计算机防火墙与应用——网络安全技术.论文

计算机防火墙与应用——网络安全技术.论文（通用9篇）

计算机防火墙与应用——网络安全技术.论文 篇1

防火墙原理与应用—网络安全技术论文

摘要

计算机网络安全已经成为当今信息时代的关键技术。当前网络安全问题存在着计算机病毒，计算机黑客攻击等问题。网络安全问题有其先天的脆弱性，黑客攻击的严重性，网络杀手集团性和破坏手段的多无性，解决网络安全问题重要手段就是防火墙技术。走在中国特色的防火墙技术发展之路，是确保我国网络安全的有效途径之一。防火墙技术的核心思想是在不安全的网际网络环境中构造一个相对安全的子网环境。本文重点介绍防火墙技术的基本概念和系统结构，讨论了实现防火墙的两种主要技术手段：一种是基于分组过滤技术（Packet filtering),它是代表是在应用层网关上实现的防火墙功能。

关键词：网络安全；防火墙；技术；功能 前言

随着网络技术的普遍推广，电子商务的展开，实施和应用网络安全已经不再仅仅为科学研究人员和少数黑客所涉足，日益庞大的网络用户群同样需要掌握网络安全知识。由于在早起网络协议设计上对安全问题的忽视，以及在管理和使用上的无政府状态，逐渐是Internet自身安全受到严重威胁，与它有关的安全事故屡次发生，一些黑客把先进的计算机网络技术，当成一种犯罪的工具，不仅影响到了网络稳定运行和用户正常使用，造成许多经济损失，而且还会威胁到国家的安全，一些国家的机密被黑客破坏造成网络瘫痪。如何更有效的保护重要的信息数据，极高计算机网络安全性已经成为世界各国共同关注的话题，防火墙可以提供增强网络的安全性，是当今网络系统最基础设施，侧重干网络层安全，对于从事网络建设与管理工作而言，充分发挥防火墙的安全防护功能和网络管理功能只管重要。

1防火墙概述

1.1在计算机法网络中，防火墙是指一种将内部网和公众访问网分开的方法，它实际是一种隔离技术，它允许“可以访问”的人和数据进入网络，同时将“不允许访问”的人和数据拒之门外，最大限度的阻止网络中的和尅来访问网络，如果不能通过防火墙，人们就无法访问Internet，夜无法和其他人进行通讯，它具有较强的抗攻击能力，提供信息安全服务，实现网络和信息安全的基础建设。

1.2防火墙的功能 防火墙的访问控制功能；访问控制功能是防火墙设备的最基本功能，其作用就对经过防火墙的所有通信进行连通或阻断的安全控制，以实现连接到防火墙的各个网段的边界安全性，为实施访问控制功能过滤，如电子邮件附件的文件类型可以等可以将IP与MAC地址绑定以防止盗用IP的现象发生，可以对上网时间段进行控制，不同时段执行不同的安全策略，防火墙的访问控制采用两种基本策略，即“黑名单”策略和“白名单”策略，指除了规则允许的访问，其他的都是禁止的，至此一定的安全策略，过滤掉不安全服务和非法用户，利用网络地址转换技术将有限的IP地址动态或静态地址与内部IP地址对应起来，用来环节地址空间短缺的问题。可以连接到一个单独的网络上，在物理上与美不网络隔离开并部署WWW服务器和FTP服务器，作为向外部外发内部信息的地点。防火墙支持用户基于用户身份的网络访问控制，不仅具有内置的用户管理及认证接口，同时夜支持用户进行外部身份证认证。防火墙可以根据用户认证的情况动态地址调整安全策略实现用户对网络的授权访问。1.3 防火墙技术

按照实现技术分类防火墙的基本类型有：包过滤型，代理服务器和状态包过滤型。包过滤通常安装在路由器上，并且大多数商用路由器都提供了包过滤的功能。包过滤是一种安全筛选机制，它在控制哪些数据包可以进出网络哪些数据包应被网络拒绝。包过滤是一种有效的安全手段。它在网络层和传输层其作用，它根据分组数据包的源宿地址断及协议类型，来确定是否允许分组包通过，包过滤的有点是它对用户是透明的，处理速度快且易维护，通常作为第一道防线。

代理服务技术：代理服务系统一般安装运行在双宿主机上，使外部网络无法了解内部网络的拓展，比包过滤防火墙安全，由于安全性能较高，所以是使用较多的防火墙技术代理服务软件运行在一台主机上构成代理服务器，负责客户的请求，根据安全规则判断这个请求是否允许，如果允许才能传给真正的防火墙。代理系统是客户机和真实服务器之间的中介，完全控制客户机和真实服务器之间的流量并对流量情况加以记录，它具有灵活性和安全性，但可能影响网络的性对多用户的透明，且对每一个服务器都要设计一个代理模块，建立应对的网关层实现起来比较复杂。

代理技术的优点：1提供的安全级高于包过滤型防火墙。2.代理服务型防火墙可以配置成唯一的可被外部看见的主机，以保护内部主机免收外部攻击。3.可能强制执行用户认证。4.代理工作在客户机和真实服务器之间，完全控制会话，所以能提供较详细的审计日志。1.4 防火墙系统的优点

可以对网络安全进行集中控制和管理；防火墙将受信任的专用网与不受信任的公用网隔离开来，将承担分险的范围从整个内部网络缩小到组成防火墙系统的一台或几台主机上在机构上形成了一个控制中心，大大加强了网络安全性，并简化了网络管理。由于防火墙在结构上的特殊位置，使其方便的提供了监视管理与审计网络的使用及预警卫解决IP的地址危机提供了可行方案，防火墙系统则正处于设置网络地址转换MAT的最佳位置，MAT有助于缓和IP地址空间不足，并使得一个结构改变Internet服务提供商时而不必重新编址。防火墙系统可以作为Internet信息服务器的安装地点，对外发布信息。新一代的防火墙系统不仅应该能够更好地保护防火墙后面内部网络的安全，而且应该具有更为优良的整体性能。传统的代理型防火墙虽然可以提供较高级别的安全保护，但是同时它也成为限制网络带宽的瓶颈，这极大地制约了在网络中的实际应用。数据通过率是表示防火墙性能的参数，由于不同防火墙的不同功能具有不同的工作量和系统资源要求，因此数据在通过防火墙时会产生延时。自然，数据通过率越高，防火墙性能越好。现在大多数的防火墙产品都支持NAT功能，它可以让防火墙受保护的一边的IP地址不至于暴露在没有保护的另一边，但是启用NAT后势必会对防火墙系统的性能有所影响。目前如何尽量减少这种影响也成为防火墙产品的卖点之一。另外防火墙系统中集成的VPN解决方案必须是真正的线速运行，否则将成为网络通信的瓶颈。

1.5.防火墙系统的局限性

防火墙系统存在着如下局限性：常常需要有特殊的较为封闭的网络拓展结构来支持，对网络安全功能的加强往往以网络服务的灵活性，多样性和开放性卫代价。防火墙系统的防范对象来自外部对内部的网络攻击，而不能防范不经有防火墙的攻击。比如通过SLIP和PPP的拨号攻击，绕过了防火墙系统而直接拨号进入内部网络，防火墙多这样的攻击很难防范。防火墙在技术原理上对来自内部网络系统的安全威胁不具备防范作用。

结束语 网络的迅速发展，给我们的工作和生活带来了巨大的改变。在网络日益复杂化，多样化的今天，安全受到人们越来越多的关注。如何保护各类网络和信息的安全，成为人们研究的焦点，其中防火墙是运用非常广泛和效果做好的选择。但是，防火墙技术也有它的不足之处，为了更好的维护网络安全，还需要其他的技术相结合，以及更先进的技术发现。

参考文献

[1]邓亚平.计算机网络安全[M].北京：北京人民邮电出版社.2004.50—75.[2]冯 元.计算机网络安全基础[M].北京：科学出版社.2004.120—150.[3]穆红涛.Internet实用技术[M].北京：大连理工大学出版社.2005.150—198.[4]张仕斌.网络安全技术［M］.北京：清华大学出版社.2001.17—38.[5]梁亚声.计算机网络安全教程［M］.北京：机械工业出版社.2004.110—187.致谢

大学生活一晃而过，回首走过的岁月，心中倍感充实，首先诚挚的感谢我的论文指导老师王红卫老师。他在忙碌的教学工作中抽出时间来审查、修改我的论文。还有教过我的所有老师们，你们严谨细致、一丝不苟的作风一直是我工作、学习中的榜样;他们循循循善诱的教导和不拘一格的思路给予我无尽的启迪。

感谢大学中中陪伴在我身拜年的同学、朋友、感谢他们为我提出的有意的建议和意见，有了他们的支持、鼓励和帮助，我才能充实的度过大学的学习生活。

计算机防火墙与应用——网络安全技术.论文 篇2

1 计算机网络运行中的安全隐患

计算机网络运行中的安全隐患, 体现在3个方面。分析如下: (1) 数据漏洞, 计算机网络信息传输过程中, 存在数据漏洞, 容易破坏计算机网络的节点, 攻击者篡改节点信息, 无法保障网络数据的完整度; (2) 环境风险, 计算机网络环境本身存在安全风险, 特别是计算机网络的共享环境, 不利于资源的开放性, 一旦资源开放, 就会引入安全风险, 诱发环境威胁, 进而破坏内网的安全保护结构; (3) 外力破坏, 其为计算机网络中危险系数比较高的项目, 表现在人为破坏的项目上, 分为病毒植入、恶意攻击等类型, 致使计算机本身遭遇很大的破坏。在外力破坏方面, 要定期执行病毒查杀工作, 避免攻击者熟悉浏览行为, 防止病毒或恶意链接的植入, 全面保护计算机网络的安全性。防火墙技术能够根据网络安全隐患, 提出可用的保护措施, 避免发生风险问题, 全方位地保护好计算机网络的运行, 优化计算机网络环境, 体现防火墙技术的实践价值, 满足计算机网络安全的需求。

2 计算机网络安全中的防火墙技术

2.1 加密技术

计算机网络安全中的防火墙技术, 比较基础的是加密技术, 在计算机网络发送消息前期, 提前执行信息加密的行为, 接收方会主动管理密码, 待接收方接收到信息后, 就会利用密码解密网络消息, 保障计算机网络的信息传输, 处于密码保护的状态下。计算机网络加密技术, 提高了信息传输的安全性, 不会暴露出信息的内容, 起到安全保护的作用[1]。加密技术在防火墙技术中最为常见, 也是使用时间较长的一类技术, 改善了网络运行的状态, 更加重视计算机网络的安全性。

2.2 身份验证技术

身份验证技术, 是指在计算机网络安全传输的过程中, 利用授权及身份认证的方法, 完成安全保护的操作。在计算机网络传输的发送方及接收方, 构建身份认证的条件, 即安全的信息通道, 在整个通道中, 都是具有身份认证的信息, 不存在非法的用户, 如果有非法用户侵入, 信息通道也会执行身份验证技术, 进入安全保护的状态, 以免破坏身份验证信息通道, 避免计算机网络信息丢失, 排除非法借入的情况。

2.3 防病毒技术

防病毒技术在计算机网络安全防护中, 体现在病毒预防、病毒检测以及消除病毒3个方面[2]。计算机网络安全的防病毒技术内, 第一应用在网站建设项目上, 设计防病毒技术, 可以安装防火墙, 全面控制互联网内交换的信息, 促使信息可以按照防火墙的规则实现运行, 在计算机网络的内网、外网, 构成信息、数据传输的通道, 扮演安全屏障的角色, 促使网络不会受到第三方入侵, 只有在授权的状态下, 才能完成信息的交互, 预防计算机网络信息被窃取;第二是运用防病毒技术, 防御非法入侵, 计算机网络内, 存在黑客、病毒等类型的攻击, 属于非法访问盗用的问题, 计算机网络连接端口在接收数据信息的期间, 很容易遭遇外来的非法攻击, 检查好计算机网络的IP、以太网地址, 不采用盗用的IP地址, 保护好计算机网络传输的各项信息。

