防火墙技术论文例1

1．引言

防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业：1995年，刚刚面市的防火墙技术产品市场量还不到1万套；到1996年底，就猛增到10万套；据国际权威商业调查机构的预测，防火墙市场将以173%的复合增长率增长，今年底将达到150万套，市场营业额将从1995年的1.6亿美元上升到今年的9.8亿美元。

为了更加全面地了解Internet防火墙及其发展过程，特别是第四代防火墙的技术特色，我们非常有必要从产品和技术角度对防火墙技术的发展演变做一个详细的考察。

2.Internet防火墙技术简介

防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲，Internet防火墙服务也属于类似的用来防止外界侵入的。它可以防止Internet上的各种危险(病毒、资源盗用等)传播到你的网络内部。而事实上，防火墙并不像现实生活中的防火墙，它有点像古代守护城池用的护城河，服务于以下多个目的：

1)限定人们从一个特定的控制点进入；

2)限定人们从一个特定的点离开；

3)防止侵入者接近你的其他防御设施；

4)有效地阻止破坏者对你的计算机系统进行破坏。

在现实生活中，Internet防火墙常常被安装在受保护的内部网络上并接入Internet，如图1所示。

图1防火墙在Internet中的位置

从上图不难看出，所有来自Internet的传输信息或你发出的信息都必须经过防火墙。这样，防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲，防火墙是起分隔、限制、分析的作用，这一点同样可以从图1中体会出来。那么，防火墙究竟是什么呢?实际上，防火墙是加强Internet(内部网)之间安全防御的一个或一组系统，它由一组硬件设备(包括路由器、服务器)及相应软件构成。3.防火墙技术与产品发展的回顾

防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看，防火墙应该具有以下五大基本功能：

过滤进、出网络的数据；

管理进、出网络的访问行为；

封堵某些禁止行为；

记录通过防火墙的信息内容和活动；

对网络攻击进行检测和告警。

为实现以上功能，在防火墙产品的开发中，人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年来的发展，可以将其划分为如下四个阶段(即四代)。

3.1基于路由器的防火墙

由于多数路由器本身就包含有分组过滤功能，故网络访问控制可能通过路控制来实现，从而使具有分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是：

1)利用路由器本身对分组的解析，以访问控制表(AccessList)方式实现对分组的过滤；

2)过滤判断的依据可以是：地址、端口号、IP旗标及其他网络特征；

3)只有分组过滤的功能，且防火墙与路由器是一体的。这样，对安全要求低的网络可以采用路由器附带防火墙功能的方法，而对安全性要求高的网络则需要单独利用一台路由器作为防火墙。

第一代防火墙产品的不足之处十分明显，具体表现为：

路由协议十分灵活，本身具有安全漏洞，外部网络要探寻内部网络十分容易。例如，在使用FTP协议时，外部服务器容易从20号端口上与内部网相连，即使在路由器上设置了过滤规则，内部网络的20号端口仍可以由外部探寻。

路由器上分组过滤规则的设置和配置存在安全隐患。对路由器中过滤规则的设置和配置十分复杂，它涉及到规则的逻辑一致性。作用端口的有效性和规则集的正确性，一般的网络系统管理员难于胜任，加之一旦出现新的协议，管理员就得加上更多的规则去限制，这往往会带来很多错误。

路由器防火墙的最大隐患是：攻击者可以“假冒”地址。由于信息在网络上是以明文方式传送的，黑客(Hacker)可以在网络上伪造假的路由信息欺骗防火墙。

路由器防火墙的本质缺陷是：由于路由器的主要功能是为网络访问提供动态的、灵活的路由，而防火墙则要对访问行为实施静态的、固定的控制，这是一对难以调和的矛盾，防火墙的规则设置会大大降低路由器的性能。

可以说基于路由器的防火墙技术只是网络安全的一种应急措施，用这种权宜之计去对付黑客的攻击是十分危险的。

3.2用户化的防火墙工具套

为了弥补路由器防火墙的不足，很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的网络，从而推动了用户防火墙工具套的出现。

作为第二代防火墙产品，用户化的防火墙工具套具有以下特征：

1)将过滤功能从路由器中独立出来，并加上审计和告警功能；

2)针对用户需求，提供模块化的软件包；

3)软件可以通过网络发送，用户可以自己动手构造防火墙；

4)与第一代防火墙相比，安全性提高了，价格也降低了。

由于是纯软件产品，第二代防火墙产品无论在实现上还是在维护上都对系统管理员提出了相当复杂的要求，并带来以下问题：

配置和维护过程复杂、费时；

对用户的技术要求高；

全软件实现，使用中出现差错的情况很多。

3.3建立在通用操作系统上的防火墙

基于软件的防火墙在销售、使用和维护上的问题迫使防火墙开发商很快推出了建立在通用操

作系统上的商用防火墙产品。近年来市场上广泛使用的就是这一代产品，它们具有如下一些

特点：

1)是批量上市的专用防火墙产品；

2)包括分组过滤或者借用路由器的分组过滤功能；

3)装有专用的系统，监控所有协议的数据和指令；

4)保护用户编程空间和用户可配置内核参数的设置；

5)安全性和速度大大提高。

第三代防火墙有以纯软件实现的，也有以硬件方式实现的，它们已经得到了广大用户的认同

。但随着安全需求的变化和使用时间的推延，仍表现出不少问题，比如：

1)作为基础的操作系统及其内核往往不为防火墙管理者所知，由于源码的保密，其安全性

无从保证；

2)由于大多数防火墙厂商并非通用操作系统的厂商，通用操作系统厂商不会对操作系统的

安全性负责；

3)从本质上看，第三代防火墙既要防止来自外部网络的攻击，还要防止来自操作系统厂商

的攻击；

4)在功能上包括了分组过滤、应用网关、电路级网关且具有加密鉴别功能；

5)透明性好，易于使用。

4.第四代防火墙的主要技术及功能

第四代防火墙产品将网关与安全系统合二为一，具有以下技术功能。

4.1双端口或三端口的结构

新一代防火墙产品具有两个或三个独立的网卡，内外两个网卡可不做IP转化而串接于内部与外部之间，另一个网卡可专用于对服务器的安全保护。

4.2透明的访问方式

以前的防火墙在访问方式上要么要求用户做系统登录，要么需要通过SOCKS等库路径修改客户机的应用。第四代防火墙利用了透明的系统技术，从而降低了系统登录固有的安全风险和出错概率。

4.3灵活的系统

系统是一种将信息从防火墙的一侧传送到另一侧的软件模块，第四代防火墙采用了两种机制：一种用于从内部网络到外部网络的连接；另一种用于从外部网络到内部网络的连接。前者采用网络地址转接(NIT)技术来解决，后者采用非保密的用户定制或保密的系统技术来解决。

