3.2 防火墙

数据参考：CISP官方 

目录

• 防火墙基础概念
• 防火墙的典型技术
• 防火墙企业部署
• 防火墙的局限性

一、防火墙基础概念

防火墙基础概念：

        防火墙（Firewall）一词来源于早期的欧式建筑，它是建筑物之间的一道矮墙，用来防止发生火灾时火势蔓延。在计算机网络中，防火墙通过对数据包的筛选和屏蔽，可以防止非法的访问进入内部或外部计算机网络。

防火墙的定义：

        防火墙可以定义为位于可信网络与不可信网络之间，并对二者之间流动的数据包进行检查和筛选的一台或多台计算机或路由器。

防火墙的功能和特性：

1. 数据包过滤：防火墙可以根据源IP地址、目标IP地址、端口号等信息，对进入或离开网络的数据包进行过滤，只允许符合规则的数据通过。
2. 网络地址转换（NAT）：防火墙可以实现网络地址转换功能，将内部私有网络的IP地址转换为公网IP地址，增加网络安全性和隐私保护。
3. 身份验证和访问控制：防火墙可以要求用户进行身份验证，并根据用户权限控制其对网络资源的访问。
4. 虚拟专用网络（VPN）支持：防火墙可以实现安全的远程访问，支持建立加密的VPN连接，保障远程用户与内部网络之间的通信安全。
5. 日志记录和报警：防火墙可以记录网络流量、安全事件等信息，并及时报警或生成日志，方便管理员监控和分析网络安全状况。
6. 安装一个简单的防火墙可以屏蔽大多数外部的探测和攻击，提供基本的安全防护。

防火墙的应用范围：

        防火墙产品在网络安全中得到广泛的应用，从企业网络到家庭网络防护，甚至个人计算机的安全防护，防火墙都在发挥着积极的作用。它是目前市场上应用范围最广、最易于被客户接受的网络安全产品之一。

防火墙可部署在以下位置：

1. 可信网络与不可信网络之间：防火墙位于可信网络和不可信网络之间，用于监控和控制进入或离开可信网络的数据流量。它可以根据预设的规则对数据包进行筛选和过滤，防止非法访问和攻击进入可信网络。

2. 不同安全级别网络之间：防火墙可用于隔离不同安全级别的网络。例如，企业内部网络可以划分为多个区域，每个区域具有不同的安全级别和访问权限。防火墙可以放置在这些不同安全级别的网络之间，控制数据在不同区域之间的流动，防止未经授权的访问和信息泄露。

3. 两个需要隔离的区域之间：防火墙可以用于隔离两个需要独立保护的区域，例如办公区和生产区。通过放置防火墙在这两个区域之间，可以限制数据的传输，并确保只有经过授权的流量能够通过。

总之，防火墙的部署位置取决于网络安全需求和隔离的目标。它可以用于保护可信网络免受来自不可信网络的攻击，隔离不同安全级别的网络，以及限制两个需要独立保护的区域之间的数据流动。

 

防火墙的基本作用可以总结为以下几个方面：

1. 控制：防火墙在不同安全域的网络连接点上建立一个安全控制点，可以对进出数据进行限制和筛选。通过定义规则和策略，防火墙可以控制哪些数据包被允许通过，哪些被禁止或限制。

2. 隔离：防火墙可以将需要保护的网络与不可信任网络进行隔离，阻止未经授权的访问和攻击者进入受保护的网络。通过防火墙的设置，可以隐藏内部网络的具体拓扑结构和信息，提供额外的安全防护。

3. 记录：防火墙对进出数据进行检查，并记录相关的信息。这些信息可以包括源IP地址、目标IP地址、端口号等。通过对网络流量进行记录，管理员可以及时发现异常活动、安全事件或潜在的威胁，并采取相应的措施来应对和应对安全问题。

