關(guān)于防火墻的安全應(yīng)用以及主要功能

　　計算機(jī)防火墻防護(hù)技術(shù)的安全應(yīng)用以及主要功能想必大家都不清楚，所以今天學(xué)習(xí)啦小編要跟大家介紹下防火墻的安全應(yīng)用以及主要功能，下面就是學(xué)習(xí)啦小編為大家整理到的資料，請大家認(rèn)真看看!

　　防火墻的安全應(yīng)用

　　1 防火墻功能簡介

　　防火墻技術(shù)是一種將軟硬件結(jié)合起來，作用在各網(wǎng)絡(luò)界面之間的網(wǎng)絡(luò)屏障，它只允許已知的安全信息通過屏障，屏蔽不安全的信息和程序，利用自身的網(wǎng)關(guān)技術(shù)來確保合法用戶的權(quán)限，防止非法用戶入侵。防火墻的內(nèi)部存儲了許多數(shù)據(jù)，防火墻能夠根據(jù)這些數(shù)據(jù)來確定哪些信息或程序安全，可以通過，哪些信息或程序非法，不能通過，防火墻只允許被一些默認(rèn)允許的程序訪問，避免黑客系統(tǒng)對防火墻的破壞。防火墻主要有一下幾大功能：

　　(1)系統(tǒng)管理員可以在防火墻內(nèi)部自定義一個空間，制定一套限定網(wǎng)絡(luò)的訪問機(jī)制，將那些被防火墻漏掉的威脅程序通過自己的設(shè)定分離出去，這樣既增強(qiáng)了防火墻的安全性能，又能夠使計算機(jī)安全運(yùn)行。

　　(2)防火墻技術(shù)規(guī)范了網(wǎng)絡(luò)的訪問，管理員可以通過防火墻對員工的操作進(jìn)行一些限制，對防火墻中的信息進(jìn)行進(jìn)一步篩選，防止員工進(jìn)入一些危險網(wǎng)站或安裝一些危險程序等，更加智能化的管理員工的工作。

　　(3)防火墻技術(shù)可以實現(xiàn)共享內(nèi)存的作用，它可以利用NAT技術(shù)，將本機(jī)上的IP地址與網(wǎng)絡(luò)中的IP地址對應(yīng)起來，以緩解地址空間的短缺，解決地址空間不足的問題。

　　(4)防火墻作為連接計算機(jī)內(nèi)部與外部的屏障，可以通過防火墻的過濾作用，記錄進(jìn)入防火墻的程序或信息，利用防火墻的這一特性，我們可以科學(xué)、有效的記錄計算機(jī)在訪問網(wǎng)絡(luò)時所產(chǎn)生的費(fèi)用等。

　　2 防火墻的類型

　　2.1 代理型防火墻

　　代理型防火墻相當(dāng)于一種代理服務(wù)器，是一種安全系數(shù)較高的高級防護(hù)技術(shù)，代理型防火墻介于用戶與用戶之間，相當(dāng)于信息的中轉(zhuǎn)站，可以對一些有危害的信息進(jìn)行有針對性的阻止。對于用戶來說，代理型服務(wù)器就是真正的服務(wù)器，而對于服務(wù)器來說，代理型服務(wù)器就是客戶機(jī)，用戶與用戶之間要進(jìn)行網(wǎng)絡(luò)信息的交流、溝通時，首先必須要經(jīng)過代理型服務(wù)器進(jìn)行中轉(zhuǎn)，然后經(jīng)過代理型服務(wù)器過濾之后再傳輸?shù)秸嬲挠脩舻挠嬎銠C(jī)中，實現(xiàn)用戶與用戶之間的交流，當(dāng)發(fā)送的信息存在惡意或者是不良的攻擊性時，防火墻就要對其進(jìn)行攔截、篩選，以保障計算機(jī)網(wǎng)絡(luò)的安全和用戶信息的安全，代理型防火墻具有很強(qiáng)的安全性能，能夠?qū)τ嬎銠C(jī)中的信息進(jìn)行有針對性的篩選，將不良、有害的信息直接過濾出去，保障網(wǎng)絡(luò)的安全運(yùn)行。

