第一篇：基于數(shù)據(jù)包捕獲與分析的個(gè)人防火墻論文
基于數(shù)據(jù)包捕獲與分析的個(gè)人防火墻論文
本套設(shè)計(jì)論文描述及運(yùn)行界面展示
摘 要
數(shù)據(jù)包過濾是一個(gè)用軟件或硬件設(shè)備對(duì)向網(wǎng)絡(luò)上傳或從網(wǎng)絡(luò)下載的數(shù)據(jù)流進(jìn)行有選擇的控制過程。數(shù)據(jù)包過濾的功能通常是在將數(shù)據(jù)包從一個(gè)網(wǎng)站向另一個(gè)網(wǎng)絡(luò)傳送的過程中允許或阻止它們的通過（更為常見的是在從英特網(wǎng)向內(nèi)部網(wǎng)絡(luò)傳輸數(shù)據(jù)時(shí)，或從內(nèi)部網(wǎng)絡(luò)向英特網(wǎng)傳輸）。若要完成數(shù)據(jù)包過濾，你就要設(shè)置好規(guī)則來指定哪些類型的數(shù)據(jù)包被允許通過和哪些類型的數(shù)據(jù)包將會(huì)被阻止。
基于數(shù)據(jù)包過濾的防火墻，能夠很好地保護(hù)用戶在與網(wǎng)絡(luò)連接時(shí)的安全性。
我們的目標(biāo)，就是通過截獲數(shù)據(jù)包，并且對(duì)其進(jìn)行分析，來放行或阻止網(wǎng)絡(luò)訪問，從而達(dá)到保護(hù)計(jì)算機(jī)安全的目的。
本論文主要講述了下面幾點(diǎn)：
一、數(shù)據(jù)包捕獲及網(wǎng)絡(luò)安全技術(shù)
二、系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)
三、測(cè)試及其他
關(guān)鍵字：數(shù)據(jù)包捕獲；防火墻；網(wǎng)絡(luò)安全
Abstract Packet Filtering is the process a piece of software or device takes to selectively control the flow of data to and from a network.Packet Filters allow or block packets, usually while routing them from one network to another(most often from the Internet to an internal network, and vice-versa).To accomplish packet filtering, you set up rules that specify what types of packets are to be allowed and what types are to be blocked.The packet filtering based firewall can protect the security of computers very well.Our goal is to capture and analysis data packets ,so we can examines all packets that pass in and out of it to prevent packets from passing through ,and the computer is protected.The thesis presents these aspects:
1、Technology of Packet Filtering and Network Security
2、How to implement the system
3、Testing document and others Key Words: Packet Filtering、Firewall、network security
目 錄 第一章 緒論 1 第一節(jié) 課題意義1 第二節(jié) 課題綜述1
一、國內(nèi)外發(fā)展情況 1
二、網(wǎng)絡(luò)安全技術(shù)介紹 4
三、防火墻介紹 6
四、防火墻技術(shù)發(fā)展趨勢(shì)8
五、防火墻產(chǎn)品發(fā)展趨勢(shì)10 第二章 需求分析 11 第一節(jié) 需求分析11
一、功能調(diào)查11
二、初步設(shè)計(jì)12 第二節(jié) 可行性分析 12
一、技術(shù)可行性及方案選擇 12 第三節(jié) 開發(fā)環(huán)境及工具 13
一、開發(fā)環(huán)境13
二、開發(fā)工具14 第三章 基礎(chǔ)實(shí)現(xiàn)技術(shù)介紹 15 第一節(jié) MFC介紹15 第二節(jié) 數(shù)據(jù)包過濾技術(shù) 15
一、數(shù)據(jù)包 15
二、數(shù)據(jù)包過濾是怎樣工作的16
三、包過濾的優(yōu)點(diǎn) 16 第四章 系統(tǒng)總體設(shè)計(jì)18 第一節(jié) 功能分析18 第二節(jié) 系統(tǒng)工作流程 19
一、系統(tǒng)工作流程圖 18
二、原理分析20
三、系統(tǒng)工作過程描述 21 第五章 子模塊設(shè)計(jì) 22 第一節(jié) 模塊分析21
一、模塊劃分原則 22
二、模塊劃分23
三、模塊接口定義 25 第二節(jié) 子模塊詳細(xì)設(shè)計(jì) 26
一、注冊(cè)模塊26
二、查詢模塊28
三、流量統(tǒng)計(jì)模塊 29 第六章 出現(xiàn)問題及解決辦法 32 第一節(jié) 出現(xiàn)問題32 第二節(jié) 無法解決的問題 33 第七章 測(cè)試 34 第一節(jié) 測(cè)試方案34 第二節(jié) 測(cè)試實(shí)例35 第三節(jié) 測(cè)試總結(jié)39 結(jié)束語 40 致謝 41 參考文獻(xiàn)42
第二篇：計(jì)算機(jī)網(wǎng)絡(luò)課程設(shè)計(jì)_IP數(shù)據(jù)包的捕獲與分析[范文]
CENTRAL SOUTH UNIVERSITY
計(jì)算機(jī)網(wǎng)絡(luò)課程設(shè)計(jì)報(bào)告
目錄
第一章 課程設(shè)計(jì)的目的與要求..........................錯(cuò)誤！未定義書簽。1.1 課程設(shè)計(jì)的目的...................................錯(cuò)誤！未定義書簽。1.2 課程設(shè)計(jì)的要求....................................................1 第二章 課程設(shè)計(jì)的內(nèi)容.................................................3 2.1 課程設(shè)計(jì)的內(nèi)容....................................................3 2.2 內(nèi)容的要求........................................................3 第三章 程序分析與設(shè)計(jì).................................................4 3.1 IP數(shù)據(jù)包..........................................................4 3.1.1 IP數(shù)據(jù)包的格式說明..........................................4 3.1.2 IP數(shù)據(jù)包的格式..............................................4 3.1.3 IP數(shù)據(jù)包的C++定義...........................................5 3.1.4 IP數(shù)據(jù)包的解析..............................................6 3.2 套接字............................................................7 3.1.4 套接字的使用.................................................7 3.1.4 使用原始套接字...............................................7 3.3 接受數(shù)據(jù)包........................................................7 第四章 實(shí)驗(yàn)結(jié)果.......................................................10 4.1 程序截圖.........................................................10 第五章 總結(jié)..........................................................11 5.1 實(shí)驗(yàn)心得.........................................................11 第六章 附錄..........................................................12 6.1 源代碼...........................................................12
第一章 課程設(shè)計(jì)的目的與要求
1.1 課程設(shè)計(jì)的目的
計(jì)算機(jī)網(wǎng)絡(luò)課程設(shè)計(jì)的目的，是為了讓學(xué)生更深入地掌握計(jì)算機(jī)網(wǎng)絡(luò)的核心內(nèi)容，實(shí)現(xiàn)理論與實(shí)踐相結(jié)合。讓學(xué)生用具體的實(shí)踐成果，體現(xiàn)對(duì)理論知識(shí)的掌握程度。有利于學(xué)生提高計(jì)算機(jī)網(wǎng)絡(luò)的實(shí)踐能力，加深對(duì)計(jì)算機(jī)網(wǎng)絡(luò)理論知識(shí)的理解。
1.2 課程設(shè)計(jì)的要求
（1）編寫程序，實(shí)現(xiàn)系統(tǒng)的基本功能，鼓勵(lì)自行增加新功能；
（2）要有用戶界面：要求至少采用文本菜單界面；鼓勵(lì)采用圖形菜單界面；（3）寫課程設(shè)計(jì)報(bào)告，內(nèi)容包括： ? 封面（參見附錄I）
? 需求分析：以無歧義的陳述說明程序設(shè)計(jì)的任務(wù)，強(qiáng)調(diào)的是程序要做什么？給出功能模塊圖和流程圖。同時(shí)明確規(guī)定：輸入的形式和輸出值的范圍；輸出的形式；程序所能夠達(dá)到的功能；測(cè)試數(shù)據(jù)，包括正確的輸入及其輸出結(jié)果和含有錯(cuò)誤的輸入及其輸出結(jié)果。
? 概要設(shè)計(jì)：包括程序設(shè)計(jì)組成框圖，程序中使用的存儲(chǔ)結(jié)構(gòu)設(shè)計(jì)說明（如果指定存儲(chǔ)結(jié)構(gòu)請(qǐng)寫出該存儲(chǔ)結(jié)構(gòu)的定義）。
? 詳細(xì)設(shè)計(jì)：包括模塊功能說明（如函數(shù)功能、入口及出口參數(shù)說明，函數(shù)調(diào)用關(guān)系描述等），每個(gè)模塊的算法設(shè)計(jì)說明（可以是描述算法的流程圖）。其中源程序要按照寫程序的規(guī)則來編寫，結(jié)構(gòu)清晰，重點(diǎn)函數(shù)的重點(diǎn)變量，重點(diǎn)功能部分要加上清晰的程序注釋。
? 運(yùn)行結(jié)果：包括典型的界面、輸入和輸出數(shù)據(jù)等；