4.4多级过滤技术

为保证系统的安全性和防护水平，第四代防火墙采用了三级过滤措施，并辅以鉴别手段。在分组过滤一级，能过滤掉所有的源路由分组和假冒IP地址；在应用级网关一级，能利用FTP、SMTP等各种网关，控制和监测Internet提供的所有通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务的通行实行严格控制。

4.5网络地址转换技术

第四代防火墙利用NAT技术能透明地对所有内部地址做转换，使得外部网络无法了解内部网络的内部结构，同时允许内部网络使用自己编的IP源地址和专用网络，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。

4.6Internet网关技术

由于是直接串联在网络之中，第四代防火墙必须支持用户在Internet互联的所有服务，同时还要防止与Internet服务有关的安全漏洞，故它要能够以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性，对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。

在域名服务方面，第四代防火墙采用两种独立的域名服务器：一种是内部DNS服务器，主要处理内部网络和DNS信息；另一种是外部DNS服务器，专门用于处理机构内部向Internet提供的部分DNS信息。

在匿名FTP方面，服务器只提供对有限的受保护的部分目录的只读访问。在WWW服务器中，只支持静态的网页，而不允许图形或CGI代码等在防火墙内运行。在Finger服务器中，对外部访问，防火墙只提供可由内部用户配置的基本的文本信息，而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件做处理，并利用邮件映射与标头剥除的方法隐除内部的邮件环境。Ident服务器对用户连接的识别做专门处理，网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。

4.7安全服务器网络(SSN)

为了适应越来越多的用户向Internet上提供服务时对服务器的需要，第四代防火墙采用分别保护的策略对用户上网的对外服务器实施保护，它利用一张网卡将对外服务器作为一个独立网络处理，对外服务器既是内部网络的一部分，又与内部网关完全隔离，这就是安全服务器网络(SSN)技术。而对SSN上的主机既可单独管理，也可设置成通过FTP、Tnlnet等方式从内部网上管理。

SSN方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多，因为SSN与外部网之间有防火墙保护，SSN与风部网之间也有防火墙的保护，而DMZ只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之，一旦SSN受破坏，内部网络仍会处于防火墙的保护之下，而一旦DMZ受到破坏，内部网络便暴露于攻击之下。4.8用户鉴别与加密

为了减低防火墙产品在Tnlnet、FTP等服务和远程管理上的安全风险，鉴别功能必不可少。第四代防火墙采用一次性使用的口令系统来作为用户的鉴别手段，并实现了对邮件的加密。

4.9用户定制服务

为了满足特定用户的特定需求，第四代防火墙在提供众多服务的同时，还为用户定制提供支持，这类选项有：通用TCP、出站UDP、FTP、SMTP等，如果某一用户需要建立一个数据库的，便可以利用这些支持，方便设置。

4.10审计和告警

第四代防火墙产品采用的审计和告警功能十分健全，日志文件包括：一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站、FTP、出站、邮件服务器、名服务器等。告警功能会守住每一个TCP或UDP探寻，并能以发出邮件、声响等多种方式报警。

此外，第四代防火墙还在网络诊断、数据备份保全等方面具有特色。

5．第四代防火墙技术的实现方法

在第四代防火墙产品的设计与开发中，安全内核、系统、多级过滤、安全服务器、鉴别与加密是关键所在。

5.1安全内核的实现

第四代防火墙是建立在安全操作系统之上的，安全操作系统来自对专用操作系统的安全加固和改造，从现在的诸多产品看，对安全操作系统内核的固化与改造主要从以下几个方面进行：

1)取消危险的系统调用；

2)限制命令的执行权限；

3)取消IP的转发功能；

4)检查每个分组的接口；

5)采用随机连接序号；

6)驻留分组过滤模块；

7)取消动态路由功能；

8)采用多个安全内核。

5.2系统的建立

防火墙不允许任何信息直接穿过它，对所有的内外连接均要通过系统来实现，为保证整个防火墙的安全，所有的都应该采用改变根目录方式存在一个相对独立的区域以安全隔离。

在所有的连接通过防火墙前，所有的要检查已定义的访问规则，这些规则控制的服务根据以下内容处理分组：

1)源地址；

2)目的地址；

3)时间；

4)同类服务器的最大数量。

所有外部网络到防火墙内部或SSN的连接由进站处理，进站要保证内部主机能够了解外部主机的所有信息，而外部主机只能看到防火墙之外或SSN的地址。

所有从内部网络SSN通过防火墙与外部网络建立的连接由出站处理，出站必须确保完全由它代表内部网络与外部地址相连，防止内部网址与外部网址的直接连接，同时还要处理内部网络SSN的连接。

5.3分组过滤器的设计

作为防火墙的核心部件之一，过滤器的设计要尽量做到减少对防火墙的访问，过滤器在调用时将被下载到内核中执行，服务终止时，过滤规则会从内核中消除，所有的分组过滤功能都在内核中IP堆栈的深层运行，极为安全。分组过滤器包括以下参数。

1)进站接口；

2)出站接口；

3)允许的连接；

4)源端口范围；

5)源地址；

6)目的端口的范围等。

对每一种参数的处理都充分体现设计原则和安全政策。

5.4安全服务器的设计

安全服务器的设计有两个要点：第一，所有SSN的流量都要隔离处理，即从内部网和外部网而来的路由信息流在机制上是分离的；第二，SSN的作用类似于两个网络，它看上去像是内部网，因为它对外透明，同时又像是外部网络，因为它从内部网络对外访问的方式十分有限。

SSN上的每一个服务器都隐蔽于Internet，SSN提供的服务对外部网络而言好像防火墙功能，由于地址已经是透明的，对各种网络应用没有限制。实现SSN的关键在于：

1)解决分组过滤器与SSN的连接；

2)支持通过防火墙对SSN的访问；

3)支持服务。

5.5鉴别与加密的考虑

鉴别与加密是防火墙识别用户、验证访问和保护信息的有效手段，鉴别机制除了提供安全保护之外，还有安全管理功能，目前国外防火墙产品中广泛使用令牌鉴别方式，具体方法有两种一种是加密卡(CryptoCard)；另一种是SecureID，这两种都是一次性口令的生成工具。



对信息内容的加密与鉴别则涉及加密算法和数字签名技术，除PEM、PGP和Kerberos外，目前国外防火墙产品中尚没有更好的机制出现，由于加密算法涉及国家信息安全和，各国有不同的要求。

6．第四代防火墙的抗攻击能力

作为一种安全防护设备，防火墙在网络中自然是众多攻击者的目标，故抗攻击能力也是防火墙的必备功能。在Internet环境中针对防火墙的攻击很多，下面从几种主要的攻击方法来评估第四代防火墙的抗攻击能力。