2.4 代理技术

计算机网络防火墙中的代理技术, 表现出了特殊性。代理技术可以在计算机网络的各项模块内, 均表现出安全控制的作用, 加强计算机网络安全控制的力度[3]。代理技术可以在计算机的内网与外网之间, 构建中转的桥梁, 内网结构中, 计算机可以接收代理请求, 外网的请求, 会直接被拒绝, 细致的分割计算机网络的内外网, 避免外网向内网发送攻击请求, 保护好计算机的内网环境, 避免传输的信息被跟踪。

2.5 检测技术

检测技术对计算机网络的安全防护, 体现在状态控制方面。检测技术拓宽了计算机网络安全的保护范围, 属于一类新型的技术, 根据计算机网络的状态机制, 落实检测技术的运用。例如:计算机网络内, 由外网传入的数据包, 其可规划成一个整体, 分析数据包中的状态信息, 运用检测技术记录好状态信息的结果, 划分出规则、状态, 比较传输信息运行前后的数据状态, 发现是否潜在盗取的问题。

2.6 协议技术

计算机网络安全防火墙中的协议技术, 主要是预防拒绝式攻击 (Denial of Service, DOS) 攻击, 防止计算机网络失控或服务器瘫痪。协议技术为计算机网络的正常运行, 提供了安全保护的环境, 因为DOS攻击不会有限制的条件, 所以在计算机网络中形成了无限的攻击。协议技术起到主体保护的作用, 运用协议技术, 控制计算机的内部网络, 落实网关服务, 直接连接计算机网络的服务器和信息, 当计算机网络中的防火墙有回应时, 服务器就可以进入运行状态, 提高网络安全保护的能力, 预防外部攻击。

3 计算机网络安全防火墙技术的应用

3.1 安全配置

安全配置是计算机网络防火墙技术的关键, 其在计算机网络中规划出不同的模块, 设计独立的安全防护模块, 作为隔离区, 执行安全保护。防火墙的安全配置, 能够融入计算机网络中, 当作一部分, 直接保护计算机网络的内部信息, 保证计算机位于安全的环境内[4]。防火墙安全配置的实践性强, 提高计算机网络运行的安全性, 优化网络信息的交互通道。防火墙技术的安全配置, 在计算机网络安全中, 解析隐藏的攻击IP, 导致攻击者不能追踪到真实的IP, 只能获取虚假IP, 无法攻击内网。

3.3 访问策略

防火墙在访问策略方面, 主导了计算机网络安全防护的核心, 促使安全在网络运行中占据主体性。访问策略配置到计算机网络内, 构成防护体系, 运用到网络的实际运行内。计算机网络安全在防火墙的访问策略内, 了解网络的运行地址, 同时划分信息单位, 按照安全的需求, 调整防火墙的访问策略, 注重网络的安全保护, 构成策略表, 记录访问策略中的所有活动, 促使防火墙技术能够适应计算机网络安全的需求。

3.4 日志监控

计算机网络安全中的日志监控, 是指防火墙技术提供的保护日志, 以此来提高网络运行的价值。日志监控在计算机网络内, 是防火墙技术的重要措施, 不需要执行全面的监控操作, 就能屏蔽网络中的恶意攻击, 有效降低了信息保护的难度, 加强日志监控的保护力度。计算机网络安全防护的日志监控, 具备报警的作用, 提高防火墙的执行力度。

4 结语

计算机网络是社会生活的主要构成部分, 为了提高网络的运行水平, 必须注重安全性能的构建。计算机网络安全方面, 实行防火墙技术, 目的是营造安全的网络环境, 以此来满足计算机网络的安全需求, 规避潜在的风险, 还要在计算机网络的基础上, 优化防火墙技术的运用, 保证防火墙技术能够在计算机网络中, 体现出安全保护的动作。

参考文献

[1]郭丽丽.计算机网络安全中防火墙技术的运用分析[J].信息通信, 2016 (3) :198-199.

[2]张瑞.计算机网络安全及防火墙技术分析[J].电脑知识与技术, 2012 (24) :5787-5788.

[3]董毅.计算机网络安全中防火墙技术的运用探析[J].福建质量管理, 2016 (1) :163-164.

计算机防火墙与应用——网络安全技术.论文 篇3

关键词：计算机；网络安全；防火墙技术

中图分类号：TP393.08

由于计算机的应用，推进网络信息的进步，社会加强对计算机网络的应用力度，增加网络安全维护的压力。根据计算机网络的应用环境，充分发挥防火墙技术的优势，保障计算机网络资源的安全价值。防火墙技术的更新速度比较快，完全适应于现代计算机网络的发展，表现出可靠优势，为计算机网络运行提供安全保护的渠道。防火墙技术在计算机网络安全中得到广泛应用。

1 分析防火墙技术

防火墙技术的原理：按照预设条件监控计算机网络内的流通信息，对流通信息执行授权和限制服务，主动记录关联信息，分析信息的具体来源，明确发生在网络系统内的每一项交互信息，预防外部攻击。

防火墙技术的属性：（1）筛选安全防护策略，确保安全策略能够通过防火墙的防护体系；（2）完整记录信息活动，检测攻击行为，及时提供报警和限制服务；（3）容纳全部信息，维护整体计算机网络。

2 计算机网络系统的安全攻击

计算机网络系统位于信息环境中，网络遭遇的安全攻击属于防火墙技术重点防护的内容。因此，分析计算机网络系统的安全攻击，如下：

2.1 IP攻击

攻击者选择攻击目标群，设置IP攻击路径。首先攻击者向目标主机发送安全信息，获取主机信任，锁定攻击目标，通过信息模式发送虚假IP，当IP欺骗计算机网络安全的保护措施后，虚假IP转化为多项攻击行为，读取用户信息，篡改服务项目，同时安置在用户难以发现的位置，准备随时进行非法攻击。

2.2 拒绝服务

拒绝服务的攻击利用系统漏洞，攻击者向计算机发送攻击数据包，导致主机瘫痪，不能提供任何网络服务[1]。拒绝服务的攻击具备毁灭性特点，攻击者不定时、不定向的发送攻击数据包，计算机无法承担高负荷的数据存储，快速进入停滞或休眠状态，即使用户发送服务请求，计算机因失去服务能力，不能处理用户请求，完全陷入拒绝服务的状态，此时服务器处于正常接收状态，用户只能觉察到服务器不工作，实质已经呈现被攻击状态，丧失服务能力。

2.3 端口攻击

计算机包含多项端口，如：远程、协议、共享等端口，为计算机系统运行提供端口服务。用户并未意识到端口的攻击影响，针对比较常用的端口实行防火墙处理，其余均未实行防护措施。计算机在投入运行时，大部分端口处于开放状态，为攻击者提供硬性攻击路径，攻击木马在端口处的攻击处于零防御状态，所以用户需要关闭不常用端口，切断攻击路径，同时利用防火墙技术检测，防止遗漏端口保护。

2.4 程序攻击

计算机网络运行程序起初设计时，为满足功能需求，采用辅助程序，被称为“后门”，辅助程序具有通道特性，在程序设计完成后需要关闭，但是编程人员并没有关闭辅助程序，攻击者攻击某项运行程序时，首先检测是否留有后门，一旦检测到很容易攻入程序内部，强力毁坏计算机文件、数据。辅助程序是计算机网络运行的安全隐患，必须采用恰当的防火墙技术，才可避免程序攻击。

3 防火墙技术在计算机网络安全中的应用

防火墙技术主要隔离计算机网络的内网与外网，形成稳定的保护途径，有效识别外部攻击，具体分析如下：

3.1 代理服务器的应用

代理服务器是防火墙技术的一类，服务器为网络系统提供代理服务，代替真实网络完成信息交互[2]。例如：计算机网络信息由内网传输到外网时，自身携带IP信息，如果IP被外网攻击者解析并跟踪，很容易将病毒或木马带入内网，病毒攻击内网后窃取数据，利用代理服务器，为交互信息提供虚拟的IP，以此隐藏真实IP，外部攻击者只能解析虚拟IP，不会获取任何真实信息，保护内网信息。代理服务器起到中转作用，控制两网信息的交互过程。代理服务器在账号管理、信息验证等方面具有明显的应用优势，在安全性能方面要求较高，满足计算机网络的安全需求。代理服务器的构建比较严谨，必须在应用网关的条件下，才能实现信息保护，所以此类防火墙技术虽然防护能力高，但是运用复杂，用户使用时，最主要的是通过网关提供稳定的网络性能，营造优质的网络保护环境。

3.2 包过滤技术的应用

包过滤技术具有信息选择的特点，此类技术获取传输信息后比对原有的安全注册表，判斷传输信息是否安全。以网络传输的目的IP为例，分析包过滤技术的应用[3]。包过滤技术主动获取传输信息的目的IP，解析目的IP的数据包，数据包内包含目的IP的源信息，能够作为标志信息，包过滤技术将数据包与用户安全注册表进行对比，识别数据内是否含有攻击信息，确保安全后执行数据传输任务。包过滤技术将计算机内、外网分为两类路径，控制由内到外的信息传输，在由外到内的传输过程内，不仅发挥控制作用，还会提供限制功能，包过滤技术既可以应用在计算机主机上，又可以应用在路由器上，所以包过滤技术又分为开放、封闭两种应用方式，主要根据计算机网络安全的实际情况选择，提供对应服务。包过滤技术受到端口限制并不能实现全网保护，所以兼容能力偏低。

3.3 复合技术的应用

复合技术体现综合防护的优势，防火墙融合代理和包过滤两类技术，体现更稳定的防护方式，弥补防火墙技术的不足之处。基于代理与包过滤的参与下，防火墙技术逐步形成系统性的保护类型，保障防火墙技术的灵活性[4]。目前，防火墙技术表现出混合特性，复合体现代理与包过滤的双向优势，最主要的是以此两类技术为主，融入多项安全技术，结合分析计算机网络安全的运行实际，确保防火墙技术在计算机网络受到攻击危险时，可以快速提供防御服务，体现防火墙技术的策略性。复合技术为计算机网络安全提供多级防御，防止外网攻击，主动监测内网信息。复合防护方式有：（1）提供认证机制，确保网络交互的所有信息处于安全约束的状态，形成动态过滤的防护方式；（2）主动隐藏内部信息，形成智能化的感应方式，一旦出现网络攻击，立即采取报警提示；（3）加强交互保护的能力，发挥复合技术的优点，有利于提升防护价值，确保实时维护。

4 结束语

计算机网络应用规模逐步扩大，促使网络运行面临严重的安全问题，科学利用防火墙技术，解决计算机网络中的安全问题，有效保护网络安全。防火墙技术在计算机网络安全发展的过程中，体现出变革与更新特性，实时保护计算机网络系统，避免计算机遭遇外网攻击，确保内网环境的安全。由此可见：防火墙技术在计算机网络安全中占据重要地位。

参考文献：

[1]防火墙技术在网络安全中的应用[J].科技资讯，2012（09）：23.

[2]网络安全与防火墙技术的研究[J].网友世界，2011（25）：13-15.

[3]浅析防火墙技术在网络安全中的应用[J].云教育，2013（14）：112.

[4]防火墙技术与现代网络安全防范体系的关系[J].现代计算机，2012（05）：108.