? 總結(jié)：包括課程設(shè)計(jì)中遇到的問題，解決問題的過程及體會(huì)、收獲、對(duì)課程設(shè)計(jì)的認(rèn)識(shí)與思考等。
? 附錄：包括主要程序清單，要有適當(dāng)?shù)淖⑨?，使程序容易閱讀。
（4）課程設(shè)計(jì)報(bào)告書寫規(guī)范參見附錄II，不按照規(guī)范書寫的，成績(jī)不能評(píng)為“優(yōu)”或“良”。
（5）無論在校外、校內(nèi)，都要嚴(yán)格遵守學(xué)校和所在單位的學(xué)習(xí)和勞動(dòng)紀(jì)律、1 規(guī)章制度，學(xué)生有事離校必須請(qǐng)假。課程設(shè)計(jì)期間，無故缺席按曠課處理；缺席 時(shí)間達(dá)四分之一以上者，其成績(jī)按不及格處理。
第二章 課程設(shè)計(jì)的內(nèi)容
2.1 課程設(shè)計(jì)的內(nèi)容
本次實(shí)驗(yàn)的要求在網(wǎng)絡(luò)環(huán)境,使用VC++編寫程序?qū)崿F(xiàn)捕獲網(wǎng)絡(luò)中的IP數(shù)據(jù)包，解析數(shù)據(jù)包的內(nèi)容，將結(jié)果顯示在標(biāo)準(zhǔn)輸出上，并同時(shí)寫入日志文件。
2.2 內(nèi)容的要求
（1）以命令行形式運(yùn)行（應(yīng)如程序名+參數(shù)名）：ipparse logfile，其中ipparse是程序名，而logfile為該程序所帶參數(shù)，其代表記錄結(jié)果的日志文件。（2）在標(biāo)準(zhǔn)輸出和日志文件中寫入捕獲的IP包的版本、頭長(zhǎng)度、服務(wù)類型、數(shù)據(jù)包總長(zhǎng)度、數(shù)據(jù)包標(biāo)識(shí)、分段標(biāo)志、分段偏移值、生存時(shí)間、上層協(xié)議類型、頭校驗(yàn)和、源IP地址和目的IP地址等內(nèi)容。（3）當(dāng)程序接收到鍵盤輸入Ctrl＋C時(shí)退出。
第三章 程序設(shè)計(jì)與分析
3.1 IP數(shù)據(jù)包
3.1.1 IP數(shù)據(jù)包的格式說明
IP數(shù)據(jù)包格式包含了標(biāo)頭固定部分，標(biāo)頭可變部分和數(shù)據(jù)區(qū)三部分。IP數(shù)據(jù)報(bào)標(biāo)頭部分固定為20個(gè)字節(jié)，其中包含了12個(gè)參數(shù)域，各參數(shù)域隱含著網(wǎng)間協(xié)議的傳輸機(jī)制。IP具體的標(biāo)頭格式如圖1所示。
各參數(shù)域的具體含義如下：
1)版本號(hào)：長(zhǎng)度4位，表示所使用的IP協(xié)議的版本。IPv4版本號(hào)字段值為4；IPV6版本號(hào)字段號(hào)的值為6.2)標(biāo)頭長(zhǎng)：長(zhǎng)度4位，定義了一個(gè)以4B為一個(gè)單位的IP包的報(bào)頭長(zhǎng)度 3)服務(wù)類型：共8位，高3位組成優(yōu)先級(jí)子域，隨后4位組成服務(wù)類型子域。4)數(shù)據(jù)報(bào)總長(zhǎng)度：總長(zhǎng)度為2B（即6位）。定義了以字節(jié)為單位的數(shù)據(jù)報(bào)的總長(zhǎng)度。5)重裝標(biāo)識(shí)：長(zhǎng)度16位，用于識(shí)別IP數(shù)據(jù)報(bào)的編號(hào)，讓目的主機(jī)判斷新來的數(shù)據(jù)屬于哪個(gè)分組。
6)分片標(biāo)識(shí)：共3位，最高位為0；DF禁止分片標(biāo)識(shí)。DF=0，可以分片；DF=1，不能分片。MF:分片標(biāo)識(shí)。MF=0，表示接的是最后一個(gè)分片；MF=1，不是最后一個(gè)分片。
7)片偏移值：共13位，說明分片在整個(gè)數(shù)據(jù)報(bào)中的相對(duì)位置。
8)生存周期：8位，用來設(shè)置數(shù)據(jù)數(shù)據(jù)報(bào)在整個(gè)網(wǎng)絡(luò)傳輸過程中的壽命。常以一個(gè)數(shù)據(jù)報(bào)可以經(jīng)過的最多的路由器跳步數(shù)來控制。9)協(xié)議類型：共8位，表示該IP數(shù)據(jù)報(bào)的高層協(xié)議類型。10)標(biāo)頭校驗(yàn)和：共16位，用于存放檢查報(bào)頭錯(cuò)誤的校驗(yàn)碼。
11)源、宿主機(jī)地址：共32位，分別表示發(fā)送和接受數(shù)據(jù)報(bào)的源主機(jī)和宿主機(jī)的IP地址。
選項(xiàng)數(shù)據(jù)域：0-40B，用于控制和測(cè)試
3.1.2 IP數(shù)據(jù)包的格式
4位版本4位首部長(zhǎng)度8位服務(wù)類型(TOS)3位標(biāo)志8位協(xié)議32位源IP地址32位目的IP地址16位總長(zhǎng)度(字節(jié)為單位)13位片偏移16位首部檢驗(yàn)和16位標(biāo)識(shí)8位生存時(shí)間(TTL)
3.1.3 IP數(shù)據(jù)包的C++定義 typedef struct _IP { union {
BYTE Version;// 版本
BYTE HdrLen;//IHT };BYTE ServiceType;// 服務(wù)類型 WORD TotalLen;// 總長(zhǎng)
WORD ID;// 標(biāo)識(shí)
union {
WORD Flags;// 標(biāo)志
WORD FragOff;// 分段偏移
};BYTE TimeToLive;// 生命期
BYTE Protocol;// 協(xié)議
WORD HdrChksum;// 頭校驗(yàn)和
DWORD SrcAddr;// 源地址
DWORD DstAddr;// 目的地址 BYTE Options;// 選項(xiàng)
} IP;
3.1.4 IP數(shù)據(jù)包的解析
通過IP_HEADER解析IP頭各個(gè)字段的代碼： /*獲取版本字段*/ ip.Version>>4;/*獲取頭部長(zhǎng)度字段*/ ip.HdrLen & 0x0f;/*獲取服務(wù)類型字段中的優(yōu)先級(jí)子域*/ ip.ServiceType>>5;/*獲取服務(wù)類型字段中的TOS子域*/(ip.ServiceType>>1)&0x0f;/*獲取總長(zhǎng)度字段*/ ip.TotalLen;/*獲取標(biāo)識(shí)字段*/ ip.ID;/*解析標(biāo)志字段*/ DF =(ip.Flags>>14)& 0x01;MF =(ip.Flags>>13)& 0x01;/*獲取分段偏移字段*/ ip.FragOff & 0x1fff;/*獲取生存時(shí)間字段*/ ip.TimeToLive;/*獲取協(xié)議字段*/ ip.Protocol;/*獲取頭校驗(yàn)和字段*/ ip.HdrChksum;/*解析源IP地址字段*/ inet_ntoa(*(in_addr*)&ip.SrcAddr);/*解析目的IP地址字段*/ inet_ntoa(*(in_addr*)&ip.DstAddr);3.2 套接字
3.2.1 套接字的使用
本程序使用套接字socket編程，將網(wǎng)卡設(shè)為能夠接受流經(jīng)網(wǎng)卡的所有類型的數(shù)據(jù)包。首先，初始化套接字，然后監(jiān)聽數(shù)據(jù)包，解析數(shù)據(jù)包。
SOCKET sock=socket(AF_INET,SOCK_RAW,IPPROTO_IP)用來創(chuàng)建套接字，其參數(shù)為通信發(fā)生的區(qū)字段和套接字的類型。
WSAIoctl(sock,IO_RCVALL ,&dwBufferInLen , sizeof(dwBufferInLen)函數(shù)用來把網(wǎng)卡設(shè)置為混雜模式。
recv(sock,buffer,65535,0)函數(shù)用來接收經(jīng)過的IP包，其參數(shù)分別是套接字描述符，緩沖區(qū)的地址，緩沖區(qū)的大小。
3.2.1 使用原始套接字
要進(jìn)行IP層數(shù)據(jù)包的接收和發(fā)送，應(yīng)使用原始套接字。創(chuàng)建原始套接字的代碼如下：
SOCKET sock;sock=WSASoccket(AF_INET,SOCK_RAW,IPPROTO_IP,NULL,0, WSA_FLAG_OVERLAPPED);在WSASoccket函數(shù)中，第一個(gè)參數(shù)指定通信發(fā)生的區(qū)字段，AF_INET是針對(duì)Internet的，允許在遠(yuǎn)程主機(jī)之間通信。第二個(gè)參數(shù)是套接字的類型，在AF_INET地址族下，有SOCK_STREAM、SOCK_DGRAM、SOCK_RAW三種套接字類型。在這里，設(shè)置為SOCK_RAW，表示聲明的是一個(gè)原始套接字類型。第三個(gè)參數(shù)依賴于第二個(gè)參數(shù)，用于指定套接字所有的特定協(xié)議，這里使用IP協(xié)議。第四個(gè)參數(shù)為WSAPROTOCOL_INFO位，該位可以置空。第五個(gè)參數(shù)保留，永遠(yuǎn)置0。第六個(gè)參數(shù)是標(biāo)志位，WSA_FLAG_OVERLAPPED表明可以使用發(fā)送接收超時(shí)設(shè)置。
創(chuàng)建原始套接字后，IP頭就會(huì)包含在接收的數(shù)據(jù)中。然后，可以設(shè)置IP頭操作選項(xiàng)，調(diào)用setsockopt函數(shù)。其中flag設(shè)置為true，并設(shè)定IP_HDRINCL選項(xiàng)，表明用戶可以親自對(duì)IP頭進(jìn)行處理。
BOOL flag=true;setsockopt(sock,IPPROTO_IP,IP_HDRINCL,(CHAR*)&flag,sizeof(flag));之后，使用如下代碼完成對(duì)socket的初始化工作： /*獲取主機(jī)名*/ char hostName[128];gethostname(hostName,100);/*獲取本地IP地址*/ hostent * pHostIP;pHostIP = gethostbyname(hostName);/*填充SOCKADDR_IN結(jié)構(gòu)的內(nèi)容*/ sockaddr_in addr_in;addr_in.sin_addr = *(in_addr *)pHostIP->h_addr_list[0];addr_in.sin_family = AF_INET;addr_in.sin_port = htons(6000);/*綁定socket*/ bind(sock,(PSOCKADDR)&addr_in,sizeof(addr_in));填寫sockaddr_in的內(nèi)容時(shí)，其地址值應(yīng)填寫為本機(jī)IP地址，本機(jī)IP地址可以通過gethostbyname()函數(shù)獲??；端口號(hào)可以隨便填寫，但不能與系統(tǒng)沖突；協(xié)議族應(yīng)填為AF_INET。使用htons()函數(shù)可以將無符號(hào)短整型的主機(jī)數(shù)據(jù)轉(zhuǎn)換為網(wǎng)絡(luò)字節(jié)順序的數(shù)據(jù)。最后使用bind(0函數(shù)將socket綁定到本機(jī)網(wǎng)卡上。綁定網(wǎng)卡后，需要用WSAIoctl()函數(shù)把網(wǎng)卡設(shè)置為混雜模式，使網(wǎng)卡能夠接收所有網(wǎng)絡(luò)數(shù)據(jù)，其關(guān)鍵代碼如下：