6.1抗IP假冒攻击

IP假冒是指一个非法的主机假冒内部的主机地址，骗取服务器的“信任”，从而达到对网络的攻击目的。由于第四代防火墙已经将网内的实际地址隐蔽起来，外部用户很难知道内部的IP地址，因而难以攻击。

6.2抗特洛伊木马攻击

特洛伊木马能将病毒或破坏性程序传入计算机网络，且通常是将这些恶意程序隐蔽在正常的程序之中，尤其是热门程序或游戏，一些用户下载并执行这一程序，其中的病毒便会发作。第四代防火墙是建立在安全的操作系统之上的，其内核中不能执行下载的程序，故而可以防止特洛伊木马的发生。必须指出的是，防火墙能抗特洛伊木马的攻击并不表明其保护的某个主机也能防止这类攻击。事实上，内部用户可以通过防火墙下载程序，并执行下载的程序。



6.3抗口令字探寻攻击

在网络中探寻口令的方法很多，最常见的是口令嗅探和口令解密。嗅探是通过监测网络通信，截获用户传给服务器的口令字，记录下来，以便使用；解密是指采用强力攻击、猜测或截获含有加密口令的文件，并设法解密。此外，攻击者还常常利用一些常用口令字直接登录。

第四代防火墙采用了一次性口令字和禁止直接登录防火墙措施，能够有效防止对口令字的攻击。

6.4抗网络安全性分析

网络安全性分析工具是提供管理人员分析网络安全性之用的，一旦这类工具用作攻击网络的手段，则能够比较方便地探测到内部网络的安全缺陷和弱点所在。目前，SATA软件可以从网上免费获得，InternetScanner可以从市面上购买，这些分析工具给网络安全构成了直接的威胁。第四代防火墙采用了地址转换技术，将内部网络隐蔽起来，使网络安全分析工具无法从外部对内部网络做分析。

6.5抗邮件诈骗攻击

邮件诈骗也是越来越突出的攻击方式，第四代防火墙不接收任何邮件，故难以采用这种方式对它攻击，同样值得一提的是，防火墙不接收邮件，并不表示它不让邮件通过，实际上用户仍可收发邮件，内部用户要防邮件诈骗，最终的解决办法是对邮件加密。

7．防火墙技术展望

伴随着Internet的飞速发展，防火墙技术与产品的更新步伐必然会加强，而要全面展望防火墙技术的发展几乎是不可能的。但是，从产品及功能上，却又可以看出一些动向和趋势。下面诸点可能是下一步的走向和选择：

1)防火墙将从目前对子网或内部网管理的方式向远程上网集中管理的方式发展。

2)过滤深度会不断加强，从目前的地址、服务过滤，发展到URL(页面)过滤、关键字过滤和对ActiveX、Java等的过滤，并逐渐有病毒扫描功能。

3)利用防火墙建立专用网是较长一段时间用户使用的主流，IP的加密需求越来越强，安全协议的开发是一大热点。

4)单向防火墙(又叫做网络二极管)将作为一种产品门类而出现。

防火墙技术论文例2

1从软、硬件形式上分

如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。

（1）软件防火墙。

软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称“个人防火墙”。软件防火墙就像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。

（2）硬件防火墙。

这里说的硬件防火墙是指“所谓的硬件防火墙”。之所以加上“所谓”二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。

（3）芯片级防火墙。

芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统），因此防火墙本身的漏洞比较少，不过价格相对比较高昂。

2从防火墙技术分

防火墙技术虽然出现了许多，但总体来讲可分为“包过滤型”和“应用型”两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。

（1）包过滤（Packetfiltering）型。

包过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。

在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。

包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

（2）应用（ApplicationProxy）型。

应用型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。

在型防火墙技术的发展过程中，它也经历了两个不同的版本：第一代应用网关型防火和第二代自适应防火墙。

类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。

另外型防火墙采取是一种机制，它可以为每一种应用服务建立一个专门的，所以内外部网络之间的通信不是直接的，而都需先经过服务器审核，通过后再由服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。

防火墙的最大缺点是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的网络服务建立专门的服务，在自己的程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。

3从防火墙结构分

从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。

单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。

这种防火墙其实与一台计算机结构差不多（如下图），同样包括CPU、内存、硬盘等基本组件，主板更是不能少的，且主板上也有南、北桥芯片。它与一般计算机最主要的区别就是一般防火墙都集成了两个以上的以太网卡，因为它需要连接一个以上的内、外部网络。其中的硬盘就是用来存储防火墙所用的基本程序，如包过滤程序和服务器程序等，有的防火墙还把日志记录也记录在此硬盘上。虽然如此，但我们不能说它就与我们平常的PC机一样，因为它的工作性质，决定了它要具备非常高的稳定性、实用性，具备非常高的系统吞吐性能。正因如此，看似与PC机差不多的配置，价格甚远。

随着防火墙技术的发展及应用需求的提高，原来作为单一主机的防火墙现在已发生了许多变化。最明显的变化就是现在许多中、高档的路由器中已集成了防火墙功能，还有的防火墙已不再是一个独立的硬件实体，而是由多个软、硬件组成的系统，这种防火墙，俗称“分布式防火墙”。

原来单一主机的防火墙由于价格非常昂贵，仅有少数大型企业才能承受得起，为了降低企业网络投资，现在许多中、高档路由器中集成了防火墙功能。如CiscoIOS防火墙系列。但这种防火墙通常是较低级的包过滤型。这样企业就不用再同时购买路由器和防火墙，大大降低了网络设备购买成本。

分布式防火墙再也不只是位于网络边界，而是渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡，这样一块防火墙卡同时兼有网卡和防火墙的双重功能。这样一个防火墙系统就可以彻底保护内部网络。各主机把任何其它主机发送的通信连接都视为“不可信”的，都需要严格过滤。而不是传统边界防火墙那样，仅对外部网络发出的通信请求“不信任”。

4按防火墙的应用部署位置分

按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。

边界防火墙是最为传统的，它们于内、外部网络的边界，所起的作用的对内、外部网络实施隔离，保护边界内部网络。这类防火墙一般都属于硬件类型，价格较贵，性能较好。

个人防火墙安装于单台主机中，防护的也只是单台主机。这类防火墙应用于广大的个人用户，通常为软件防火墙，价格最便宜，性能也最差。

混合式防火墙可以说就是“分布式防火墙”或者“嵌入式防火墙”，它是一整套防火墙系统，由若干个软、硬件组件组成，分布于内、外部网络边界和内部各主机之间，既对内、外部网络之间通信进行过滤，又对网络内部各主机间的通信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。

