?防火墻技術(shù)

　　傳統(tǒng)意義上的防火墻技術(shù)分為三大類，“包過濾”（Packet Filtering）、“應(yīng)用代理”（ApplicationProxy）和“狀態(tài)監(jiān)視”（Stateful Inspection），無論一個(gè)防火墻的實(shí)現(xiàn)過程多么復(fù)雜，歸根結(jié)底都是在這三種技術(shù)的基礎(chǔ)上進(jìn)行功能擴(kuò)展的。

1.包過濾技術(shù)

　　包過濾是最早使用的一種防火墻技術(shù)，它的第一代模型是“靜態(tài)包過濾”（Static Packet Filtering），使用包過濾技術(shù)的防火墻通常工作在OSI模型中的網(wǎng)絡(luò)層（Network Layer）上，后來發(fā)展更新的“動(dòng)態(tài)包過濾”（Dynamic Packet Filtering）增加了傳輸層（Transport Layer），簡而言之，包過濾技術(shù)工作的地方就是各種基于TCP/IP協(xié)議的數(shù)據(jù)報(bào)文進(jìn)出的通道，它把這兩層作為數(shù)據(jù)監(jiān)控的對(duì)象，對(duì)每個(gè)數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進(jìn)行分析，并與預(yù)先設(shè)定好的防火墻過濾規(guī)則（Filtering Rule）進(jìn)行核對(duì)，一旦發(fā)現(xiàn)某個(gè)包的某個(gè)或多個(gè)部分與過濾規(guī)則匹配并且條件為“阻止”的時(shí)候，這個(gè)包就會(huì)被丟棄。適當(dāng)?shù)脑O(shè)置過濾規(guī)則可以讓防火墻工作得更安全有效，但是這種技術(shù)只能根據(jù)預(yù)設(shè)的過濾規(guī)則進(jìn)行判斷，一旦出現(xiàn)一個(gè)沒有在設(shè)計(jì)人員意料之中的有害數(shù)據(jù)包請(qǐng)求，整個(gè)防火墻的保護(hù)就相當(dāng)于擺設(shè)了。也許你會(huì)想，讓用戶自行添加不行嗎？但是別忘了，我們要為是普通計(jì)算機(jī)用戶考慮，并不是所有人都了解網(wǎng)絡(luò)協(xié)議的，如果防火墻工具出現(xiàn)了過濾遺漏問題，他們只能等著被入侵了。一些公司采用定期從網(wǎng)絡(luò)升級(jí)過濾規(guī)則的方法，這個(gè)創(chuàng)意固然可以方便一部分家庭用戶，但是對(duì)相對(duì)比較專業(yè)的用戶而言，卻不見得就是好事，因?yàn)樗麄兛赡軙?huì)有根據(jù)自己的機(jī)器環(huán)境設(shè)定和改動(dòng)的規(guī)則，如果這個(gè)規(guī)則剛好和升級(jí)到的規(guī)則發(fā)生沖突，用戶就該郁悶了，而且如果兩條規(guī)則沖突了，防火墻該聽誰的，會(huì)不會(huì)當(dāng)場“死給你看”（崩潰）？也許就因?yàn)榭紤]到這些因素，至今我沒見過有多少個(gè)產(chǎn)品會(huì)提供過濾規(guī)則更新功能的，這并不能和殺毒軟件的病毒特征庫升級(jí)原理相提并論。為了解決這種魚與熊掌的問題，人們對(duì)包過濾技術(shù)進(jìn)行了改進(jìn)，這種改進(jìn)后的技術(shù)稱為“動(dòng)態(tài)包過濾”（市場上存在一種“基于狀態(tài)的包過濾防火墻”技術(shù)，即Stateful-based Packet Filtering，他們其實(shí)是同一類型），與它的前輩相比，動(dòng)態(tài)包過濾功能在保持著原有靜態(tài)包過濾技術(shù)和過濾規(guī)則的基礎(chǔ)上，會(huì)對(duì)已經(jīng)成功與計(jì)算機(jī)連接的報(bào)文傳輸進(jìn)行跟蹤，并且判斷該連接發(fā)送的數(shù)據(jù)包是否會(huì)對(duì)系統(tǒng)構(gòu)成威脅，一旦觸發(fā)其判斷機(jī)制，防火墻就會(huì)自動(dòng)產(chǎn)生新的臨時(shí)過濾規(guī)則或者把已經(jīng)存在的過濾規(guī)則進(jìn)行修改，從而阻止該有害數(shù)據(jù)的繼續(xù)傳輸，但是由于動(dòng)態(tài)包過濾需要消耗額外的資源和時(shí)間來提取數(shù)據(jù)包內(nèi)容進(jìn)行判斷處理，所以與靜態(tài)包過濾相比，它會(huì)降低運(yùn)行效率，但是靜態(tài)包過濾已經(jīng)幾乎退出市場了，我們能選擇的，大部分也只有動(dòng)態(tài)包過濾防火墻了。