#define SIO_RCVALL_WSAIOW(IOC_VENDOR,1)DWORD dwBufferLen[10];DWORD dwBufferInLen = 1;DWORD dwBytesReturned = 0;WSAIoct1(SnifferSocket, IO_RCVALL,&dwBufferInLen,sizeof(dwBufferInLen),&dwBufferLen,sizeof(dwBufferLen),&dwBytesReturned,NULL,NULL);如果接收的數(shù)據(jù)包中的協(xié)議類型和定義的原始套接字匹配，那么接收到的數(shù)據(jù)就拷貝到套接字中。因此，網(wǎng)卡就可以接收所有經(jīng)過的IP包。
3.3 接收數(shù)據(jù)包 在程序中可使用recv()函數(shù)接收經(jīng)過的IP包。該函數(shù)有四個(gè)參數(shù)，第一個(gè)參數(shù)接收操作所用的套接字描述符；第二個(gè)參數(shù)接收緩沖區(qū)的地址；第三個(gè)參數(shù)接收緩沖區(qū)的大小，也就是所要接收的字節(jié)數(shù)；第四個(gè)參數(shù)是一個(gè)附加標(biāo)志，如果對(duì)所發(fā)送的數(shù)據(jù)沒特殊要求，直接設(shè)為0。因?yàn)镮P數(shù)據(jù)包的最大長(zhǎng)度是65535B，因此，緩沖區(qū)的大小不能小于65535B。設(shè)置緩沖區(qū)后，可利用循環(huán)來反復(fù)監(jiān)聽接收IP包，用RECV()函數(shù)實(shí)現(xiàn)接收功能的代碼如下：
#define BUFFER_SIZE 65535 char buffer[BUFFER_SIZE];//while(true){ recv(sock,buffer,BUFFER_SIZE,0);// /*然后是解析接收的IP包*/ }
設(shè)置緩沖區(qū) 接收數(shù)據(jù)包
第四章 實(shí)驗(yàn)結(jié)果
4.1 程序截圖
第五章 總結(jié)
通過這次課程設(shè)計(jì)，我們了解到關(guān)于計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)傳送及處理過程中，軟件起到了巨大的作用。熟悉了C++語言在計(jì)算機(jī)網(wǎng)絡(luò)方面的應(yīng)用，是一次難得的機(jī)會(huì)。此外，我還了解了網(wǎng)絡(luò)通信協(xié)議的基本工作原理及套接字的使用，雖然剛開始的時(shí)候比較模糊,但是通過與同學(xué)共同探討和網(wǎng)上查閱資料，最終我成功完成了實(shí)驗(yàn)。這次課程設(shè)計(jì)培養(yǎng)了我們基本掌握網(wǎng)絡(luò)編程的基本思路和方法，讓我們懂得如何去學(xué)習(xí)這類東西。同時(shí)提高我們對(duì)所學(xué)計(jì)算機(jī)網(wǎng)絡(luò)理論知識(shí)的理解能力，提高和挖掘我們對(duì)所學(xué)知識(shí)的實(shí)際應(yīng)用能力和創(chuàng)新能力。同學(xué)們的合作是實(shí)驗(yàn)成功的必要條件，而謹(jǐn)慎對(duì)待事物的態(tài)度是成功的關(guān)鍵。
第六章 附錄
6.1 源代碼
#include
//定義IP頭 { union {
BYTE Version;
//版本（前4位）
BYTE HdrLen;
//報(bào)頭標(biāo)長(zhǎng)（后4位），IP頭長(zhǎng)度
};BYTE ServiceType;
//服務(wù)類型
WORD TotalLen;
//數(shù)據(jù)報(bào)總長(zhǎng)
WORD ID;
//標(biāo)識(shí)
union {
WORD Flags;
//標(biāo)識(shí)（前3位）
WORD FragOff;
//分段偏移（后13位）
};BYTE TimeToLive;
//生存周期
BYTE Protocol;
//協(xié)議
WORD HdrChksum;
//頭校驗(yàn)和
DWORD SrcAddr;
//源地址
DWORD DstAddr;
//目地地址
BYTE Options;
//選項(xiàng) }IP_HEADER;
char * parseServiceType_getProcedence(BYTE b){ switch(b>>5)
//獲取服務(wù)類型字段中優(yōu)先級(jí)子域
{ case 7:
return “Network Control”;
//網(wǎng)絡(luò)控制
break;case 6:
return “Internet work Control”;
//網(wǎng)絡(luò)控制
break;case 5:
return “CRITIC/ECP”;
break;case 4:
return “Flash Override”;
//最優(yōu)先信號(hào)
break;case 3:
return “Flsah”;
break;case 2:
return “Immediate”;
break;case 1:
return “Priority”;
//協(xié)議
break;case 0:
return “Routine”;
//路由
break;default:
return “Unknow”;
break;} } char * parseServiceType_getTOS(BYTE b){ b=(b>>1)&0x0f;
//獲取服務(wù)類型字段中的TOS子域
switch(b)
{
case 0:
return “Normal service”;
//正常運(yùn)行
break;case 1:
return “Minimize monetary cost”;
//成本
break;case 2:
return “Maximize reliability”;
//可靠性
break;case 4:
return “Maximize throughput”;
//吞吐量
break;case 8:
return “Minimize delay”;
//延遲
break;case 15:
return “Maximize security”;
//安全性
break;default:
return “Unknow”;
} } char * getProtocol(BYTE Protocol)
//獲取協(xié)議字段共8位 { switch(Protocol)
//以下為協(xié)議號(hào)說明：
{
case 1:
return “ICMP”;
//Internet控制報(bào)文協(xié)議
case 2:
return “IGMP”;
//Internet組管理協(xié)議
case 4:
return “IP in IP”;
//移動(dòng)IP數(shù)據(jù)封裝和隧道
case 6:
return “TCP”;
//傳輸控制協(xié)議
case 8:
return “EGP”;
//外部網(wǎng)關(guān)協(xié)議
case 17:
return “UDP”;
//用戶數(shù)據(jù)報(bào)文協(xié)議
case 41:
return “IPv6”;case 46:
return “RSVP”;
//資源預(yù)留協(xié)議
case 89:
return “OSPF”;
//Open Shortest Path First 開發(fā)式最短路徑優(yōu)先
default:
return “UNKNOW”;} } void ipparse(FILE* file,char* buffer){ IP_HEADER ip=*(IP_HEADER*)buffer;
//通過指針把緩沖區(qū)的內(nèi)容強(qiáng)制轉(zhuǎn)化為IP_HEADER數(shù)據(jù)結(jié)構(gòu)
fseek(file,0,SEEK_END);
fprintf(file,“_______________________________________________rn”);fprintf(file,“版本號(hào)：IPV%drn”,ip.Version>>4);fprintf(file,“報(bào)頭標(biāo)長(zhǎng)：%d(BYTE)rn”,((ip.HdrLen & 0x0f)*4));fprintf(file,“服務(wù)器類型 ： %s,%srn”,parseServiceType_getProcedence(ip.ServiceType)，parseServiceType_getTOS(ip.ServiceType));fprintf(file,“總長(zhǎng)度 ： %d(BYTE)rn”,ip.TotalLen);fprintf(file,“標(biāo)識(shí) ： %drn”,ip.ID);fprintf(file,“標(biāo)志位 DF：%d , MF=%drn”,((ip.Flags>>14)&0x01),((ip.Flags>>13)&0x01));fprintf(file,“分段偏移值 ： %drn”,(ip.FragOff&0x1fff));
fprintf(file,“生存期 ： %d(hops)rn”,ip.TimeToLive);fprintf(file,“協(xié)議 ： %srn”,getProtocol(ip.Protocol));fprintf(file,“頭校驗(yàn)和 ： 0x%0xrn”,ip.HdrChksum);fprintf(file,“源IP地址 ： %srn”,inet_ntoa(*(in_addr*)&ip.SrcAddr));fprintf(file,“目的IP地址 ： %srn”,inet_ntoa(*(in_addr*)&ip.DstAddr));fprintf(file,“________________________________________________rn”);}
int main(){
FILE * file;if((file=fopen(“l(fā)ogfile.txt”,“wb+”))==NULL){
printf(“fail to open file %s”);
return-1;
}
WORD rv;WSADATA WSAData;
//定義了能夠儲(chǔ)存WSAStarup調(diào)用返回值的結(jié)構(gòu)
rv=MAKEWORD(2,2);
//Winsock2版本
WSAStartup(rv,&WSAData);
SOCKET sock=socket(AF_INET,SOCK_RAW,IPPROTO_IP);//創(chuàng)建套接字，sock為套接字描述符
BOOL flag=true;setsockopt(sock,IPPROTO_IP,IP_HDRINCL,(CHAR*)&flag,sizeof(flag));//任意類型、任意狀態(tài)套接口的設(shè)置選項(xiàng)值
char hostName[128];gethostname(hostName,100);
//獲取主機(jī)名
hostent * pHostIP;
//獲取本地IP地址
pHostIP = gethostbyname(hostName);
sockaddr_in addr_in;addr_in.sin_addr=*(in_addr *)pHostIP->h_addr_list[0];addr_in.sin_family = AF_INET;addr_in.sin_port = htons(6000);//將無符號(hào)短整型主機(jī)數(shù)據(jù)轉(zhuǎn)換為網(wǎng)絡(luò)字節(jié)順序數(shù)據(jù)
bind(sock,(PSOCKADDR)&addr_in,sizeof(addr_in));
DWORD dwBufferLen[10];
//設(shè)置網(wǎng)卡為混雜模式
DWORD dwBufferInLen=1;DWORD dwBytesReturned=0;WSAIoctl(sock, IO_RCVALL,&dwBufferInLen,sizeof(dwBufferInLen), &dwBufferLen,sizeof(dwBufferLen),&dwBytesReturned,NULL,NULL);
char buffer[BUFFER_SIZE];
//設(shè)置緩沖區(qū)
char i,a;
printf(“