5按防火墙性能分

按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。

因为防火墙通常位于网络边界，所以不可能只是十兆级的。这主要是指防火的通道带宽（Bandwidth），或者说是吞吐率。当然通道带宽越宽，性能越高，这样的防火墙因包过滤或应用所产生的延时也越小，对整个网络通信性能的影响也就越小。

虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。

参考文献

防火墙技术论文例3

1.1计算机防火墙技术

防火墙对计算机网络保护作用的实现是通过将内部网络与互联网分开来实现的，具有相当强的隔离性。在防火墙的使用上，通常都是依靠包的源地址和数据包协议等进行设置的。此外，防火墙的实现途径还有服务器的软件这种形式，不过使用频率相对少一些。防火墙在过去比较长的时间里，它的主要目的除了限制主机之外，再就是规范网络访问控制，功能相对单一和简单，不过，随着近些年网络技术的不断更新和完善，防火墙的功能越来越丰富了，集成了信息的解密、加密等多种功能，另外还具有压缩机解压这种新的功能，计算机网络的安全性因此得到了非常大的提高。

1.2防火墙的主要功能

防火墙的功能是比较多的，最主要的是以下几个方面:首先，对本机的数据进行筛选和过滤，这样可以有效避免非法信息及各种网络病毒的攻击和侵入，另外防火墙还可以对网络中部分特殊站点进行严格规范，这样可以有效避免因相关人员的无意操作所带来的网络风险。其次，防火墙能够比较彻底地拦截不安全访问，外部人员如果想进入内部网，必须先经过防火墙的审查，只有审查合格了才能够进入，在这一个环节中，那些不安全的访问用户就会被过滤掉，大大降低了网络安全的风险。再次，防火墙能够很好地保存网络运行中产生的各种信息数据，当它发现网络中出现威胁网络安全的非法活动时，能够在第一时间发出警报，并采取针对性的措施[3]。

防火墙技术论文例4

因为校园网络需要同互联网连接，从而给师生查找资料提供便利，不过也因此容易受到黑客攻击。当代黑客攻击的技术越来越高明，破坏程度同样越来越严重，黑客攻击校园网络，有着时间长、范围广、损失大以及处理难的特点，校园网络当中的DNS服务器、WEB服务器以及邮件服务器是容易遭到黑客攻击的地方[8]，黑客很多时候使用专业工具攻击校园挽留过，导致校园网络服务器无法正常使用，部分攻击软件甚至可以让非法用户可以随便攻击校园网络，同时篡改校园网络的主页、破坏各种数据从而扰乱教学秩序。

1.2内部用户的问题

现在学生对于网络了解程度比较深，这就导致部分学生会在好奇心趋势下，攻击校园网络系统，从而给校园网络的正常运行带来不利影响，提高了校园网络管理的难度。统计显示内部用户造成的校园网络攻击占到30％左右，大部分情况由学生好奇心而引起，同时学校对于学生的管理以及教育不够重视，纵容他们破坏校园网络安全的种种行为。

2防火墙技术在校园网络安全中的应用

2.1选择合适的防火墙产品

最简单的防火墙是在校园网络的内部网以及外部网间加装应用网关或者是过滤路由器。为更好实现校园网络的安全，很多时候需要综合使用不同的防火墙技术从而组合防火墙系统。这就需要明确设置防火墙设置的方案，然后选择合适的防火墙产品。从形式的角度而言，防火墙可以分成硬件防火墙以及软件防火墙这2大类，硬件防火墙同软件防火墙比较而言，由于使用专用硬件设备，并且集成生产厂商防火墙软件，功能上通过内置安全软件，并且使用强化甚至专属的操作系统，有着管理方便以及更换容易的特点，并且软硬件的搭配往往比较固定。也就是说硬件防火墙的效率更高，可以解决防火墙性能以及效率之间的关系，可以根据校园网络的具体情况来加以选择。

2.2使用服务器

服务器指的是连接校园网络局域网以及Internet的网关，这一网关运行服务软件，可以实现不同网络之间的互相通信。服务器可以在用户以及服务器间实现协同工作，所以提供应用级的网关。客户端往服务器发送请求，请求到达服务器，然后服务器在接收连接请求之后，进行身份认证以及访问控制，要是客户端确认服务器身份认证以及访问控制，那么就代替客户端发送请求。服务器在响应之后，服务器则将数据反馈到客户端。

防火墙技术论文例5

时至今日，防火墙的发展已经经历了一个较长的过程，其发展历程可以大致地归纳为：基于硬件技术的防火墙，最常见的硬件是路由器设备；以用户为中心建立的防火墙应用工具；伴随着计算机操作系统的发展而逐步建立起来的防火墙技术，例如在常见的xp、windous7系统中开发的防火墙工具；拥有安全操作系统的防火墙，比较常见为netscreen。在每个发展阶段都涌现出很多产品，无论这些产品基于何种技术或者平台，我们都可以将其总结为：①按照结构的不同可以将防火墙分为两类，即路由器和过滤器设备的组合体系、主机系统；②从工作原理上进行分类，防火墙可以分为四大类，即专业的硬件防火墙、数据包过滤型、电路层网关和应用级网关；③按照防火墙在网络中的位置来进行分类的话，其可以分为两种：分布式防火墙和边界防火墙，其中网络系统防火墙以及内部网络中的主机共同构成了前者，④按照防火墙技术的发展先后顺序，防火墙技术可以分为：第Ⅰ代防火墙技术即packfilter。第Ⅱ代防火墙技术即我们所熟悉的组合式防火墙。第Ⅲ代防火墙技术即基于第Ⅱ代防火墙技术所完善改进而成的技术，例如防毒墙。第Ⅳ代防火墙技术，例如sonicwall。

2防火墙的主要功能

无论是在外部网络中还是内部网络中，防火墙对于整个网络体系的安全防护作用都是至关重要的，是互联网与垃圾信息、病毒文件之间的有效屏障，其主要是保护特定的网络或者特定的网络中计算机终端免遭非法越权入侵以及内部网中的用户与外部进行非法通信。如上文所述，防火墙技术已经经过了四代的发展，技术在不断完善，但是其工作原理可以归纳为：将防护节点安置于内外部网络的链接端口，在这些断口处设定相关安全规则，一旦发生数据传输或者访问，这些数据就必须经过端口安全规则的检测认证，检测区是否对网络存在安全威胁，如果经检测有害，那么会立即阻断数据传输，起到了保护计算机网络的目的，与此同时防火墙系统要在网络受到攻击时及时做出警示，提醒计算机用户以及网络安全维护人员不安全信息，终止操作，消除威胁。其中值得注意的是，防火墙的响应时间也是至关重要的一环，因为在不同的网络之间的数据传输具有速度快、效率高、数量大、伪装性好的特点，因此，在众多信息中及时甄别出垃圾信息并及时按照既定程序阻断删除对于保护网络系统安全就显得尤为重要。防火墙的主要功能如图2所示。