防火墙技术原理包括以下几个方面：

1. 定义一个必经之点：防火墙作为网络中的关键节点，必须经过它才能进入或离开内部网络，从而实现对网络流量的控制和管理。

2. 挡住未经授权的访问流量：防火墙通过检查网络数据包的源地址、目标地址、端口等信息，过滤并阻止未经授权的访问流量进入内部网络，以保护网络的安全性。

3. 禁止具有脆弱性的服务带来危害：防火墙可以限制对存在安全漏洞的服务或协议的访问，阻止可能对网络带来危害的攻击，提高网络的安全性。

4. 实施保护，避免欺骗和路由攻击：防火墙采用各种技术，如状态检测、网络地址转换（NAT）等，来检测和防止欺骗和路由攻击，确保网络通信的可靠性和完整性。

防火墙还具备不同的策略来决定数据包的处理方式：

• 接受：允许符合规则和策略的数据包通过防火墙，并传递到目标地址。

• 拒绝：拒绝不符合规则和策略的数据包通过防火墙，并向发送者发送通知信息，告知其被拒绝。

• 丢弃：直接丢弃不符合规则和策略的数据包，不给予发送者任何通知。

以上原理和策略能够帮助防火墙有效地控制网络流量，保护网络免受未经授权的访问、潜在攻击和其他安全威胁。 

二、防火墙的典型技术

1、静态包过滤防火墙

实现机制

• 静态包过滤防火墙的实现机制是基于数据包的基本标记来控制数据包，包括网络层地址（源地址、目的地址）、传输层地址（源端口、目的端口）和协议类型等信息。

优点有：

• 技术逻辑简单，易于实现。
• 处理速度快。
• 过滤规则与应用层无关，不需要修改主机上的应用程序。

不足之处包括：

• 无法实现对应用层信息的过滤处理，不能深入检查和处理应用层协议的内容。
• 针对网络服务多、结构复杂的网络，包过滤规则集合会变得复杂，配置困难。
• 无法防止地址欺骗攻击。
• 不能完全阻断外部客户与内部主机的直接连接。
• 安全性较差。
• 不提供用户认证功能。

2、应用代理防火墙

实现机制：

• 网络之间的连接需要通过防火墙进行转发，不允许会话双方直接通信，而是通过防火墙作为代理将外网数据转发给内网主机设备。

优势包括：

• 提供了NAT功能，避免了内外网主机直接连接，增加了网络安全性。
• 可以隐藏内部网络结构，使得攻击者难以获得内部网络的具体信息。
• 为内部地址管理提供了更大的灵活性，可以根据需要进行地址转换和映射。
• 加强了对网络流量的控制能力，可以详细记录和分析日志，有助于检测和防御恶意活动。
• 可以为用户提供透明的加密机制，保护数据在网络中的传输安全。
• 适用面广，可以支持多种应用和协议。

不足之处：

• 需要对所有的数据包进行转发，导致系统性能的消耗较大，处理效率相对较低。
• 需要为每个服务编写相应的代理程序，限制了防火墙设备的灵活性。
• 由于需要对应用层进行深度解析和处理，可能会对某些特定的应用不提供完全的支持。

3、状态检测防火墙

状态检测防火墙，也称为动态包过滤防火墙，其实现机制是通过创建状态表来维护连接的状态。该状态表用于跟踪和管理网络连接的信息，以确定是否允许数据包通过防火墙。

状态检测防火墙具有以下优势：

• 高安全性：状态检测防火墙可以根据通信和应用程序的状态来确定是否允许数据包通过，从而提供更高的安全性。它不仅考虑单个数据包的规则，还结合了整个通信会话的状态进行判断。
• 详细的日志记录：状态检测防火墙能够记录每个包的详细信息，包括源地址、目标地址、端口等，这些信息有助于进行安全审计和故障排查。
• 透明性：对用户和应用程序来说，状态检测防火墙是透明的，不需要用户或应用程序做任何修改或配置，能够无缝地集成到网络中。
• 较好的适应性：状态检测防火墙可以根据实际网络连接的需求进行动态调整，适应不同的通信模式和应用程序。

不足之处：

• 检测的内容比包过滤技术更多，需要对通信状态进行维护和跟踪，因此对系统性能有较高要求。
• 配置相对复杂：状态检测防火墙需要维护状态表、管理连接信息等，对于用户和管理员的技术水平有一定要求。

三、防火墙企业部署

防火墙的企业部署通常采用企业级防火墙，这是一种专用的网络安全设备，通常是软硬一体的设备。企业级防火墙拥有多个网络接口，可以连接多个不同的网络，并根据策略对网络间的通信数据进行过滤和记录。

在实际的企业环境中，防火墙的部署方式应该根据企业的安全要求和实际情况进行考虑

DMZ（Demilitarized Zone）是一个网络区域，位于不信任的外部网络和可信任的内部网络之间。它可以是一个物理或逻辑子网，用于放置对外部网络提供服务的服务器主机，如 Web 服务器、邮件服务器等。

防火墙的部署方式包括以下几种：

1. 单防火墙（无 DMZ）部署方式：在这种方式下，企业只使用一台防火墙来保护内部网络和外部网络之间的通信。所有的服务器主机都直接连接到内部网络，防火墙负责过滤和控制流入流出的数据包。

2. 单防火墙（DMZ）部署方式：在这种方式下，防火墙与内部网络和外部网络之间建立一个 DMZ 子网。外部网络可以访问 DMZ 子网上的服务器，而内部网络中的主机则无法直接访问 DMZ 子网。这样可以提高内部网络的安全性。

3. 双防火墙部署方式：这种方式下，两台防火墙被放置在内部网络和外部网络之间，分别称为前端防火墙和后端防火墙。前端防火墙连接外部网络和 DMZ 子网，用于过滤和控制来自外部网络的数据包。后端防火墙连接 DMZ 子网和内部网络，用于过滤和控制来自 DMZ 子网的数据包。这种部署方式提供了更高的安全性，隔绝了外部网络和内部网络。

