防火墙的研究与实现

    摘 要 介绍了防火墙的概念、原理、分类及比较，指出传统防火墙存在的不足之处，提出了一种新型防火墙系统—嵌入式防火墙系统，最后对防火墙的发展作了前景展望。

    关键词 互联网 防火墙 网络安全 包过滤 嵌入式防火墙系统

    国际互联网（Internet）的迅速发展，为信息共享提供了一条全球性的高速通道，同时也为各种新兴娱乐方式、商业形式的形成和发展创造了有利条件。然而不幸的是，由于目前采用的TCP／IP协议族潜在着安全漏洞以及安全机制不健全，Internet网上的黑客趁机而入，非法进入企业的内部网并存取、破坏、窃听数据。因此，如何保护企业内部网络中的资源及信息不受外部攻击者肆意破坏或盗窃，是企业网络安全需要解决的重要问题。

    防火墙就是保护网络安全最主要的手段之一，它是设置在被保护网络与外部网络之间的一道屏障，以防止不可预测的、潜在破坏的非法入侵。它通过监测、限制、修改跨越防火墙的数据流，尽可能地对外屏蔽网络内部的结构、信息和运行情况，以此来实现内部网络的安全保护。

    １ 防火墙的概念、原理

    防火墙是在内部网和外部网之间实施安全防范的系统。可认为它是一种访问控制机制，用于确定哪些内部服务允许外部访问，以及允许哪些外部服务访问内部服务。它可以根据网络传输的类型决定IP包是否可以传进或传出企业网。防止非授权用户访问企业内部、允许使用授权机器的用户远程访问企业内部、管理企业内部人员对Internet的访问。防火墙的组成可用表达式说明如下：

    防火墙＝过滤器＋安全策略（网关）

    防火墙通过逐一审查收到的每个数据包，判断它是否有相匹配的过滤规则（用表格的形式表示，包括Match，Action，Trace，Target四个条件项）。即按表格中规则的先后顺序以及每条规则的条件项进行比较，直到满足某一条规则的条件，并作出规定的动作（停下或向前转发），从而来保护网络的安全。

    ２ 防火墙的分类及比较

    防火墙一般可以分为以下几种：包过滤型防火墙、电路级网关型防火墙、应用网关型防火墙、代理服务型防火墙、状态检测型防火墙、自适应代理型防火墙。下面分析各种防火墙的优缺点。

    包过滤型防火墙 它是在网络层对数据包进行分析、选择，选择的依据是系统内设置的过滤逻辑，也可称之为访问控制表。通过检查数据流中每一个数据包的源地址、目的地址、所用端口、协议状态等因素，或它们的组合来确定是否允许该数据包通过。它的优点是：逻辑简单，成本低，易于安装和使用，网络性能和透明性好，通常安装在路由器上。缺点是：很难准确地设置包过滤器，缺乏用户级的授权；包过滤判别的条件位于数据包的头部，由于IPV4的不安全性，很可能被假冒或窃取；是基于网络层的安全技术，不能检测通过高层协议而实施的攻击。

    电路级网关型防火墙 它起着一定的代理服务作用，监视两主机建立连接时的握手信息，判断该会话请求是否合法。一旦会话连接有效后，该网关仅复制、传递数据。它在IP层代理各种高层会话，具有隐藏内部网络信息的能力，且透明性高。但由于其对会话建立后所传输的具体内容不再作进一步地分析，因此安全性低。

    应用网关型防火墙 它是在应用层上实现协议过滤和转发功能，针对特别的网络应用协议制定数据过滤逻辑。应用网关通常安装在专用工作站系统上。由于它工作于应用层，因此具有高层应用数据或协议的理解能力，可以动态地修改过滤逻辑，提供记录、统计信息。它和包过滤型防火墙有一个共同特点，就是它们仅依靠特定的逻辑来判断是否允许数据包通过，一旦符合条件，则防火墙内外的计算机系统建立直接联系，防火墙外部网络能直接了解内部网络结构和运行状态，这大大增加了实施非法访问攻击的机会。