计算机防火墙安全应用论文 篇4

计算机防火墙是指在两个不同的网络之间进行执行控制的通信网络监控系统，建立在网络边界上。

计算机防火墙由硬件设备和软件系统组成，通过检测、控制各个网络之间访问行为和数据信息交换，实现对计算机网络安全的管理和防护，包括预警有可能遭遇的网络攻击，阻止网络受限行为，应用程序的审计、监控和过滤，各个通信网络之间的数据信息交互等。

计算机防火墙与其他杀毒软件不同，是一套计算机运行时存在的安全程序，对计算机网络进行控制，防火墙对联网传递的数据和信息进行检测，一旦发现异常数据信息会进行拦截，从而起到对计算机系统的安全作用。

计算机防火墙对计算机各个端口的使用情况实时监控，例如打开任意浏览器中的任意网页链接时，就会弹出防火墙提示消息，是否允许连接网络。

因此，计算机防火墙是固定存在计算机中的，将硬件和软件相结合，通过带有控制和检测手段的先进网关技术屏蔽各种网络极不安全的程序，起到保证计算机系统完整性和安全运行作用的系统。

1.2 计算机防火墙的分类

计算机防火墙根据不同的技术和原理分为三类，分别是状态检测防火墙技术、代理服务防火墙技术和包过滤型防火墙技术。

(1)状态监测防火墙技术通过抽取相关数据按照过滤规则确定安全决策，达到检测计算机网络各层的目的。

状态检测防火墙技术对计算机网络各个数据包中的信息进行详细分析，同时具备数据信息过滤的作用，减少由于开放端口造成的安全隐患。

(2)代理服务防火墙技术是在开放式系统互联参考模型中的应用层上创建协议过滤，实现技术的转发功能。

针对一系列的计算机网络应用服务协议，通过特定数据的过滤逻辑对网络通信流进行控制和监视，达到阻隔计算机网络通信流的目的。

(3)包过滤型防火墙技术根据建立的规则对每个通过的通信网络包进行检查，或者放行，或者丢弃。

在开放式系统互联参考模型的传输层和网络层，对网络数据流中的各个数据包进行检测，检测内容包括协议类型、所用端口号、目的地址、源地址等，根据检测结果判定数据包是否能安全通过。

如果数据包的检测结果不能满足过滤的基本要素条件，数据包会被丢弃。

包过滤型防火墙技术的基本特点是使用、安装方便和逻辑简单。

包过滤型防火墙通常安装在计算机路由器上，由于计算机路由器是外网与内网之间连接必须建立的一种硬性设备要件，在必须建立的基础上安装包过滤型防火墙，既有效又廉价。

1.3 计算机防火墙的优点

计算机网络技术与应用教案 篇5

一、课题： 计算机网络的定义与分类

二、课时分配：4学时

三、教学目的：

通过学习，学生应掌握计算机网络的定义与计算机网络按照不同标准进行分类。

四、教学重点

重点：计算机网络按照拓扑结构的分类

五、授课类型：理论课

六、教学手段、教具：多媒、课件、网络拓朴图。

七、教学方法：

激趣法，对比法，协作法，启发思维法，逻辑推导法

八、教学过程

1、导入课题：

计算机网络是由通信技术与计算机技术相互结合的产物，那么计算机网络的定义又是什么呢？计算机网络又是怎么样划分的呢。

2、讲授新课

一、计算机网络的定义（1）什么是计算机网络

凡是将地理位置不同的具有独立功能的计算机系统通过通信设备与通信线路连接起来，在网络软件支持下进行数据通信、资源共享和协同工作的系统称为计算机网络。（2）对计算机网络定义的进一步了解

在上面的定义中讲到了几个重点，同时也得出计算机网络的两个重要的功能。a.独立的计算机

b.网络中至少要有两台计算机 c.要有通信设备与线路 d.必须有网络软件

功能：资源共享与数据通信（3）通信子网与资源子网。

上面讲到，计算机网络的功能是资源共享与数据通信，那按照这个功能我们计算机网络分为两个子网

a.通信子网 b.资源子网

二、计算机网络的分类。

按照不同的分类标准，计算机网络通常的分类方法是按网络的拓扑结构和按地理位置进行划分。

（1）按网络的拓扑结构分类。

何为计算机网络的拓扑结构：引用拓扑学中研究与大小、形状无关的点和线特性的方法，把网络单元定义为节点，两节点之间的线路定义为链路，网络节点和链路的几何位置就是网络的拓扑结构。

网络的拓扑结构主要有：总线型、环型、星型网状型和树型结构 1.1总线型拓扑结构

1.2环型拓扑结构

1.3星型拓扑结构

1.4网状型结构 a.非全连型

b.全连型

1.5树型结构

(2)按照地理位置划分可以分为广域网、城域网和局域网 1.6广域网(WAN)所包含的地理范围通常一个国家或是一个洲 1.7城域网(MAN)所包含的地理范围通常一个地区或是一个城市 1.8局域网(LAN)所包含的地理范围通常在一座建筑物或是一个园区内

目前，随着计算网络技术的发展，这三者之间已经变得模糊了，另外Internet不是广域网，而由广域网互联形成的遍布全球的网络，因而称之为互联网。

3、课堂小结（1）、计算机网络定义（2）、计算机网络的分类

4、作业设计与思考

思考：计算机网络是否有其它的分类方法。

计算机防火墙与应用——网络安全技术.论文 篇6

一、课程名称：计算机网络技术与应用Computer Network

Technology and Application

二、课程编码：

三、学时与学分：（32+16学时/ 学分）

四、先修课程：无

五、课程教学目标

1． 使学生掌握计算机网络基本概念、数据通信与广域网技术、局域网技术、网络互连技术等计算机网络技术基础理论。

2． 通过学习课堂讲授的理论知识以及上机实验，使学生掌握因特网的基础理论知识以及WEB网站的构建、HTML超文本标记语言、Javascript网络编程语言等计算机网络应用知识。

3． 让学生了解计算机网络安全、网络管理以及网络系统集成技术等知识。

六、适用学科专业

机械学院、能源学院、材料学院、交通学院。

七、基本教学内容与学时安排

 计算机网络基本概念（2 学时）

计算机网络产生与发展 计算机网络的定义与特征 计算机网络分类 计算机网络拓扑结构 计算机网络结构与组成

 数据通信技术基础（4学时）

数据通信概念 数据通信方式

传输介质得类型与特点 数据编码方式 多路复用技术 数据交换方式 差错控制方法

 网络体系结构（4学时）

计算机网络体系结构基本概念

分层结构设计基本思想

ISO/OSI参考模型

TCP/IP参考模型

OSI模型与TCP/IP参考模型比较

 局域网及广域网技术基础（6学时）

计算机局域网概述 局域网拓扑结构和类型 IEEE802模型与标准

局域网参考模型

局域网介质访问控制方法 局域网传输设备与组网技术 高速局域网技术 交换局域网技术 无线局域网技术 虚拟局域网技术

广域网基本原理与技术

局域网的设计与互连（2 学时）网络设计

网络互连与实现技术

网络互联与网络接入

（2 学时）

网络互联概述

计算机与传输介质的接入设备 局域网与局域网互联

局域网与广域网互联

广域网与广域网互联

接入技术概述

拨号接入

ADSL技术 DDN技术

网络安全技术（2 学时）



 网络安全基本概念 数据加密与数据隐藏技术 认证与鉴别技术 防火墙技术

 Internet原理与技术（4 学时）

Internet的形成、发展和作用 IP相关技术 DNS系统

Internet常见应用协议及服务  基本网络开发应用技术（6学时）

HTML语言基本概念

HTML编写网页

常用Web页面设计软件

JavaScript语言基本概念

JavaScript编写动态网页

 实验一 计算机局域网构建（4学时） 实验二 WWW、FTP服务器配置（4学时） 实验三 HTML编写网页（4学时） 实验四 JavaScript编写动态网页（4学时）

八、教材及参考书

计算机网络技术与应用 乔正红、葛武滇 ,清华大学出版社,2008

九、考核方式

计算机防火墙与应用——网络安全技术.论文 篇7

1 计算机网络安全隐患的内容及分类

计算机网络安全的含义是指利用相应的网络管理控制措施和技术措施, 对当前网络环境中用户数据的保密性、完整性及可使用性提供保护的一系列活动。具体来讲, 计算机网络安全的内容包括管理控制网络的软件、机内储存的资源信息、方便快捷的网络浏览服务、计算机自身的硬件等。计算机网络安全可以分为两个方面, 分别是物理安全和逻辑安全, 物理安全指的是计算机系统设备及其相关设备的物理安全性, 防止受到破损和丢失等;逻辑安全则指的是网络范围内储存信息的安全性、完整性、保密性和可用性。计算机网络安全隐患, 就是指对以上网络安全能够造成一定安全风险的隐患。具体来讲, 能够给计算机网络造成安全隐患的因素主要包括以下两个方面:

1.1 人为因素造成的计算机网络安全隐患

人为因素造成的计算机安全隐患是指由于人的自觉或者不自觉的行为造成的计算机安全问题的发生, 包括使用者在使用计算机网络时不小心对网络中存储的信息格式化或者删除、对计算机的硬件线路不小心缠绕过深引起硬件损坏或线路烧毁等, 这些都是不自觉的行为造成的计算机网络安全隐患类型;自觉的行为造成的计算机网络安全隐患大多是由于违法分子依据计算机网络安全中存在的漏洞或非法进入计算机机房盗取计算机网络中存储的信息资源或对计算机系统的安全防护机制进行修改盗取控制, 破坏计算机的硬件组成部分, 编制计算机病毒散播出去, 导致用户无法完整使用计算机网络功能或私密信息被窃取等。这种非法行为是造成计算机安全威胁的主要原因, 在计算机网络安全隐患因素中占据了相当一大部分的比例。防火墙技术在计算机网络安全中的应用就是对人为因素造成的安全问题的解决措施。

1.2 自然原因造成的计算机网络安全隐患

自然原因造成的计算机安全隐患主要是指由于自然天气因素及计算机网络设备的自然老化等造成的计算机网络安全存在一定的隐患。以雷雨天气下发生的对计算机硬件的雷击现象为例, 雷击造成计算机硬件发生破坏并且信息资源发生丢失的现象就是由于自然原因造成的计算机网络安全问题。除此之外, 一般自然原因造成的计算机网络安全隐患都是间接性质的, 例如计算机硬盘的老化不可使用、温度过高造成的计算机系统无法正常运转等。

2 防火墙技术在计算机网络安全中的运用

防火墙技术, 也可以称为防护墙技术, 是一种位于用户自身计算机内部与外围网络连接之间的网络安全系统, 由计算机系统内部软件及相应的硬件设备综合组成, 能够在用户内部网络和外部网络 (私人网络与公共网络) 之间构建一种类似于保护屏障的计算机安全保护系统, 构建目的是为了保护用户的私人网络免受外部非法用户的入侵。防火墙系统主要组成部分包括服务访问规则、验证工具、包过滤和应用网关四个部分, 在计算机网络中安装了防火墙系统之后, 所有经过当前计算机网络的通信和数据包都要经过防火墙的检查, 对防范外来非法用户夹杂在数据通信中的计算机病毒提供有力的技术保障。简单来讲, 就是无论是外来信息主动连接用户的私人网络还是用户的私人网络主动访问外界信息, 这期间两者信息的交换都必须通过防火墙信息通讯和数据包的鉴别, 如果防火墙发现外界信息有任何不符合防火墙技术要求的地方, 那么两者之间的连接都是无法建立的, 即外界信息无法连接到用户的私人计算机, 用户的私人计算机也无法连接到外界信息。