　　2.2 包過濾型防火墻

　　包過濾型防火墻技術(shù)相對古老，其關(guān)鍵點(diǎn)在于網(wǎng)絡(luò)的分包傳輸，應(yīng)用這種防火墻會以包作為單位來進(jìn)行網(wǎng)絡(luò)信息的傳輸，每個包所代表的含義不同，并且不同內(nèi)容的信息會被分配到不同的包里，可以根據(jù)信息的大小、性質(zhì)、來源、某種特殊的信息、目標(biāo)地址、目標(biāo)端口或者不同的源地址等對信息進(jìn)行劃分。包過濾型防火墻就是對對這些數(shù)據(jù)包中的信息進(jìn)行分析，判斷其是否合法、安全，被允許訪問的數(shù)據(jù)包就會通過防火墻的檢測，不被允許的就表示數(shù)據(jù)包存在安全隱患。包過濾型防火墻有很多的優(yōu)點(diǎn)，如對環(huán)境的適應(yīng)能力較強(qiáng)，簡單方便、實用性強(qiáng)、成本較低且能夠在簡單的環(huán)境中保證網(wǎng)絡(luò)信息的安全，但這種技術(shù)存在一個很重要的缺點(diǎn)：它只能從端口、目標(biāo)或者數(shù)據(jù)包的來源來檢測信息的安全性，不能夠識別一些惡意的程序或信息，一些有經(jīng)驗的網(wǎng)絡(luò)黑客將會很容易破解防火墻技術(shù)，傳播病毒，導(dǎo)致用戶的計算機(jī)遭到破壞。

　　2.3 網(wǎng)址轉(zhuǎn)化型防火墻――NAT

　　網(wǎng)址轉(zhuǎn)化就是指網(wǎng)絡(luò)地址進(jìn)行轉(zhuǎn)換，轉(zhuǎn)換成臨時的、外部的、注冊的地址標(biāo)準(zhǔn)，然后允許外部的私有IP對內(nèi)部網(wǎng)絡(luò)進(jìn)行訪問，并且該用戶只能用一個IP地址進(jìn)行訪問，外部的私有IP會先進(jìn)行轉(zhuǎn)換，與原有的進(jìn)行識別、判斷并確認(rèn)，之后才能放行，系統(tǒng)將真正的IP轉(zhuǎn)換成虛擬IP，這樣起到隱藏真正IP的作用。通過網(wǎng)絡(luò)中預(yù)先設(shè)置的安全準(zhǔn)則判斷是否安全，符合則接受訪問，不符合則拒絕訪問。網(wǎng)絡(luò)轉(zhuǎn)換的過程也很簡單、易操作。

　　2.4 監(jiān)測型防火墻

　　原先的防火墻一般只是防范或阻止一些惡意侵犯計算機(jī)網(wǎng)絡(luò)的地址，不能夠?qū)?shù)據(jù)信息進(jìn)行實時的檢測，而監(jiān)測型防火墻可以實現(xiàn)這一功能，能夠?qū)?shù)據(jù)信息進(jìn)行自動實時的檢測，有效的提高了計算機(jī)的安全性，但這種防火墻不易管理，且成本較高，所以這種防火墻應(yīng)用較少，但綜合安全和成本兩方面來看，監(jiān)測型防火墻還是可行的，能夠有效的保障計算機(jī)的安全。

