摘 要: 介紹了防火墻的概念、原理、分類及比較，指出傳統防火墻存在的不足之處，提出了一種新型防火墻系統—嵌入式防火墻系統，最后對防火墻的發展作了前景展望。
關鍵詞: 互聯網 防火墻? 網絡安全? 包過濾? 嵌入式防火墻系統
國際互聯網(Internet)的迅速發展，為信息共享提供了一條全球性的高速通道，同時也為各種新興娛樂方式、商業形式的形成和發展創造了有利條件。然而不幸的是，由于目前采用的TCP/IP協議族潛在著安全漏洞以及安全機制不健全，Internet網上的黑客趁機而入，非法進入企業的內部網并存取、破壞、竊聽數據。因此，如何保護企業內部網絡中的資源及信息不受外部攻擊者肆意破壞或盜竊，是企業網絡安全需要解決的重要問題。
防火墻就是保護網絡安全最主要的手段之一，它是設置在被保護網絡與外部網絡之間的一道屏障，以防止不可預測的、潛在破壞的非法入侵。它通過監測、限制、修改跨越防火墻的數據流，盡可能地對外屏蔽網絡內部的結構、信息和運行情況，以此來實現內部網絡的安全保護。
1 防火墻的概念、原理
防火墻是在內部網和外部網之間實施安全防范的系統。可認為它是一種訪問控制機制，用于確定哪些內部服務允許外部訪問，以及允許哪些外部服務訪問內部服務。它可以根據網絡傳輸的類型決定IP包是否可以傳進或傳出企業網。防止非授權用戶訪問企業內部、允許使用授權機器的用戶遠程訪問企業內部、管理企業內部人員對Internet的訪問。防火墻的組成可用表達式說明如下：
防火墻＝過濾器＋安全策略(網關)
防火墻通過逐一審查收到的每個數據包，判斷它是否有相匹配的過濾規則(用表格的形式表示，包括Match，Action，Trace，Target四個條件項)。即按表格中規則的先后順序以及每條規則的條件項進行比較，直到滿足某一條規則的條件，并作出規定的動作(停下或向前轉發)，從而來保護網絡的安全。
2 防火墻的分類及比較
防火墻一般可以分為以下幾種：包過濾型防火墻、電路級網關型防火墻、應用網關型防火墻、代理服務型防火墻、狀態檢測型防火墻、自適應代理型防火墻。下面分析各種防火墻的優缺點。
包過濾型防火墻? 它是在網絡層對數據包進行分析、選擇，選擇的依據是系統內設置的過濾邏輯，也可稱之為訪問控制表。通過檢查數據流中每一個數據包的源地址、目的地址、所用端口、協議狀態等因素，或它們的組合來確定是否允許該數據包通過。它的優點是：邏輯簡單，成本低，易于安裝和使用，網絡性能和透明性好，通常安裝在路由器上。缺點是：很難準確地設置包過濾器，缺乏用戶級的授權；包過濾判別的條件位于數據包的頭部，由于IPV4的不安全性，很可能被假冒或竊取；是基于網絡層的安全技術，不能檢測通過高層協議而實施的攻擊。
電路級網關型防火墻? 它起著一定的代理服務作用，監視兩主機建立連接時的握手信息，判斷該會話請求是否合法。一旦會話連接有效后，該網關僅復制、傳遞數據。它在IP層代理各種高層會話，具有隱藏內部網絡信息的能力，且透明性高。但由于其對會話建立后所傳輸的具體內容不再作進一步地分析，因此安全性低。
應用網關型防火墻? 它是在應用層上實現協議過濾和轉發功能，針對特別的網絡應用協議制定數據過濾邏輯。應用網關通常安裝在專用工作站系統上。由于它工作于應用層，因此具有高層應用數據或協議的理解能力，可以動態地修改過濾邏輯，提供記錄、統計信息。它和包過濾型防火墻有一個共同特點，就是它們僅依靠特定的邏輯來判斷是否允許數據包通過，一旦符合條件，則防火墻內外的計算機系統建立直接聯系，防火墻外部網絡能直接了解內部網絡結構和運行狀態，這大大增加了實施非法訪問攻擊的機會。
代理服務型防火墻? 代理服務器接收客戶請求后，會檢查并驗證其合法性，如合法，它將作為一臺客戶機向真正的服務器發出請求并取回所需信息，最后再轉發給客戶。它將內部系統與外界完全隔離開來，從外面只看到代理服務器，而看不到任何內部資源，而且代理服務器只允許被代理的服務通過。代理服務安全性高，還可以過濾協議，通常認為它是最安全的防火墻技術。其不足主要是不能完全透明地支持各種服務、應用，它將消耗大量的CPU資源，導致低性能。