*************************************n”);
printf(“
*
IP數(shù)據(jù)包捕獲程序
*n”);
printf(“
*
捕獲并解析本機(jī)的數(shù)據(jù)包輸入Y
*n”);
printf(“
*
放棄執(zhí)行輸入N
*n”);
printf(“
*
退出程序按 Ctrl+c
*n”);
printf(“
*************************************n”);cin>>i;system(“cls”);while(true&&i=='Y'||i=='y'){
int size=recv(sock,buffer,BUFFER_SIZE,0);
//接收數(shù)據(jù)包
if(size>0)
{
printf(“nnIP數(shù)據(jù)包捕獲解析程序n”);
ipparse(stdout,buffer);
ipparse(file,buffer);
printf(“是否要繼續(xù)捕獲并解析本機(jī)的IP數(shù)據(jù)包？ Y/N n”);
fflush(stdin);
cin>>i;
continue;
}
else
fclose(file);
return 0;}
closesocket(sock);}
計(jì)算機(jī)網(wǎng)絡(luò)課程的結(jié)束已經(jīng)過去將近1年，當(dāng)時(shí)的學(xué)習(xí)也僅限于上課和考試。這次計(jì)算機(jī)網(wǎng)絡(luò)課程設(shè)計(jì)給予了我一次難得的鍛煉機(jī)會(huì)。剛拿到題目的時(shí)候，感覺還無從下手。后來通過上網(wǎng)查詢各種資料和查閱書籍，我們慢慢摸索探討出了整個(gè)組網(wǎng)的設(shè)計(jì)過程。該組網(wǎng)只是一個(gè)簡(jiǎn)單的酒店網(wǎng)絡(luò)模擬，它離實(shí)際還是有相當(dāng)?shù)木嚯x，需要進(jìn)行不斷地補(bǔ)充和完善。通過本次課程設(shè)計(jì)我們學(xué)到了不少新的東西，也發(fā)現(xiàn)了大量的問題，有些在設(shè)計(jì)過程中已經(jīng)解決，有些還有待今后慢慢學(xué)習(xí)只要學(xué)習(xí)就會(huì)有更多的問題，有更多的難點(diǎn)，但也會(huì)有更多的收獲。本次課程設(shè)計(jì)用到的packet tracer軟件是我們第一次接觸，但通過自學(xué)和網(wǎng)絡(luò)的幫助，我們慢慢掌握了packet tracer軟件的使用方法。從一開始的無處著手到通過自己的努力，我基本上完成了這次的任務(wù)，但是由于知識(shí)的欠缺及時(shí)間的限制，我們的成果僅限于現(xiàn)在完成的部分，還有很大的改善空間?？偟膩碚f，本次課程設(shè)計(jì)讓我獲益匪淺，希望以后還有這樣鍛煉自己的機(jī)會(huì)。
第三篇：數(shù)據(jù)包捕獲與協(xié)議實(shí)驗(yàn)報(bào)告
計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)（實(shí)習(xí)）報(bào)告
Ⅰ.實(shí)驗(yàn)（實(shí)習(xí)）名稱 ：數(shù)據(jù)包捕獲與協(xié)議分析
實(shí)驗(yàn)（實(shí)習(xí)）日期
專業(yè)姓名：學(xué)號(hào)：（或使用青島農(nóng)業(yè)大學(xué)實(shí)驗(yàn)報(bào)告紙）
1、實(shí)驗(yàn)?zāi)康模?）掌握網(wǎng)絡(luò)協(xié)議分析工具Ethereal的使用方法；
（2）截獲數(shù)據(jù)包并對(duì)它們觀察和分析，了解協(xié)議的運(yùn)行機(jī)制；
2、實(shí)驗(yàn)內(nèi)容:
（1）設(shè)計(jì)一個(gè)捕獲HTTP實(shí)現(xiàn)的完整過程，并對(duì)捕獲的結(jié)果進(jìn)行分析和統(tǒng)計(jì)。
要求：
（2）設(shè)計(jì)一個(gè)捕獲TCP實(shí)現(xiàn)的完整過程，并對(duì)捕獲的結(jié)果進(jìn)行分析和統(tǒng)計(jì)。
要求：給出捕獲某一數(shù)據(jù)包后的屏幕截圖。以16進(jìn)制形式顯示其包的內(nèi)容，并分析
TCP報(bào)文（源端口、目的端口、序號(hào)、確認(rèn)號(hào)，ACK、SYN、窗口等）。
（3）設(shè)計(jì)一個(gè)捕獲ICMP實(shí)現(xiàn)的完整過程，并對(duì)捕獲的結(jié)果進(jìn)行分析和統(tǒng)計(jì)
要求：給出捕獲某一數(shù)據(jù)包后的屏幕截圖。以16進(jìn)制形式顯示其包的內(nèi)容，并分析
該ICMP報(bào)文。
（4）設(shè)計(jì)一個(gè)捕獲IP數(shù)據(jù)包的過程，并對(duì)捕獲的結(jié)果進(jìn)行分析和統(tǒng)計(jì)
要求：給出捕獲某一數(shù)據(jù)包后的屏幕截圖。以16進(jìn)制形式顯示其包的內(nèi)容，并分析
在該數(shù)據(jù)包中的內(nèi)容：版本首部長(zhǎng)度、服務(wù)類型、總長(zhǎng)度、標(biāo)識(shí)、片偏移、壽命、協(xié)議、源Ip地址、目的地址
3.實(shí)驗(yàn)總結(jié)(掌握了哪些內(nèi)容？遇到了什么問題？如何解決的？你的體會(huì)或收獲如何？)
第四篇：防火墻的安全性分析論文
軟件學(xué)院
專 科 生 畢 業(yè)
實(shí) 踐 報(bào) 告
題 目： 防火墻的安全性分析
專 業(yè)： 計(jì)算機(jī)網(wǎng)絡(luò)技術(shù) 年(班)級(jí)： 學(xué) 號(hào)： 姓 名： 指導(dǎo)教師： 完成日期： 2010 年 03 月 17 日
防火墻的安全性分析
摘要：本文從防火墻的定義、為什么使用防火墻、防火墻的概念、防火墻的功能等方面介紹了防火墻的基本信息；并從防火墻的安全技術(shù)分析、防火墻的基本類型、防火墻的工作原理、防火墻的配置、防火墻的安全措施這五個(gè)方面來對(duì)防火墻的安全性進(jìn)行分析。
關(guān)鍵詞：黑客，防火墻，網(wǎng)絡(luò)安全
目 錄
引言............................................................................................4
一、防火墻簡(jiǎn)介................................................................................4 1.1防火墻的概念..........................................................................4 1.2防火墻出現(xiàn)的背景和意義......................................................5 1.3 防火墻的發(fā)展史.....................................................................5 1.4 防火墻的功能.........................................................................6
二、防火墻的基本類型......................................................................7 2.1 包過濾型.................................................................................7 2.2 網(wǎng)絡(luò)地址轉(zhuǎn)化型—NAT..........................................................7 2.3 代理型......................................................................................8 2.4 監(jiān)測(cè)型......................................................................................8
三、防火墻的工作原理.......................................................................8
3.1相關(guān)術(shù)語...................................................................................8
3.2 防火墻的防御機(jī)理..................................................................9
四、防火墻的配置.............................................................................10
五、防火墻的安全技術(shù)分析.............................................................11
六、防火墻的安全措施.......................................................................14
七、總結(jié).............................................................................................14 致謝.....................................................................................................參考文獻(xiàn).............................................................................................引 言
在計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)普遍應(yīng)用的今天，人們已經(jīng)不再用腦子去記很多的東西了，而主要記載在計(jì)算機(jī)上或與之相關(guān)機(jī)器上，很多時(shí)候我們只需記載一些密碼便可，也方便查詢。但是，網(wǎng)絡(luò)也是不安全的，很多時(shí)候我們的計(jì)算機(jī)中的信息都有被盜的可能，因此，需要確保我們信息系統(tǒng)安全。以前，我們只需設(shè)置一些復(fù)雜的密碼就可以，但是上網(wǎng)后，黑客們還是能從各種途徑盜取我們的重要信息，包括我們的密碼和各種敏感信息。因此，我們不只要經(jīng)常給系統(tǒng)打補(bǔ)丁，還要有一個(gè)好的防火墻。有防火墻可以更好的防范黑客攻擊。它可以控制端口的連接，將一些危險(xiǎn)的端口屏蔽，防止他人對(duì)我們計(jì)算機(jī)的配置信息進(jìn)行掃描；可以防范一些有攻擊性的病毒。因此，給我們的計(jì)算機(jī)安裝強(qiáng)有力的防火墻是很有必要的。我們可以根據(jù)自己愛好或用途選擇防火墻，如天網(wǎng)防火墻，諾頓安全特警，瑞星防火墻等。這里，我將運(yùn)用自己所學(xué)知識(shí)，先介紹防火墻出現(xiàn)的背景、意義，防火墻的發(fā)展史，防火墻的概念及其功能。然后從防火墻的類型、工作原理、配置、安全技術(shù)分析及其安全措施對(duì)防火墻的安全性進(jìn)行分析。
一、防火墻簡(jiǎn)介
1.1防火墻的概念
防火墻是汽車中一個(gè)部件的名稱。在汽車中，利用防火墻把乘客和引擎隔開，以便汽車引擎一旦著火，防火墻不但能保護(hù)乘客安全，而同時(shí)還能讓司機(jī)繼續(xù)控制引擎。