防火墙技术论文例6

随着计算机网络技术发展，计算机与信息技术从整体上影响着社会发展的进程，引发了一场空前的技术革命。但网络安全也进一步遭到威胁。各类信息网络违法犯1罪案件逐年剧增，尤其以电子邮件、特洛伊木马、文件共享等为传播途径的混合型病毒愈演愈烈。目前新一代的计算机病毒将具有更多智能化的特征。防火墙是防御外来攻击的第一道防线，是一种防御网络攻击的技术。故简要探究防火墙技术的特点和工作原理是非常必要的。

一、防火墙的概念

在网络中,所谓“防火墙”,是指一种将内部网和公众访问网分开的方法,它实际上是一种隔离技术，它使得内部网络与外部网之间设立唯一的通道，不让那些来自不受保护的网络中哪个多余的未授权的信息进入专用网络（如LAN或WAN），而仍能允许本地网络上的用户访问因特网，并简化网络的安全管理。

1. 包过滤防火墙

1) 包过滤防火墙的工作原理

包过滤是第一代防火墙技术。其技术依据是网络中的分包传输技术，它工作在OSI模型的网络层。包过滤操作通常在选择路由的同时对数据包进行过滤(通常是对从互联网络到内部网络的包进行过滤)。包过滤这个操作可以在路由器上进行，也可以在网桥，甚至在一个单独的主机上进行。

2) 包过滤防火墙的优缺点

优点：能够协助保护整个网络；数据包过滤对用户透明；过滤路由器速度快、效率高、价格较低。

缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤；正常的数据包过滤路由器无法执行某些安全策略；不能防范黑客攻击，不支持应用层协议，不能处理新的安全威胁。

包过滤防火墙技术虽然有许多优点，但本身也存在较多缺陷，不能提供较高的安全性。在实际应用中，现在很少把包过滤技术当作单独的安全解决方案，而是把它与其他防火墙技术揉合在一起使用。

2. 防火墙

防火墙也被称为服务器是第二代防火墙技术，它位于客户机与服务器之间，完全阻挡了二者间的数据流，所以它的安全性要高于包过滤防火墙产品。

1) 防火墙的原理

从图1中可以看出，服务器作为内部网络客户端的服务器，它拦截所有客户端要求，也向客户端转发响应；客户负责代表内部客户端向外部服务器发出请求，当然也向服务器转发响应。服务器会像一堵墙一样挡在内部用户和外界之间，从外部只能看到该服务器而无法获知任何的内部资源，诸如用户的IP地址等。

2）技术的优缺点：

优点：安全性较高。

缺点：速度较路由器慢；对用户不透明；系统管理复杂；不能改进底层协议的安全性。

3、监测型防火墙

监测型防火墙是新一代产品，能够对各层的数据进行主动的、实时的监测。

1）监测型防火墙的工作原理

监测型防火墙采用了一个在网关上执行网络安全策略的软件引擎——检测模块，在不影响网络正常工作的前提下，采用抽取相关数据的方法对网络通信的各层实施监测，抽取部分数据，并动态地保存起来作为以后指定安全决策的参考。

    2）监测型防火墙的优缺点

优点：一是检测模块支持多种协议和应用程序，容易实现应用和服务的扩充。二是监测RPC和UDP之类的端口信息。三是性能坚固。

缺点：配置非常复杂；会降低网络的速度。

虽然监测型防火墙在安全性上最高，但由于其实现成本较高，不易管理，所以目前仍然以第二代防火墙为主。

三、结论

防火墙技术论文例7

中图分类号：TP393.08 文献标识码：A 文章编号：1007-9599 (2011) 23-0000-01

The Applied Research of Firewall Technology in the Network Security

Chen Jiaqian

(Guangxi Polytechnic of Construction,Nanning 530003,China)

Abstract:The Internet today has moved from basic information sharing to e-commerce,Web applications more complex aspects of development,with the increase in business applications,network security has become a potentially huge problem.Which also involves the question whether the act constitutes a crime.The introduction of firewall technology to give management and improve network security,provides a necessary and convenient way.The article discusses the firewall deployment principles,and the location of the deployment from the firewall firewall elaborated selection criteria constitutes its security system.

Keywords:Network security;Firewall technology

一、概述

网络防火墙技术作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术，就其产品的主流趋势而言，大多数服务器（也称应用网关）也集成了包滤技术，这两种技术的混合应用显然比单独使用更具有大的优势。那么我们究竟应该在哪些地方部署防火墙呢?首先，应该安装防火墙的位置是公司内部网络与外部Internet的接口处，以阻挡来自外部网络的入侵；其次，如果公司内部网络规模较大，并且设置有虚拟局域网（VLAN），则应该在各个VLAN之间设置防火墙；第三，通过公网连接的总部与各分支机构之间也应该设置防火墙，如果有条件，还应该同时将总部与各分支机构组成虚拟专用网（VPN）。安装防火墙的基本原则是：只要有恶意侵入的可能，无论是内部网络还是与外部公网的连接处，都应该安装防火墙。

二、防火墙技术原理

（一）数据包过滤技术。数据包过滤技术工作在OSI网络参考模型的网络层和传输层，它是个人防火墙技术的第二道防护屏障。数据包过滤技术在网络的入口，根据数据包头源地址，目的地址、端口号和协议类型等标志确定是否允许通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。

（二）应用网关技术。应用级网关可以工作在OSI七层模型的任一层上，能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册。通常是在特殊的服务器上安装软件来实现的。

（三）地址翻译技术。地址翻译技术是将一个IP地址用另一个IP地址代替。地址翻译技术主要模式有以下几种。

1.静态翻译。按照固定的翻译表，将主机的内部地址翻译成防火墙的外网接口地址。2.动态翻译。为隐藏内部主机或扩展的内部网络地址之间，一个大的用户群共享一个或一组小的Internet IP地址。3.负载平衡翻译。一个IP地址和端口被翻译为同等配置的多个服务器。当请求到达时，防火墙按照一个算法平衡所有连接到内部的服务器。4.网络冗余翻译。多个连续被附结在一个NAT防火墙上，防火墙根据负载和可用性对连接进行选择和使用。

（四）状态检测技术。状态检测防火墙采用基于连接的状态检测机制，将属于同一连接的所有包作为一个整体的数据流看待，构成连接状态表，通过规则表与状态表的共同配合，对表中的各个连接因素加以识别。