    代理服务型防火墙 代理服务器接收客户请求后，会检查并验证其合法性，如合法，它将作为一台客户机向真正的服务器发出请求并取回所需信息，最后再转发给客户。它将内部系统与外界完全隔离开来，从外面只看到代理服务器，而看不到任何内部资源，而且代理服务器只允许被代理的服务通过。代理服务安全性高，还可以过滤协议，通常认为它是最安全的防火墙技术。其不足主要是不能完全透明地支持各种服务、应用，它将消耗大量的CPU资源，导致低性能。

    状态检测型防火墙 它将动态记录、维护各个连接的协议状态，并在网络层对通信的各个层次进行分析、检测，以决定是否允许通过防火墙。因此它兼备了较高的效率和安全性，可以支持多种网络协议和应用，且可以方便地扩展实现对各种非标准服务的支持。

    自适应代理型防火墙 它可以根据用户定义的安全策略，动态适应传送中的分组流量。如果安全要求较高，则最初的安全检查仍在应用层完成。而一旦代理明确了会话的所有细节，那么其后的数据包就可以直接经过速度快得多的网络层。因而它兼备了代理技术的安全性和状态检测技术的高效率。

   ３ 新型防火墙系统

    ３．１ 传统防火墙的缺点

    传统防火墙结构在其技术原理上对来自内部的安全威胁不具备防范能力，且具有以下不足：

    · 高成本：内部网中需要保护的主机或者资源越多，就要设置更多的安全检查点，即需要更高的设备成本及系统维护开销。

    · 高管理负担：IT管理人员将面临极大的挑战来管理，维护更多的防火墙设备。

    · 存在盲点：由于传统防火墙将检查点设立在一个“可信子网”的入口处，来自子网内部任何主机的攻击都将成为该防火墙的盲点。

    · 低性能：由于大量的安全检查点被安置于企业内的各种路由设备上，内部网中所有的通信都将不可避免地经过若干个安全检查点，以至于造成相应的传输延迟，使网络性能降低了。

    ３．２ 嵌入式防火墙系统概述

    为了有效地解决日益突出的内部网安全问题，作者提出了一种新型的防火墙系统—嵌入式防火墙系统（EFS）。它不仅是一种单纯的提供访问控制手段的防火墙设备，还集成了一整套解决网络安全问题的各种应用，为大量的网络用户及需要保护的网络资源提供了一个可管理的、分布式的、安全的计算环境。它使用了一种简化的，基于公钥的Kerberos协议以实现透明的认证，并综合了其它一些网络安全技术，包括授权、安全数据传输、审计等，并提供了一种集中式的管理机制。

    ３．２．１ 系统结构和实现机制

    EFS核心系统一般可以包括四个主要部件：客户认证代理，嵌入式防火墙代理，票据授予服务器（TGS）和认证服务器（AS）如图1所示。

    EFS的实现机制如下：

（１）客户登录EFS系统时，客户认证代理将提示并获取相应的用户名和口令。仅当客户同时具有正确的口令和含有私有密钥的设备，客户代理才能够进行身份认证。在用户登录完成后，客户代理将自动向AS发送请求AS＿REQ，以申请TGT。

（２）认证服务器AS收到客户的AS＿REQ后，发回应答消息AS＿REP。

（３）客户认证代理得到AS发回的AS＿REP后，进行解密，获取并保存与TGS通信的会话密钥及提交给TGS的票据。

（４）当客户需要使用某一服务时，客户认证代理将首先截获请求TCP连接的IP包，并根据Socket匹配以判断是否已具有获取该服务的票据。如有，则直接将此票附加于该IP包，形成AP＿REQ，发往服务器（执行步骤7）。否则，客户认证代理必须首先向TGS申请相应的应用票据。

（５）TGS在收到客户认证代理发来的TGS＿REQ后，进行解密，以获取客户与其会话密钥，用它来解密认证算子，将算得的检验和与自己生成的ＨASＨ函数结果相比较，以检查客户身份的合法性和消息的完整性。在授权通过后，TGS生成TGS＿REP，并发回用户。