在電腦術(shù)語中，當(dāng)然就不是這個(gè)意思了，我們可以類比來理解，在網(wǎng)絡(luò)中，所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)分開的方法，它實(shí)際上是一種隔離技術(shù)。防火墻是在兩個(gè)網(wǎng)絡(luò)通訊時(shí)執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)。它可 4 通過監(jiān)測(cè)、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對(duì)外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運(yùn)行狀況，以此來實(shí)現(xiàn)網(wǎng)絡(luò)的安全保護(hù)。
在邏輯上，防火墻是一個(gè)分離器，一個(gè)限制器，也是一個(gè)分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的安全。
防火墻的優(yōu)點(diǎn)：
（1）防火墻能強(qiáng)化安全策略。
（2）防火墻能有效地記錄Internet上的活動(dòng)。
（3）防火墻限制暴露用戶點(diǎn)。防火墻能夠用來隔開網(wǎng)絡(luò)中一個(gè)網(wǎng)段與另一個(gè)網(wǎng)段。這樣，能夠防止影響一個(gè)網(wǎng)段的問題通過整個(gè)網(wǎng)絡(luò)傳播。
（4）防火墻是一個(gè)安全策略的檢查站。所有進(jìn)出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點(diǎn)，使可疑的訪問被拒絕于門外。
1.2防火墻出現(xiàn)的背景和意義
隨著計(jì)算機(jī)的發(fā)展，人們?cè)絹碓揭庾R(shí)到網(wǎng)絡(luò)的重要性，通過網(wǎng)絡(luò)，分散在各處的計(jì)算機(jī)被網(wǎng)絡(luò)聯(lián)系在一起。作為網(wǎng)絡(luò)的組成部分，把眾多的計(jì)算機(jī)聯(lián)系在一起，組成一個(gè)局域網(wǎng)，在這個(gè)局域網(wǎng)中，可以在它們之間共享程序、文檔等各種資源；還可以通過網(wǎng)絡(luò)使多臺(tái)計(jì)算機(jī)共享同一硬件，如打印機(jī)、調(diào)制解調(diào)器等；同時(shí)我們也可以通過網(wǎng)絡(luò)使用計(jì)算機(jī)發(fā)送和接收傳真，方便快捷而且經(jīng)濟(jì)。21世紀(jì)全世界的計(jì)算機(jī)都將通過Internet聯(lián)到一起，信息安全的內(nèi)涵也就發(fā)生了根本的變化。它不僅從一般性的防衛(wèi)變成了一種非常普通的防范，而且還 從一種專門的領(lǐng)域變成了無處不在。信息安全是國家發(fā)展所面臨的一個(gè)重要問題。發(fā)展安全產(chǎn)業(yè)是信息安全保障系統(tǒng)的一個(gè)重要組成部分，甚至應(yīng)該看到它對(duì)我國未來電子化、信息化的發(fā)展將起到非常重要的作用。
1.3防火墻的發(fā)展史
第一代防火墻：
第一代防火墻技術(shù)幾乎與路由器同時(shí)出現(xiàn)，采用了包過濾（Packet filter）技術(shù)。
第二、三代防火墻：
1989年，貝爾實(shí)驗(yàn)室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時(shí)提出了第三代防火墻——應(yīng)用層防火墻（代理防火墻）的初步結(jié)構(gòu)。
第四代防火墻：
1992年，USC信息科學(xué)院的BobBraden開發(fā)出了基于動(dòng)態(tài)包過濾（Dynamic packet filter）技術(shù)的第四代防火墻，后來演變?yōu)槟壳八f的狀態(tài)監(jiān)視（Stateful inspection）技術(shù)。1994年，以色列的CheckPoint公司開發(fā)出了第一個(gè)采用這種技術(shù)的商業(yè)化的產(chǎn)品。第五代防火墻：
1998年，NAI公司推出了一種自適應(yīng)代理（Adaptive proxy）技術(shù)，并在其產(chǎn)品Gauntlet Firewall for NT中得以實(shí)現(xiàn)，給代理類型的防火墻賦予了全新的意義，可以稱之為第五代防火墻。
1.4 防火墻的功能
防火墻最基本的功能就是控制在計(jì)算機(jī)網(wǎng)絡(luò)中，不同信任程度區(qū)域間傳送的數(shù)據(jù)流。典型信任的區(qū)域包括互聯(lián)網(wǎng)(一個(gè)沒有信任的區(qū)域)和一個(gè)內(nèi)部網(wǎng)絡(luò)(一個(gè)高信任的區(qū)域)。最終目標(biāo)是提供受控連通性在不同水平的信任區(qū)域通過安全政策的運(yùn)行和連通性模型之間根據(jù)最少特權(quán)原則。
例如：TCP/IP Port 135~139是 Microsoft Windows 的【網(wǎng)上鄰居】所使用的。如果計(jì)算機(jī)有使用【網(wǎng)上鄰居】的【共享文件夾】，又沒使用任何防火墻相關(guān)的防護(hù)措施的話，就等于把自己的【共享文件夾】公開到Internet，供不特定的任何人有機(jī)會(huì)瀏覽目錄內(nèi)的文件。防火墻的主要功能有以下幾點(diǎn)：
①防火墻對(duì)流經(jīng)它的網(wǎng)絡(luò)通信進(jìn)行掃描，這樣能夠過濾掉一些攻擊，以免其在目標(biāo)計(jì)算機(jī)上被執(zhí)行。防火墻還可以關(guān)閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最后，它可以禁止來自特殊站點(diǎn)的訪問，從而防止來自不明入侵者的所有通信。通過過濾不安全的服務(wù)，防火墻可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險(xiǎn)。
②防火墻能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險(xiǎn)。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。防火墻同時(shí)可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊。
③通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計(jì)等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個(gè)主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問時(shí)，一次密口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完全可以不必分散在各個(gè)主機(jī)上，而集中在防火墻一身上。
如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。
⑤除了安全作用，防火墻還支持具有Internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN（虛擬專用網(wǎng)）。
二、防火墻的基本類型
根據(jù)防火墻所采用的技術(shù)不同,我們可以將它分為四種基本類型:包過濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換—NAT型、代理型和監(jiān)測(cè)型。
2.1包過濾型
網(wǎng)絡(luò)上的數(shù)據(jù)都是以“包”為單位進(jìn)行傳輸?shù)?數(shù)據(jù)被分割成為一定大小的數(shù)據(jù)包,每一個(gè)數(shù)據(jù)包中都會(huì)包含一些特定信息,如數(shù)據(jù)的源地址、目標(biāo)地址、TCP/UDP源端口和目標(biāo)端口等。防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些“包”是否來自可信任的安全站點(diǎn) ,一旦發(fā)現(xiàn)來自危險(xiǎn)站點(diǎn)的數(shù)據(jù)包,防火墻便會(huì)將這些數(shù)據(jù)拒之門外。系統(tǒng)管理員也可以根據(jù)實(shí)際情況靈活制訂判斷規(guī)則。
包過濾技術(shù)的優(yōu)點(diǎn)是簡(jiǎn)單實(shí)用,實(shí)現(xiàn)成本較低,在應(yīng)用環(huán)境比較簡(jiǎn)單的情況 7 下,能夠以較小的代價(jià)在一定程度上保證系統(tǒng)的安全。
2.2網(wǎng)絡(luò)地址轉(zhuǎn)化—NAT型
網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把IP地址轉(zhuǎn)換成臨時(shí)的、外部的、注冊(cè)的IP地址標(biāo)準(zhǔn)。它允許具有私有IP地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。它還意味著用戶不許要為其網(wǎng)絡(luò)中每一臺(tái)機(jī)器取得注冊(cè)的IP地址。
在內(nèi)部網(wǎng)絡(luò)通過安全網(wǎng)卡訪問外部網(wǎng)絡(luò)時(shí)，將產(chǎn)生一個(gè)映射記錄。系統(tǒng)將外出的源地址和源端口映射為一個(gè)偽裝的地址和端口，讓這個(gè)偽裝的地址和端口通過非安全網(wǎng)卡與外部網(wǎng)絡(luò)連接，這樣對(duì)外就隱藏了真實(shí)的內(nèi)部網(wǎng)絡(luò)地址。在外部網(wǎng)絡(luò)通過非安全網(wǎng)卡訪問內(nèi)部網(wǎng)絡(luò)時(shí)，它并不知道內(nèi)部網(wǎng)絡(luò)的連接情況，而只是通過一個(gè)開放的IP地址和端口來請(qǐng)求訪問。OLM防火墻根據(jù)預(yù)先定義好的映射規(guī)則來判斷這個(gè)訪問是否安全。當(dāng)符合規(guī)則時(shí)，防火墻認(rèn)為訪問是安全的，可以接受訪問請(qǐng)求，也可以將連接請(qǐng)求映射到不同的內(nèi)部計(jì)算機(jī)中。當(dāng)不符合規(guī)則時(shí)，防火墻認(rèn)為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請(qǐng)求。網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對(duì)于用戶來說是透明的，不需要用戶進(jìn)行設(shè)置，用戶只要進(jìn)行常規(guī)操作即可。
2.3代理型
代理型防火墻也稱為代理服務(wù)器,它的安全性要高于包過濾型產(chǎn)品,并已經(jīng)開始向應(yīng)用層發(fā)展。代理服務(wù)器位于客戶機(jī)與服務(wù)器之間,完全阻擋了二者間的數(shù)據(jù)交流。從客戶機(jī)來看,代理服務(wù)器相當(dāng)于一臺(tái)真正的服務(wù)器;而從服務(wù)器來看,代理服務(wù)器又是一臺(tái)真正的客戶機(jī)。由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒有直接的數(shù)據(jù)通道,外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)。