2.1 防火墙技术的种类

防火墙技术的种类根据不同的划分方法也有不同的类型。根据建立结构来区别, 防火墙技术可以分为代理主机结构和路由器加上过滤器综合组成的结构两种类型。根据系统建立时使用技术的原理不同, 防火墙系统又可以分为特殊设计的硬件防火墙系统、以数据包过滤为主要内容的防火墙系统、电路层网关和应用层网关四种。用户可以对这四种类型综合选择, 运用多种技术类型综合构建防火墙系统, 保证自己计算机网络的信息安全。网络层防火墙系统主要是报文过滤技术的运用和构建, 主要原理是通过网络协议上的IP地址设定, 只允许拥有安全IP地址和网络协议的外来用户连接或信息通过, 其余的网络连接一概拒绝, 被统一关在防火墙门外。值得注意的是, 这种防火墙技术无法做到对外来用户网络协议及IP地址的有效识别, 如果非法入侵者盗取别的用户的健康地址和网络协议, 那么也是可以进入到用户私人计算机网络中的, 同时这种技术无法对外来病毒进行有效的抵挡;应用层防火墙是借由计算机中的TCP/IP堆栈应用层构建而成, 能够对通过某些应用程序的数据包进行网络封锁, 从而封锁该应用程序所有的数据流进入到用户私人计算机网络中。这种防火墙技术能够有效防范电脑蠕虫以及木马程序的快速蔓延并对其做到有效识别, 但是由于外来程序的复杂性及繁多的特点, 防火墙需要防备的软件太多, 工作量十分巨大;数据包防火墙技术则是以数据库协议分析与控制技术为基础的数据库安全防护系统, 能够实现对用户计算机数据库的主动防御, 对外来用户的访问、危险操作及可疑行为进行分辨和控制。

2.2 防火墙技术在计算机网络安全中的应用

防火墙技术在计算机网络安全中的应用和实施可以从以下方面具体分析, 首先, 防火墙技术能够对用户计算机的路由器进行屏蔽, 也就是对用户计算机与外界网络连接的唯一方式进行关闭与否的控制行为。当前计算机技术中, 路由器作为计算机与外界网络连接的必经通道, 用户与外界网络的所有连接信息与交换数据包都会经过路由器通道来实现, 而防火墙系统能够通过在路由器上设立的报文过滤技术来对数据包及外界信息的IP地址进行分辨和过滤, 对那些不健康或有一定危险程度的IP地址进行封锁, 从而有效保护用户私人计算机网络的安全。当前很多计算机中的路由器都会装有报文过滤的配置选项, 以便用户对外来用户的IP进行过滤。

其次, 防火墙技术能够对主机网关进行屏蔽。技术原理是在计算机内部网络中建立类似的内部堡垒主机, 内部堡垒主机通过路由器与外部网络进行连接并对外部网络发送过来的信息和数据包进行分辨和审查, 将内部堡垒主机作为用户私人计算机与外界网络连接的唯一连接点, 从而保护用户私人计算机的网络安全, 保证即使受到外部信息的攻击也只是内部堡垒主机遭受攻击, 用户内部网络的安全性依然良好。同时, 如果用户的私人计算机网络是一个虚拟扩展的本地局域网, 并没有子网和路由器等有关网络连接的配置, 那么内网的变化就无法影响到用户计算机中内部堡垒主机和屏蔽路由器的配置。屏蔽主机网关在保护网络时具有相关的控制和保护策略, 主要由安装在网关中的软件决定, 一旦外来入侵者登陆到用户网关上, 将会对内部网络中的主机造成非常严重的安全威胁。

另外, 防火墙技术还能对用户的子网进行屏蔽。技术原理是在用户内部网络和外接网络之间建立一个完全隔离的子网, 用户可以使用两台分组过滤路由器将这一子网与内部网络和外界网络完全隔离。在屏蔽子网的体系结构中, 有一台主机专门与内部网络的主机连接, 使用其与内部网络的主机进行网络连接及相关信息的交换, 而另外一台主机则与外部网络连接, 外来网络与用户计算机网络之间的信息交换则通过已经设置好的子网空间进行交流, 通过两个主机对信息的分别过滤和子网空间的建立来保证外来信息不会对用户私人计算机网络造成任何信息交换过程中的安全问题。

最后, 防火墙技术还能够解决用户计算机网络安全中的其它安全隐患, 包括对用户计算机储存信息的即时备份和镜像技术来保证用户信息数据的完整性、安全性, 防止信息突然丢失给用户造成的相关损失;同时, 防火墙技术还能够通过自身对外来病毒信息的不断记录和补丁安装及自身技术系统的升级, 从而有效防范非法入侵者通过网络病毒对用户的计算机网络安全造成威胁;防火墙技术还能够帮助用户对机密信息进行加密以提高用户信息的安全性, 保证计算机网络的安全。

结语

防火墙技术是目前应对网络非法攻击, 保护用户私人计算机网络安全的主要技术手段, 然而计算机网络除了会遭受到外来网络的非法入侵以外, 还会遭受到其它不同因素造成的安全威胁, 用户应该积极应用防火墙技术, 综合运用多种防火墙技术类型构建计算机防火墙系统, 同时做好对计算机硬件、软件、信息交流、工作生活使用中的相关保护工作, 做好对计算机网络的全面保护, 保证用户的计算机网络安全不会受到影响。

参考文献

[1]顾永仁.基于防火墙的网络安全技术分析[J].网络安全技术与应用, 2014 (04) :148+151.

[2]马利, 梁红杰.计算机网络安全中的防火墙技术应用研究[J].电脑知识与技术, 2014 (16) .

计算机防火墙与应用——网络安全技术.论文 篇8

关键词：安全系统；计算机防火墙；资料信息安全

目前计算机防火墙作为一种安全屏障能够又想降低网络的基本犯罪率，较好的维护计算机的基本网络信息安全。而想要加强计算机防火墙的安全屏障的建设，同时提升目前网络防范关键的技术手段，就需要从多个方面找寻其内在联系，并且在明确其重要内涵的基础之上，进行创新，从而提出保护目前计算及网络信息安全的新科技与新技术，这也是计算机防火墙安全屏障与网络防范技术在计算机安全网络保护上未来的发展方向。

一、计算机防火墙安全屏障及网络安全防范技术发展现状

在计算机的基础信息安全方面，大致可分为多种安全层面，其中不仅仅是计算机基础硬件设备的安全保障、网络信息安全保护系统等一系列软件安全同时还有计算机之间发挥信息共享等多种作用的信息交流安全。所以计算机防火墙安全屏障对目前网络系统而言是极为重要的[1]，但是目前计算机网络在防火墙技术这一方面仍存在着很多的不足，使得目前计算机防火墙安全屏障以及网络安全防范技术不能够满足目前计算机信息网络的安全发展需求，并且急需要进行相应的转变。而通常防火墙崩溃或遭到攻击的相关技术手段大致也可以分为多个部分，最为常见的就是攻击技术中实际利用了防火墙中所允许的子网进行掩护与伪装从而对防火墙进行相应的攻击、多种恶意攻击同时还包括以附加信息以及服务器为载体的恶意攻击等。想要针对这些攻击技术进行攻克，我们就需要在明确计算机防火墙技术的重要意义的同时，进一步提升现有的网络安全防范技术，从而来阻挡对于防火墙的非法攻击、恶意攻击。

二、加强计算机安全屏障建设并且提升网络安全防范技术的具体措施

（一）将硬件防火墙与软件防火墙有机结合起来。加强计算机安全屏障建设并且提升安全防范技术的最好的办法就是硬件防火墙与软件防火墙有机结合起来，将软件防火墙合理进行内置，从综合提升目前防火墙运营水平。硬件防火墙的普遍成本较高，但是其安全系数较高，整个硬件防火墙以及内置的软件防火墙在某一程度而言都能够较好的提供相应的售后服务。实际防火墙用户可以针对自身的基本情况去选择如何合理配置防火墙资源保护。中小型企业应该在安全信息管理方面给予更多的重视，所以应该更加偏向于使用硬件防火墙，从而达到其提企业安全信息的目的。

（二）使用计算机防火墙安全保护新技术以适应目前的安

全防护需求。目前防火墙对于基本信息网络资料的保护能力越来越强，归根到底是日益发展的防火墙新技术的作用。我们可以更多倾向与针对原有的计算机防火墙技术进行相应的创新，并且使用新技术从而满足目前的安全防护需求，提升安全防护能力。通常在进行防火墙工作的过程之中都需要进行相应的IP地址的翻译工作，所以我们可以针对这个方向进行着手，从而更新地质翻译的实际设置方式。同时还有静态网络地址翻译以及端口地址翻译等多种翻译方式。除此之外也可以通过防火墙基本类型进行技术上的提升与使用，大致可以分为包过滤性防火墙、代理型防火墙以及监测型防火墙等多种防火墙形式，可以在掌握不同类型防火墙的基本特点的情况之下，针对不同的基本防火墙管理需求，使用不同的防火墙管理技术手段及方式。例如使用代理服务器的过程之中，就是利用代理服务器第三方交流的特质，而通过避免了内部系统与外部系统信息的直接接触与交流，从而提升安全能力，提升防火墙的基本安全性能，但是对于所使用的技术手段及管理水平要求较高，因为需要对于客户机之中可能存在的各种情况以及全部的应用类型进行全部设置，也会在某一层面上增加相应的管理成本。

结语：目前的计算机网络仍然有其弊端存在所以需要防火墙等安全防护技术对计算机信息网络安全进行相应的保护。虽然目前的计算机防火墙技术还不能够完全满足目前计算机信息安全网络的基本发展要求，但是我们通过将硬件防火墙与软件防火墙有机结合起来、使用计算机防火墙安全保护新技术等多种手段，以适应目前的安全防护需求并且提升相应防火墙安全保护技术手段。我们需要在认识到防火墙安全技术对于网络信息安全发展的重要意义的基础之上，具体明确目前防火墙安全技术的基本结构与发展现状，从而针对各个用户的实际网络安全需要进行相应的选择，在满足需求的同时，也能够对计算机网络的稳定与安全起到一定的促进作用。

参考文献：

计算机防火墙技术毕业论文 篇9

doc文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。

计算机防火墙技术论文

毕 业 论 文

计算机防火墙技术

姓 学

名： 号：

指导老师： 系 专 班 名： 业： 级：

二零一零年十一月十五日 1 计算机防火墙技术论文

摘要

因特网的迅猛发展给人们的生活带来了极大的方便，但同时因特网也面临 着空前的威胁。因此，如何使用有效可行的方法使网络危险降到人们可接受的范 围之内越来越受到人们的关注。而如何实施防范策略，首先取决于当前系统的安 全性。所以对网络安全的各独立元素——防火墙、漏洞扫描、入侵检测和反病毒 等进行风险评估是很有必要的。防火墙技术作为时下比较成熟的一种网络安全技术，其安全性直接关系到用 户的切身利益。针对网络安全独立元素——防火墙技术，通过对防火墙日志文件 的分析，设计相应的数学模型和软件雏形，采用打分制的方法，判断系统的安全 等级，实现对目标网络的网络安全风险评估，为提高系统的安全性提供科学依据。对网络安全的威胁主要表现在：非授权访问，冒充合法用户，破坏数据完整性，干扰系统正常运行，利用网络传播病毒，线路窃听等方面。这以要求我们与 Internet 互连所带来的安全性问题予以足够重视。计算机网络技术的飞速发展 使网络安全问题日益突出,而防火墙是应用最广泛的安全产品。本文阐述了网络 防火墙的工作原理并对传统防火墙的利弊进行了对比分析,最后结合计算机科学 其它领域的相关新技术,提出了新的防火墙技术,并展望了其发展前景。

