防火墻知識(shí)入門
防火墻知識(shí)入門
下面小編來(lái)給大家講解一下防火墻知識(shí)入門級(jí)別!
一. 防火墻的概念
近年來(lái),隨著普通計(jì)算機(jī)用戶群的日益增長(zhǎng),“防火墻”一詞已經(jīng)不再是服務(wù)器領(lǐng)域的專署,大部分家庭用戶都知道為自己愛機(jī)安裝各種“防火墻”軟件了。但是,并不是所有用戶都對(duì)“防火墻”有所了解的,一部分用戶甚至認(rèn)為,“防火墻”是一種軟件的名稱……
到底什么才是防火墻?它工作在什么位置,起著什么作用?查閱歷史書籍可知,古代構(gòu)筑和使用木制結(jié)構(gòu)房屋的時(shí)候?yàn)榉乐够馂?zāi)的發(fā)生和蔓延,人們將堅(jiān)固的石塊堆砌在房屋周圍作為屏障,這種防護(hù)構(gòu)筑物就被稱為“防火墻”(FireWall)。時(shí)光飛梭,隨著計(jì)算機(jī)和網(wǎng)絡(luò)的發(fā)展,各種攻擊入侵手段也相繼出現(xiàn)了,為了保護(hù)計(jì)算機(jī)的安全,人們開發(fā)出一種能阻止計(jì)算機(jī)之間直接通信的技術(shù),并沿用了古代類似這個(gè)功能的名字——“防火墻”技術(shù)來(lái)源于此。用專業(yè)術(shù)語(yǔ)來(lái)說,防火墻是一種位于兩個(gè)或多個(gè)網(wǎng)絡(luò)間,實(shí)施網(wǎng)絡(luò)之間訪問控制的組件集合。對(duì)于普通用戶來(lái)說,所謂“防火墻”,指的就是一種被放置在自己的計(jì)算機(jī)與外界網(wǎng)絡(luò)之間的防御系統(tǒng),從網(wǎng)絡(luò)發(fā)往計(jì)算機(jī)的所有數(shù)據(jù)都要經(jīng)過它的判斷處理后,才會(huì)決定能不能把這些數(shù)據(jù)交給計(jì)算機(jī),一旦發(fā)現(xiàn)有害數(shù)據(jù),防火墻就會(huì)攔截下來(lái),實(shí)現(xiàn)了對(duì)計(jì)算機(jī)的保護(hù)功能。
防火墻技術(shù)從誕生開始,就在一刻不停的發(fā)展著,各種不同結(jié)構(gòu)不同功能的防火墻,構(gòu)筑成網(wǎng)絡(luò)上的一道道防御大堤。
二. 防火墻的分類
世界上沒有一種事物是唯一的,防火墻也一樣,為了更有效率的對(duì)付網(wǎng)絡(luò)上各種不同攻擊手段,防火墻也派分出幾種防御架構(gòu)。根據(jù)物理特性,防火墻分為兩大類,硬件防火墻和軟件防火墻。軟件防火墻是一種安裝在負(fù)責(zé)內(nèi)外網(wǎng)絡(luò)轉(zhuǎn)換的網(wǎng)關(guān)服務(wù)器或者獨(dú)立的個(gè)人計(jì)算機(jī)上的特殊程序,它是以邏輯形式存在的,防火墻程序跟隨系統(tǒng)啟動(dòng),通過運(yùn)行在Ring0級(jí)別的特殊驅(qū)動(dòng)模塊把防御機(jī)制插入系統(tǒng)關(guān)于網(wǎng)絡(luò)的處理部分和網(wǎng)絡(luò)接口設(shè)備驅(qū)動(dòng)之間,形成一種邏輯上的防御體系。
在沒有軟件防火墻之前,系統(tǒng)和網(wǎng)絡(luò)接口設(shè)備之間的通道是直接的,網(wǎng)絡(luò)接口設(shè)備通過網(wǎng)絡(luò)驅(qū)動(dòng)程序接口(Network Driver Interface Specification,NDIS)把網(wǎng)絡(luò)上傳來(lái)的各種報(bào)文都忠實(shí)的交給系統(tǒng)處理,例如一臺(tái)計(jì)算機(jī)接收到請(qǐng)求列出機(jī)器上所有共享資源的數(shù)據(jù)報(bào)文,NDIS直接把這個(gè)報(bào)文提交給系統(tǒng),系統(tǒng)在處理后就會(huì)返回相應(yīng)數(shù)據(jù),在某些情況下就會(huì)造成信息泄漏。