Internet防火牆的技術綜述

　　1. 引言

　　防火牆技術是建立在現代通訊網路技術和資訊安全技術基礎上的應用性安全技術,越來越多地應用於專用網路與公用網路的互連環境之中,尤以Internet網路為最甚。Internet的迅猛發展,使得防火牆產品在短短的幾年內異軍突起,很快形成了一個產業:1995年,剛剛面市的防火牆技術產品市場量還不到1萬套;到1996年底,就猛增到10萬套;據國際權威商業調查機構的預測,防火牆市場將以173%的複合增長率增長,今年底將達到150萬套,市場營業額將從1995年的1.6億美元上升到今年的9.8億美元。

　　為了更加全面地瞭解Internet防火牆及其發展過程,特別是第四代防火牆的技術特色,我們非常有必要從產品和技術角度對防火牆技術的發展演變做一個詳細的考察。

　　2. Internet防火牆技術簡介

　　防火牆原是指建築物大廈用來防止火災蔓延的隔斷牆。從理論上講,Internet防火牆服務也屬於類似的用來防止外界侵入的。它可以防止Internet上的各種危險(病毒、資源盜用等)傳播到你的網路內部。而事實上,防火牆並不像現實生活中的防火牆,它有點像古代守護城池用的護城河,服務於以下多個目的:

　　1)限定人們從一個特定的控制點進入;

　　2)限定人們從一個特定的點離開;

　　3)防止侵入者接近你的其他防禦設施;

　　4)有效地阻止破壞者對你的電腦系統進行破壞。

　　在現實生活中,Internet防火牆常常被安裝在受保護的內部網路上並接入Internet。

　　從上圖不難看出,所有來自Internet的傳輸資訊或你發出的資訊都必須經過防火牆。這樣,防火牆就起到了保護諸如電子郵件、檔案傳輸、遠程登入、在特定的系統間進行資訊交換等安全的作用。從邏輯上講,防火牆是起分隔、限制、分析的作用,這一點同樣可以從圖1中體會出來。那麼,防火牆究竟是什麼呢?實際上,防火牆是加強Internet(內部網)之間安全防禦的一個或一組系統,它由一組硬體裝置(包括路由器、伺服器)及相應軟體構成。3. 防火牆技術與產品發展的回顧。

　　防火牆是網路安全性原則的有機組成部分,它通過控制和監測網路之間的資訊交換和訪問行為來實現對網路安全的有效管理。從總體上看,防火牆應該具有以下五大準系統:

　　●過濾進、出網路的資料;

　　●管理進、出網路的訪問行為;

　　●封堵某些禁止行為;

　　●記錄通過防火牆的資訊內容和活動;

　　●對網路攻擊進行檢測和警示。

　　為實現以上功能,在防火牆產品的開發中,人們廣泛地應用了網路拓撲、電腦作業系統、路由、加密、存取控制、安全審計等成熟或先進的技術和手段。縱觀防火牆近年來的發展,可以將其劃分為如下四個階段(即四代)。

　　3. 基於路由器的防火牆

　　由於多數路由器本身就包含有分組過濾功能,故網路存取控制可能通過路控制來實現,從而使具有分組過濾功能的路由器成為第一代防火牆產品。第一代防火牆產品的特點是:

　　1)利用路由器本身對分組的解析,以存取控制表(Access List)方式實現對分組的過濾;

　　2)過濾判斷的依據可以是:地址、連接埠號碼、IP旗標及其他網路特徵;

　　3)只有分組過濾的功能,且防火牆與路由器是一體的。這樣,對安全要求低的網路可以採用路由器附帶防火牆功能的方法,而對安全性要求高的網路則需要單獨利用一台路由器作為防火牆。