关键词： 关键词 ：包过滤 智能防火墙

应用层网关

分布式防火墙

监测型防火墙 嵌入式防火墙

网络安全，防火墙，防范策略，发展趋势 2 计算机防火墙技术论文

摘要„„ 1 第一章 引言 „„ 4 1.1 研究背景„„ 4 1.2 研究目的„„ 4 1.3 论文结构„„ 5 第二章 网络安全 „„ 6 2.1 网络安全问题„„ 6 2.1.1 网络安全面临的主要威胁 „„ 6 2.1.2 影响网络安全的因素 „„ 6 2.2 网络安全措施„„ 7 2.2.1 完善计算机安全立法 „„ 7 2.2.2 网络安全的关键技术 „„ 7 2.3 制定合理的网络管理措施„„ 8 第三章 防火墙概述 „„ 9 3.1 防火墙的概念„„ 9 3.1.1 传统防火墙介绍 „„ 9 3.1.2 智能防火墙简介 „„ 10 3.2 防火墙的功能„„ 11 3.2.1 防火墙的主要功能 „„ 11 3.2.2 入侵检测功能 „„ 11 3.2.3 虚拟专网功能 „„ 12 3.2.4 其他功能 „„ 12 3.3 防火墙的原理及分类„„ 13 3.3.1 包过滤防火墙 „„ 13 3.3.2 应用级代理防火墙 „„ 13 3.3.3 代理服务型防火墙 „„ 14 3.3.4 复合型防火墙 „„ 14 3.4 防火墙包过滤技术„„ 14 3.4.1 数据表结构 „„ 15 3.4.2 传统包过滤技术 „„ 16 3.4.3 动态包过滤 „„ 17 3.4.4 深度包检测 „„ 17 3.4.5 流过滤技术 „„ 18 第四章 防火墙的配置 „„ 20 4.1 硬件连接与实施„„ 20 4.2 防火墙的特色配置„„ 20 4.3 软件的配置与实施„„ 21 第五章 防火墙发展趋势 „„ 23 5.1 防火墙包过滤技术发展趋势„„ 23 5.2 防火墙的体系结构发展趋势„„ 24 5.3 防火墙的系统管理发展趋势„„ 24 结论„„ 25 参考文献„„ 26 致谢„„ 27 3 计算机防火墙技术论文

第一章

1.1 研究背景

引言

随着互联网的普及和发展，尤其是 Internet 的广泛使用，使计算机应用更 加广泛与深入。同时，我们不得不注意到，网络虽然功能强大，也有其脆弱易受 到攻击的一面。据美国 FBI 统计，美国每年因网络安全问题所造成的经济损失高 达 75 亿美元，而全求平均每 20 秒钟就发生一起 Internet 计算机侵入事件[1]。在我国，每年因黑客入侵、计算机病毒的破坏也造成了巨大的经济损失。人们在 利用网络的优越性的同时，对网络安全问题也决不能忽视。如何建立比较安全的 网络体系，值得我们关注研究。

1.2 研究目的

为了解决互联网时代个人网络安全的问题，近年来新兴了防火墙技术[2]。防火墙具有很强的实用性和针对性，它为个人上网用户提供了完整的网络安全解 决方案，可以有效地控制个人电脑用户信息在互联网上的收发。用户可以根据自 己的需要，通过设定一些参数，从而达到控制本机与互联网之间的信息交流阻止 恶性信息对本机的攻击，比如 ICMPnood 攻击、聊天室炸弹、木马信息破译并修 改邮件密码等等。而且防火墙能够实时记录其它系统试图对本机系统的访问，使 计算机在连接到互联网的时候避免受到网络攻击和资料泄漏的安全威胁。防火墙 可以保护人们在网上浏览时免受黑客的攻击，实时防范网络黑客的侵袭，还可以 根据自己的需要创建防火墙规则，控制互联网到 PC 以及 PC 到互联网的所有连接，并屏蔽入侵企图。防火可以有效地阻截各种恶意攻击、保护信息的安全;信息泄 漏拦截保证安全地浏览网页、遏制邮件病毒的蔓延;邮件内容检测可以实时监视 邮件系统，阻挡一切针对硬盘的恶意活动。个人防火墙就是在单机 Windows 系统上，采取一些安全防护措施，使得本机 的息得到一定的保护。个人防火墙是面向单机操作系统的一种小型安全防护软 件，按一定的规则对 TCP，UDP，ICMP 和 IGMP 等报文进行过滤，对网络的信息流 和系统进程进行监控，防止一些恶意的攻击。目前市场上大多数的防火墙产品仅 仅是网关的，虽然它们的功能相当强大，但由于它们基于下述的假设:内部网是 安全可靠的，所有的威胁都来自网外。因此，他们防外不防内，难以实现对企业 内部局域网内主之间的安全通信，也不能很好的解决每一个拨号上网用户所在主 机的安全问题，而多数个人上网之时，并没有置身于得到防护的安全网络内部。个人上网用户多使用 Windows 操作系统，而 Windows 操作系统，特别是

计算机防火墙技术论文

WindowsXP 系统，本身的安全性就不高。各种 Windows 漏洞不断被公布，对主机 的攻击也越来越多。一般都是利用操作系统设计的安全漏洞和通信协议的安全漏 洞来实现攻击。如假冒 IP 包对通信双方进行欺骗:对主机大量发送正数据包[3] 进行轰炸攻击，使之际崩溃;以及蓝屏攻击等。因此，为了保护主机的安全通信，研制有效的个人防火墙技术很有必要。所谓的防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共 网)或网络安全域之间的一系列部件的组合[ 1 ]。它可通过监测、限制、更改跨 越防火墙的数据流,尽可能地对外部屏蔽网络内部的信息、结构和运行状况, 以 此来实现网络的安全保护。在逻辑上,防火墙是一个分离器,一个限制器,也是一 个分析器,有效地监控了内部网和 Internet 之间的任何活动, 保证了内部网络 的安全。一个高效可靠的防火墙必须具有以下典型的特性: 1 从里到外和从外到里的所有通信都必须通过防火墙； 2 只有本地安全策略授权的通信才允许通过； 3 防火墙本身是免疫的,不会被穿透的。防火墙的基本功能有:过滤进出网络的数据；管理进出网络的访问行为；封 堵某些禁止的业务； 记录通过防火墙的信息内容和活动；对网络攻击进行检测 和报警

1.3 论文结构

在论文中接下来的几章里，将会有下列安排: 第二章，分析研究网络安全问题，网络安全面临的主要威胁，影响网络安 全的因素，及保护网络安全的关键技术。第三章，介绍防火墙的相关技术，如防火墙的原理、功能、包过滤技术等。第四章，以 H3CH3C 的 F100 防火墙为例，介绍防火墙配置方法。第五章，系统阐述防火墙发展趋势。5 计算机防火墙技术论文

第二章 网络安全 2.1 网络安全问题

安全，通常是指只有被授权的人才能使用其相应资源的一种机制。我国对于 计算机安全的定义是：“计算机系统的硬件、软件、数据受到保护，不因偶然的 或恶意的原因而遭到破坏、更改、显露，系统能连续正常运行。” 从技术讲，计算机安全分为 3 种： 1）实体的安全。它保证硬件和软件本身的安全。2）运行环境的安全性。它保证计算机能在良好的环境里持续工作。3）信息的安全性。它保障信息不会被非法阅读、修改和泄漏。随着网络的发展，计算机的安全问题也延伸到了计算机网络。2.1.1 网络安全面临的主要威胁 一般认为，计算机网络系统的安全威胁主要来自计算机病毒、黑客的攻击和 拒绝服务攻击三个方面。1）计算机病毒的侵袭。当前，活性病毒达 14000 多种，计算机病毒侵入 网络，对网络资源进行破坏，使网络不能正常工作，甚至造成整个网络的瘫痪。2）黑客侵袭。即黑客非法进入网络非法使用网络资源。例如通过隐蔽通 道进行非法活动；采用匿名用户访问进行攻击；通过网络监听获取网上用户账号 和密码；非法获取网上传输的数据；突破防火墙等。3）拒绝服务攻击。例如“点在邮件炸弹”，它的表现形式是用户在很短 的时间内收到大量无用的电子邮件，从而影响正常业务的运行。严重时会使系统 关机，网络瘫痪。具体讲，网络系统面临的安全威胁主要有如下表现：身份窃取、非授权访 问、数据窃取、拒绝服务、病毒与恶意攻击、冒充合法用户„„等。2.1.2 影响网络安全的因素 1）单机安全 购买单机时，型号的选择；计算机的运行环境（电压、湿度、防尘条件、强电磁场以及自然灾害等）；计算机的操作„„等等，这些都是影响单机安全性 的因素。2）网络安全 影响网络安全的因素有：节点的安全、数据的安全（保存和传输方面）、文件的安全等。6 计算机防火墙技术论文 2.2 网络安全措施

网络信息安全涉及方方面面的问题，是一个复杂的系统。一个完整的网络

信息安全体系至少应包括三类措施：一是法律政策、规章制度以及安全教育等外 部软环境。二是技术方面，如信息加密存储传输、身份认证、防火墙技术、网络 防毒等。三是管理措施，包括技术与社会措施。主要措施有：提供实时改变安全 策略的能力、实时监控企业安全状态、对现有的安全系统实施漏洞检查等，以防 患于未然。这三者缺一不可，其中，法律政策是安全的基石，技术是安全的保障，管理和审计是安全的防线。2.2.1 完善计算机安全立法 我国先后出台的有关网络安全管理的规定和条例。但目前，在这方面的立 法还远不能适应形势发展的需要,应该在对控制计算机犯罪的国内外立法评价的 基础上，完善我国计算机犯罪立法，以便为确保我国计算机信息网络健康有序的 发展提供强有力的保障。2.2.2 网络安全的关键技术(1)数据加密 加密就是把明文变成密文，从而使未被授权的人看不懂它。有两种主要的 加密类型：私匙加密和公匙加密。(2)认证 对合法用户进行认证可以防止非法用户获得对公司信息系统的访问，使用 认证机制还可以防止合法用户访问他们无权查看的信息。(3)防火墙技术 防火墙就是用来阻挡外部不安全因素影响的内部网络屏障，其目的就是防 止外部网络用户未经授权的访问。目前，防火墙采取的技术，主要是包过滤、应 用网关、子网屏蔽等。但是，防火墙技术在网络安全防护方面也存在一些不足： 防火墙不能防止内部攻击防火墙不能取代杀毒软件； 防火墙不易防止反弹端口木 马攻击等。(4)检测系统 入侵检测技术是网络安全研究的一个热点，是一种积极主动的安全防护技 术，提供了对内部入侵、外部入侵和误操作的实时保护，在网络系统受到危害之 前拦截相应入侵。随着时代的发展，入侵检测技术将朝着三个方向发展:分布式入侵检测、智 能化入侵检测和全面的安全防御方案。7 计算机防火墙技术论文

(5)防病毒技术 随着计算机技术的发展，计算机病毒变得越来越复杂和高级，计算机病毒 防范不仅仅是一个产品、一个策略或一个制度，它是一个汇集了硬件、软件、网 络、以及它们之间相互关系和接口的综合系统。(6)文件系统安全 在网络操作系统中，权限是一个关键性的概念，因为访问控制实现在两个 方面：本地和远程。建立文件权限的时候，必须在 Windows 2000 中首先实行新 技术文件系统（New Technology File System，NTFS）。一旦实现了 NTFS，你 可以使用 Windows 资源管理器在文件和文件夹上设置用户级别的权限。你需要了 解可以分配什么样的权限，还有日常活动期间一些规则是处理权限的。Windows 2000 操作系统允许建立复杂的文件和文件夹权限，你可以完成必要的访问控制。2.3 制定合理的网络管理措施