（６）客户认证代理得到TGS发回的TGS＿REP后，首先确定所申请的服务是否需要认证。若无需认证，客户代理将恢复连接请求。否则，从TGS＿REP中获取服务的票据和与应用服务器之间的会话密钥，将它们放入原来的连接请求包中，形成AP＿REQ，发往应用服务器。

（７）驻留于应用服务器上的嵌入式防火墙代理收到AP＿REQ后，解开票据，获取会话密钥，以验证用户身份。如合法，则将该IP包递交上层处理，否则予以丢弃。

    ３．２．２ 外部网访问控制及状态检测机制

    EFS可以实现对外部网的访问控制，首先在所有与外部网相连的路由器或网关设备上安装嵌入式防火墙代理。然后再将各种外部网络服务在TGS上注册，并安装相应的通过边界路由器或网关设备所需的票据。最后，根据用户身份制定外部网访问控制安全策略。基本的EFS实现了严格的身份认证及访问控制，客户认证代理一旦与嵌入式防火墙代理完成三次握手，创建了TCP连接，通信将直接在客户机与服务器间进行，不再接受任何形式的安全检查，这种机制虽然大大地提高了访问效率，但它不能实现基于特定协议命令的过滤和内容安全检查。为了实现高级安全检查，可以在EFS中增加状态检测防火墙，由它来检查一些标准的网络服务（如Http，Ftp，Telnet，Finger等），或基于内容的检查。

    ３．２．３ 嵌入式防火墙的优点

    与传统防火墙相比，EFS具有如下优点：

    ·同时防止来自于内、外部网络的攻击。由于嵌入式防火墙代理部件直接安装在所有需要安全保护的应用服务器上，来自于装载嵌入式防火墙代理的机器之外的任何通信，都需经过嵌入式防火墙代理的检查和过滤。

    ·透明认证。由于EFS在低层即IP层上实现了Kerberos认证协议，它能够支持任何基于IP协议的应用。用户无需亲自与防火墙连接以获取认证，而是由驻留在客户机上的认证代理自动与AS、TGS等连接，交换相应的票据，实现整个认证过程，即EFS是完全透明于用户的。EFS中，即使应用程序本身从未考虑过实现任何认证机制，EFS仍可使其支持严格的身份认证过程，从而实现了认证与应用的完全独立。

    ·安全会话。由于Kerberos协议为每个会话均提供了一个随机的会话密钥，从而实现了安全的会话传输。此外，通过与公开密钥技术的结合，EFS提供了四种数据传输的安全级别，从而在两台通信主机之间形成了一条私有通道。

    ·一次签放。用户只需在登录系统时进行一次认证，便可以使用所有的安全服务。而管理员只需维护一套EFS帐号，并精确定义用户访问各种服务的权限即可，这也有助于管理员将各个服务的安全性作为一个整体集中起来综合考虑，从而极大地增加了系统的安全系数。

    ·低成本、高性能。EFS中，检查点被直接设置于需保护的应用服务器上，内部网中无需为了安全而使用额外的路由器以划分安全子网，没有多余的通信检查和硬件投资。

    ·统筹规划、集中管理。由于EFS在每台需保护的主机上安装了嵌入式防火墙代理，而该代理的主要工作是验证Kerberos票据，所有的安全策略都将统一保存在TGS上，因此形成了一个负责整个企业访问控制及授权的集中式控制台。

    ３．２．４ 嵌入式防火墙的发展

    目前，整个系统模型已在Linux操作系统上得以实现。在不久的将来，系统还将实现运行于Windows系统平台上的客户认证代理及运行于NT和UNIX上的嵌入式防火墙代理。届时，一个完整的、跨平台的安全解决方案将会形成。

    ４ 前景展望

    防火墙作为一种防护手段，对维护网络安全起到了一定的作用，但并非万无一失，它只能防护经过自身的非法访问和攻击；它虽然能够针对所有服务进行安全检查，过滤其是否合法，但不能有效地杜绝所有恶意数据包，利用合法的连接传输非法数据确实存在。