而使用軟件防火墻后,盡管NDIS接收到仍然的是原封不動(dòng)的數(shù)據(jù)報(bào)文,但是在提交到系統(tǒng)的通道上多了一層防御機(jī)制,所有數(shù)據(jù)報(bào)文都要經(jīng)過這層機(jī)制根據(jù)一定的規(guī)則判斷處理,只有它認(rèn)為安全的數(shù)據(jù)才能到達(dá)系統(tǒng),其他數(shù)據(jù)則被丟棄。因?yàn)橛幸?guī)則提到“列出共享資源的行為是危險(xiǎn)的”,因此在防火墻的判斷下,這個(gè)報(bào)文會(huì)被丟棄,這樣一來(lái),系統(tǒng)接收不到報(bào)文,則認(rèn)為什么事情也沒發(fā)生過,也就不會(huì)把信息泄漏出去了。
軟件防火墻工作于系統(tǒng)接口與NDIS之間,用于檢查過濾由NDIS發(fā)送過來(lái)的數(shù)據(jù),在無(wú)需改動(dòng)硬件的前提下便能實(shí)現(xiàn)一定強(qiáng)度的安全保障,但是由于軟件防火墻自身屬于運(yùn)行于系統(tǒng)上的程序,不可避免的需要占用一部分CPU資源維持工作,而且由于數(shù)據(jù)判斷處理需要一定的時(shí)間,在一些數(shù)據(jù)流量大的網(wǎng)絡(luò)里,軟件防火墻會(huì)使整個(gè)系統(tǒng)工作效率和數(shù)據(jù)吞吐速度下降,甚至有些軟件防火墻會(huì)存在漏洞,導(dǎo)致有害數(shù)據(jù)可以繞過它的防御體系,給數(shù)據(jù)安全帶來(lái)?yè)p失,因此,許多企業(yè)并不會(huì)考慮用軟件防火墻方案作為公司網(wǎng)絡(luò)的防御措施,而是使用看得見摸得著的硬件防火墻。
硬件防火墻是一種以物理形式存在的專用設(shè)備,通常架設(shè)于兩個(gè)網(wǎng)絡(luò)的駁接處,直接從網(wǎng)絡(luò)設(shè)備上檢查過濾有害的數(shù)據(jù)報(bào)文,位于防火墻設(shè)備后端的網(wǎng)絡(luò)或者服務(wù)器接收到的是經(jīng)過防火墻處理的相對(duì)安全的數(shù)據(jù),不必另外分出CPU資源去進(jìn)行基于軟件架構(gòu)的NDIS數(shù)據(jù)檢測(cè),可以大大提高工作效率。
硬件防火墻一般是通過網(wǎng)線連接于外部網(wǎng)絡(luò)接口與內(nèi)部服務(wù)器或企業(yè)網(wǎng)絡(luò)之間的設(shè)備,這里又另外派分出兩種結(jié)構(gòu),一種是普通硬件級(jí)別防火墻,它擁有標(biāo)準(zhǔn)計(jì)算機(jī)的硬件平臺(tái)和一些功能經(jīng)過簡(jiǎn)化處理的UNIX系列操作系統(tǒng)和防火墻軟件,這種防火墻措施相當(dāng)于專門拿出一臺(tái)計(jì)算機(jī)安裝了軟件防火墻,除了不需要處理其他事務(wù)以外,它畢竟還是一般的操作系統(tǒng),因此有可能會(huì)存在漏洞和不穩(wěn)定因素,安全性并不能做到最好;另一種是所謂的“芯片”級(jí)硬件防火墻,它采用專門設(shè)計(jì)的硬件平臺(tái),在上面搭建的軟件也是專門開發(fā)的,并非流行的操作系統(tǒng),因而可以達(dá)到較好的安全性能保障。但無(wú)論是哪種硬件防火墻,管理員都可以通過計(jì)算機(jī)連接上去設(shè)置工作參數(shù)。由于硬件防火墻的主要作用是把傳入的數(shù)據(jù)報(bào)文進(jìn)行過濾處理后轉(zhuǎn)發(fā)到位于防火墻后面的網(wǎng)絡(luò)中,因此它自身的硬件規(guī)格也是分檔次的,盡管硬件防火墻已經(jīng)足以實(shí)現(xiàn)比較高的信息處理效率,但是在一些對(duì)數(shù)據(jù)吞吐量要求很高的網(wǎng)絡(luò)里,檔次低的防火墻仍然會(huì)形成瓶頸,所以對(duì)于一些大企業(yè)而言,芯片級(jí)的硬件防火墻才是他們的首選。 `