（1）加强网络用户及有关人员的安全意识、职业道德和事业心、责任心的

培养教育以及相关技术培训。（2）建立完善的安全管理体制和制度，以起到对管理人员和操作人员鼓励 和监督的作用。（3）管理措施要标准化、规范化和科学化。8 计算机防火墙技术论文

第三章

防火墙概述

随着 Internet 的迅速发展，网络应用涉及到越来越多的领域，网络中各类 重要的、敏感的数据逐渐增多;同时由于黑客入侵以及网络病毒的问题，使得网 络安全问题越来越突出。因此，保护网络资源不被非授权访问，阻止病毒的传播 感染显得尤为重要。就目前而言，对于局部网络的保护，防火墙仍然不失为一种 有效的手段，防火墙技术主要分为包过滤和应用代理两类。其中包过滤作为最早 发展起来的一种技术，其应用非常广泛。3.1 防火墙的概念

防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可 预测的、潜在破坏性的侵入。防火墙是指设置在不同网络(如可信任的企业内部 网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或 网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服 务，实现网络和信息安全的基础设施。防火墙提供信息安全服务，是实现网络和 信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个 分析器，它有效地监控了内部网络和互联网之间的任何活动，保证了内部网络的 安全。3.1.1 传统防火墙介绍 目前的防火墙技术无论从技术上还是从产品发展历程上，都经历了五个发 展历程。图 1 表示了防火墙技术的简单发展历史。

图1 第一代防火墙 第 一 代 防 火 墙 技 术 几 乎 与 路 由 器 同 时 出 现，采 用 了 包 过 滤（Packet filter）技术。二代、第三代防火墙 第二代、第三代防火墙 1989 年，贝尔实验室的 Dave Presotto 和 Howard Trickey 推 9 计算机防火墙技术论文

出了第二代防火墙，即电路层防火墙，同时提出了第三代防火墙—— 应用层防火墙（代理防火墙）的初步结构。

第四代防火墙 1992 年，USC 信息科学院的 BobBraden 开发出了基于动态包过滤（Dynamic packet filter）技 术 的 第 四 代 防 火 墙，后 来 演 变 为 目 前 所 说 的 状 态 监 视（Stateful inspection）技术。1994 年，以色列的 CheckPoint 公司开发出了 第一个采用这种技术的商业化的产品。第五代防火墙 1998 年，NAI 公司推出了一种自适应代理（Adaptive proxy）技术，并在 其产品 Gauntlet Firewall for NT 中得以实现，给代理类型的防火墙赋予了全 新的意义，可以称之为第五代防火墙。[5] [5] 但传统的防火墙并没有解决目前网络中主要的安全问题。目前网络安全的 三大主要问题是:以拒绝访问(DDOS)为主要代表的网络攻击，以蠕虫(Worm)为主 要代表的病毒传播和以垃圾电子邮件(SPAM)为代表的内容控制。这三大安全问题 占据网络安全问题九成以上。而这三大问题，传统防火墙都无能为力。主要有以 下三个原因: 一是传统防火墙的计算能力的限制。传统的防火墙是以高强度的检查为代 价，检查的强度越高，计算的代价越大。二是传统防火墙的访问控制机制是一个 简单的过滤机制。它是一个简单的条件过滤器，不具有智能功能，无法检测复杂 的攻击。三是传统的防火墙无法区分识别善意和恶意的行为。该特征决定了传统 的防火墙无法解决恶意的攻击行为。现在防火墙正在向分布、智能的方向发展，其中智能防火墙可以很好的解 决上面的问题。3.1.2 智能防火墙简介 智能防火墙[6]是相对传统的防火墙而言的，从技术特征上智能防火墙是利 用统计、记忆、概率和决策的智能方法来对数据进行识别，并达到访问控制的目 的。新的数学方法，消除了匹配检查所需要的海量计算，高效发现网络行为的特 征值，直接进行访问控制。由于这些方法多是人工智能学科采用的方法，因此，又称为智能防火墙。10 计算机防火墙技术论文 3.2 防火墙的功能

3.2.1 防火墙的主要功能 1．包过滤。包过滤是一种网络的数据安全保护机制，它可用来控制流出和流入网络的数 据，它通常由定义的各条数据安全规则所组成，防火墙设置可基于源地址、源端 口、目的地址、目的端口、协议和时间;可根据地址簿进行设置规则。2．地址转换。网络地址变换是将内部网络或外部网络的 IP 地址转换，可分为源地址转换 Source NAT(SNAT)和目的地址转换 Destination NAT(DNAT)。SNAT 用于对内部网 络地址进行转换，对外部网络隐藏起内部网络的结构，避免受到来自外部其他网 络的非授权访问或恶意攻击。并将有限的 IP 地址动态或静态的与内部 IP 地址对 应起来，用来缓解地址空间的短缺问题，节省资源，降低成本。DNAT 主要用于 外网主机访问内网主机。3．认证和应用代理。认证指防火墙对访问网络者合法身分的确定。代理指防火墙内置用户认证数 据库;提供 HTTP、FTP 和 SMTP 代理功能，并可对这三种协议进行访问控制;同时 支持 URL 过滤功能。4．透明和路由 指防火墙将网关隐藏在公共系统之后使其免遭直接攻击。隐蔽智能网关提 供了对互联网服务进行几乎透明的访问，同时阻止了外部未授权访问者对专用网 络的非法访问;防火墙还支持路由方式，提供静态路由功能，支持内部多个子网 之间的安全访问。3.2.2 入侵检测功能 入侵检测技术[7]就是一种主动保护自己免受黑客攻击的一种网络安全技 术，包括以下内容: 1.反端口扫描。端口扫描就是指黑客通过远程端口扫描的工具，从中发现主 机的哪些非常用端口是打开的;是否支持 FTP、服务;且 FTP 服务是否支持 Web “匿 名”，以及 IIS 版本，是否有可以被成功攻破的 IIS 漏洞，进而对内部网络的主 机进行攻击。顾名思义反端口扫描就是防范端口扫描的方法，目前常用的方法有: 关闭闲置和有潜在危险的端口;检查各端口，有端口扫描的症状时，立即屏蔽该 端口，多数防火墙设备采用的都是这种反端口扫描方式。2.检测拒绝服务攻击。拒绝服务(DoS)攻击就是利用合理的服务请求来占用 过多的服务资源，从而使合法用户无法得到服务的响应，其攻击方式有很多种;11 计算机防火墙技术论文

而分布式的拒绝服务攻击(DDoS)攻击手段则是在传统的 DoS 攻击基础之上产生 的一类攻击方式，分布式的拒绝服务攻击(DDoS)。其原理很简单，就是利用更多 的受控主机同时发起进攻，以比 DoS 更大的规模(或者说以更高于受攻主机处理 能力的进攻能力)来进攻受害者。现在的防火墙设备通常都可检测 Synflod、Land、Ping of Death、TearDrop、ICMP flood 和 UDPflod 等多种 DOS/DDOS 攻 击。3.检 测 多 种 缓 冲 区 溢 出 攻 击(Buffer Overflow)。缓 冲 区 溢 出(Buffer Overflow)攻击指利用软件的弱点将任意数据添加进某个程序中，造成缓冲区的 溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。更 为严重的是，可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各 种非法操作，防火墙设备可检测对 FTP、Telnet、SSH、RPC 和 SMTP 等服务的远 程堆栈溢出入侵。4.检测 CGI/IIS 服务器入侵。CGI 就是 Common Gateway Inter——face 的 简称。是 World Wide Web 主机和 CGI 程序间传输资讯的定义。IIS 就是 Internet Information server 的简称，也就是微软的 Internet 信息服务器。防火墙设备 可检测包括针对 Unicode、ASP 源码泄漏、PHF、NPH、pfdisPlay.cgi 等已知上 百种的有安全隐患的 CGI/IIS 进行的探测和攻击方式。5.检测后门、木马及其网络蠕虫。后门程序是指采用某种方法定义出一个 特殊的端口并依靠某种程序在机器启动之前自动加载到内存，强行控制机器打开 那个特殊的端口的程序。木马程序的全称是 “特洛依木马” 它们是指寻找后门、，窃取计算机的密码的一类程序。网络蠕虫病毒分为 2 类，一种是面向企业用户和 局域网而一言，这种病毒利用系统漏洞，主动进行攻击，可以对整个互联网造成 瘫痪性的后果，以“红色代码”，“尼姆达”，以及最新的“sql 蠕虫王”为代 表。另外一种是针对个人用户的，通过网络(主要是电子邮件，恶意网页形式)迅速传播的蠕虫病毒，以爱虫病毒，求职信病毒为例。防火墙设备可检测试图穿 透防火墙系统的木马控制端和客户端程序;检测试图穿透防火墙系统的蠕虫程 序。3.2.3 虚拟专网功能 指在公共网络中建立专用网络，数据通过安全的“加密通道”在公共网络 中传播。VPN 的基本原理是通过 IP 包的封装及加密、认证等手段，从而达到安 全的目的。3.2.4 其他功能 1.IP 地址/MAC 地址绑定。可支持任一网络接口的 IP 地址和 MAC 地址的绑 12 计算机防火墙技术论文

定，从而禁止用户随意修改 IP 地址。2.审计。要求对使用身份标识和认证的机制，文件的创建，修改，系统管 理的所有操作以及其他有关安全事件进行记录，以便系统管理员进行安全跟踪。一般防火墙设备可以提供三种日志审计功能:系统管理日志、流量日志和入侵日 志。3.特殊站点封禁。内置特殊站点数据库，用户可选择是否封禁色情、反动 和暴力等特殊站点。3.3 防火墙的原理及分类

国际计算机安全委员会 ICSA 将防火墙分成三大类:包过滤防火墙，应用级代

理服务器[8]以及状态包检测防火墙。3.3.1 包过滤防火墙 顾名思义，包过滤防火墙[9]就是把接收到的每个数据包同预先设定的包过 滤规则相比较，从而决定是否阻塞或通过。过滤规则是基于网络层 IP 包包头信 息的比较。包过滤防火墙工作在网络层，IP 包的包头中包含源、目的 IP 地址，封装协议类型(TCP，UDP，ICMP 或 IP Tunnel)，TCP/UDP 端口号，ICMP 消息类型，TCP 包头中的 ACK 等等。如果接收的数据包与允许转发的规则相匹配，则数据包 按正常情况处理;如果与拒绝转发的规则相匹配，则防火墙丢弃数据包;如果没有 匹配规则，则按缺省情况处理。包过滤防火墙是速度最快的防火墙，这是因为它 处于网络层，并且只是粗略的检查连接的正确性，所以在一般的传统路由器上就 可以实现，对用户来说都是透明的。但是它的安全程度较低，很容易暴露内部网 络，使之遭受攻击。例如，HTTP。通常是使用 80 端口。如果公司的安全策略允 许内部员工访问网站，包过滤防火墙可能设置允所有 80 端口的连接通过，这时，意识到这一漏洞的外部人员可以在没有被认证的情况下进入私有网络。包过滤防 火墙的维护比较困难，定义过滤规则也比较复杂，因为任何一条过滤规则的不完 善都会给网络黑客造成可乘之机。同时，包过滤防火墙一般无法提供完善的日志。3.3.2 应用级代理防火墙 应用级代理技术通过在 OSI 的最高层检查每一个 IP 包，从而实现安全策略。代理技术与包过滤技术完全不同，包过滤技术在网络层控制所有的信息流，而代 理技术一直处理到应用层，在应用层实现防火墙功能。它的代理功能，就是在防 火墙处终止客户连接并初始化一个新的连接到受保护的内部网络。这一内建代理 13 计算机防火墙技术论文

