防火墙技术毕业论文1

和基于高层协议的攻击，以此来提高应用防御能力。这两种技术的发展并不是独立的，动态包过滤可以说是基于内容检测技术的基础。实际上，在深度包检测技术中己经体现了两种技术的融合趋势。 3.4.3 动态包过滤

动态包过滤[16]又称为基于状态的数据包过滤，是在传统包过滤技术基础之上发展起来的一项过滤技术，最早由Checkpoint提出。

与传统包过滤技术只检查单个、孤立的数据包不同，动态包过滤试图将数据包的上下文联系起来，建立一种基于状态的包过滤机制。对于新建的应用连接，防火墙检查预先设置的安全规则，允许符合规则的连接通过，并在内存中记录下该连接的相关信息，这些相关信息构成一个状态表。这样，当一个新的数据包到达，如果属于已经建立的连接，则检查状态表，参考数据流上下文决定当前数据包通过与否;如果是新建连接，则检查静态规则表。

动态包过滤通过在内存中动态地建立和维护一个状态表，数据包到达时，对该数据包的处理方式将综合静态安全规则和数据包所处的状态进行。这种方法的好处在于由于不需要对每个数据包进行规则检查，而是一个连接的后续数据包(通常是大量的数据包)通过散列算法，直接进行状态检查，从而使性能得到了较大提高;而且，由于状态表是动态的，因而可以有选择地、动态地开通1024号以上的端口，使安全性得到进一步地提高。

动态包过滤技术克服了传统包过滤仅仅孤立的检查单个数据包和安全规则静态不可变的缺陷，使得防火墙的安全控制力度更为细致。 3.4.4 深度包检测

目前许多造成大规模损害的网络攻击，比如红色代码和尼姆达，都是利用了应用的弱点。利用高层协议的攻击和网络病毒的频繁出现，对防火墙提出了新的要求。防火墙必须深入检查数据包的内部来确认出恶意行为并阻止它们。

深度包检测(Deep Packet Inspection)就是针对这种需求，深入检测数据包有效载荷，执行基于应用层的内容过滤，以此提高系统应用防御能力。

应用防御的技术问题主要包括:(l)需要对有效载荷知道得更清楚;(2)也需要高速检查它的能力。

简单的数据包内容过滤对当前正在通过的单一数据包的有效载荷进行扫描检测，但是对于应用防御的要求而言，这是远远不够的。如一段攻击代码被分割到10个数据包中传输，那么这种简单的对单一数据包的内容检测根本无法对攻击特征进行匹配: 要清楚地知道有效载荷，必须采取有效方法，将单个数据包重新组合成完整的数据流。应用层的内容过滤要求大量的计算资源，很多情况下高

17

达100倍甚至更高。因而要执行深度包检测，带来的问题必然是性能的下降，这就是所谓的内容处理障碍。为了突破内容处理障碍，达到实时地分析网络内容和行为，需要重点在加速上采取有效的办法。通过采用硬件芯片和更加优化的算法，可以解决这个问题。一个深度包检测的流程框图如图3.1所示。

图3.1 深度包检测框图

在接收到网络流量后，将需要进行内容扫描的数据流定向到TCP/IP堆栈，其他数据流直接定向到状态检测引擎，按基本检测方式进行处理。定向到TCP/IP堆栈的数据流，首先转换成内容数据流。服务分析器根据数据流服务类型分离内容数据流，传送数据流到一个命令解析器中。命令解析器定制和分析每一个内容协议，分析内容数据流，检测病毒和蠕虫。如果检测到信息流是一个HTTP数据流，则命令解析器检查上载和下载的文件;如果数据是Mail类型，则检查邮件的附件。如果数据流包含附件或上载/下载文件，附件和文件将传输到病毒扫描引擎，所有其他内容传输到内容过滤引擎。如果内容过滤启动，数据流将根据过滤的设置进行匹配，通过或拒绝数据。 3.4.5 流过滤技术

流过滤是东软集团提出的一种新型防火墙技术架构，它融基于状态的包过滤技术与基于内容的深度包检测技术为一体，提供了一个较好的应用防御解决方案，它以状态监测技术为基础，但在此基础上进行了改进其基本的原理是:以状态包过滤的形态实现应用层的保护能力:通过内嵌的专门实现的TCP/IP协议栈，实现了透明的应用信息过滤机制。

流过滤技术[17]的关键在于其架构中的专用TCP/IP协议栈:这个协议栈是一个标准的TCP协议的实现，依据TCP协议的定义对出入防火墙的数据包进行了，

18

完整的重组，重组后的数据流交给应用层过滤逻辑进行过滤，从而可以有效地识别并拦截应用层的攻击企图。

在这种机制下，从防火墙外部看，仍然是包过滤的形态，工作在链路层或IP层，在规则允许下，两端可以直接访问，但是任何一个被规则允许的访问在防火墙内部都存在两个完全独立的TCP会话，数据以“流”的方式从一个会话流向另一个会话。由于防火墙的应用层策略位于流的中间，因此可以在任何时候代替服务器或客户端参与应用层的会话，从而起到了与应用代理防火墙相同的控制能力。如在对SMTP协议的处理中，系统可以在透明网桥的模式下实现完全的对邮件的存储转发，并实现丰富的对SMTP协议的各种攻击的防范功能一流过滤的示意图如图3.2所示。

图3.2 流过滤示意图

第四章 防火墙的配置

4.1

硬件连接与实施

一般来说硬件防火墙和路由交换设备一样具备多个以太接口，速度根据档次

19

与价格不同而在百兆与千兆之间有所区别。(如图4.1)

图4.1

对于中小企业来说一般出口带宽都在100M以内，所以我们选择100M相关产品即可。网络拓扑图中防火墙的位置很关键，一般介于内网与外网互连中间区域，针对外网访问数据进行过滤和监控。

如果防火墙上有WAN接口，那么直接将WAN接口连接外网即可，如果所有接口都标记为LAN接口，那么按照常规标准选择最后一个LAN接口作为外网连接端口。相应的其他LAN接口连接内网各个网络设备。

4.2 防火墙的特色配置

从外观上看防火墙和传统的路由器交换机没有太大的差别，一部分防火墙

具备CONSOLE接口通过超级终端的方式初始化配置，而另外一部分则直接通过默认的LAN接口和管理地址访问进行配置。

与路由器交换机不同的是在防火墙配置中我们需要划分多个不同权限不同优先级别的区域，另外还需要针对相应接口隶属的区域进行配置，例如1接口划分到A区域，2接口划分到B区域等等，通过不同区域的访问权限差别来实现防火墙保护功能。默认情况下防火墙会自动建立trust信任区，untrust非信任区，DMZ堡垒主机区以及LOCAL本地区域。相应的本地区域优先级最高，其次是trust信任区，DMZ堡垒主机区，最低的是untrust非信任区域。

在实际设置时我们必须将端口划分到某区域后才能对其进行各个访问操作，否则默认将阻止对该接口的任何数据通讯。

除此之外防火墙的其他相关配置与路由交换设备差不多，无外乎通过超级终端下的命令行参数进行配置或者通过WEB管理界面配置。

20