地對所有內部地址做轉換,使得外部網絡無法了解內部網絡的內部結構,同時允許內部網絡使用自己編的IP源地址和專用網絡,防火墻能詳盡記錄每一個主機的通信,確保每個分組送往正確的地址。?

4.6 Internet網關技術

由于是直接串聯在網絡之中,第四代防火墻必須支持用戶在Internet互聯的所有服務,同時還要防止與Internet服務有關的安全漏洞,故它要能夠以多種安全的應用服務器(包括FTP、Finger、mail、Ident、News、WWW等)來實現網關功能。為確保服務器的安全性,對所有的文件和命令均要利用“改變根系統調用(chroot)”做物理上的隔離。?

在域名服務方面,第四代防火墻采用兩種獨立的域名服務器:一種是內部DNS服務器,主要處理內部網絡和DNS信息；另一種是外部DNS服務器,專門用于處理機構內部向Internet提供的部分DNS信息。?

在匿名FTP方面,服務器只提供對有限的受保護的部分目錄的只讀訪問。在WWW服務器中,只支持靜態的網頁,而不允許圖形或CGI代碼等在防火墻內運行。在Finger服務器中,對外部訪問,防火墻只提供可由內部用戶配置的基本的文本信息,而不提供任何與攻擊有關的系統信息。SMTP與POP郵件服務器要對所有進、出防火墻的郵件做處理,并利用郵件映射與標頭剝除的方法隱除內部的郵件環境。Ident服務器對用戶連接的識別做專門處理,網絡新聞服務則為接收來自ISP的新聞開設了專門的磁盤空間。?

4.7 安全服務器網絡(SSN)

為了適應越來越多的用戶向Internet上提供服務時對服務器的需要,第四代防火墻采用分別保護的策略對用戶上網的對外服務器實施保護,它利用一張網卡將對外服務器作為一個獨立網絡處理,對外服務器既是內部網絡的一部分,又與內部網關完全隔離,這就是安全服務器網絡(SSN)技術。而對SSN上的主機既可單獨管理,也可設置成通過FTP、Tnlnet等方式從內部網上管理。