机制提供额外的安全，这是因为它将内部和外部网络隔离开来，使网络外部的黑 客在防火墙内部网络上进行探测变得困难，更重要的是能够让网络管理员对网络 服务进行全面的控制。但是，这将花费更多的处理时间，并且由于代理防火墙支 持的应用有限，每一种应用都需要安装和配置不同的应用代理程序。比如访问 WEB 站点的 HTTP，用于文件传输的 FTP，用于 E 一 MAIL 的 SMTP/POP3 等等。如 果某种应用没有安装代理程序，那么该项服务就不被支持并且不能通过防火墙进 行转发;同时升级一种应用时，相应的代理程序也必须同时升级。3.3.3 代理服务型防火墙 代理服务(Proxy Service)也称链路级网关或 TCP 通道(Circuit Level Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。它是针对数据包 过滤[10]和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越 防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接”，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代 理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对 过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击迹象时会向网 络管理员发出警报，并保留攻击痕迹。应用代理型防火墙是内部网与外部网的隔 离点，起着监视和隔绝应用层通信流的作用。同时 也常结合入过滤器的功能。它工作在 OSI 模型的最高层，掌握着应用系统中可用 作安全决策的全部信息。3.3.4 复合型防火墙 由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的方法 结合起来，形成复合型防火墙产品。这种结合通常是以下两种方案。屏蔽主机防 火墙体系结构，在该结构中，分组过滤路由器或防火墙与 Internet 相连，同时 一个堡垒机安装在内部网络，通过在分组过滤器路由器或防火墙上过滤规则的设 置，使堡垒机成为 Internet 上其他节点所能到达的唯一节点，这确保了内部网 络不受未授权外部用户的攻击。屏蔽子网防火墙体系结构：堡垒机放在一个子网 内，形成非军事化区，两个分组过滤路由器放在这一子网的两端，使这一子网与 Internet 及内部网络分离。在屏蔽子网防火墙体系结构中，堡垒机和分组过滤 路由器共同构成了整个防火墙的安全基础。

3.4 防火墙包过滤技术

随着 Internet 的迅速发展，网络应用涉及到越来越多的领域，网络中各类 14 计算机防火墙技术论文

重要的、敏感的数据逐渐增多;同时由于黑客入侵以及网络病毒的问题，使得网 络安全问题越来越突出。因此，保护网络资源不被非授权访问，阻止病毒的传播 感染显得尤为重要。就目前而言，对于局部网络的保护，防火墙仍然不失为一种 有效的手段，防火墙技术主要分为包过滤和应用代理两类。其中包过滤作为最早 发展起来的一种技术，其应用非常广泛。所谓包过滤，就是对流经网络防火墙的所有数据包逐个检查，并依据所制定 的安全策略来决定数据包是通过还是不通过。包过滤最主要的优点在于其速度与 透明性。也正是由于此。包过滤技术历经发展演变而未被淘汰。由于其主要是对数据包的过滤操作，所以数据包结构是包过滤技术的基础。考虑包过滤技术的发展过程，可以认为包过滤的核心问题就是如何充分利用数据 包中各个字段的信息，并结合安全策略来完成防火墙的功能[11]-[15] 3.4.1 数据表结构 当应用程序用 TCP 传送数据时，数据被送入协议栈中，然后逐个通过每一层 直到被当作一串比特流送入网络。其中每一层对接收到的数据都要增加一些首部 信息。TCP 传给 IP 的数据单元称作 TCP 报文段(TCP Segment);IP 传给网络接口 层的数据单元称作 IP 数据报(IP Datagram)；通过以太网传输的比特流称作帧(Frame)。对于进防火墙的数据包，顺序正好与此相反，头部信息逐层剥掉。IP，TCP 首部格式如表 2-1 表 2-2 所示。表 2-1 IP 首部格式 版本 首部长 服务类型 标识 生存时间 协议 源 IP 地址 目的 IP 地址 选项 标志 首部校验和

总 长 度 片偏移

表 2-2 TCP 首部格式 源端口号 目的端口号 序列号 15 计算机防火墙技术论文

确认号 首 保 L 部 留 R 长 C T B L P R C B C J H T H TCP 校验和 H J R 窗口大小

紧急指针 选项

对于帧的头部信息主要是源/目的主机的 MAC 地址;IP 数据报头部信息主要 是源/目的主机的 IP 地址;TCP 头部的主要字段包括源/目的端口、发送及确认序 号、状态标识等。理论上讲，数据包所有头部信息以及有效载荷都可以作为判断包通过与否的 依据，但是在实际情况中，包过滤技术上的问题主要是选取哪些字段信息，以及 如何有效地利用这些字段信息并结合访问控制列表来执行包过滤操作，并尽可能 提高安全控制力度。3.4.2 传统包过滤技术 传统包过滤技术，大多是在 IP 层实现，它只是简单的对当前正在通过的单 一数据包进行检测，查看源/目的 IP 地址、端口号以及协议类型(UDP/TCP)等，结合访问控制规则对数据包实施有选择的通过。这种技术实现简单，处理速度快，对应用透明，但是它存在的问题也很多，主要表现有: 1.所有可能会用到的端口都必须静态放开。若允许建立 HTTP 连接，就需 要开放 1024 以上所有端口，这无疑增加了被攻击的可能性。2.不能对数据传输状态进行判断。如接收到一个 ACK 数据包，就认为这是 一个己建立的连接，这就导致许多安全隐患，一些恶意扫描和拒绝服务攻击就是 利用了这个缺陷。3.无法过滤审核数据包上层的内容。即使通过防火墙的数据包有攻击性或 包含病毒代码，也无法进行控制和阻断。综合上述问题，传统包过滤技术的缺陷在于:(l)缺乏状态检测能力;(2)缺 乏应用防御能力。(3)只对当前正在通过的单一数据包进行检测，而没有考虑前 后数据包之间的联系;(4)只检查包头信息，而没有深入检测数据包的有效载荷。传统包过滤技术必须发展进化，在继承其优点的前提下，采用新的技术手 段，克服其缺陷，并进一步满足新的安全应用要求。从数据包结构出发考虑，目 前包过滤技术向两个方向发展:(l)横向联系。即在包检测中考虑前后数据包之间 的关系，充分利用包头信息中能体现此关系的字段，如 IP 首部的标识字段和片 16 计算机防火墙技术论文

偏移字段、TCP 首部的发送及确认序号、滑动窗口的大小、状态标识等，动态执 行数据包过滤。(2)纵向发展。深入检测数据包有效载荷，识别并阻止病毒代码 和基于高层协议的攻击，以此来提高应用防御能力。这两种技术的发展并不是独 立的，动态包过滤可以说是基于内容检测技术的基础。实际上，在深度包检测技 术中己经体现了两种技术的融合趋势。3.4.3 动态包过滤 动态包过滤[16]又称为基于状态的数据包过滤，是在传统包过滤技术基础 之上发展起来的一项过滤技术，最早由 Checkpoint 提出。与传统包过滤技术只检查单个、孤立的数据包不同，动态包过滤试图将数 据包的上下文联系起来，建立一种基于状态的包过滤机制。对于新建的应用连接，防火墙检查预先设置的安全规则，允许符合规则的连接通过，并在内存中记录下 该连接的相关信息，这些相关信息构成一个状态表。这样，当一个新的数据包到 达，如果属于已经建立的连接，则检查状态表，参考数据流上下文决定当前数据 包通过与否;如果是新建连接，则检查静态规则表。动态包过滤通过在内存中动态地建立和维护一个状态表，数据包到达时，对该数据包的处理方式将综合静态安全规则和数据包所处的状态进行。这种方法 的好处在于由于不需要对每个数据包进行规则检查，而是一个连接的后续数据包(通常是大量的数据包)通过散列算法，直接进行状态检查，从而使性能得到了较 大提高;而且，由于状态表是动态的，因而可以有选择地、动态地开通 1024 号以 上的端口，使安全性得到进一步地提高。动态包过滤技术克服了传统包过滤仅仅孤立的检查单个数据包和安全规则 静态不可变的缺陷，使得防火墙的安全控制力度更为细致。3.4.4 深度包检测 目前许多造成大规模损害的网络攻击，比如红色代码和尼姆达，都是利用 了应用的弱点。利用高层协议的攻击和网络病毒的频繁出现，对防火墙提出了新 的要求。防火墙必须深入检查数据包的内部来确认出恶意行为并阻止它们。深度包检测(Deep Packet Inspection)就是针对这种需求，深入检测数据 包有效载荷，执行基于应用层的内容过滤，以此提高系统应用防御能力。应用防御的技术问题主要包括:(l)需要对有效载荷知道得更清楚;(2)也需 要高速检查它的能力。简单的数据包内容过滤对当前正在通过的单一数据包的有效载荷进行扫描 检测，但是对于应用防御的要求而言，这是远远不够的。如一段攻击代码被分割 到 10 个数据包中传输，那么这种简单的对单一数据包的内容检测根本无法对攻 17 计算机防火墙技术论文

击特征进行匹配: 要清楚地知道有效载荷，必须采取有效方法，将单个数据包重 新组合成完整的数据流。应用层的内容过滤要求大量的计算资源，很多情况下高 达 100 倍甚至更高。因而要执行深度包检测，带来的问题必然是性能的下降，这 就是所谓的内容处理障碍。为了突破内容处理障碍，达到实时地分析网络内容和 行为，需要重点在加速上采取有效的办法。通过采用硬件芯片和更加优化的算法，可以解决这个问题。一个深度包检测的流程框图如图 3.1 所示。

图 3.1 深度包检测框图 在接收到网络流量后，将需要进行内容扫描的数据流定向到 TCP/IP 堆栈，其他数据流直接定向到状态检测引擎，按基本检测方式进行处理。定向到 TCP/IP 堆栈的数据流，首先转换成内容数据流。服务分析器根据数据流服务类型分离内 容数据流，传送数据流到一个命令解析器中。命令解析器定制和分析每一个内容 协议，分析内容数据流，检测病毒和蠕虫。如果检测到信息流是一个 HTTP 数据 流，则命令解析器检查上载和下载的文件;如果数据是 Mail 类型，则检查邮件的 附件。如果数据流包含附件或上载/下载文件，附件和文件将传输到病毒扫描引 擎，所有其他内容传输到内容过滤引擎。如果内容过滤启动，数据流将根据过滤 的设置进行匹配，通过或拒绝数据。3.4.5 流过滤技术 流过滤是东软集团提出的一种新型防火墙技术架构，它融基于状态的包过 滤技术与基于内容的深度包检测技术为一体，提供了一个较好的应用防御解决方 案，它以状态监测技术为基础，但在此基础上进行了改进其基本的原理是:以状 态包过滤的形态实现应用层的保护能力:通过内嵌的专门实现的 TCP/IP 协议栈，实现了透明的应用信息过滤机制。18 计算机防火墙技术论文

流过滤技术[17]的关键在于其架构中的专用 TCP/IP 协议栈:这个协议栈是 一个标准的 TCP 协议的实现，依据 TCP 协议的定义对出入防火墙的数据包进行了，完整的重组，重组后的数据流交给应用层过滤逻辑进行过滤，从而可以有效地识 别并拦截应用层的攻击企图。在这种机制下，从防火墙外部看，仍然是包过滤的形态，工作在链路层或 IP 层，在规则允许下，两端可以直接访问，但是任何一个被规则允许的访问在 防火墙内部都存在两个完全独立的 TCP 会话，数据以“流”的方式从一个会话流 向另一个会话。由于防火墙的应用层策略位于流的中间，因此可以在任何时候代 替服务器或客户端参与应用层的会话，从而起到了与应用代理防火墙相同的控制 能力。如在对 SMTP 协议的处理中，系统可以在透明网桥的模式下实现完全的对 邮件的存储转发，并实现丰富的对 SMTP 协议的各种攻击的防范功能一流过滤的 示意图如图 3.2 所示。