狀態檢測型防火墻? 它將動態記錄、維護各個連接的協議狀態，并在網絡層對通信的各個層次進行分析、檢測，以決定是否允許通過防火墻。因此它兼備了較高的效率和安全性，可以支持多種網絡協議和應用，且可以方便地擴展實現對各種非標準服務的支持。
自適應代理型防火墻? 它可以根據用戶定義的安全策略，動態適應傳送中的分組流量。如果安全要求較高，則最初的安全檢查仍在應用層完成。而一旦代理明確了會話的所有細節，那么其后的數據包就可以直接經過速度快得多的網絡層。因而它兼備了代理技術的安全性和狀態檢測技術的高效率。
3 新型防火墻系統
3.1 傳統防火墻的缺點
傳統防火墻結構在其技術原理上對來自內部的安全威脅不具備防范能力，且具有以下不足：
· 高成本：內部網中需要保護的主機或者資源越多，就要設置更多的安全檢查點，即需要更高的設備成本及系統維護開銷。
·高管理負擔：IT管理人員將面臨極大的挑戰來管理，維護更多的防火墻設備。
· 存在盲點：由于傳統防火墻將檢查點設立在一個“可信子網”的入口處，來自子網內部任何主機的攻擊都將成為該防火墻的盲點。
· 低性能：由于大量的安全檢查點被安置于企業內的各種路由設備上，內部網中所有的通信都將不可避免地經過若干個安全檢查點，以至于造成相應的傳輸延遲，使網絡性能降低了。
3.2 嵌入式防火墻系統概述
為了有效地解決日益突出的內部網安全問題，作者提出了一種新型的防火墻系統—嵌入式防火墻系統(EFS)。它不僅是一種單純的提供訪問控制手段的防火墻設備，還集成了一整套解決網絡安全問題的各種應用，為大量的網絡用戶及需要保護的網絡資源提供了一個可管理的、分布式的、安全的計算環境。它使用了一種簡化的，基于公鑰的Kerberos協議以實現透明的認證，并綜合了其它一些網絡安全技術，包括授權、安全數據傳輸、審計等，并提供了一種集中式的管理機制。
3.2.1 系統結構和實現機制
EFS核心系統一般可以包括四個主要部件：客戶認證代理，嵌入式防火墻代理，票據授予服務器(TGS)和認證服務器(AS)如圖1所示。
EFS的實現機制如下：
(1)客戶登錄EFS系統時，客戶認證代理將提示并獲取相應的用戶名和口令。僅當客戶同時具有正確的口令和含有私有密鑰的設備，客戶代理才能夠進行身份認證。在用戶登錄完成后，客戶代理將自動向AS發送請求AS_REQ，以申請TGT。
(2)認證服務器AS收到客戶的AS_REQ后，發回應答消息AS_REP。
(3)客戶認證代理得到AS發回的AS_REP后，進行解密，獲取并保存與TGS通信的會話密鑰及提交給TGS的票據。
(4)當客戶需要使用某一服務時，客戶認證代理將首先截獲請求TCP連接的IP包，并根據Socket匹配以判斷是否已具有獲取該服務的票據。如有，則直接將此票附加于該IP包，形成AP_REQ，發往服務器(執行步驟7)。否則，客戶認證代理必須首先向TGS申請相應的應用票據。
(5)TGS在收到客戶認證代理發來的TGS_REQ后，進行解密，以獲取客戶與其會話密鑰，用它來解密認證算子，將算得的檢驗和與自己生成的HASH函數結果相比較，以檢查客戶身份的合法性和消息的完整性。在授權通過后，TGS生成TGS_REP，并發回用戶。
(6)客戶認證代理得到TGS發回的TGS_REP后，首先確定所申請的服務是否需要認證。若無需認證，客戶代理將恢復連接請求。否則，從TGS_REP中獲取服務的票據和與應用服務器之間的會話密鑰，將它們放入原來的連接請求包中，形成AP_REQ，發往應用服務器。
(7)駐留于應用服務器上的嵌入式防火墻代理收到AP_REQ后，解開票據，獲取會話密鑰，以驗證用戶身份。如合法，則將該IP包遞交上層處理，否則予以丟棄。
3.2.2 外部網訪問控制及狀態檢測機制
