网络防火墙技术论文一
[论文关键词]
防火墙 网络安全
[论文摘要]
在当今的计算机世界，因特网无孔不入。为应付“不健全”的因特网，人们创建了几种安全机制，例如访问控制、认证表，以及最重要的方法之一：防火墙。
随着网络技术的发展，因特网已经走进千家万户，网络的安全成为人们最为关注的问题。目前，保护内部网免遭外部入侵比较有效的方法为防火墙技术。
一、防火墙的基本概念
防火墙是一个系统或一组系统，在内部网与因特网间执行一定的安全策略，它实际上是一种隔离技术。
一个有效的防火墙应该能够确保所有从因特网流入或流向因特网的信息都将经过防火墙，所有流经防火墙的信息都应接受检查。通过防火墙可以定义一个关键点以防止外来入侵；监控网络的安全并在异常情况下给出报警提示，尤其对于重大的信息量通过时除进行检查外，还应做日志登记；提供网络地址转换功能，有助于缓解IP地址资源紧张的问题，同时，可以避免当一个内部网更换ISP时需重新编号的麻烦；防火墙是为客户提供服务的理想位置，即在其上可以配置相应的WWW和FTP服务等。
二、防火墙的技术分类
现有的防火墙主要有：包过滤型、代理服务器型、复合型以及其他类型（双宿主主机、主机过滤以及加密路由器）防火墙。
包过滤（Packet Fliter）通常安装在路由器上，而且大多数商用路由器都提供了包过滤的功能。包过滤规则以IP包信息为基础，对IP源地址、目标地址、协议类型、端口号等进行筛选。包过滤在网络层进行。
代理服务器型（Proxy Service）防火墙通常由两部分构成，服务器端程序和客户端程序。客户端程序与中间节点连接，中间节点再与提供服务的服务器实际连接。
复合型（Hybfid）防火墙将包过滤和代理服务两种方法结合起来，形成新的防火墙，由堡垒主机提供代理服务。
各类防火墙路由器和各种主机按其配置和功能可组成各种类型的防火墙，主要有：双宿主主机防火墙，它是由堡垒主机充当网关，并在其上运行防火墙软件，内外网之间的通信必须经过堡垒主机；主机过滤防火墙是指一个包过滤路由器与外部网相连，同时，一个堡垒主机安装在内部网上，使堡垒主机成为外部网所能到达的惟一节点，从而确保内部网不受外部非授权用户的攻击；加密路由器对通过路由器的信息流进行加密和压缩，然后通过外部网络传输到目的端进行解压缩和解密。
三、防火墙的基本功能
典型的防火墙应包含如下模块中的一个或多个：包过滤路由器、应用层网关以及链路层网关。
（一）包过滤路由器
包过滤路由器将对每一个接收到的包进行允许／拒绝的决定。具体地，它对每一个数据报的包头，按照包过滤规则进行判定，与规则相匹配的包依据路由表信息继续转发，否则，则丢弃之。
与服务相关的过滤，是指基于特定的服务进行包过滤，由于绝大多数服务的监听都驻留在特定TCP／UDP端口，因此，阻塞所有进入特定服务的连接，路由器只需将所有包含特定 TCP／UDP目标端口的包丢弃即可。
独立于服务的过滤，有些类型的攻击是与服务无关的，比如：带有欺骗性的源IP地址攻击、源路由攻击、细小碎片攻击等。由此可见此类网上攻击仅仅借助包头信息是难以识别的，此时，需要路由器在原过滤规则的基础附上另外的条件，这些条件的判别信息可以通过检查路由表、指定IP选择、检查指定帧偏移量等获得。
（二）应用层网关
应用层网关允许网络管理员实施一个较包过滤路由器更为严格的安全策略，为每一个期望的应用服务在其网关上安装专用的代码，同时，代理代码也可以配置成支持一个应用服务的某些特定的特性。对应用服务的访问都是通过访问相应的代理服务实现的，而不允许用户直接登录到应用层网关。
应用层网关安全性的提高是以购买相关硬件平台的费用为代价，网关的配置将降低对用户的服务水平，但增加了安全配置上的灵活性。
（三）链路层网关
链路层网关是可由应用层网关实现的特殊功能。它仅仅替代TCP连接而无需执行任何附加的包处理和过滤。
四、防火墙的安全构建
在进行防火墙设计构建中，网络管理员应考虑防火墙的基本准则；整个企业网的安全策略；以及防火墙的财务费用预算等。
（一）基本准则
