注册
登录
| 关键词： 防火墙 数据 网关 代理服务 技术 应用层 网络 链路 应用 如图 |
3.1.1 防火墙关键技术分析 防火墙所用的主要技术有数据包过滤、应用网关和代理服务等。下面进行简单介绍。 1．包过滤（Paket Filter）技术 在适当位置对数据包进行过滤，实施有选择地通过策略，其工作原理示意图如图3-1所示。 判断依据为防火墙系统内设置的过滤逻辑（通常称为访问控制列表ACL：Access Control List）。通过检查数据流中的每个数据包，根据数据包的源IP地址、目的IP地址、TCP/UDP源端口、TCP/UDP目的端口、TCP链路状态等因素或它们的组合来确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发至相应的目的地出口端。其余数据包则被从数据流中删除。包过滤技术的实现方式相当简单，但包过滤防火墙是在网络层上工作的一种技术，因而对位于网络更高协议层的信息无理解能力，使得它对通过网络应用层协议实现的安全威胁无防范能力。 2．应用网关（Application Gateway） 是建立在网络应用层上的协议过滤、转发功能，如图3-2所示。应用网关针对特别的网络应用服务协议指定数据过滤逻辑，并可根据在按应用协议指定的数据过滤逻辑进行过滤的同时对数据包分析的结果及采取的措施进行登录和统计，形成报告。 数据包过滤技术与应用网关技术的一个共同特点是：它们都仅依特定的逻辑来检查是否允许特定的数据包通过。一旦特定的网络数据流满足逻辑，则防火墙内外的计算机系统建立直接联系，因而保留了防火墙外部网络系统直接了解防火墙内网络结构和运行状态的可能。 3．代理服务（Proxy Service） 代理服务也称链路级网关或TCP通道，也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术。 图3-3 代理服务防火墙应用层控制及传输过程示意图 如图3-3所示，其特点是将所有跨越防火墙的网络通信链路分为两段，防火墙内外计算机系统间的应用层联系由两个终止于代理服务器上的链接来实现。外部计算机的网络链路只能到达代理服务器，由此实现了防火墙内外计算机系统的隔离，代理服务器在此等效于一个网络传输层上的数据转发器的功能。它可以将被保护网络的内部结构屏蔽起来，显著增强了网络的安全性能，同时代理服务器也对过往的数据包进行分析、记录，并可形成报告。当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