有人也許會(huì)這么想,既然PC架構(gòu)的防火墻也不過如此,那么購(gòu)買這種防火墻還不如自己找技術(shù)人員專門騰出一臺(tái)計(jì)算機(jī)來(lái)做防火墻方案了。雖然這樣做也是可以的,但是工作效率并不能和真正的PC架構(gòu)防火墻相比,因?yàn)镻C架構(gòu)防火墻采用的是專門修改簡(jiǎn)化過的系統(tǒng)和相應(yīng)防火墻程序,比一般計(jì)算機(jī)系統(tǒng)和軟件防火墻更高度緊密集合,而且由于它的工作性質(zhì)決定了它要具備非常高的穩(wěn)定性、實(shí)用性和非常高的系統(tǒng)吞吐性能,這些要求并不是安裝了多網(wǎng)卡的計(jì)算機(jī)就能簡(jiǎn)單替代的,因此PC架構(gòu)防火墻雖然是與計(jì)算機(jī)差不多的配置,價(jià)格卻相差很大。
現(xiàn)實(shí)中我們往往會(huì)發(fā)現(xiàn),并非所有企業(yè)都架設(shè)了芯片級(jí)硬件防火墻,而是用PC架構(gòu)防火墻甚至前面提到的計(jì)算機(jī)替代方案支撐著,為什么?這大概就是硬件防火墻最顯著的缺點(diǎn)了:它太貴了!購(gòu)進(jìn)一臺(tái)PC架構(gòu)防火墻的成本至少都要幾千元,高檔次的芯片級(jí)防火墻方案更是在十萬(wàn)元以上,這些價(jià)格并非是小企業(yè)所能承受的,而且對(duì)于一般家庭用戶而言,自己的數(shù)據(jù)和系統(tǒng)安全也無(wú)需專門用到一個(gè)硬件設(shè)備去保護(hù),何況為一臺(tái)防火墻投入的資金足以讓用戶購(gòu)買更高檔的電腦了,因而廣大用戶只要安裝一種好用的軟件防火墻就夠了。
為防火墻分類的方法很多,除了從形式上把它分為軟件防火墻和硬件防火墻以外,還可以從技術(shù)上分為“包過濾型”、“應(yīng)用代理型”和“狀態(tài)監(jiān)視”三類;從結(jié)構(gòu)上又分為單一主機(jī)防火墻、路由集成式防火墻和分布式防火墻三種;按工作位置分為邊界防火墻、個(gè)人防火墻和混合防火墻;按防火墻性能分為百兆級(jí)防火墻和千兆級(jí)防火墻兩類……雖然看似種類繁多,但這只是因?yàn)闃I(yè)界分類方法不同罷了,例如一臺(tái)硬件防火墻就可能由于結(jié)構(gòu)、數(shù)據(jù)吞吐量和工作位置而規(guī)劃為“百兆級(jí)狀態(tài)監(jiān)視型邊界防火墻”,因此這里主要介紹的是技術(shù)方面的分類,即“包過濾型”、“應(yīng)用代理型”和“狀態(tài)監(jiān)視型”防火墻技術(shù)。
那么,那些所謂的“邊界防火墻”、“單一主機(jī)防火墻”又是什么概念呢?所謂“邊界”,就是指兩個(gè)網(wǎng)絡(luò)之間的接口處,工作于此的防火墻就被稱為“邊界防火墻”;與之相對(duì)的有“個(gè)人防火墻”,它們通常是基于軟件的防火墻,只處理一臺(tái)計(jì)算機(jī)的數(shù)據(jù)而不是整個(gè)網(wǎng)絡(luò)的數(shù)據(jù),現(xiàn)在一般家庭用戶使用的軟件防火墻就是這個(gè)分類了。而“單一主機(jī)防火墻”呢,就是我們最常見的一臺(tái)臺(tái)硬件防火墻了;一些廠商為了節(jié)約成本,直接把防火墻功能嵌進(jìn)路由設(shè)備里,就形成了路由集成式防火墻……