可以采取如下两种理念中的一种来定义防火墙应遵循的准则：第一，未经说明许可的就是拒绝。防火墙阻塞所有流经的信息，每一个服务请求或应用的实现都基于逐项审查的基础上。这是一个值得推荐的方法，它将创建一个非常安全的环境。当然，该理念的不足在于过于强调安全而减弱了可用性，限制了用户可以申请的服务的数量。第二，未说明拒绝的均为许可的。约定防火墙总是传递所有的信息，此方式认定每一个潜在的危害总是可以基于逐项审查而被杜绝。当然，该理念的不足在于它将可用性置于比安全更为重要的地位，增加了保证企业网安全性的难度。
（二）安全策略
在一个企业网中，防火墙应该是全局安全策略的一部分，构建防火墙时首先要考虑其保护的范围。企业网的安全策略应该在细致的安全分析、全面的风险假设以及商务需求分析基础上来制定。
（三）构建费用
简单的包过滤防火墙所需费用最少，实际上任何企业网与因特网的连接都需要一个路由器，而包过滤是标准路由器的一个基本特性。对于一台商用防火墙随着其复杂性和被保护系统数目的增加，其费用也随之增加。
至于采用自行构造防火墙方式，虽然费用低一些，但仍需要时间和经费开发、配置防火墙系统，需要不断地为管理、总体维护、软件更新、安全修补以及一些附带的操作提供支持。
五、防火墙的局限性
尽管利用防火墙可以保护内部网免受外部黑客的攻击，但其只能提高网络的安全性，不可能保证网络的绝对安全。事实上仍然存在着一些防火墙不能防范的安全威胁，如防火墙不能防范不经过防火墙的攻击。例如，如果允许从受保护的网络内部向外拨号，一些用户就可能形成与Internet的直接连接。另外，防火墙很难防范来自于网络内部的攻击以及病毒的威胁。所以在一个实际的网络运行环境中，仅仅依靠防火墙来保证网络的安全显然是不够，此时，应根据实际需求采取其他相应的安全策略。
网络防火墙技术论文二
论文导读：
影响计算机网络安全的因素很多。而防火墙是一种保护计算机网络安全的技术性措施。使用单防火墙和单子网保护多级应用系统的网络结构。欺骗，论文参考，计算机网络安全与防火墙技术。
关键词：
计算机网络安全，防火墙，单子网，arp欺骗
影响计算机网络安全的因素很多，有些因素可能是有意的，也可能是无意的；可能是人为的，也可能是非人为的；可能是外来黑客对网络系统资源的非法使有。这些因素可以大体分类为：计算机病毒、人为的无意失误、人为的恶意攻击、网络软件的缺陷和漏洞、物理安全问题。
而防火墙是一种保护计算机网络安全的技术性措施，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。
1. 非法攻击防火墙的基本“招数”
通常情况下, 有效的攻击都是从相关的子网进行的。因为这些网址得到了防火墙的信赖，虽说成功与否尚取决于机遇等其他因素，但对攻击者而言很值得一试。下面以数据包过滤防火墙为例，简要描述可能的攻击过程。
通常主机A与主机B 的TCP 连接(中间有或无防火墙) 是通过主机A向主机B 提出请求建立起来的，而其间A和B 的确认仅仅根据由主机A 产生并经主机B 验证的初始序列号ISN。IP 地址欺骗攻击的第一步是切断可信赖主机。这样可以使用TCP 淹没攻击(TCP SynFlood Attack)，使得信赖主机处于“自顾不暇”的忙碌状态,相当于被切断,这时目标主机会认为信赖主机出现了故障，只能发出无法建立连接的RST 包，而无暇顾及其他。
攻击者最关心的是猜测目标主机的ISN。为此，可以利用SMTP的端口(25),通常它是开放的，邮件能够通过这个端口，与目标主机打开(Open)一个TCP 连接，因而得到它的ISN。在此有效期间，重复这一过程若干次，以便能够猜测和确定ISN的产生和变化规律，这样就可以使用被切断的可信赖主机的IP 地址向目标主机发出连接请求。请求发出后，目标主机会认为它是TCP 连接的请求者，从而给信赖主机发送响应(包括SYN)，而信赖主机目前仍忙于处理Flood淹没攻击产生的“合法”请求，因此目标主机不能得到来自于信赖主机的响应。现在攻击者发出回答响应,并连同预测的目标主机的ISN一同发给目标主机，随着不断地纠正预测的ISN，攻击者最终会与目标主机建立一个会晤。通过这种方式, 攻击者以合法用户的身份登录到目标主机而不需进一步的确认。论文参考，arp欺骗。。如果反复试验使得目标主机能够接收对网络的ROOT 登录，那么就可以完全控制整个网络。
