防火墻技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)安全中的應(yīng)用

房錕

摘 要：在當(dāng)前社會(huì)不斷發(fā)展的過程中，網(wǎng)絡(luò)安全已成為人們關(guān)心的主要問題。闡述了防火墻技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)中的安全防御作用，對(duì)不同類型的防火墻技術(shù)的工作原理、特點(diǎn)及缺點(diǎn)進(jìn)行了分析，并提出了一種防火墻體系結(jié)構(gòu)設(shè)計(jì)方案，能夠較好地實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的安全保護(hù)，以期為日后的相關(guān)工作提供參考，提高計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境的安全性。

關(guān)鍵詞：計(jì)算機(jī)；網(wǎng)絡(luò)安全；防火墻；安全設(shè)計(jì)

中圖分類號(hào)：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A DOI：10.15913/j.cnki.kjycx.2016.21.135

隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，在計(jì)算機(jī)網(wǎng)絡(luò)的應(yīng)用中，各種不穩(wěn)定因素日趨增多，網(wǎng)絡(luò)安全的重要性日益凸顯，計(jì)算機(jī)網(wǎng)絡(luò)安全問題越來越受到社會(huì)各界的關(guān)注。面對(duì)計(jì)算機(jī)網(wǎng)絡(luò)中存在的問題，采取相關(guān)措施保障計(jì)算機(jī)網(wǎng)絡(luò)的安全具有關(guān)鍵的意義。其中，網(wǎng)絡(luò)防火墻技術(shù)是連接內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的第一道安全屏障，是最重要的“守護(hù)者”，能夠有效保證計(jì)算機(jī)網(wǎng)絡(luò)的安全、可靠。因此，研究防火墻的設(shè)計(jì)將為計(jì)算機(jī)網(wǎng)絡(luò)的安全增加砝碼。

1 防火墻在計(jì)算機(jī)網(wǎng)絡(luò)安全中的應(yīng)用

防火墻指的是一個(gè)由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間構(gòu)造的安全保護(hù)屏障，用以保護(hù)內(nèi)部網(wǎng)絡(luò)免受外部非法用戶的侵入，有效地控制內(nèi)外網(wǎng)之間的網(wǎng)絡(luò)數(shù)據(jù)流量。在網(wǎng)絡(luò)安全防御系統(tǒng)中，防火墻是一個(gè)十分重要的組成部分，也是網(wǎng)絡(luò)層防御的重要防線之一。

2 計(jì)算機(jī)網(wǎng)絡(luò)安全中防火墻技術(shù)的分類

為了達(dá)到安全防御的目的，必須使內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有數(shù)據(jù)流都經(jīng)過防火墻；并且只有符合防火墻規(guī)則設(shè)置的數(shù)據(jù)流才能通過防火墻；防火墻本身要有非常強(qiáng)的抗攻擊能力和自我免疫能力。這是多年來防火墻發(fā)展和更新的結(jié)晶。根據(jù)防火墻技術(shù)的分類，以下介紹幾種常用的防火墻技術(shù)類型。

2.1 數(shù)據(jù)包過濾型

數(shù)據(jù)包過濾型防火墻技術(shù)是在對(duì)數(shù)據(jù)包讀取的過程中，通過其相關(guān)信息判定這些數(shù)據(jù)的可信度及安全性，以此作為結(jié)果判斷依據(jù)實(shí)施數(shù)據(jù)處理。一旦數(shù)據(jù)包沒有得到防火墻的信息，那么也就無法進(jìn)入到計(jì)算機(jī)操作系統(tǒng)之中。相對(duì)來講，這種防火墻技術(shù)具有較高的實(shí)用性，通常在網(wǎng)路環(huán)境中均能夠有效地為計(jì)算機(jī)網(wǎng)絡(luò)安全提供保護(hù)，同時(shí)也能夠在實(shí)際應(yīng)用中對(duì)其推廣應(yīng)用。但是，因?yàn)檫@一技術(shù)是依照基本信息對(duì)其安全性實(shí)施判定，因此也就不能有效地過濾一些應(yīng)用程序和郵件病毒。另外，如果一些數(shù)據(jù)偽造IP地址，也能夠成功騙過防火墻數(shù)據(jù)包過濾，之后進(jìn)入網(wǎng)絡(luò)系統(tǒng)實(shí)施攻擊和破壞，那么也就會(huì)對(duì)計(jì)算機(jī)網(wǎng)路安全產(chǎn)生嚴(yán)重影響。