代理型防火墻的優(yōu)點(diǎn)是安全性較高,可以針對(duì)應(yīng)用層進(jìn)行偵測(cè)和掃描,對(duì)付基于應(yīng)用層的侵入和病毒都十分有效。其缺點(diǎn)是對(duì)系統(tǒng)的整體性能有較大的影響,而且代理服務(wù)器必須針對(duì)客戶機(jī)可能產(chǎn)生的所有應(yīng)用類型逐一進(jìn)行設(shè)置,大大增加了系統(tǒng)管理的復(fù)雜性。
2.4監(jiān)測(cè)型
監(jiān)測(cè)型防火墻是新一代的產(chǎn)品,這一技術(shù)實(shí)際已經(jīng)超越了最初的防火墻義。監(jiān)測(cè)型防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進(jìn)行主動(dòng)的、實(shí)時(shí)的監(jiān)測(cè),在對(duì)這些數(shù)據(jù)加以分 8 析的基礎(chǔ)上,監(jiān)測(cè)型防火墻能夠有效地判斷出各層中的非法侵入。同時(shí),這種檢測(cè)型防火墻產(chǎn)品一般還帶有分布式探測(cè)器,這些探測(cè)器安置在各種應(yīng)用服務(wù)器和其他網(wǎng)絡(luò)的節(jié)點(diǎn)之中,不僅能夠檢測(cè)來自網(wǎng)絡(luò)外部的攻擊,同時(shí)對(duì)來自內(nèi)部的惡意破壞也有極強(qiáng)的防范作用。
雖然監(jiān)測(cè)型防火墻安全性上已超越了包過濾型和代理服務(wù)器型防火墻,但由于監(jiān)測(cè)型防火墻技術(shù)的實(shí)現(xiàn)成本較高,也不易管理。
三、防火墻的工作原理
3.1 相關(guān)術(shù)語
①網(wǎng)關(guān)
網(wǎng)關(guān)是在兩上設(shè)備之間提供轉(zhuǎn)發(fā)服務(wù)的系統(tǒng)。網(wǎng)關(guān)的范圍可以從互聯(lián)網(wǎng)應(yīng)用程序如公共網(wǎng)關(guān)接口(CGI)到在兩臺(tái)主機(jī)間處理流量的防火墻網(wǎng)關(guān)，這個(gè)術(shù)語是非常常見的。②電路級(jí)網(wǎng)關(guān)
電路級(jí)網(wǎng)關(guān)用來監(jiān)控受信任的客戶或服務(wù)器與不受信任的主機(jī)間的TCP握手信息，這樣來決定該會(huì)話是否合法，電路級(jí)網(wǎng)關(guān)是在OSI模型中會(huì)話層上來過濾數(shù)據(jù)包，這樣比包過濾防火墻要高兩層。另外，電路級(jí)網(wǎng)關(guān)還提供一個(gè)重要的安全功能:網(wǎng)絡(luò)地址轉(zhuǎn)移(NAT)將所有公司內(nèi)部的IP地址映射到一個(gè)“安全”的IP地址，這個(gè)地址是由防火墻使用的。③應(yīng)用級(jí)網(wǎng)關(guān)
應(yīng)用級(jí)網(wǎng)關(guān)可以工作在OSI七層模型的任一層上，能夠檢查進(jìn)出的數(shù)據(jù)包，通過網(wǎng)關(guān)復(fù)制傳遞數(shù)據(jù)，防止在受信任服務(wù)器和客戶機(jī)與不受信任的主機(jī)間直接建立聯(lián)系。應(yīng)用級(jí)網(wǎng)關(guān)能夠理解應(yīng)用層上的協(xié)議，能夠做復(fù)雜一些的訪問控制，并做精細(xì)的注冊(cè)。通常是在特殊的服務(wù)器上安裝軟件來實(shí)現(xiàn)的。④包過濾
包過濾是處理網(wǎng)絡(luò)上基于packet-by-packet流量的設(shè)備。包過濾設(shè)備允許或阻止包，典型的實(shí)施方法是通過標(biāo)準(zhǔn)的路由器。在上文的防火墻類型中做過介紹。
⑤代理服務(wù)器
代理服務(wù)器代表內(nèi)部客戶端與外部的服務(wù)器通信。代理服務(wù)器這個(gè)術(shù)語通常是指一個(gè)應(yīng)用級(jí)的網(wǎng)關(guān)，雖然電路級(jí)網(wǎng)關(guān)也可作為代理服務(wù)器的一種。⑥網(wǎng)絡(luò)地址翻譯(NAT)網(wǎng)絡(luò)地址解釋是對(duì)Internet隱藏內(nèi)部地址，防止內(nèi)部地址公開。這一功能可以克服IP尋址方式的諸多限制，完善內(nèi)部尋址模式。把未注冊(cè)IP地址映射成合法地址，就可以對(duì)Internet進(jìn)行訪問。
3.2防火墻的防御機(jī)理
①包過濾型防火墻：數(shù)據(jù)包過濾技術(shù)是在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包進(jìn)行選擇、過濾，選擇、過濾的標(biāo)準(zhǔn)是以網(wǎng)絡(luò)管理員事先設(shè)置的過濾邏輯(即訪問控制表)為依據(jù)的。防火墻通過檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包的源地址、目的地址、所用端口號(hào)、協(xié)議狀態(tài)等信息，來確定是否允許該數(shù)據(jù)包通過。包過濾型防火墻的優(yōu)點(diǎn)是效率比較高。包過濾（PacketFliter）通常安裝在路由器上，而且大多數(shù)商用路由器都提供了包過濾的功能。包過濾規(guī)則以IP包信息為基礎(chǔ)，對(duì)IP源地址、目標(biāo)地址、封裝協(xié)議、端口號(hào)等進(jìn)行篩選。包過濾在網(wǎng)絡(luò)層進(jìn)行。
②應(yīng)用級(jí)網(wǎng)關(guān)型防火墻：應(yīng)用級(jí)網(wǎng)關(guān)是在網(wǎng)絡(luò)應(yīng)用層上建立協(xié)議、實(shí)現(xiàn)過濾和轉(zhuǎn)發(fā)功能的。它針對(duì)特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議，采用不同的數(shù)據(jù)過濾邏輯，并在過濾的同時(shí)對(duì)數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計(jì)，形成報(bào)告，大大提高了網(wǎng)絡(luò)的安全性。
特別需要指出的是：應(yīng)用級(jí)網(wǎng)關(guān)型防火墻和包過濾型防火墻有一個(gè)共同的特點(diǎn)，它們僅僅依靠特定的邏輯判定是否允許數(shù)據(jù)包通過。一旦滿足邏輯，則防火墻內(nèi)外的計(jì)算機(jī)系統(tǒng)就建立起直接的聯(lián)系，防火墻外部的用戶便有可能直接了解防火墻內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)和運(yùn)行狀態(tài)，從而使非法訪問和攻擊容易得逞。
③代理服務(wù)型防火墻：代理服務(wù)也稱鏈路級(jí)網(wǎng)關(guān)(Circuit Level Gateways)或TCP通道(TCP Tunnels)，也有人將它歸于應(yīng)用級(jí)網(wǎng)關(guān)一類。它是針對(duì)包過濾和應(yīng)用級(jí)網(wǎng)關(guān)技術(shù)存在的缺陷而引入的防火墻技術(shù)，其特點(diǎn)是將所有跨越防火墻的網(wǎng)絡(luò)通信鏈路分為兩段。防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的“鏈接”由代理服務(wù)器實(shí)現(xiàn)，外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代理服務(wù)器，從而起到了隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用。此外，代理服務(wù)器也對(duì)過往的數(shù)據(jù)包進(jìn)行分析、注冊(cè)登記，形成報(bào)告。當(dāng)發(fā)現(xiàn)被攻擊跡象時(shí)，代理服務(wù)器會(huì)向網(wǎng)絡(luò)管理員發(fā)出警報(bào)。應(yīng) 用級(jí)網(wǎng)關(guān)型和代理服務(wù)型防火墻大多是基于主機(jī)的，價(jià)格比較貴，但性能很好，其安裝和使用也比采用數(shù)據(jù)包過濾技術(shù)的防火墻復(fù)雜一些。
四、防火墻的配置
防火墻配置有三種：Dual-homed方式、Screened-host方式和Screened-subnet方式。
Dual-homed方式最簡(jiǎn)單。Dual-homedGateway放置在兩個(gè)網(wǎng)絡(luò)之間，這個(gè)Dual-omedGateway又稱為bastionhost。這種結(jié)構(gòu)成本低，但是它有單點(diǎn)失敗的問題。這種結(jié)構(gòu)沒有增加網(wǎng)絡(luò)安全的自我防衛(wèi)能力，而它往往是受“黑客”攻擊的首選目標(biāo)，它自己一旦被攻破，整個(gè)網(wǎng)絡(luò)也就暴露了。
Screened-host方式中的Screeningrouter為保護(hù)Bastionhost的安全建立了一道屏障。它將所有進(jìn)入的信息先送往Bastionhost，并且只接受來自Bastionhost的數(shù)據(jù)作為出去的數(shù)據(jù)。這種結(jié)構(gòu)依賴Screeningrouter和Bastionhost，只要有一個(gè)失敗，整個(gè)網(wǎng)絡(luò)就暴露了。
Screened-subnet包含兩個(gè)Screeningrouter和兩個(gè)Bastionhost。在公共網(wǎng)絡(luò)和私有網(wǎng)絡(luò)之間構(gòu)成了一個(gè)隔離網(wǎng)，稱之為“?；饏^(qū)”（DMZ，即DemilitarizedZone）,Bastionhost放置在“停火區(qū)”內(nèi)。這種結(jié)構(gòu)安全性好，只有當(dāng)兩個(gè)安全單元被破壞后，網(wǎng)絡(luò)才被暴露，但是成本也很昂貴。
五、防火墻的安全技術(shù)分析
防火墻產(chǎn)品最難評(píng)估的方面是防火墻的安全性能,即防火墻是否能夠有效地阻擋外部入侵。
防火墻技術(shù)是指網(wǎng)絡(luò)之間通過預(yù)定義的安全策略，對(duì)內(nèi)外網(wǎng)通信強(qiáng)制實(shí)施訪問控制的安全應(yīng)用措施。它對(duì)兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包按照一定的安全策略來實(shí)施檢查，以決定網(wǎng)絡(luò)之間的通信是否被允許，并并監(jiān)視網(wǎng)絡(luò)運(yùn)行狀態(tài)。（1）只有正確選用、合理配置防火墻，才能有效發(fā)揮其安全防護(hù)作用
防火墻作為網(wǎng)絡(luò)安全的一種防護(hù)手段，自多種實(shí)現(xiàn)方式。建立合理的防護(hù)系統(tǒng)，配置有效的防火墻應(yīng)遵循這樣四個(gè)基本步驟：
1、風(fēng)險(xiǎn)分析．
2、需求分析：
3、確定安全政策：
4、選擇準(zhǔn)確的防護(hù)手段，并使之與安全政策保持一致。（2）應(yīng)正確評(píng)估防火墻的失效狀態(tài)
評(píng)價(jià)防火墻性能如何及能否起到安全防護(hù)作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬跡，而且要看到一旦防火墻被攻破，它的狀態(tài)如何？
按級(jí)別來分，它應(yīng)有這樣４種狀態(tài)：
1、未受傷害能夠繼續(xù)正常工作；
2、關(guān)閉并重新啟動(dòng)，同時(shí)恢復(fù)到正常工作狀態(tài)；
3、關(guān)閉并禁止所有的數(shù)據(jù)通行；
4、關(guān)閉并允許所有的數(shù)據(jù)通行。