　　3 防火墻技術(shù)在計算機(jī)中的應(yīng)用

　　3.1 配置防火墻訪問策略

　　訪問策略是防火墻的安全核心，因此，要有詳細(xì)的信息說明或系統(tǒng)的統(tǒng)計才能執(zhí)行設(shè)置，并且要了解訪問單位對內(nèi)部或外界的應(yīng)用、該單位的源地址、目標(biāo)地址、TCP/UDP的端口，然后根據(jù)執(zhí)行的頻繁程度對策略在表中的位置進(jìn)行實施和配置。這種規(guī)則是按照順序進(jìn)行執(zhí)行的，我們按照一般的規(guī)則直接放在首位能夠有效的提高防火墻的應(yīng)用，并且增強(qiáng)防火墻的工作效率。

　　3.2 網(wǎng)絡(luò)安全服務(wù)配置

　　網(wǎng)絡(luò)安全服務(wù)的隔離區(qū)是將系統(tǒng)劃分出一個獨(dú)立的局域網(wǎng)絡(luò)，保障系統(tǒng)的管理和服務(wù)器上的數(shù)據(jù)信息的安全，從而使系統(tǒng)能夠正常的運(yùn)行。通過防火墻對網(wǎng)絡(luò)地址進(jìn)行相應(yīng)的轉(zhuǎn)換，將網(wǎng)絡(luò)地址設(shè)置成公用的，全部的主機(jī)地址設(shè)置成有效的網(wǎng)絡(luò)IP地址，這樣能夠?qū)崿F(xiàn)對外部的IP地址進(jìn)行屏蔽，有效的保護(hù)內(nèi)部的網(wǎng)絡(luò)IP地址，保證計算機(jī)的安全運(yùn)行。企業(yè)或單位在有邊界路由的情況下，可以利用原有的路由，再用包過濾型防火墻技術(shù)對網(wǎng)絡(luò)進(jìn)行保護(hù)，這在降低成本的同時有效的保護(hù)了網(wǎng)絡(luò)的安全。或者是將公用的服務(wù)器與邊界路由進(jìn)行連接，不需設(shè)置防火墻，在服務(wù)器和路由之間設(shè)置一個隔離區(qū)，僅需將一些安全訪問的數(shù)據(jù)信息或IP地址放在隔離區(qū)內(nèi)，即可形成簡單的保護(hù)和防范。

　　3.3 對日志進(jìn)行監(jiān)控

　　對日志進(jìn)行監(jiān)控是非常有效的管理手段，它能夠有效的保障網(wǎng)絡(luò)的安全運(yùn)行，系統(tǒng)的告警日志會實時的記錄用戶所進(jìn)行的每一步操作，而防火墻的信息數(shù)據(jù)量非常大，并且非常復(fù)雜，所以，系統(tǒng)的告警日志是非常重要的，通過查看告警日志記錄的關(guān)于防火墻的數(shù)據(jù)信息，并對其進(jìn)行篩選，將對網(wǎng)絡(luò)安全構(gòu)成威脅的信息記錄下來并做好日志，然后做好防范工作，以保證網(wǎng)絡(luò)安全、有效的運(yùn)行。

　　4 總結(jié)

　　隨著計算機(jī)技術(shù)的不斷發(fā)展，人們越來越依賴于網(wǎng)絡(luò)，網(wǎng)絡(luò)安全問題是不可避免的，因此，計算機(jī)網(wǎng)絡(luò)安全技術(shù)也要隨著計算機(jī)技術(shù)的發(fā)展而不斷的改革、創(chuàng)新，為了保障網(wǎng)絡(luò)的安全運(yùn)行，防火墻技術(shù)的重要性是不言而喻的，所以，我們在組建網(wǎng)絡(luò)時必須要選擇合適的防火墻，抵御有害信息入侵計算機(jī)系統(tǒng)，但僅僅靠防火墻技術(shù)是不夠的，要從科學(xué)、全面的方面入手，才能真正解決計算機(jī)的網(wǎng)絡(luò)安全問題。