EFS可以實現對外部網的訪問控制，首先在所有與外部網相連的路由器或網關設備上安裝嵌入式防火墻代理。然后再將各種外部網絡服務在TGS上注冊，并安裝相應的通過邊界路由器或網關設備所需的票據。最后，根據用戶身份制定外部網訪問控制安全策略。基本的EFS實現了嚴格的身份認證及訪問控制，客戶認證代理一旦與嵌入式防火墻代理完成三次握手，創建了TCP連接，通信將直接在客戶機與服務器間進行，不再接受任何形式的安全檢查，這種機制雖然大大地提高了訪問效率，但它不能實現基于特定協議命令的過濾和內容安全檢查。為了實現高級安全檢查，可以在EFS中增加狀態檢測防火墻，由它來檢查一些標準的網絡服務(如Http，Ftp，Telnet，Finger等)，或基于內容的檢查。
3.2.3 嵌入式防火墻的優點
與傳統防火墻相比，EFS具有如下優點：
·同時防止來自于內、外部網絡的攻擊。由于嵌入式防火墻代理部件直接安裝在所有需要安全保護的應用服務器上，來自于裝載嵌入式防火墻代理的機器之外的任何通信，都需經過嵌入式防火墻代理的檢查和過濾。
·透明認證。由于EFS在低層即IP層上實現了Kerberos認證協議，它能夠支持任何基于IP協議的應用。用戶無需親自與防火墻連接以獲取認證，而是由駐留在客戶機上的認證代理自動與AS、TGS等連接，交換相應的票據，實現整個認證過程，即EFS是完全透明于用戶的。EFS中，即使應用程序本身從未考慮過實現任何認證機制，EFS仍可使其支持嚴格的身份認證過程，從而實現了認證與應用的完全獨立。
·安全會話。由于Kerberos協議為每個會話均提供了一個隨機的會話密鑰，從而實現了安全的會話傳輸。此外，通過與公開密鑰技術的結合，EFS提供了四種數據傳輸的安全級別，從而在兩臺通信主機之間形成了一條私有通道。
·一次簽放。用戶只需在登錄系統時進行一次認證，便可以使用所有的安全服務。而管理員只需維護一套EFS帳號，并精確定義用戶訪問各種服務的權限即可，這也有助于管理員將各個服務的安全性作為一個整體集中起來綜合考慮，從而極大地增加了系統的安全系數。
·低成本、高性能。EFS中，檢查點被直接設置于需保護的應用服務器上，內部網中無需為了安全而使用額外的路由器以劃分安全子網，沒有多余的通信檢查和硬件投資。
·統籌規劃、集中管理。由于EFS在每臺需保護的主機上安裝了嵌入式防火墻代理，而該代理的主要工作是驗證Kerberos票據，所有的安全策略都將統一保存在TGS上，因此形成了一個負責整個企業訪問控制及授權的集中式控制臺。
3.2.4 嵌入式防火墻的發展
目前，整個系統模型已在Linux操作系統上得以實現。在不久的將來，系統還將實現運行于Windows系統平臺上的客戶認證代理及運行于NT和UNIX上的嵌入式防火墻代理。屆時，一個完整的、跨平臺的安全解決方案將會形成。
4 前景展望
防火墻作為一種防護手段，對維護網絡安全起到了一定的作用，但并非萬無一失，它只能防護經過自身的非法訪問和攻擊；它雖然能夠針對所有服務進行安全檢查，過濾其是否合法，但不能有效地杜絕所有惡意數據包，利用合法的連接傳輸非法數據確實存在。
防火墻只是整個網絡安全防護的一部分，它需要其他的防護措施和技術，如密碼技術、訪問控制、權限管理、病毒防治等。也只有運用先進認證技術，并在網絡層上實施統一的用戶端對端的數據流加密技術，再結合目前的防火墻技術以進行必要的內容檢測、攻擊檢測及其他一些手段，才能解決內部網安全問題，并最終提供一套一體化的解決途徑。
參考文獻
1 張華、劉玉莎、陳福民.防火墻技術的研究與探討.計算機應用研究，1999;(11)
2 張華、劉玉莎、陳福民.構筑安全的內部網.計算機應用研究，1999;(9)
3 林靜、魯艷玲，趙玉梅.防火墻.計算機與網絡、1999
4 張超、王錦田. Internet/Intranet系統上的安全技術及安全性建設原則.計算機應用與軟件、1999;(6)
5 王艷華、韋遠明.基于互聯網絡的信息安全措施的探討.電腦與信息技術、1999;(2)