談分布式防火墻技術(shù)及其應用

摘要：隨著(zhù)網(wǎng)絡(luò )技術(shù)、信息技術(shù)的發(fā)展，越來(lái)越多的人正在關(guān)注防火墻技術(shù)，在考慮傳統防火墻技術(shù)缺陷的基礎上，提出了分布式防火墻技術(shù)。本文主要探討分布式防火墻技術(shù)的原理、結構和應用。

關(guān)鍵字：分布式防火墻安全管理

Abstract: With the development of network technology and IT, more and more people pay attention to the fire wall technology, and brought the distributed fire wall technology on the basis of defect about the tradition fire wall technology. The paper mainly discussed the principle structure and application of distributed fire wall technology.

Keywords: distributed fire wall security management

一、分布式防火墻概述

1.傳統防火墻的缺陷

（1）結構性限制：邊界防火墻的工作機理依賴(lài)于網(wǎng)絡(luò )的物理拓撲結構。但隨著(zhù)越來(lái)越多的企業(yè)利用互聯(lián)網(wǎng)構架自己的跨地區網(wǎng)絡(luò )，包括家庭移動(dòng)辦公和的服務(wù)器托管等越來(lái)越普遍，所謂內部企業(yè)網(wǎng)已經(jīng)是一個(gè)邏輯的概念；另一方面，電子商務(wù)的應用要求商務(wù)伙伴之間在一定權限下進(jìn)入到彼此的內部網(wǎng)絡(luò )，所以說(shuō)，企業(yè)網(wǎng)的邊界已經(jīng)是一個(gè)邏輯的邊界物理的邊界日趨模糊，邊界防火墻的應用受到了愈來(lái)愈多的結構性限制。

（2）內部安全：邊界防火墻設置安全策略的一個(gè)基本假設是：網(wǎng)絡(luò )的一邊即外部的所有人是不可信任的，另一邊即內部的所有人是可信任的。但在實(shí)際環(huán)境中，據統計，80%的攻擊和越權訪(fǎng)問(wèn)來(lái)自與內部，也就是說(shuō)，邊界防火墻在對付網(wǎng)絡(luò )安全的主要威脅內部威脅時(shí)束手無(wú)策。

（3）效率和故障：邊界防火墻把檢查機制集中在網(wǎng)絡(luò )邊界處的單點(diǎn)上，產(chǎn)生了網(wǎng)絡(luò )的瓶頸問(wèn)題，這也是目前防火墻用戶(hù)在選擇防火墻產(chǎn)品時(shí)不得不首先考察其檢測效率而按前機制反在其次的原因。邊界防火墻廠(chǎng)商也在不遺余力地提高防火墻單機處理能力甚至采用防火墻群集技術(shù)來(lái)解決這個(gè)邊界防火墻固有的結構性瓶頸問(wèn)題；另外，安全策略的復雜性也給效率問(wèn)題雪上加霜，對邊界防火墻來(lái)說(shuō)，針對不同的應用和多樣的系統要求，不得不經(jīng)常在效率和可能沖突的安全策略之間權衡利害取得折中方案，產(chǎn)生了許多策略性的安全隱患；最后，邊界防火墻本身也存在著(zhù)單點(diǎn)故障危險，一旦出現問(wèn)題或被攻克，整個(gè)內部網(wǎng)絡(luò )完全暴露在外部攻擊者面前。

2.分布式防火墻的優(yōu)點(diǎn)

（1）增強的系統安全性

增加了針對主機的入侵檢測和防護功能，加強了對來(lái)自?xún)炔抗�擊防范，可以�?shí)施全方位的安全策略。最新的分布式防火墻將防火墻功能分布到網(wǎng)絡(luò )的各個(gè)子網(wǎng)、桌面系統、筆記本計算機以及服務(wù)器PC上。分布于整個(gè)企業(yè)內的分布式防火墻使用戶(hù)可以方便地訪(fǎng)問(wèn)信息，而不會(huì )將網(wǎng)絡(luò )的其他部分暴露在潛在非法入侵者面前。憑借這種端到端的安全性能，用戶(hù)通過(guò)內部網(wǎng)、外聯(lián)網(wǎng)、虛擬專(zhuān)用網(wǎng)還是遠程訪(fǎng)問(wèn)所實(shí)現與企業(yè)的互聯(lián)不再有任何區別。分布式防火墻還可以使企業(yè)避免發(fā)生由于某一臺端點(diǎn)系統的入侵而導致向整個(gè)網(wǎng)絡(luò )蔓延的情況發(fā)生，同時(shí)也使通過(guò)公共賬號登錄網(wǎng)絡(luò )的用戶(hù)無(wú)法進(jìn)入那些限制訪(fǎng)問(wèn)的計算機系統。另外，由于分布式防火墻使用了IP安全協(xié)議，能夠很好地識別在各種安全協(xié)議下的內部主機之間的端到端網(wǎng)絡(luò )通信，使各主機之間的通信得到了很好的保護。所以分布式防火墻有能力防止各種類(lèi)型的攻擊。特別在當我們使用IP安全協(xié)議中的密碼憑證來(lái)標志內部主機時(shí)，基于這些標志的策略對主機來(lái)說(shuō)無(wú)疑更具可信性。