2. 单防火墙和单子网
由于不同的资源存在着不同的风险程度，所以要基于此来对网络资源进行划分。这里的风险包含两个因素: 资源将被妥协的可能性和资源本身的敏感性。例如：一个好的Web 服务器运行CGI 会比仅仅提供静态网页更容易得到用户的认可，但随之带来的却是Web 服务器的安全隐患。网络管理员在服务器前端配置防火墙,会减少它全面暴露的风险。数据库服务器中存放有重要数据,它比Web 服务器更加敏感,因此需要添加额外的安全保护层。
使用单防火墙和单子网保护多级应用系统的网络结构，这里所有的服务器都被安排在同一个子网，防火墙接在边界路由器与内部网络之间，防御来自Internet 的网络攻击。论文参考，arp欺骗。。在网络使用和基于主机的入侵检测系统下，服务器得到了加强和防护，这样便可以保护应用系统免遭攻击。像这样的纵向防护技术在所有坚固的设计中是非常普遍的，但它们并没有明显的显示在图表中。
在这种设计方案中，所有服务器都安排在同一个子网，用防火墙将它们与Internet 隔离，这些不同安全级别的服务器在子网中受到同等级的安全保护。尽管所有服务器都在一个子网,但网络管理员仍然可以将内部资源与外部共享资源有效地分离。使用单防火墙和单子网保护服务器的方案系统造价便宜，而且网络管理和维护比较简单，这是该方案的一个重要优点。因此, 当进一步隔离网络服务器并不能从实质上降低重要数据的安全风险时，采用单防火墙和单子网的方案的确是一种经济的选择。
3. 单防火墙和多子网
如果遇见适合划分多个子网的情况，网络管理员可以把内部网络划分成独立的子网，不同层的服务器分别放在不同的子网中，数据层服务器只接受中间层服务器数据查询时连接的端口，就能有效地提高数据层服务器的安全性，也能够帮助防御其它类型的攻击。论文参考，arp欺骗。。这时，更适于采用一种更为精巧的网络结构???单个防火墙划分多重子网结构。单个防火墙划分多重子网的方法就是在一个防火墙上开放多个端口，用该防火墙把整个网络划分成多个子网，每个子网分管应用系统的特定的层。管理员能够在防火墙不同的端口上设置不同的安全策略。
使用单个防火墙分割网络是对应用系统分层的最经济的一种方法，但它并不是没有局限性。逻辑上的单个防火墙，即便有冗余的硬件设备，当用它来加强不同安全风险级别的服务器的安全策略时，如果该防火墙出现危险或错误的配置，入侵者就会获取所有子网包括数据层服务器所在的最敏感网络的访问权限。而且，该防火墙需要检测所有子网间的流通数据，因此，它会变成网络执行效率的瓶颈。所以，在资金允许的情况下，我们可以用另一种设计方案???多个防火墙划分多个子网的方法，来消除这种缺陷。
4.arp欺骗对策
各种网络安全的对策都是相对的，主要要看网管平时对网络安全的重视性了。下面介始一些相应的对策：
在系统中建立静态ARP表，建立后对本身自已系统影响不大的，对网络影响较大，破坏了动态ARP解析过程。论文参考，arp欺骗。。静态ARP协议表不会过期的，我们用“arp?d”命令清除ARP表，即手动删除。论文参考，arp欺骗。。但是有的系统的静态ARP表项可以被动态刷新，如Solaris系统，那样的话依靠静态ARP表项并不能对抗ARP欺骗攻击，相反纵容了ARP欺骗攻击，因为虚假的静态ARP表项不会自动超时消失。论文参考，arp欺骗。。 在相对系统中禁止某个网络接口做ARP解析(对抗ARP欺骗攻击)，可以做静态ARP协议设置(因为对方不会响应ARP请求报文)如：arp -sXXX.XXX.XX.X 08-00-20-a8-2e-ac。 在绝大多数操作系统如：Unix、BSD、NT等，都可以结合“禁止相应网络接口做ARP解析”和“使用静态ARP表”的设置来对抗ARP欺骗攻击。而Linux系统，其静态ARP表项不会被动态刷新，所以不需要“禁止相应网络接口做ARP解析”即可对抗ARP欺骗攻击。