三、防火墙的选择

选择防火墙的标准有很多，但最重要的是以下几条：

（一）防火墙为网络系统的安全屏障。总拥有成本防火墙产品作为网络系统的安全屏障，其总拥有成本（TCO）不应该超过受保护网络系统可能遭受最大损失的成本。当然，对于关键部门来说，其所造成的负面影响和连带损失也应考虑在内。如果仅做粗略估算，非关键部门的防火墙购置成本不应该超过网络系统的建设总成本，关键部门则应另当别论。

（二）防火墙本身是安全的。作为信息系统安全产品，防火墙本身也应该保证安全，不给外部侵入者以可乘之机。如果像马其顿防线一样，正面虽然牢不可破，但进攻者能够轻易地绕过防线进入系统内部，网络系统也就没有任何安全性可言了。

（三）管理与培训。管理和培训是评价一个防火墙好坏的重要方面。我们已经谈到，在计算防火墙的成本时，不能只简单地计算购置成本，还必须考虑其总拥有成本。人员的培训和日常维护费用通常会在TCO中占据较大的比例。一家优秀的安全产品供应商必须为其用户提供良好的培训和售后服务。

（四）防火墙的安全性。防火墙产品最难评估的方面是防火墙的安全性能，即防火墙是否能够有效地阻挡外部入侵。这一点同防火墙自身的安全性一样，普通用户通常无法判断。即使安装好了防火墙，如果没有实际的外部入侵，也无从得知产品性能的优劣。

四、安全技术的研究现状和动向

我国信息网络安全研究历经了通信保密、数据保护两个阶段，正在进入网络信息安全研究阶段，现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域它综合了利用数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果，提出系统的、完整的和协同的解决信息网络安全的方案，目前应从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究，各部分相互协同形成有机整体。

因此网络安全技术在21世纪将成为信息网络发展的关键技术，21世纪人类步入信息社会后，信息这一社会发展的重要战略资源需要网络安全技术的有力保障，才能形成社会发展的推动力。在我国信息网络安全技术的研究和产品开发仍处于起步阶段，仍有大量的工作需要我们去研究、开发和探索，以走出有中国特色的产学研联合发展之路，赶上或超过发达国家的水平，以此保证我国信息网络的安全，推动我国国民经济的高速发展。

防火墙技术论文例8

随着网络技术的发展，互联网的普及，网络安全问题已经被越来越多的人所重视。在网络安全中，最大的威胁是黑客恶意入侵或攻击，由于这种安全威胁的存在，使得电子商务、政府网上工程无法顺利的进行。就目前为止，解决网络安全问题的最有效的方法是采用防护墙技术。

1.网络安全问题

    随着信息技术的快速发展，互联网技术已经渗透到多领域内。计算机网络技术的发展，改变人们生活方式和观念的同时，对社会的意识形态及面貌也有一定的影响。病毒的侵袭、黑客的攻击及电磁泄漏等严重的影响人们正常的工作、生活。网络安全问题出现的原因是人不经意的失误和有人故意对网络进行攻击。操作人员在操作过程中，由于缺乏安全意识、口令操作信息不准确或是无意中将自己的信息泄露给别人，都会导致网络安全威胁问题，此外，人为的恶意攻击也是威胁网络安全的重要因素，同时也是网络安全中所面临的最大难题。因此，不管是计算机惯犯的攻击，还是竞争方的恶意攻击，都会对计算机网络安全造成一定的威胁。

2.防火墙概况

2.1防火墙概念

    所谓的防火墙就是在建筑大厦时，为了防止火灾通过传递的方式从一个地点传到另一个地点而设置的。计算机网络防火墙也是为了防止类似事件发生而设计的。网络安全防火墙是指两个网络之间为了加强访问控制而设置的一整套装置，是网络内部与外部之间的安全防范系统，正常情况下，安装在网络内部和网络外部的连接点上。当外部网有信息传递时，都需要经过防火墙检测，确定没有问题才能将安全信息转发至内部网络。计算机网络系统防火墙主要是由分离器、限制器、分析器等构成的。有特殊情况下，防火墙的实现方式是不同的，而在正常情况下是相同的，都是由一个路由器和路由器组合、一台主机和适当的软件组成的。

2.2防火墙特性

防火墙在网络信息传输过程中其起着网络安全把关作用，同时其可以将安全防范集中在内部网络和外部外网络连结的阻塞点上。防火墙的特性就是具有阻塞通信信息的功能，网络上所有进出的信息都必须经过防火墙这一阻塞点进行检查和传递；防火墙有阻止不合规范信息传递功能。随着网络的普及，给人们的生活、工作带来了方便。据统计，每天都有成百上千万人用互联网进行信息交换或是收集，在这一过程中，难免会有人为了达到某种目的，对网络发起攻击或是恶意侵犯。为了解决这一问题，研究人员研究出防火墙。防火墙可以充当安全卫士，对出入的信息进行安全检测，只有符合系统安全规定的的信息才可以通过防火墙；由于网络内部和网络外部进行信息交换，都需要经过防火墙，依据防火墙的特性，收集和记录相关的系统或是网络上使用的信息是最合适不过的。此外，防火墙还可以将内部网络分成不同的网段，限制不良网站的访问，对阻止恶意网站的侵袭有重要的作用。防火墙能够防止不良信息的恶意侵袭，但是随着科技的发展，新的问题还会出现，面对新的问题，现在的防火墙技术还不能有效的阻止不良网站的侵袭，再加上防火墙的局限性，不能防范不通过它的连接，同时也不能防范病毒入侵等网络安全问题，防火墙技术还有待于研究。

3.防火墙的种类

3.1防火墙的种类很多，目前网络上常用的防火墙主要有分组过滤型防火墙、应用型防火墙及复合型防火墙。每一种防火墙都有其独特的功能作用。分组过滤性防火墙是最基本的防火墙，实际上也是包过滤路由器。包过滤路由器是在网络合适的位置，一系统被设置的过滤原则为依据，对数据包进行有选择的通过，这里的数据包的工作原理及技术是各种网络防火墙最基础的构件，防火墙要想有效的工作，需要过滤包对过滤路由器与IP包过滤配合，才可以顺利实施。当过虑网关收到数据包后就会先对报文头进行扫面，随后对报文头源的IP 地址、目的IP和目的TCP/ UDP端口等域进行检查，确定之后，才可以决定其丢出与否，最后有管理人员按照相关规则对路由器进行配置。这里的数据包有着无法比拟优势的同时，也有不足之处。虽然数据包有不用其他自定义软件或是客户配置，一个数据包过滤路由器对整个网络有协助保护作用，大部分路由器可以做数据包进行过滤等优点，同时也有当前过滤工具存在缺陷，协议与数据包不符或是数据包不能正常执行某些策略等缺点。因此，要想有效的控制网络安全问题，还需要不断的研究新的防火墙技术；所谓的应用型防火墙实际上就是内部网和外部网的隔离点，对隔离点上的不良信息有监视和隔绝应用的作用。其中的服务就是在防火墙主机上运行的专门应用程序或是服务程序，这些程序服务的依据用户对网络服务的请求运行的安全策略，再加上是是提供链接并进行服务的网关，很多时候也将其叫做应用级网关。因此，服务对阻止外部网络信息进入内部网有重要作用；防火墙中的网络通信链路是由内、外部主机和服务器两部分构成的。服务器的主要作用是根据安全策略分析信息是否安全，此外，服务器可以检查来自客户的请求，并将其转送到主机上，还可以根据安全策略控制用户的请求。服务器既有优势又有劣势，其优势条件是服务可以为用户提供相关的网络服务并具有优化日志的作用；劣势是服务没有非服务有优势，服务正常情况下，要求同时对客户和过程之一服务或是分别对其进行服务。由于服务有一定限制性因素，对于一些服务是不适用的，不能保护所有协议的弱点。