2.2 代理型

這一類型的防火墻技術(shù)也就是代理服務(wù)器，其能夠回應(yīng)輸入封包，阻斷內(nèi)部網(wǎng)和外部網(wǎng)之間的信息交流。代理型防火墻技術(shù)是在客戶和服務(wù)器之間，因此對(duì)于客戶機(jī)來講，技術(shù)本身也就被認(rèn)為是一臺(tái)服務(wù)機(jī)器，不僅能夠加強(qiáng)外部網(wǎng)絡(luò)篡改內(nèi)部網(wǎng)絡(luò)阻力，同時(shí)就算是誤用計(jì)算機(jī)內(nèi)部系統(tǒng)，也不會(huì)出現(xiàn)從防火墻之外入侵計(jì)算機(jī)，而致計(jì)算機(jī)出現(xiàn)安全漏洞，能夠顯著提升計(jì)算機(jī)網(wǎng)絡(luò)的安全性。目前，這一技術(shù)已經(jīng)在逐漸向應(yīng)用層面發(fā)展，專門針對(duì)入侵計(jì)算機(jī)應(yīng)用層病毒實(shí)施相應(yīng)的防護(hù)。但是，這一技術(shù)也有缺點(diǎn)，會(huì)提高計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)成本，并且對(duì)計(jì)算機(jī)管理人員專業(yè)水平和綜合素質(zhì)的要求較高。這會(huì)進(jìn)一步增加網(wǎng)絡(luò)管理壓力。

2.3 監(jiān)測(cè)型

這一防火墻技術(shù)能夠主動(dòng)完成網(wǎng)絡(luò)通信數(shù)據(jù)監(jiān)測(cè)任務(wù)，從而提高計(jì)算機(jī)網(wǎng)絡(luò)安全性。起初，計(jì)算機(jī)防火墻的設(shè)計(jì)理念是過濾對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全造成影響的信息和數(shù)據(jù)，那么這就首先需要成功應(yīng)用監(jiān)測(cè)型防火墻技術(shù)。這一技術(shù)在相關(guān)信息監(jiān)測(cè)工作中有著十分重要的優(yōu)勢(shì)條件，可以顯著提升計(jì)算機(jī)安全保障

能力。但是，這一技術(shù)的管理和成本投入比較高，因此到目前為止，這一技術(shù)也沒有得到普及和應(yīng)用。在實(shí)際網(wǎng)絡(luò)環(huán)境下，可以依照實(shí)際情況選擇合適的監(jiān)測(cè)技術(shù)，從而降低在計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)上的投入成本。

3 一種計(jì)算機(jī)網(wǎng)絡(luò)的防火墻安全設(shè)計(jì)

為了確定防火墻設(shè)計(jì)策略，進(jìn)而構(gòu)建實(shí)現(xiàn)策略的防火墻，應(yīng)從最安全的防火墻設(shè)計(jì)策略開始。

3.1 開發(fā)環(huán)境

計(jì)算機(jī)操作系統(tǒng)：Windows XP Professional

運(yùn)行環(huán)境：Java語言運(yùn)行環(huán)境JDK1.7

程序編輯：UltraEdit-32

3.2 設(shè)計(jì)思路

采用代理的防火墻替代之前用戶和互聯(lián)網(wǎng)之間的連接。代理服務(wù)器作為服務(wù)器的中轉(zhuǎn)站，其設(shè)計(jì)一定要滿足以下要求：①確保可以及時(shí)接收客戶端發(fā)送的請(qǐng)求，并解釋；②能夠成功創(chuàng)建與服務(wù)器的連接；③能夠在接收相應(yīng)服務(wù)器發(fā)來的信號(hào)之后再將其成功發(fā)送，并傳輸?shù)娇蛻舳?。依照這些要求，服務(wù)器的工作模型設(shè)計(jì)則如圖1所示。