　　基于包過濾技術(shù)的防火墻，其缺點(diǎn)是很顯著的：它得以進(jìn)行正常工作的一切依據(jù)都在于過濾規(guī)則的實(shí)施，但是偏又不能滿足建立精細(xì)規(guī)則的要求（規(guī)則數(shù)量和防火墻性能成反比），而且它只能工作于網(wǎng)絡(luò)層和傳輸層，并不能判斷高級(jí)協(xié)議里的數(shù)據(jù)是否有害，但是由于它廉價(jià)，容易實(shí)現(xiàn)，所以它依然服役在各種領(lǐng)域，在技術(shù)人員頻繁的設(shè)置下為我們工作著。

2.應(yīng)用代理技術(shù)

　　由于包過濾技術(shù)無法提供完善的數(shù)據(jù)保護(hù)措施，而且一些特殊的報(bào)文攻擊僅僅使用過濾的方法并不能消除危害（如SYN攻擊、ICMP洪水等），因此人們需要一種更全面的防火墻保護(hù)技術(shù)，在這樣的需求背景下，采用“應(yīng)用代理”（Application Proxy）技術(shù)的防火墻誕生了。我們的讀者還記得“代理”的概念嗎？代理服務(wù)器作為一個(gè)為用戶保密或者突破訪問限制的數(shù)據(jù)轉(zhuǎn)發(fā)通道，在網(wǎng)絡(luò)上應(yīng)用廣泛。應(yīng)用代理(Application Proxy)技術(shù)是指在web服務(wù)器上或某一臺(tái)單獨(dú)主機(jī)上運(yùn)行代理服務(wù)器軟件，對(duì)網(wǎng)絡(luò)上的信息進(jìn)行監(jiān)聽和檢測(cè)，并對(duì)訪問內(nèi)網(wǎng)的數(shù)據(jù)進(jìn)行過濾，從而起到隔斷內(nèi)網(wǎng)與外網(wǎng)的直接通信的作用，保護(hù)內(nèi)網(wǎng)不受破壞。在代理方式下，內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包不能直接進(jìn)入外部網(wǎng)絡(luò)，內(nèi)網(wǎng)用戶對(duì)外網(wǎng)的訪問變成代理對(duì)外網(wǎng)的訪問。同樣，外部網(wǎng)絡(luò)的數(shù)據(jù)也不能直接進(jìn)入內(nèi)網(wǎng)，而是要經(jīng)過代理的處理之后才能到達(dá)內(nèi)部網(wǎng)絡(luò)。所有通信都必須經(jīng)應(yīng)用層代理軟件轉(zhuǎn)發(fā)，應(yīng)用層的協(xié)議會(huì)話過程必須符合代理的安全策略要求，因此在代理上就可以實(shí)現(xiàn)訪問控制、網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)等功能。?[這種防火墻實(shí)際上就是一臺(tái)小型的帶有數(shù)據(jù)檢測(cè)過濾功能的透明代理服務(wù)器（Transparent Proxy），但是它并不是單純的在一個(gè)代理設(shè)備中嵌入包過濾技術(shù)，而是一種被稱為“應(yīng)用協(xié)議分析”（Application Protocol Analysis）的新技術(shù)。

　但是，似乎任何東西都不可能逃避“墨菲定律”的規(guī)則，代理型防火墻的結(jié)構(gòu)特征偏偏正是它的最大缺點(diǎn)，由于它是基于代理技術(shù)的，通過防火墻的每個(gè)連接都必須建立在為之創(chuàng)建的代理程序進(jìn)程上，而代理進(jìn)程自身是要消耗一定時(shí)間的，更何況代理進(jìn)程里還有一套復(fù)雜的協(xié)議分析機(jī)制在同時(shí)工作，于是數(shù)據(jù)在通過代理防火墻時(shí)就不可避免的發(fā)生數(shù)據(jù)遲滯現(xiàn)象，換個(gè)形象的說法，每個(gè)數(shù)據(jù)連接在經(jīng)過代理防火墻時(shí)都會(huì)先被請(qǐng)進(jìn)保安室喝杯茶搜搜身再繼續(xù)趕路，而保安的工作速度并不能很快。代理防火墻是以犧牲速度為代價(jià)換取了比包過濾防火墻更高的安全性能，在網(wǎng)絡(luò)吞吐量不是很大的情況下，也許用戶不會(huì)察覺到什么，然而到了數(shù)據(jù)交換頻繁的時(shí)刻，代理防火墻就成了整個(gè)網(wǎng)絡(luò)的瓶頸，而且一旦防火墻的硬件配置支撐不住高強(qiáng)度的數(shù)據(jù)流量而發(fā)生罷工，整個(gè)網(wǎng)絡(luò)可能就會(huì)因此癱瘓了。所以，代理防火墻的普及范圍還遠(yuǎn)遠(yuǎn)不及包過濾型防火墻，而在軟件防火墻方面更是幾乎沒見過類似產(chǎn)品了——單機(jī)并不具備代理技術(shù)所需的條件，所以就目前整個(gè)龐大的軟件防火墻市場來說，代理防火墻很難有立足之地。