图 3.2 流过滤示意图 19 计算机防火墙技术论文

第四章

4.1 硬件连接与实施

防火墙的配置

一般来说硬件防火墙和路由交换设备一样具备多个以太接口，速度根据档次 与价格不同而在百兆与千兆之间有所区别。(如图 4.1)图 4.1 对于中小企业来说一般出口带宽都在 100M 以内，所以我们选择 100M 相关产 品即可。网络拓扑图中防火墙的位置很关键，一般介于内网与外网互连中间区域，针对外网访问数据进行过滤和监控。如果防火墙上有 WAN 接口，那么直接将 WAN 接口连接外网即可，如果所有接 口都标记为 LAN 接口，那么按照常规标准选择最后一个 LAN 接口作为外网连接端 口。相应的其他 LAN 接口连接内网各个网络设备。4.2 防火墙的特色配置

从外观上看防火墙和传统的路由器交换机没有太大的差别，一部分防火墙

具备 CONSOLE 接口通过超级终端的方式初始化配置，而另外一部分则直接通过默 认的 LAN 接口和管理地址访问进行配置。与路由器交换机不同的是在防火墙配置中我们需要划分多个不同权限不同 优先级别的区域，另外还需要针对相应接口隶属的区域进行配置，例如 1 接口划 分到 A 区域，2 接口划分到 B 区域等等，通过不同区域的访问权限差别来实现防 火墙保护功能。默认情况下防火墙会自动建立 trust 信任区，untrust 非信任区，DMZ 堡垒主机区以及 LOCAL 本地区域。相应的本地区域优先级最高，其次是 trust 信任区，DMZ 堡垒主机区，最低的是 untrust 非信任区域。20 计算机防火墙技术论文 在实际设置时我们必须将端口划分到某区域后才能对其进行各个访问操 作，否则默认将阻止对该接口的任何数据通讯。除此之外防火墙的其他相关配置与路由交换设备差不多，无外乎通过超级 终端下的命令行参数进行配置或者通过 WEB 管理界面配置。4.3 软件的配置与实施

以 H3C 的 F100 防火墙为例，当企业外网 IP 地址固定并通过光纤连接的具体

配置。首先当企业外网出口指定 IP 时配置防火墙参数。选择接口四连接外网，接 口 一 连 接 内 网。这 里 假 设 电 信 提 供 的 外 网 IP 地 址 为 202.10.1.194 255.255.255.0。第一步：通过 CONSOLE 接口以及本机的超级终端连接 F100 防火墙，执行 system 命令进入配置模式。第二步：通过 firewall packet default permit 设置默认的防火墙策略为 “容许通过”。第三步：进入接口四设置其 IP 地址为 202.10.1.194，命令为 int e0/4 ip add 202.10.1.194 255.255.255.0 第四步：进入接口一设置其 IP 地址为内网地址，例如 192.168.1.1 255.255.255.0，命令为 int e0/1 ip add 192.168.1.1 255.255.255.0 第五步： 将两个接口加入到不同的区域，外网接口配置到非信任区 untrust，内网接口加入到信任区 trust—— fire zone untrust add int e0/4 fire zone trust add int e0/1 第六步：由于防火墙运行基本是通过 NAT 来实现，各个保护工作也是基于此 功能实现的，所以还需要针对防火墙的 NAT 信息进行设置，首先添加一个访问控 制列表—— acl num 2000 21 计算机防火墙技术论文

rule per source 192.168.0.0 0.0.255.255 rule deny 第七步：接下来将这个访问控制列表应用到外网接口通过启用 NAT—— int e0/4 nat outbound 2000 第八步：最后添加路由信息，设置缺省路由或者静态路由指向外网接口或 外网电信下一跳地址—— ip route-static 0.0.0.0 0.0.0.0 202.10.1.193(如图 2)执行 save 命令保存退出后就可以在企业外网出口指定 IP 时实现防火墙数据转发 以及安全保护功能了。22 计算机防火墙技术论文

第五章

防火墙发展趋势

针对传统防火墙不能解决的问题，及新的网络攻击的出现，防火墙技术也 出现了新的发展趋势。主要可以从包过滤技术、防火墙体系结构和防火墙系统管 理三方面来体现。5.1 防火墙包过滤技术发展趋势

(1)安全策略功能 一些防火墙厂商把在 AAA 系统上运用的用户认证及其服务扩展到防火墙中，使其拥有可以支持基于用户角色的安全策略功能。该功能在无线网络应用中非常 必要。具有用户身份验证的防火墙通常是采用应用级网关技术的，包过滤技术的 防火墙不具有。用户身份验证功能越强，它的安全级别越高，但它给网络通信带 来的负面影响也越大，因为用户身份验证需要时间，特别是加密型的用户身份验 证。(2)多级过滤技术 所谓多级过滤技术，是指防火墙采用多级过滤措施，并辅以鉴别手段。在分 组过滤(网络层)一级，过滤掉所有的源路由分组和假冒的 IP 源地址；在传输层 一级，遵循过滤规则，过滤掉所有禁止出或/和入的协议和有害数据包如 nuke 包、圣诞树包等；在应用网关(应用层)一级，能利用 FTP、SMTP 等各种网关，控 制和监测 Internet 提供的所用通用服务。这是针对以上各种已有防火墙技术的 不足而产生的一种综合型过滤技术，它可以弥补以上各种单独过滤技术的不足。这种过滤技术在分层上非常清楚，每种过滤技术对应于不同的网络层，从这 个概念出发，又有很多内容可以扩展，为将来的防火墙技术发展打下基础。(3)功能扩展 功能扩展是指一种集成多种功能的设计趋势，包括 VPN、AAA、PKI、IPSec 等附加功能，甚至防病毒、入侵检测这样的主流功能，都被集成到防火墙产品中 了，很多时候我们已经无法分辨这样的产品到底是以防火墙为主，还是以某个功 能为主了，即其已经逐渐向我们普遍称之为 IPS（入侵防御系统）的产品转化了。23 计算机防火墙技术论文

有些防火墙集成了防病毒功能，通常被称之为“病毒防火墙”，当然目前主要还 是在个人防火墙中体现，因为它是纯软件形式，更容易实现。这种防火墙技术可 以有效地防止病毒在网络中的传播，比等待攻击的发生更加积极。拥有病毒防护 功能的防火墙可以大大减少公司的损失。5.2 防火墙的体系结构发展趋势

随着网络应用的增加，对网络带宽提出了更高的要求。这意味着防火墙要

能够以非常高的速率处理数据。另外，在以后几年里，多媒体应用将会越来越普 遍，它要求数据穿过防火墙所带来的延迟要足够小。为了满足这种需要，一些防 火墙制造商开发了基于 ASIC 的防火墙和基于网络处理器的防火墙。从执行速度 的角度看来，基于网络处理器的防火墙也是基于软件的解决方案，它需要在很大 程度上依赖于软件的性能，但是由于这类防火墙中有一些专门用于处理数据层面 任务的引擎，从而减轻了 CPU 的负担，该类防火墙的性能要比传统防火墙的性能 好许多。与基于 ASIC 的纯硬件防火墙相比，基于网络处理器的防火墙具有软件色彩，因而更加具有灵活性。基于 ASIC 的防火墙使用专门的硬件处理网络数据流，比 起前两种类型的防火墙具有更好的性能。但是纯硬件的 ASIC 防火墙缺乏可编程 性，这就使得它缺乏灵活性，从而跟不上防火墙功能的快速发展。理想的解决方 案是增加 ASIC 芯片的可编程性，使其与软件更好地配合。这样的防火墙就可以 同时满足来自灵活性和运行性能的要求。5.3 防火墙的系统管理发展趋势

(1)集中式管理，分布式和分层的安全结构。(2)强大的审计功能和自动日志分析功能。(3)网络安全产品的系统化 纵观防火墙技术的发展，黑客入侵系统技术的不断进步以及网络病毒朝智

能化和多样化发展，对防火墙技术的同步发展提出了更高的要求。防火墙技术只 有不断向主动型和智能型等方向发展，才能更好的满足人们对防火墙技术日益增 长的需求。24 计算机防火墙技术论文

结论

随着 Internet 和 Intranet 技术的发展,网络的安全已经显得越来越重要, 网络病毒对企业造成的危害已经相当广泛和严重, 其中也会涉及到是否构成犯 罪行为的问题，相应的病毒防范技术也发展到了网络层面,并且愈来愈有与黑客 技术和漏洞相结合的趋势。新型防火墙技术产生,就是为了解决来自企业网络内 和外的攻击;克服传统“边界防火墙”的缺点,集成了 IDS、VPN 和防病毒等安 全技术,实现从网络到服务器以及客户端全方位的安全解决方案,满足企业实际 应用和发展的安全要求。防火墙目的在于为用户提供信息的保密，认证和完整性保护机制，使网络中 的服务，数据以及系统免受侵扰和破坏。本论文从防火墙方面解决网络安全问题，对网络安全技术的有深刻的了解。25 计算机防火墙技术论文

参考文献

[1] 王艳.浅析计算机安全[J].电脑知识与技术.2010，(s):1054 一 1055.[2] 艾军.防火墙体系结构及功能分析[J].电脑知识与技术.2004，(s):79 一 82.[3] 高峰.许南山.防火墙包过滤规则问题的研究[M].计算机应用.2003，23(6):311 一 312.[4] 孟涛、杨磊.防火墙和安全审计[M].计算机安全.2004，(4):17 一 18.[5] 郑林.防火墙原理入门[Z].E 企业.2000.[6] 魏利华.防火墙技术及其性能研究.能源研究与信息.2004，20(l):57 一 62 [7] 李剑，刘美华，曹元大.分布式防火墙系统.安全与环境学报.2002，2(l):59 一 61 [8] 王卫平，陈文惠，朱卫未.防火墙技术分析.信息安全与通信保密.2006，(8):24 一 27 [9] A.Feldman, S.Muthukrishnan.Tradeoffs for Packet ClassifiCation.Proc.Of the 9 th Annual Joint Conference of the IEEE Computer and Communieations Soeieties.2000,vo1.3, 1193-1202.[10] ]王永纲，石江涛，戴雪龙，颜天信.网络包分类算法仿真测试与比较研究.中国科学技 术大学学报.2004，34(4):400 一 409 [11] 邵华钢，杨明福.基于空间分解技术的多维数据包分类.计算机工程.2003，29(12):123 一 124 [12] 付歌，杨明福.一个快速的二维数据包分类算法.计算机工程.2004，30(6):76 一 78 [13] 付 歌，杨 明 福，王 兴 军.基 于 空 间 分 解 的 数 据 包 分 类 技 术.计 算 机 工 程 与 应 用.2004(8):63 一 65 [14] 〕韩晓非，王学光，杨明福.位并行数据包分类算法研究.华东理工大学学报.2003，29(5):504 一 508 [15] 韩晓非，杨明福，王学光.基于元组空间的位并行包分类算法.计算机工程与应用.2003，(29):188 一 192 [16] 冯东雷，张勇，白英彩.一种高性能包分类渐增式更新算法.计算机研究与发展.2003，40(3):387 一 392 [17] 余胜生，张宁，周敬利，胡熠峰.一种用于大规模规则库的快速包分类算法.计算机工 程.2004，30(7):49 一 51 26 计算机防火墙技术论文

致谢