　　防火墻的主要功能以及技術(shù)原理

　　一、防火墻的主要功能

　　通常防火墻的主要功能有:過濾掉不安全的服務(wù)和非法用戶;控制和限制對特殊站點(diǎn)的訪問;限制他人進(jìn)入內(nèi)部網(wǎng)絡(luò);防止入侵者接近你的防御設(shè)施;提供了監(jiān)視Internet安全和預(yù)警的方便端點(diǎn);防火墻的設(shè)計應(yīng)遵循安全防范策略的基本原則――“除非明確允許,否則就禁止”;如果組織機(jī)構(gòu)的安全策略發(fā)生改變,可以加入新的服務(wù);有先進(jìn)的認(rèn)證手段或有掛鉤程序,可以安裝先進(jìn)的認(rèn)證方法;可以使用FTP和Telnet等服務(wù)代理,編程的IP過濾語言,并可以根據(jù)數(shù)據(jù)包的性質(zhì)進(jìn)行包過濾。

　　許多用戶在選擇防火墻時還可能考慮一些特殊功能要求。這些功能主要有:

　　1. 網(wǎng)絡(luò)地址轉(zhuǎn)移功能( NAT)。2.雙重DNS(域名服務(wù))。3.虛擬專用網(wǎng)絡(luò)()。4.掃毒功能。5.特殊控制需求。

　　二、 防火墻的原理以及實現(xiàn)方法

　　防火墻負(fù)責(zé)管理危險區(qū)域和內(nèi)部網(wǎng)絡(luò)之間的訪問。在沒有防火墻時,內(nèi)部網(wǎng)絡(luò)上的每個節(jié)點(diǎn)都暴露給危險區(qū)域上的其它主機(jī),極易受到攻擊。由此可見,對于連接到因特網(wǎng)的內(nèi)部網(wǎng)絡(luò),一定要選用適當(dāng)?shù)姆阑饓?。就防火墻的原理來講可以把它簡單地抽象為一對開關(guān),其中一個開關(guān)用于允許傳輸,另一個用于阻止傳輸。實際上防火墻代表了用戶的網(wǎng)絡(luò)安全策略,其實現(xiàn)方式比較靈活。

　　1.在邊界路由器上實現(xiàn)。(1)通過標(biāo)準(zhǔn)的路由器來實現(xiàn)(由于該用途的路由器稱為Screening Router,即篩選路由器、屏蔽路由器),常用的如Cisco路由器很容易設(shè)置成一個防火墻。(2)通過PC機(jī)的路由器來實現(xiàn),但要使用軟件包。

　　2.在一臺雙端口主機(jī)(Dual - homed Host)上實現(xiàn)。內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)都可以訪問這臺主機(jī),但外部主機(jī)與內(nèi)部主機(jī)不能直接進(jìn)行通信,可以實施三種類型的防火墻:(1)應(yīng)用層網(wǎng)關(guān)防火墻(Ap-plication Gateway Firewall) (2)代理服務(wù)型防火墻(Proxy Server Firewall) (3)線(電)路層/級網(wǎng)關(guān)型防火墻(Circuit Gateway Fire-wall)。

　　3.在子網(wǎng)上實現(xiàn)。在一個公共子網(wǎng)(該子網(wǎng)的作用相當(dāng)于一臺雙端口主機(jī))上實現(xiàn),可建立含有單段網(wǎng)絡(luò)、?；饏^(qū)結(jié)構(gòu)的防火墻。盡管防火墻有許多防范功能,但由于互連網(wǎng)的開放性,它也有一些力不能及的地方,表現(xiàn)在:①防火墻不能防范不經(jīng)由防火墻的攻擊。例如,如果允許從客觀存在保護(hù)網(wǎng)內(nèi)部不受限制的向外撥號,一些用戶可以形成與Internet的直接的SLIP或PPP連接。從而繞過防火墻,造成一個潛在的后門攻擊渠道。②目前很難對防火墻進(jìn)行徹底的測試驗證,面對大多數(shù)的惡意攻擊,防火墻會有所防范,但是不是在任何情況下都有效是未知的,這就涉及到了一個軟件及時更新的問題。