每种部署方式都有其适用场景和安全性需求。企业应根据自身的实际情况和安全要求选择合适的部署方式来保护网络安全。

单防火墙系统（无 DMZ）

单防火墙系统（无 DMZ）是最基本的防火墙部署方式。它适用于没有对外发布服务的企业，主要提供内部网络的基本防护。

以下是单防火墙系统的一些特点和功能：

1. 阻止外部主机对内部受保护资源的连接：防火墙会过滤和阻止来自外部网络的未经授权的连接请求，从而保护内部网络中的受保护资源免受未经授权的访问。

2. 防止外部网络对内部网络的威胁：防火墙可以检测和阻止潜在的恶意流量、入侵尝试和其他安全威胁，以保护内部网络免受外部网络的攻击。

3. 过滤和限制从内部主机到外部资源的流量：防火墙可以对从内部主机发出的流量进行检查和过滤，限制对外部资源的访问。这有助于防止内部主机未经授权地访问风险较高的外部网络资源。

单防火墙系统是一种简单但有效的网络安全措施，适用于家庭网络、小型办公网络和远程办公网络等环境，可以提供基本的网络安全保护。然而，对于需要提供对外服务的企业，建议使用带有 DMZ 的防火墙部署方式，以更好地隔离和保护内部网络和外部网络。

 

单防火墙（DMZ）部署方式 

单防火墙（DMZ）部署方式通过在防火墙内部划分一个或多个非军事化区（DMZ），提供了更高层次的网络安全保护。

以下是关于单防火墙（DMZ）部署方式的一些要点：

1. 对外发布的服务器部署在DMZ：为了增加安全性，企业可以将对外发布的服务器（如Web服务器、邮件服务器等）部署在DMZ区域中。这意味着即使DMZ区中的服务器被攻击者控制，由于受到防火墙策略的限制，攻击者无法通过DMZ区中的服务器对内部网络中的计算机发起攻击。

2. DMZ数量的设置：可设置的DMZ数量取决于所使用的防火墙产品支持和扩展的DMZ端口的数量。企业可以根据需求和安全性要求，在防火墙内部划分一个或多个DMZ区域。

3. 所有流量必须通过单防火墙（所以对防火墙的性能要求比较高）：无论是来自外部网络访问DMZ区的流量，还是从DMZ区访问内部网络的流量，都必须经过单防火墙。防火墙会根据预设的规则对流量进行检查和控制，以确保只有经过授权的流量可以通过。

对于单防火墙（DMZ）部署方式，企业需要根据业务需求和安全要求来设置和配置防火墙规则。同时，确保防火墙的性能满足流量的处理需求也是重要的考虑因素。综合考虑这些因素，可以建立一个更安全和可靠的网络环境。

双防火墙（多防火墙）部署方式

        双防火墙（多防火墙）部署方式在不同安全级别的网络之间部署两个或多个防火墙，为不同安全区域之间的流量提供了更细粒度的控制能力。

以下是关于双防火墙部署方式的一些要点：

1. 外部防火墙和内部防火墙：双防火墙部署使用两台防火墙，一台作为外部防火墙，一台作为内部防火墙。它们之间形成了一个非军事区网段，也称为DMZ。每个防火墙都是独立的控制点，分别独立控制着不同安全区域之间的流量。

2. 提供更细粒度的控制能力：相比单防火墙部署，双防火墙部署可以提供更高级别的安全性。通过两个独立的防火墙，可以实现更细粒度的流量控制和审计。例如，外部防火墙可以过滤和验证从外部网络进入DMZ的流量，而内部防火墙可以进一步保护内部网络免受来自DMZ的潜在威胁。

3. 复杂性和成本：双防火墙部署相对于单防火墙部署来说更为复杂，需要配置和管理两个独立的防火墙设备。此外，由于涉及到多个防火墙设备，部署和维护成本可能会较高。

4. 异构的安全：当防火墙产品选自于不同厂商时，可以提供基于异构的安全。使用不同厂商的防火墙产品可以减少特定厂商防火墙的漏洞风险，并提供更高层次的安全性。

总体而言，双防火墙部署方式在网络安全方面提供了更为严密和可靠的系统结构。然而，部署这种方式需要权衡复杂性、成本以及管理资源的因素。

四、防火墙的局限性

防火墙虽然是网络安全中最常用的设备之一，但它只能解决网络安全难题的一小部分。同时，防火墙存在以下局限和不足：

1. 难于管理和配置，易造成安全漏洞：防火墙的管理和配置需要专业知识和经验，如果配置错误或者缺乏最新的安全威胁了解，就会导致安全漏洞的产生。

2. 防外不防内，不能防范恶意的知情者：传统防火墙主要关注来自外部网络的攻击，对于内部网络的威胁较为有限，恶意的内部用户或者拥有内部访问权限的人员可能绕过防火墙进行攻击。

3. 粗粒度的访问控制难以提供一致的安全策略：防火墙的访问控制通常基于简单的信息，如IP地址和端口号，无法满足复杂的用户需求，难以在防火墙内外提供一致的安全策略。

4. 无法全面防范病毒和某些网络攻击：传统防火墙主要通过数据包过滤进行安全防护，难以全面应对病毒、恶意软件和一些高级网络攻击，如零日漏洞利用。

因此，建立一个全面的网络安全策略需要考虑多种安全措施和设备的综合应用，不能仅依赖于防火墙。其他安全措施包括入侵检测系统、防病毒软件等，以提升网络的整体安全性。