前兩種狀態(tài)比較理想，而第4種最不安全。但是許多防火墻由于沒有條件進(jìn)行失效狀態(tài)測(cè)試和驗(yàn)證，無法確定其失效狀態(tài)等級(jí)，因此網(wǎng)絡(luò)必然存在安全隱患。防火墻能否起到防護(hù)作用，最根本、最有效的證明方法是對(duì)其進(jìn)行測(cè)試，甚至站在“黑客”的角度采用各種手段對(duì)防火墻進(jìn)行攻擊。然而具體執(zhí)行時(shí)難度較大，原因是：
1、防火墻性能測(cè)試目前還是一種很新的技術(shù)，可用的工具和軟件較少。
2、防火墻測(cè)試技術(shù)尚不先迸，與防火墻設(shè)計(jì)并非完全吻合，使得測(cè)試工作難以達(dá)到既定的效果。
3、選擇“誰”進(jìn)行公正的測(cè)試也是一個(gè)問題?？梢姡阑饓Φ男阅軠y(cè)試決不是一件簡(jiǎn)單的事情，但這種測(cè)試又相當(dāng)重要。（3）防火墻必須進(jìn)行動(dòng)態(tài)維護(hù)
防火墻安裝和投入使用后，并非萬事大吉。要想充分發(fā)揮它的安全防護(hù)作用，必須對(duì)它進(jìn)行跟蹤和維護(hù)，商家一旦發(fā)現(xiàn)其產(chǎn)品存在安全漏洞，就會(huì)盡快發(fā)布補(bǔ)救產(chǎn)品，此時(shí)應(yīng)盡快確認(rèn)真?zhèn)?防止特洛伊木馬等病毒)，并對(duì)防火墻軟件進(jìn)行更新。
（4）非法攻擊防火墻的基本“招數(shù)”
1、通常情況下，有效的攻擊都是從相關(guān)的子網(wǎng)進(jìn)行的。因?yàn)檫@些網(wǎng)址得到了防火墻的信賴，雖說成功與否尚取決于機(jī)遇等其他因素，但對(duì)攻擊者而言很值得一試。許多防火墻軟件無法識(shí)別數(shù)據(jù)包到底來自哪個(gè)網(wǎng)絡(luò)接口，因此攻擊者無 12 需表明進(jìn)攻數(shù)據(jù)包的真正來源，只需偽裝IP地址，取得目標(biāo)的信任，使其認(rèn)為來自網(wǎng)絡(luò)內(nèi)部即可。IP地址欺騙攻擊正是基于這類防火墻對(duì)IP地址缺乏識(shí)別和驗(yàn)證的機(jī)制。
通常主機(jī)A與主機(jī)B的TCP連接(中間有或無防火墻)是通過主機(jī)A向主機(jī)B提出請(qǐng)求建立起來的，而其間A和B的確認(rèn)僅僅根據(jù)由主機(jī)A產(chǎn)生并經(jīng)主機(jī)B驗(yàn)證的初始序列號(hào)ISN。
具體分三個(gè)步驟：
1．主機(jī)A產(chǎn)生它的ISN，傳送給主機(jī)B，請(qǐng)求建立連接；
2．B接收到來自A的帶有SYN標(biāo)志的ISN后，將自己本身的ISN連同應(yīng)答信息ACK一同返回給A；
3.A再將B傳送來的ISN及應(yīng)答信息ACK返回給B。至此，正常情況，主機(jī)A與B的TCP連接就建立起來了。
IP地址欺騙攻擊的第一步是切斷可信賴主機(jī).這樣可以使用TCP淹沒攻擊，使得信賴主機(jī)處于“自顧不暇”的忙碌狀態(tài)，相當(dāng)于被切斷，這時(shí)目標(biāo)主機(jī)會(huì)認(rèn)為信賴主機(jī)出現(xiàn)了故障，只能發(fā)出無法建立連接的RST包而無暇顧及其他。
攻擊者最關(guān)心的是猜測(cè)目標(biāo)主機(jī)的ISN。為此，可以利用SMTP的端口(25)，通常它是開放的，郵件能夠通過這個(gè)端口，與目標(biāo)主機(jī)打開一個(gè)TCP連接，因而得到它的ISN。在此有效期間，重復(fù)這一過程若干次，以便能夠猜測(cè)和確定ISN的產(chǎn)生和變化規(guī)律，這樣就可以使用被切斷的可信賴主機(jī)的IP地址向目標(biāo)主機(jī)發(fā)出連接請(qǐng)求。
請(qǐng)求發(fā)出后，目標(biāo)主機(jī)會(huì)認(rèn)為它是TCP連接的請(qǐng)求者，從而給信賴主機(jī)發(fā)送響應(yīng)(包括SYN)，而信賴主機(jī)目前仍忙于處理Flood淹沒攻擊產(chǎn)生的“合法”請(qǐng)求，因此目標(biāo)主機(jī)不能得到來自于信賴主機(jī)的響應(yīng)。
現(xiàn)在攻擊者發(fā)出回答響應(yīng)，并連同預(yù)測(cè)的目標(biāo)主機(jī)的ISN一同發(fā)給目標(biāo)主機(jī)。
隨著不斷地糾正預(yù)測(cè)的ISN，攻擊者最終會(huì)與目標(biāo)主機(jī)建立一個(gè)會(huì)晤。通過這種方式，攻擊者以合法用戶的身份登錄到目標(biāo)主機(jī)而不需進(jìn)一步的確認(rèn)。如果反復(fù)試驗(yàn)使得目標(biāo)主機(jī)能夠接收對(duì)網(wǎng)絡(luò)的ROOT登錄，那么就可以完全控制整個(gè)網(wǎng)絡(luò)。
歸納起來，防火墻安全防護(hù)面臨威脅的幾個(gè)主要原因有：①SOCK的錯(cuò)誤配置；②不適當(dāng)?shù)陌踩撸虎蹚?qiáng)力攻擊；④允許匿名的FTP協(xié)議；⑤允許TFTP協(xié)議；⑥允許Rlogin命令；⑦允許X－Windows或OpenWindows；⑧端口映射；⑨可加載的NFS協(xié)議；⑩允許Win95/NT文件共享。
破壞防火墻的另一種方式是攻擊與干擾相結(jié)合。也就是在攻擊期間使防火墻始終處于繁忙的狀態(tài)。防火墻過分的繁忙有時(shí)會(huì)導(dǎo)致它忘記履行安全防護(hù)的職能，處于失效狀態(tài)。
需要特別注意的是，防火墻也可能被內(nèi)部攻擊。因?yàn)榘惭b了防火墻后，隨意訪問被嚴(yán)格禁止了，這樣內(nèi)部人員無法在閑暇的時(shí)間通過Telnet瀏覽郵件或使用FTP向外發(fā)送信息，個(gè)別人會(huì)對(duì)防火墻不滿進(jìn)而可能攻擊它、破壞它，期望回到從前的狀態(tài)。這里，攻擊的目標(biāo)常常是防火墻或防火墻運(yùn)行的操作系統(tǒng)，因此不僅涉及網(wǎng)絡(luò)安全，還涉及主機(jī)安全問題。
以上分析表明，防火墻的安全防護(hù)性能依賴的因素很多。防火墻并非萬能，它最多只能防護(hù)經(jīng)過其本身的非法訪問和攻擊，而對(duì)不經(jīng)防火墻的訪問和攻擊則無能為力。
六、防火墻的安全措施
各種防火墻的安全性能不盡相同，以下是一些一般防火墻的常用安全措施：
1.防電子欺騙術(shù)
防電子欺騙術(shù)功能是保證數(shù)據(jù)包的IP地址與網(wǎng)關(guān)接口相符，防止通過修改IP地址的方法進(jìn)行非授權(quán)訪問。還應(yīng)對(duì)可疑信息進(jìn)行鑒別，并向網(wǎng)絡(luò)管理員報(bào)警。
2.網(wǎng)絡(luò)地址轉(zhuǎn)移
地址轉(zhuǎn)移是對(duì)Internet隱藏內(nèi)部地址，防止內(nèi)部地址公開。這一功能可以克服IP尋址方式的諸多限制，完善內(nèi)部尋址模式。把未注冊(cè)IP地址映射成合法地址，就可以對(duì)Internet進(jìn)行訪問。3.開放式結(jié)構(gòu)設(shè)計(jì)
開放式結(jié)構(gòu)設(shè)計(jì)使得防火墻與相關(guān)應(yīng)用程序和外部用戶數(shù)據(jù)庫的連接相當(dāng)容易，典型的應(yīng)用程序連接如財(cái)務(wù)軟件包、病毒掃描、登錄分析等。
七、總結(jié)
第五篇：防火墻論文
防火墻技術(shù)論文
姓 名：王田輝 學(xué) 號(hào)：2012110438 專 業(yè)：網(wǎng)絡(luò)工程
摘要
本文介紹了防火墻的概念、分類、發(fā)展歷程、工作原理、主要技術(shù)及相關(guān)的特性。防火墻是一種訪問控制技術(shù)，它通過在某個(gè)機(jī)構(gòu)的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)之間設(shè)置障礙，阻止信息資源的非法訪問。說明了網(wǎng)絡(luò)常見攻擊方式以及防火墻應(yīng)對(duì)策略。分析了防火墻技術(shù)在Internet安全上的重要作用，并提出其不足之處 和解決方案。最后展望了防火墻的反戰(zhàn)前景以及技術(shù)方向。
關(guān)鍵字：防火墻；網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；功能；Internet；
Abstract The paper introduces the concept, classification and firewall development course, working principle and main technology and related properties.A firewall is a kind of access control technology, it is through the network and in some institutions unsafe network between obstacles, stop the illegal access to information resources.Explain the network attack mode and common firewall strategies.Analysis on the Internet security firewall technology was proposed, and the important role of the deficiencies and solutions.Finally discussed the prospect and the anti-war firewall technology trends.Key words: firewall, Network, Network security, Function, Internet，目錄
一、防火墻是什么.........................................1
二、防火墻的分類.........................................1
三、防火墻的發(fā)展歷程.....................................1
四、防火墻的工作原理.....................................2
五、防火墻應(yīng)該具備的特性.................................2
六、防火墻主要技術(shù).......................................2
七、常見攻擊方式以及應(yīng)對(duì)策略.............................3
八、防火墻的反戰(zhàn)前景以及技術(shù)方向.........................3
九、結(jié)束語...............................................4
十、參考文獻(xiàn).............................................4 現(xiàn)在無論是企業(yè)，還是個(gè)人，隨著計(jì)算機(jī)的應(yīng)用由單機(jī)發(fā)展到網(wǎng)絡(luò)，網(wǎng)絡(luò)面臨著大量的安全威脅，其安全問題日益嚴(yán)重，日益成為廣泛關(guān)注的焦點(diǎn)。在這樣一個(gè)大環(huán)境下，網(wǎng)絡(luò)安全問題凝了人們的注意力，大大小小的企業(yè)紛紛為自己的內(nèi)部網(wǎng)絡(luò)“筑墻”，防病毒與防黑客成為確保企業(yè)信息系統(tǒng)安全的基本手段。因此信息安全，網(wǎng)絡(luò)安全的問題已經(jīng)引起各國，各部門，各行各業(yè)以及每個(gè)計(jì)算機(jī)用戶的充分重視。
一、防火墻是什么
防火墻就是一個(gè)位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟件。該計(jì)算機(jī)流入流出的所有網(wǎng)絡(luò)通信均要經(jīng)過此防火墻。