3.2此外，复合型防火墙是将数据包过滤和服务结合在一起进行使用的，这种防火墙可以使络安全性、性能和透明度有效的互补。随着互联网技术的发展，新的问题还会不断的出现，研究人员还要根据新出现的问题研究出新的防火墙技术。只有不断的完善防火墙技术，才能使网络安全得到有效的保证。目前为止，状态技术、安全操作系统、实施侵入检测系统已经出现。在未来的防火墙技术中，还会出现符合时展潮流的新技术。

结束语：

    防 火墙技术是解决网络安全的有效手段，但随着信息技术的迅速发展，新的网络安全问题还会不断的出现。要想使防火墙技术更好的满足网络安全的需要，还需要研究人员研究出安全性更高、透明性更好、网络化性能更加的防护墙技术。

参考文献：

[1]王琦.计算机网络安全防护管理探析[J].科技传播.2010.(17).

[2]刘璇.互联网通讯网络安全防护[J].煤炭技术.2011.(06).

[3]占科.计算机网络防火墙技术浅析[J].企业导报.2011.(11).

防火墙技术论文例9

计算机的网络安全攻击。计算机的网络安全是数据运行的重要任务，同时也是防火墙的重点内容。计算机的发展在时代的变迁中更加广泛，但同时运行过程中的威胁也会影响到计算机的使用。例如：数据方面、环境威胁、外力破坏、拒绝服务、程序攻击、端口破坏等。计算机网络的主体就是数据，在数据的运行中如果存在漏洞会给网络安全带来很大的隐患，比如在节点数据处若是进行攻击篡改会直接破坏数据的完整性，攻击者往往会选择数据内容进行操作、对其进行攻击泄露，还可植入木马病毒等，使得网络安全成为了问题；环境是网络运行的基础，用户在使用访问时会使用到网络环境，而环境却是开放共享的，攻击者可以对网络环境内的数据包进行处理，将攻击带入内网以破坏内网的防护功能；外力破坏主要就是木马、病毒的攻击，攻击者可以利用网站和邮箱等植入病毒，攻击使用者的计算机，导致网络系统故障；拒绝服务是攻击者利用系统的漏洞给计算机发送数据包，使得主机瘫痪不能使用任何服务，主要是由于计算机无法承担高负荷的数据存储因而休眠，无法对用户的请求作出反应；程序攻击是指攻击者应用辅助程序攻入程序内部，进而毁坏文件数据等；端口攻击却是攻击者从硬性的攻击路径着手，使得安全系统出现问题。以上的各种网络安全问题都需要使用防火墙技术，以减少被攻击的次数和程度，保证用户的数据及文件等的安全。

二、网络安全中的防火墙技术

（一）防火墙技术的基本概念

防火墙技术是保护内部网络安全的一道屏障，它是由多种硬件设备和软件的组合，是用来保障网络安全的装置。主要是根据预设的条件对计算机网络内的信息和数据进行监控，然后授权以及限制服务，再记录相关信息进行分析，明确每一次信息的交互以预防攻击。它具有几种属性：所以的信息都必须要经过防火墙、只有在受到网络安全保护的允许下才能通过它、并且能够对网络攻击的内容和信息进行记录并检测、而且它自身能够免疫各种攻击。防火墙有各种属性，能够对安全防护的策略进行筛选并让其通过、能够记录数据的信息并进行检测，以便及时预警、还能够容纳计算机的整体的信息并对其进行维护。而防火墙常用技术主要分为：状态检测、应用型防火墙和包过滤技术。前者是以网络为整体进行研究，分析数据流的信息并将其与网络中的数据进行区分，以查找不稳定的因素，但是时效性差；应用型的是用来保障内外网连接时的安全，使得用户在访问外网时能够更加的安全；包过滤技术就是将网络层作为保护的对象，按计算机网络的协议严格进行，以此来实现防护效果。

（二）防火墙的常用功能构件

它的常用功能构件主要是认证、访问控制、完整、审计、访问执行功能等。认证功能主要是对身份进行确认；访问控制功能是能够决定是否让此次文件传送经过防火墙到达目的地的功能，能够防止恶意的代码等；完整性功能是对传送文件时的不被注意的修改进行检测，虽然不能对它进行阻止，但是能进行标记，可以有效的防止基于网络上的窃听等；审计功能是能够连续的记录重要的系统事件，而重要事件的确定是由有效的安全策略决定的，有效的防火墙系统的所有的构件都需要统一的方式来记录。访问执行功能是执行认证和完整性等功能的，在通过这些功能的基础上就能将信息传到内网，这种功能能够减少网络边界系统的开销，使得系统的可靠性和防护能力有所提高。

三、防火墙的应用价值

防火墙在计算机网络安全中的广泛应用，充分的展现了它自身的价值。以下谈论几点：

（一）技术的价值

技术是防火墙技术中的一种，能够为网络系统提供服务，以便实现信息的交互功能。它是比较特殊的，能够在网络运行的各个项目中都发挥控制作用，分成高效。主要是在内外网信息交互中进行控制，只接受内网的请求而拒绝外网的访问，将内外网进行分割，拒绝混乱的信息，但是它的构建十分复杂，使得应用不易。虽然防护能力强，在账号管理和进行信息验证上十分有效，但是因使用复杂而无法广泛推广。

（二）过滤技术的价值

过滤技术是防火墙的选择过滤，能够对数据进行全面的检测，发现攻击行为或者危险的因素时及时的断开传送，因而能够进行预防并且有效控制风险信息的传送，以确保网络安全，这项技术不仅应用于计算机网络安全，而且在路由器使用上也有重要的价值。

（三）检测技术的价值

检测技术主要应用于计算机网络的状态方面，它在状态机制的基础上运行，能够将外网的数据作为整体进行准确的分析并将结果汇总记录成表，进而进行对比。如今检测技术广泛应用于各层次网络间获取网络连接状态的信息，拓展了网络安全的保护范围，使得网络环境能够更加的安全。