3.3 防火墻安全控制程序的配置

在防火墻安全設(shè)計(jì)中，主要是合理配置防火墻安全控制程序，在其內(nèi)部網(wǎng)絡(luò)中有效連接PC2、Edge和Core，之后應(yīng)用超級(jí)終端軟件合理配置相關(guān)設(shè)備。其具體步驟為：①在PC2計(jì)算機(jī)中配置網(wǎng)絡(luò)地址。相關(guān)設(shè)計(jì)為IP地址設(shè)置為10.10.10.15，子網(wǎng)掩碼為255.255.255.0。②合理配置交換機(jī)2626B，并將其分成多個(gè)局域網(wǎng)。這一步驟只需要對(duì)Vlan1分配，其中，相關(guān)設(shè)計(jì)為IP地址設(shè)置為10.1.1.3/24，終端上的命令則分別是2626B（Vlan-1）#Vlan110tagged？25，2626B（Vlan-1）#ipaddress 10.1.1.3/24及2626B（config）#Vlan1。

3.4 雙防火墻的設(shè)計(jì)

雙防火墻方案的設(shè)計(jì)如圖2所示。為了顯著降低公共服務(wù)器的安全風(fēng)險(xiǎn)，在計(jì)算機(jī)網(wǎng)絡(luò)防火墻設(shè)計(jì)中可以設(shè)計(jì)2個(gè)防火墻——第一個(gè)防火墻可以在Internet連接處設(shè)計(jì)，從而為服務(wù)器提供保護(hù)，確保計(jì)算機(jī)網(wǎng)絡(luò)的安全運(yùn)行；第二個(gè)防火墻可以設(shè)計(jì)在公共服務(wù)器和內(nèi)部網(wǎng)絡(luò)之間，其主要目的是對(duì)內(nèi)部網(wǎng)絡(luò)實(shí)施保護(hù)。在計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)中應(yīng)用這種保護(hù)技術(shù)，同時(shí)在其之間設(shè)計(jì)DMZ網(wǎng)絡(luò)，可以顯著提高計(jì)算機(jī)網(wǎng)絡(luò)的安全性。

4 計(jì)算機(jī)網(wǎng)絡(luò)安全的防火墻體系結(jié)構(gòu)

4.1 屏蔽路由器

屏蔽路由器是一種防侵?jǐn)_安全結(jié)構(gòu)，能夠有效避免內(nèi)部網(wǎng)絡(luò)受到外部網(wǎng)絡(luò)及參數(shù)網(wǎng)絡(luò)侵?jǐn)_。因?yàn)樗菍?shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的唯一通道，所以也就能夠有效地對(duì)相關(guān)數(shù)據(jù)實(shí)施過濾。但是，由于是在IP層安裝報(bào)文過濾軟件的，這一軟件本身也就有報(bào)文過濾設(shè)置選項(xiàng)，所以也就能夠過濾一些簡單的報(bào)文。但是，如果其被成功攻陷，就會(huì)出現(xiàn)用戶識(shí)別問題。

4.2 雙穴主機(jī)網(wǎng)關(guān)

雙穴主機(jī)網(wǎng)關(guān)是采用一臺(tái)堡壘主機(jī)作為防火墻，并且要在這臺(tái)主機(jī)上安裝兩塊網(wǎng)卡，這樣就能夠發(fā)揮防火墻的作用。堡壘主機(jī)系統(tǒng)軟件不僅能夠維護(hù)系統(tǒng)日志，同時(shí)也能夠?qū)嵤┯布截惾罩竞瓦h(yuǎn)程日志功能。這一功能為計(jì)算機(jī)網(wǎng)絡(luò)檢查和管理工作提供了便利。其缺點(diǎn)是在計(jì)算機(jī)受到攻擊時(shí)，其攻擊對(duì)象則很難被網(wǎng)管員確認(rèn)。一旦堡壘主機(jī)受到攻擊，那么之前的雙穴主機(jī)網(wǎng)關(guān)也就退化成為最簡單的路由器。