二、防火墻的分類
防火墻又大致分為硬件防火墻和軟件防火墻:硬件防火墻是指把防火墻程序做到芯片里面，由硬件執(zhí)行這些功能，能減少CPU的負(fù)擔(dān)，使路由更穩(wěn)定。硬件防火墻一般都有WAN、LAN和DMZ三個(gè)端口，還具有各種安全功能，價(jià)格比較高，企業(yè)以及大型網(wǎng)絡(luò)使用得比較多。軟件防火墻其實(shí)就是安全防護(hù)軟件，比如天網(wǎng)防火墻、金山網(wǎng)鏢、藍(lán)盾防火墻等等。
三、防火墻的發(fā)展歷程
目前的防火墻無論從技術(shù)上還是產(chǎn)品發(fā)展歷程上，都經(jīng)歷了五個(gè)發(fā)展階段。第一代防火墻技術(shù)幾乎與路由器同時(shí)出現(xiàn)，采用了包過濾技術(shù)。1989年，貝爾實(shí)驗(yàn)室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時(shí)提出了第三代防火墻——應(yīng)用層防火墻（代理防火墻）的初步結(jié)構(gòu)。第四代防火墻是1992年，USC信息科學(xué)院的BobBraden開發(fā)出了基于動(dòng)態(tài)包過濾技術(shù)的第四代防火墻，后來演變?yōu)槟壳八f的狀態(tài)監(jiān)視技術(shù)。1994年，以色列的CheckPoint公司開發(fā)出了第一個(gè)采用這種技術(shù)的商業(yè)化的產(chǎn)品。第五代防火墻是1998年，NAI公司推出了一種自適應(yīng)代理技術(shù)，并在其產(chǎn)品Gauntlet Firewall for NT中得以實(shí)現(xiàn)，給代理類型的防火墻賦予了全新的意義。高級(jí)應(yīng)用代理的研究，克服速度和安全性之間的矛盾，可以稱之為第五代防火墻。前五代防火墻技術(shù)有一個(gè)共同的特點(diǎn)，就是采用逐一匹配方法，計(jì)算量太大。包過濾是對(duì)IP包進(jìn)行匹配檢查，狀態(tài)檢測(cè)包過濾除了對(duì)包進(jìn)行匹配檢查外還要對(duì)狀態(tài)信息進(jìn)行匹配檢查，應(yīng)用代理對(duì)應(yīng)用協(xié)議和應(yīng)用數(shù)據(jù)進(jìn)行匹配檢查。因此，它們都有一個(gè)共同的缺陷，安全性越高，檢查的越多，效率越低。用一個(gè)定律來描述，就是防火墻的安全性與效率成反比。
四、防火墻的工作原理
天下的防火墻至少都會(huì)說兩個(gè)詞：Yes或者No。直接說就是接受或者拒絕。最簡(jiǎn)單的防火墻是以太網(wǎng)橋。但幾乎沒有人會(huì)認(rèn)為這種原始防火墻能管多大用。大多數(shù)防火墻采用的技術(shù)和標(biāo)準(zhǔn)可謂五花八門。這些防火墻的形式多種多樣：有的取代系統(tǒng)上已經(jīng)裝備的TCP/IP協(xié)議棧；有的在已有的協(xié)議棧上建立自己的軟件模塊；有的干脆就是獨(dú)立的一套操作系統(tǒng)。還有一些應(yīng)用型的防火墻只對(duì)特定類型的網(wǎng)絡(luò)連接提供保護(hù)（比如SMTP或者HTTP協(xié)議等）。還有一些基于硬件的防火墻產(chǎn)品其實(shí)應(yīng)該歸入安全路由器一類。以上的產(chǎn)品都可以叫做防火墻，因?yàn)樗麄兊墓ぷ鞣绞蕉际且粯拥模悍治龀鋈敕阑饓Φ臄?shù)據(jù)包，決定放行還是把他們?nèi)拥揭贿?。所有的防火墻都具有IP地址過濾功能。這項(xiàng)任務(wù)要檢查IP包頭，根據(jù)其IP源地址和目標(biāo)地址作出放行/丟棄決定。
五、防火墻應(yīng)該具備的特性
當(dāng)前的防火墻需要具備如下的技術(shù)、功能、特性，才可以成為企業(yè)用戶歡迎的防火墻產(chǎn)品：
1、安全、成熟、國際領(lǐng)先的特性；
2、具有專有的硬件平臺(tái)和操作系統(tǒng)平臺(tái)；
3、采用高性能的全狀態(tài)檢測(cè)（Stateful Inspection）技術(shù)；
4、具有優(yōu)異的管理功能，提供優(yōu)異的GUI管理界面；
5、支持多種用戶認(rèn)證類型和多種認(rèn)證機(jī)制；
6、需要支持用戶分組，并支持分組認(rèn)證和授權(quán)；
7、支持內(nèi)容過濾；
8、支持動(dòng)態(tài)和靜態(tài)地址翻譯(NAT；
9、支持高可用性，單臺(tái)防火墻的故障不能影響系統(tǒng)的正常運(yùn)行；
10、支持本地管理和遠(yuǎn)程管理；
11、支持日志管理和對(duì)日志的統(tǒng)計(jì)分析；
12、實(shí)時(shí)告警功能，在不影響性能的情況下，支持較大數(shù)量的連接數(shù)；
13、在保持足夠的性能指標(biāo)的前提下，能夠提供盡量豐富的功能；
14、可以劃分很多不同安全級(jí)別的區(qū)域，相同安全級(jí)別可控制是否相互通訊；
15、支持在線升級(jí)；
16、支持虛擬防火墻及對(duì)虛擬防火墻的資源限制等功能；
17、防火墻能夠與入侵檢測(cè)系統(tǒng)互動(dòng)。
六、防火墻主要技術(shù)
先進(jìn)的防火墻產(chǎn)品將網(wǎng)關(guān)與安全系統(tǒng)合二為一，具有以下技術(shù)：雙端口或三端口的結(jié)構(gòu)；透明的訪問方式；靈活的代理系統(tǒng)；多級(jí)的過濾技術(shù)；網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（NAT）；Internet網(wǎng)關(guān)技術(shù)；安全服務(wù)器網(wǎng)絡(luò)（SSN）；用戶鑒別與加密；用戶定制服務(wù)；審計(jì)和告警。
七、常見攻擊方式以及應(yīng)對(duì)策略
（一）病毒
策略：設(shè)定安全等級(jí)，嚴(yán)格阻止系統(tǒng)在未經(jīng)安全檢測(cè)的情況下執(zhí)行下載程序；或者通過常用的基于主機(jī)的安全方法來保護(hù)網(wǎng)絡(luò)。
（二）口令字
對(duì)口令字的攻擊方式有兩種：窮舉和嗅探。窮舉針對(duì)來自外部網(wǎng)絡(luò)的攻擊，來猜測(cè)防火墻管理的口令字。嗅探針對(duì)內(nèi)部網(wǎng)絡(luò)的攻擊，通過監(jiān)測(cè)網(wǎng)絡(luò)獲取主機(jī)給防火墻的口令字。
策略：設(shè)計(jì)主機(jī)與防火墻通過單獨(dú)接口通信（即專用服務(wù)器端口）、采用一次性口令或禁止直接登錄防火墻。
（三）郵件
來自于郵件的攻擊方式越來越突出，在這種攻擊中，垃圾郵件制造者將一條消息復(fù)制成成千上萬份，并按一個(gè)巨大的電子郵件地址清單發(fā)送這條信息，當(dāng)不經(jīng)意打開郵件時(shí)，惡意代碼即可進(jìn)入。
策略：打開防火墻上的過濾功能，在內(nèi)網(wǎng)主機(jī)上采取相應(yīng)阻止措施。
（四）IP地址
黑客利用一個(gè)類似于內(nèi)部網(wǎng)絡(luò)的IP地址，以“逃過”服務(wù)器檢測(cè)，從而進(jìn)入內(nèi)部網(wǎng)達(dá)到攻擊的目的。策略：通過打開內(nèi)核rp_filter功能，丟棄所有來自網(wǎng)絡(luò)外部但卻有內(nèi)部地址的數(shù)據(jù)包；同時(shí)將特定IP地址與MAC綁定，只有擁有相應(yīng)MAC地址的用戶才能使用被綁定的IP地址進(jìn)行網(wǎng)絡(luò)訪問。
八、防火墻的反戰(zhàn)前景以及技術(shù)方向
伴隨著Internet的飛速發(fā)展，防火墻技術(shù)與產(chǎn)品的更新步伐必然會(huì)加強(qiáng)，而要全面展望防火墻技術(shù)的發(fā)展幾乎是不可能的。但是，從產(chǎn)品及功能上，卻又可以看出一些動(dòng)向和趨勢(shì)。下面諸點(diǎn)可能是下一步的走向和選擇：
（1)防火墻將從目前對(duì)子網(wǎng)或內(nèi)部網(wǎng)管理的方式向遠(yuǎn)程上網(wǎng)集中管理的方式發(fā)展。
（2)過濾深度會(huì)不斷加強(qiáng)，從目前的地址、服務(wù)過濾，發(fā)展到URL(頁面)過濾、關(guān)鍵字過濾和對(duì)ActiveX、Java等的過濾，并逐漸有病毒掃描功能。
（3)利用防火墻建立專用網(wǎng)是較長(zhǎng)一段時(shí)間用戶使用的主流，IP的加密需求越來越強(qiáng)，安全協(xié)議的開發(fā)是一大熱點(diǎn)。
（4)單向防火墻(又叫做網(wǎng)絡(luò)二極管)將作為一種產(chǎn)品門類而出現(xiàn)。（5)對(duì)網(wǎng)絡(luò)攻擊的檢測(cè)和各種告警將成為防火墻的重要功能。（6)安全管理工具不斷完善，特別是可以活動(dòng)的日志分析工具等將成為防火墻產(chǎn)品中的一部分。 另外值得一提的是，伴隨著防火墻技術(shù)的不斷發(fā)展，人們選擇防火墻的標(biāo)準(zhǔn)將主要集中在易于管理、應(yīng)用透明性、鑒別與加密功能、操作環(huán)境和硬件要求、VPN 的功能與CA的功能、接口的數(shù)量、成本等幾個(gè)方面。幾乎所有接觸網(wǎng)絡(luò)的人都知道網(wǎng)絡(luò)中有一些費(fèi)盡心機(jī)闖入他人計(jì)算機(jī)系統(tǒng)的人，他們利用各種網(wǎng)絡(luò)和系統(tǒng)的漏洞，非法獲得未授權(quán)的訪問信息。不幸的是如今攻擊網(wǎng)絡(luò)系統(tǒng)和竊取信息已經(jīng)不需要什么高深的技巧。網(wǎng)絡(luò)中有大量的攻擊工具和攻擊文章等資源，可以任意使用和共享。不需要去了解那些攻擊程序是如何運(yùn)行的，只需要簡(jiǎn)單的執(zhí)行就可以給網(wǎng)絡(luò)造成巨大的威脅。甚至部分程序不需要人為的參與，非常智能化的掃描和破壞整個(gè)網(wǎng)絡(luò)。這種情況使得近幾年的攻擊頻率和密度顯著增長(zhǎng)，給網(wǎng)絡(luò)安全帶來越來越多的安全隱患
九、結(jié)束語
隨著Internet/Intranet技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全問題必將愈來愈引起人們的重視。防火墻技術(shù)作為目前用來實(shí)現(xiàn)網(wǎng)絡(luò)安全措施的一種主要手段，它主要是用來拒絕未經(jīng)授權(quán)用戶的訪問，阻止未經(jīng)授權(quán)用戶存取敏感數(shù)據(jù)，同時(shí)允許合法用戶不受妨礙的訪問網(wǎng)絡(luò)資源。如果使用得當(dāng)，可以在很大程度上提高網(wǎng)絡(luò)安全。但是沒有一種技術(shù)可以百分之百地解決網(wǎng)絡(luò)上的所有問題，比如防火墻雖然能對(duì)來自外部網(wǎng)絡(luò)的攻擊進(jìn)行有效的保護(hù)，但對(duì)于來自網(wǎng)絡(luò)內(nèi)部的攻擊卻無能為力。事實(shí)上60%以上的網(wǎng)絡(luò)安全問題來自網(wǎng)絡(luò)內(nèi)部。因此網(wǎng)絡(luò)安全單靠防火墻是不夠的，還需要有其它技術(shù)和非技術(shù)因素的考慮，如信息加密技術(shù)、身份驗(yàn)證技術(shù)、制定網(wǎng)絡(luò)法規(guī)、提高網(wǎng)絡(luò)管理人員的安全意識(shí)等等。
十、參考文獻(xiàn)
[1] 作者：彭濤.《計(jì)算機(jī)網(wǎng)絡(luò)教程 》 機(jī)械工業(yè)出版社 [2] 作者：IBON.Marshield 《網(wǎng)絡(luò)安全技術(shù)白皮書》 艾邦公司資料
[3] 作者：楚狂 等 《網(wǎng)絡(luò)安全與Firewall技術(shù)》 人民郵電出版社 [4] 作者：聶元銘 丘平《網(wǎng)絡(luò)信息安全技術(shù)》 科學(xué)出版社
點(diǎn)擊咨詢 