（2）提高了系統性能

消除了結構性瓶頸問(wèn)題，提高了系統性能。傳統防火墻由于擁有單一的接入控制點(diǎn)，無(wú)論對網(wǎng)絡(luò )的性能還是對網(wǎng)絡(luò )的可靠性都有不利的影響。分布式防火墻則從根本上去除了單一的接入點(diǎn)，而使這一問(wèn)題迎刃而解。另一方面分布式防火墻可以針對各個(gè)服務(wù)器及終端計算機的不同需要，對防火墻進(jìn)行最佳配置，配置時(shí)能夠充分考慮到這些主機上運行的應用，如此便可在保障網(wǎng)絡(luò )安全的前提下大大提高網(wǎng)絡(luò )運轉效率。

（3）系統的擴展性

分布式防火墻隨系統擴充提供了安全防護無(wú)限擴充的能力。因為分布式防火墻分布在整個(gè)企業(yè)的網(wǎng)絡(luò )或服務(wù)器中，所以它具有無(wú)限制的擴展能力。隨著(zhù)網(wǎng)絡(luò )的增長(cháng)，它們的處理負荷也在網(wǎng)絡(luò )中進(jìn)一步分布，因此它們的高性能可以持續保持住，克服了傳統防火墻因網(wǎng)絡(luò )規模增大而不堪重負的弊端。

二、分布式防火墻的體系結構

1.網(wǎng)絡(luò )防火墻

它是用于內部網(wǎng)與外部網(wǎng)之間，以及內部網(wǎng)各子網(wǎng)之間的防護產(chǎn)品。與傳統邊界防火墻相比，它多了一種用于對內部子網(wǎng)之間的安全防護層，這樣整個(gè)網(wǎng)絡(luò )間的安全防護體系就顯得更加安全可靠。

2.主機防火墻

主機防火墻駐留在主機中，負責策略的實(shí)施。它對網(wǎng)絡(luò )中的服務(wù)器和桌面機進(jìn)行防護，這些主機的物理位置可能在內部網(wǎng)中，也可能在內部網(wǎng)外（如托管服務(wù)器或移動(dòng)辦公的便攜機）。

（1）主機駐留。主機防火墻駐留在被保護的主機上。該主機以外的網(wǎng)絡(luò )（內部網(wǎng)或外部網(wǎng)）都認為是不可信任的，因此可以針對該主機上運行的具體應用和對外提供的服務(wù)來(lái)設定針對性很強的安全策略。從而使安全策略從網(wǎng)絡(luò )與網(wǎng)絡(luò )之間推廣延伸到每個(gè)網(wǎng)絡(luò )末端。

（2）嵌入操作系統內核。由于操作系統自身存在許多安全漏洞。運行在其上的應用軟件無(wú)一不受到威脅。主機防火墻也運行在該主機上，所以其運行機制是主機防火墻的關(guān)鍵技術(shù)之一。為自身的安全和徹底堵住操作系統的漏洞，主機防火墻的安全監測核心引擎要以嵌入操作系統內核的形態(tài)運行，直接接管網(wǎng)卡，在把所有數據包進(jìn)行檢查后再提交操作系統，以杜絕隱患。 論文網(wǎng)在線(xiàn)

（3）類(lèi)似于個(gè)人防火墻。分布式針對桌而應用的主機防火墻與個(gè)人防火墻有相似之處，如它們都對應個(gè)人系統，但其差別又是本質(zhì)性的。首先，管理方式不同，個(gè)人防火墻的安全策略由系統使用者自己設置，別人不能干涉，其目的是防外部攻擊，主機防火墻的安全策略必須由管理員統一安排和設置，除了對該桌面機起到保護作用外，還可以對該桌面機的對外訪(fǎng)問(wèn)加以控制。其次，個(gè)人防火墻面向個(gè)人用戶(hù)，主機防火墻則面向企業(yè)級客戶(hù)。

3.中心管理

中心管理服務(wù)器負責安全策略的制定!管理!分發(fā)及日志的匯總，中心策略是分布式防火墻系統的核心和重要特征之一。一個(gè)良好的分布式防火墻系統策略管理模型，對于分布式防火墻系統而言是至關(guān)重要的。對于分布式防火端系統，由于在結構上不再依賴(lài)拓撲結構，因此系統的規模伸縮性很大。這就決定了分布式防火墻系統策略管理模型必須適應這一需求，所構造的系統必須具有良好的伸縮性。

【談分布式防火墻技術(shù)及其應用】相關(guān)文章：

談ADSL技術(shù)及其應用12-04

分布式對象技術(shù)及其在Web上的應用03-18

PowerBuilder的分布式計算技術(shù)及其應用03-18

EDA技術(shù)及其應用03-19

談“精確林業(yè)”的發(fā)展及其應用前景03-18

淺談ADSL技術(shù)及其應用12-04

軟交換技術(shù)及其應用03-18

談現值計量屬性的應用及其產(chǎn)生的影響03-18

超寬帶通信技術(shù)及其應用03-18