4.3 被屏蔽主機(jī)網(wǎng)關(guān)

在堡壘主機(jī)中只設(shè)置了1個(gè)網(wǎng)卡，以此連接內(nèi)部網(wǎng)絡(luò)和被屏蔽主機(jī)網(wǎng)關(guān)。在路由器上將過濾規(guī)則設(shè)立出來，同時(shí)單宿堡壘主機(jī)也要被設(shè)置成為唯一一個(gè)能夠訪問Internet的主機(jī)，以此控制未授權(quán)外部用戶攻擊內(nèi)部網(wǎng)絡(luò)。如果其保護(hù)的是一個(gè)虛擬擴(kuò)展的本地網(wǎng)，并沒有設(shè)置子網(wǎng)及路由器，那么堡壘主機(jī)及屏蔽路由器的配置也就不會(huì)受到內(nèi)部網(wǎng)絡(luò)變化的影響。有效限制堡壘主機(jī)及屏蔽路由器中的危險(xiǎn)帶。網(wǎng)關(guān)基本控制作用實(shí)現(xiàn)的決定因素是安裝在其上的軟件。如果網(wǎng)絡(luò)安全的攻擊者設(shè)法登錄上去，那么也就會(huì)對(duì)內(nèi)部網(wǎng)絡(luò)其余主機(jī)的安全造成嚴(yán)重威脅。這一情況與雙穴主機(jī)網(wǎng)關(guān)受到攻擊的影響差不多。

5 結(jié)束語

總之，在網(wǎng)絡(luò)技術(shù)不斷發(fā)展的背景之下，防火墻安全問題研究具有巨大的社會(huì)價(jià)值和經(jīng)濟(jì)價(jià)值。我們要積極探索和完善計(jì)算機(jī)網(wǎng)絡(luò)防火墻技術(shù)設(shè)計(jì)，實(shí)現(xiàn)計(jì)算機(jī)網(wǎng)絡(luò)防火墻的規(guī)范化、標(biāo)準(zhǔn)化和現(xiàn)代化管理，切實(shí)提高計(jì)算機(jī)安全性。本研究提出的防火墻技術(shù)設(shè)計(jì)具有較高的安全性，并且操作也非常容易，具有較高的實(shí)用價(jià)值，所以在實(shí)際應(yīng)用中可廣泛推廣。確保計(jì)算機(jī)網(wǎng)絡(luò)信息安全是一項(xiàng)復(fù)雜的系統(tǒng)工程，相關(guān)的安全措施有很多，僅靠其中的某一項(xiàng)或幾項(xiàng)是很難解決好網(wǎng)絡(luò)安全問題的。因此，在具體工作中，還需要根據(jù)網(wǎng)絡(luò)的實(shí)際情況制訂細(xì)致而全面的多級(jí)安全防范措施，盡可能提高網(wǎng)絡(luò)系統(tǒng)的安全性和可靠性，為社會(huì)發(fā)展提供基礎(chǔ)保證。

參考文獻(xiàn)

[1]包麗麗.關(guān)于計(jì)算機(jī)網(wǎng)絡(luò)防火墻的安全設(shè)計(jì)與應(yīng)用分析[J].科技與創(chuàng)新，2016（13）.

[2]袁玉珠.計(jì)算機(jī)網(wǎng)絡(luò)防火墻的安全設(shè)計(jì)與應(yīng)用研究[J].數(shù)字通信世界，2016（6）.

[3]閆伍岳.防火墻技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)信息安全中的應(yīng)用研究[J].計(jì)算機(jī)光盤軟件與應(yīng)用，2013（3）.

〔編輯：劉曉芳〕