四、总结

随着计算机网络的使用愈加广泛，网络安全问题也需要重视。而防火墙技术是计算机网络安全的重要保障手段，科学的利用防火墙技术的原理，能够更加合理的阻止各种信息或数据的泄露问题，避免计算机遭到外部的攻击，确保网络环境的安全。将防火墙技术应用于计算机的网络安全方面能够更加有效的根据实际的情况对网络环境进行保护，发挥其自身的作用以实现保护计算机网络安全的目的。

计算机硕士论文参考文献

防火墙技术论文例10

 

随着计算机网络的发展，各行各业的网络新技术也不断涌现并得到广泛应用。然而病毒泛滥、垃圾邮件、层出不穷的黑客攻击事件给个人及企业带来了无以估计的损失。防火墙是防御网络信息遭受攻击的有效技术之一。

一、防火墙的概念

防火墙是指设置在不同网络之间的一系列部件的组合，是不同网络或网络安全域之间信息的唯一出入口，是提供信息安全服务，实现网络和信息安全的基础设施。

当今的防火墙所采用的安全策略有很多种，不同的防火墙侧重点不同。在设置防火墙之前必须明确该防火墙所要保护的网络系统的数据需求，确定允许那些类型的信息通过防火墙，那些信息必须阻止，然后由防火墙对外部网络与内部网络之间交换的信息进行检查，符合设置条件的予以放行通过，不符合设置条件的则拒之门外。

二、常用构建防火墙技术的分析与研究

防火墙通常采用的技术有分组过滤技术、应用层网关技术和服务技术等。

1、分组过滤技术的基础是网络中的分包传输技术。网络上的数据是分组以“包”的形式传输的，每个数据包都包含数据的源地址、目标地址、TCP/UDP源端口和目标端口等等信息。分组过滤技术就是依据系统内预设的过滤逻辑条件，检查数据流中的每组数据，根据数据包的源地址、目标地址、TCP/UDP源端口号和目的端口号以及数据包头中的标志位来确定是否允许通过，拒绝来源于非安全站点的数据。采用这种技术的防火墙其核心在于过滤算法的设计。例如：在以太网中，得到的数据包大致是如下结构：以太帧头14个字节，放在PUCHAR 结构数组的第0个元素到第13个元素中，其中前六个字节是目的MAC地址，之后是六个字节源MAC地址，最后两个字节是协议类型，通常的协议类型有0x08 0x00->IP，0x08 0x06->ARP，0x08 0x35->RARP，所以，可以通过数组的第12个元素和第13个元素来判断协议类型，过滤规则就是在这个基础之上建立。如果要过滤特定协议，只要在相应的字节读取数据，判断是否符合要过滤的规则即可。

分组过滤技术的优点是逻辑简单、速度快、易于安装和使用， 网络性能和透明性好且价格便宜，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备， 因此在原有网络上增加这样的防火墙不需要很多额外的费用。

分组过滤技术的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒，且由于不同操作系统环境下TCP和UDP端口号所代表的应用服务协议类型有所不同，故兼容性差。

2、应用网关技术是建立在网络应用层上的协议过滤，它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。应用网关对某些易于登录和控制的输入输出通信环境进行严格控制，以防止内部数据被窃取。另外，应用层网关还负责对网络交流的信息进行记录，比如：用户登录的时间，登录的网址，用户频繁使用的网络界面等。数据包过滤和应用网关防火墙有一个共同的特点，它们都是依靠特定的逻辑判定来决定是否允许数据包通过。。如果满足逻辑条件，则防火墙内外的计算机系统建立直接联系， 防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。。

应用网关技术的优点是可以在LAN 机器上被透明配置、保护在一个或多个外部 IP 地址之后的许多机器，简化管理任务、用户到LAN 的出入可以通过打开和关闭 NAT 防火墙/网关上的端口来限制。

应用网关技术的缺点是一旦用户从防火墙外连接了服务，则无法防止其蓄意活动。

3、服务技术

服务也称链路级网关或TCP通道。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的'链接'， 由两个终止服务器上的'链接'来实现，外部计算机的网络链路只能到达服务器， 从而起到了隔离防火墙内外计算机系统的作用。此外，服务也对过往的数据包进行分析、注册登记， 形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。

服务技术的优点是使管理员拥有对LAN 之外的应用程序和协议功能的控制权、某些服务器可以缓存数据，因此当客户存取频繁请求的数据时，这些数据就可以从本地缓存调出而不必使用互联网连接，这有助于减少不必要的带宽用量、服务可以被密切地监视和记录，从而允许在网络资源用量方面进行更严格的控制。

服务技术的缺点是通常是应用程序特有的（HTTP、telnet 等）或在协议方面有限制的（多数只能用于 TCP 连接的服务）、应用程序服务无法在后面运行，因此用户的应用程序服务器必须使用另一种网络保安措施、可能会成为网络的瓶颈，因为所有的请求和传输都要经过一个中介而不是让客户直接连接远程服务。

三、防火墙技术的发展趋势

未来防火墙系统将从高效和高速两个角度去发展。

防火墙的几种基本类型各有优点和不足之处，所以将这些方式结合起来，以弥补单纯一种方式带来的漏洞和不足就是防火墙技术发展的一个重要的方向，例如，我们在对传输层面的数据包特性进行过滤的同时，也对应用层的规则进行过滤，这种综合性的过滤设计可以充分挖掘防火墙核心功能的能力提高防火墙的工作效率。

另外无论采用怎样的技术手段设计的防火墙，都必须设置日志系统，这样才能方便地追踪过去网络中发生的事件。随着网络流量越来越大，庞大的日志对日志服务器提出了很高的要求。目前，较多的防火墙系统的日志都采用文本方式记录网络事件。而文本方式的每一个字符都需要占用一个字节，对带宽消耗很大。如果直接采用二进制数据记录日志可以大大减小数据传送量。所以，支持二进制格式的日志数据库，是未来防火墙日志和日志服务器软件的发展方向。

新型的防火墙系统还需要与移动设备有机地结合，当网络防火墙所保护的网络系统遭到攻击时，可以通过移动设备及时得到通知，在第一时间作出应急处理，以保护数据安全，将损失降到最低。

四、结束语

防火墙技术已经广泛地应用到政府机关、医疗卫生、金融业、零售、远程通讯等行业，但是选择哪一种防火墙技术来保障网络安全，是用户需要深入研究的问题。。期望通过本文的探讨和研究，能够帮助各行业用户根据各自的网络应用特性正确选择应用防火墙。

参考文献：

防火墙原理与技术阎慧

Internet 安全与防火墙[美]普端萨姆