3.狀態(tài)監(jiān)視技術(shù)

　　這是繼“包過濾”技術(shù)和“應(yīng)用代理”技術(shù)后發(fā)展的防火墻技術(shù)，它是CheckPoint技術(shù)公司在基于“包過濾”原理的“動(dòng)態(tài)包過濾”技術(shù)發(fā)展而來的，與之類似的有其他廠商聯(lián)合發(fā)展的“深度包檢測(cè)”（Deep Packet Inspection）技術(shù)。這種防火墻技術(shù)通過一種被稱為“狀態(tài)監(jiān)視”的模塊，在不影響網(wǎng)絡(luò)安全正常工作的前提下采用抽取相關(guān)數(shù)據(jù)的方法對(duì)網(wǎng)絡(luò)通信的各個(gè)層次實(shí)行監(jiān)測(cè)，并根據(jù)各種過濾規(guī)則作出安全決策。

　　“狀態(tài)監(jiān)視”（Stateful Inspection）技術(shù)在保留了對(duì)每個(gè)數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進(jìn)行分析的基礎(chǔ)上，進(jìn)一步發(fā)展了“會(huì)話過濾”（Session Filtering）功能，在每個(gè)連接建立時(shí)，防火墻會(huì)為這個(gè)連接構(gòu)造一個(gè)會(huì)話狀態(tài)，里面包含了這個(gè)連接數(shù)據(jù)包的所有信息，以后這個(gè)連接都基于這個(gè)狀態(tài)信息進(jìn)行，這種檢測(cè)的高明之處是能對(duì)每個(gè)數(shù)據(jù)包的內(nèi)容進(jìn)行監(jiān)視，一旦建立了一個(gè)會(huì)話狀態(tài)，則此后的數(shù)據(jù)傳輸都要以此會(huì)話狀態(tài)作為依據(jù)，例如一個(gè)連接的數(shù)據(jù)包源端口是8000，那么在以后的數(shù)據(jù)傳輸過程里防火墻都會(huì)審核這個(gè)包的源端口還是不是8000，否則這個(gè)數(shù)據(jù)包就被攔截，而且會(huì)話狀態(tài)的保留是有時(shí)間限制的，在超時(shí)的范圍內(nèi)如果沒有再進(jìn)行數(shù)據(jù)傳輸，這個(gè)會(huì)話狀態(tài)就會(huì)被丟棄。狀態(tài)監(jiān)視可以對(duì)包內(nèi)容進(jìn)行分析，從而擺脫了傳統(tǒng)防火墻僅局限于幾個(gè)包頭部信息的檢測(cè)弱點(diǎn)，而且這種防火墻不必開放過多端口，進(jìn)一步杜絕了可能因?yàn)殚_放端口過多而帶來的安全隱患。

　　由于狀態(tài)監(jiān)視技術(shù)相當(dāng)于結(jié)合了包過濾技術(shù)和應(yīng)用代理技術(shù)，因此是最先進(jìn)的，但是由于實(shí)現(xiàn)技術(shù)復(fù)雜，在實(shí)際應(yīng)用中還不能做到真正的完全有效的數(shù)據(jù)安全檢測(cè)，而且在一般的計(jì)算機(jī)硬件系統(tǒng)上很難設(shè)計(jì)出基于此技術(shù)的完善防御措施（市面上大部分軟件防火墻使用的其實(shí)只是包過濾技術(shù)加上一點(diǎn)其他新特性而已）。

四. 技術(shù)展望

　　防火墻作為維護(hù)網(wǎng)絡(luò)安全的關(guān)鍵設(shè)備，在目前采用的網(wǎng)絡(luò)安全的防范體系中，占據(jù)著舉足輕重的位置。伴隨計(jì)算機(jī)技術(shù)的發(fā)展和網(wǎng)絡(luò)應(yīng)用的普及，越來越多的企業(yè)與個(gè)體都遭遇到不同程度的安全難題，因此市場對(duì)防火墻的設(shè)備需求和技術(shù)要求都在不斷提升，而且越來越嚴(yán)峻的網(wǎng)絡(luò)安全問題也要求防火墻技術(shù)有更快的提高，否則將會(huì)在面對(duì)新一輪入侵手法時(shí)束手無策。

　　多功能、高安全性的防火墻可以讓用戶網(wǎng)絡(luò)更加無憂，但前提是要確保網(wǎng)絡(luò)的運(yùn)行效率，因此在防火墻發(fā)展過程中，必須始終將高性能放在主要位置，目前各大廠商正在朝這個(gè)方向努力，而且豐富的產(chǎn)品功能也是用戶選擇防火墻的依據(jù)之一，一款完善的防火墻產(chǎn)品，應(yīng)該包含有訪問控制、網(wǎng)絡(luò)地址轉(zhuǎn)換、代理、認(rèn)證、日志審計(jì)等基礎(chǔ)功能，并擁有自己特色的安全相關(guān)技術(shù)，如規(guī)則簡化方案等，明天的防火墻技術(shù)將會(huì)如何發(fā)展，讓我們拭目以待。