微型机与应用
MICROCOMPUTER & ITS APPLICATIONS
2000　No.19　No.1　P.1-8




计算机网络防火墙的体系结构
李海泉
摘 要： 对防火墙的概念、类型、要求以及与设计有关的问题进行了概述，探讨了防火墙的安全体系结构及其发展趋势，介绍了一些典型的防火墙产品。
关键词： Internet安全 防火墙的类型 防火墙的体系结构
　　Internet已成为人们探索和交换信息及电子商贸的全球性设施，已成为各国进行信息交换的战略目标。随着越来越多的单位和个人加入Internet，保护网络及其信息安全已成为人们十分关心的问题。防火墙技术提供了一种保护Internet的安全屏障。
1 Internet的安全问题
　　Internet好像1座不设防的城市，应用中受到一次次严重威胁和攻击。“蠕虫”利用应用最广的电子邮件上的漏洞，在网上猖狂传播，无休止地耗尽用户的存储空间;文件传输（FTP）中，“特洛伊木马”处处给网站毁灭性的打击。远程登录随时遭受黑客攻击，让站点被侵袭和窃听。万维网（WWW）时时受到恶意的入侵，导致控制困难。网络文件传输系统（NFS）和用户新闻组也无法抵御非法入侵，造成信息泄露和溢出。据FBI统计，美国每年因网络安全所造成的损失高达175亿美元，美国一位大学生编写的“蠕虫”病毒，一夜之间使北美大部分计算机网络瘫痪。1995年8月21日，设防严密的美国花旗银行计算机网络，被苏联克格勃人员入侵，损失达1740万美元。1996年12月31日，黑客入侵美国空军网络，更换美国网络主页。12月29日黑客竟将美国空军主页改为2只鲜血直流的眼球，对美国政治大肆攻击。据美国《金融时报》报道，美国平均每20分钟就要发生1起Internet犯罪案。我国政府也多次透露，金融界发生计算机犯罪案，发生私设帐号、盗窃财物并造成网络瘫痪的事故。
　　总之，对计算机网络的入侵、威胁和攻击，基本上可以归纳为以下几种:①黑客入侵（占整个网络犯罪的17%）;②撊涑鏀计算机病毒的攻击;③信息的泄露、盗取和破坏;④来自内外部人员的攻击（占75%）;⑤搭线窃听或线路干扰;⑥拒绝服务或注入非法信息;⑦修改或删除关键信息;⑧身份截取或中继攻击;⑨人为地破坏网络设备，造成网络瘫痪。据统计，70%的财政损失都是因为网络计算机的安全问题造成的。
　　其原因主要有以下几个方面:①局域网存在的缺陷和Internet的脆弱性;②薄弱的网络认证环节和系统易被监视性;③网络软件的缺陷和Internet服务的漏洞;④没有正确的安全策略和安全机制;⑤缺乏先进的网络安全技术、工具、手段和产品;⑥缺乏先进的系统恢复、备份技术和工具;⑦主机的复杂设置和复杂控制;⑧最重要的一条是没有正视黑客、病毒和计算机犯罪所造成的严重后果，舍不得投入必要的人力、物力和财力来加强网络的安全性。只要我们充分认识安全问题的严重性，严格按照安全规则处理，就可以把网络安全风险限制在有限范围内。为了增强网络的安全性，人们在Internet与局域网之间设置了防火墙。
2 防火墙的概念与类型
　　防火墙是一种安全有效的防范技术，是访问控制机制、安全策略和防入侵措施。从狭义上来讲，防火墙是指安装了防火墙软件的主机或路由器系统;从广义上讲，防火墙还包括了整个网络的安全策略和安全行为。它是通过在网络边界上建立起来的相应网络安全监测系统来隔离内部和外部网络，以确定哪些内部服务允许外部访问，以及允许哪些外部服务访问内部服务，阻挡外部网络的入侵。
　　实际上，防火墙的概念是借用了建筑学上的1个术语。在建筑学上，防火墙是用来防止大火从建筑物的一部分蔓延到另一部分而设置的阻挡机构。计算机网络的防火墙是用来防止互联网的损坏，如黑客攻击、病毒破坏、资源被盗用或文件被篡改等波及到内部网络的危害。它不像现代化大厦中的防火墙，而像中世纪的护城河。它是内部网络与外部网络之间的一种安全防范措施系统。Internet上的防火墙如图1所示。

图1 Internet上的防火墙结构
　　从技术上看，防火墙有4种基本类型:①包过滤型;②代理服务器型;③电路层网关;④混合型。
　　1.包过滤型防火墙（Packet Filter Firewall）
　　包过滤器安装在路由器上，当然PC机上也可以安装包过滤软件。它工作在网络层（IP），因此也称为网络防火墙。它基于单个包实施网络控制，根据所收到的数据包的源地址、目的地址、TCP/UDP、源端口号及目的端口号、包出入接口、协议类型和数据包中的各种标志位等参数，与用户预定的访问控制表进行比较，决定数据是否符合预先制定的安全策略，决定数据包的转发或丢弃，即实施信息过滤。它实际上是控制内部网络上的主机直接访问外部网络，而外部网络上的主机对内部网络的访问则要受到限制。这种防火墙的优点是简单、方便、速度快、透明性好，对网络性能影响不大，但它缺乏用户日志（log）和审计信息（audit），缺乏用户认证机制，不具备登录和报告性能，不能进行审核管理，且过滤规则的完备性难以得到检验，复杂过滤规则的管理很困难，因此安全性较差。
　　2.代理服务器型防火墙（Proxy Service Firewall）
　　代理服务器型防火墙通过在主机上运行代理的服务程序，直接对特定的应用层进行服务，因此也称为应用型防火墙。其核心是运行于防火墙主机上的代理服务器进程。代理网络用户完成TCP/IP功能，实际上是为特定网络应用而连接2个网络的网关。对每种不同的应用层（如E-mail、FTP、Telnet、WWW等）都应用1个相应的代理。外部网络与内部网络之间想要建立连接，首先必须通过代理服务器的中间转换，内部网络只接收代理服务器提出的要求，拒绝外部网络的直接请求。代理服务可以实现用户认证、详细日志、审计跟踪和数据加密等功能，并实现对具体协议及应用的过滤，如阻塞Java或Java Script。这种防火墙能完全控制网络信息的交换，控制会话过程，具有灵活性和安全性，但可能影响网络的性能，对用户不透明，且对每一种服务器都要设计1个代理模块，建立对应的网关层，实现起来比较复杂。
　　3.电路层网关（Circuit Gateway）
　　电路层网关在网络的传输层上实施访问策略，是在内、外网络主机之间建立1个虚拟电路，进行通信，相当于在防火墙上直接开了个口子进行传输，不像应用层防火墙那样能严密地控制应用层的信息。
　　4.混合型防火墙（Hybrid Firewall）
　　混合型防火墙把过滤和代理服务等功能结合起来，形成新的防火墙，所用主机称为堡垒主机，负责代理服务。各种类型的防火墙各有其优缺点。当前的防火墙产品已不是单一的包过滤型或代理服务器型防火墙，而是将各种安全技术结合起来，形成1个混合的多级防火墙，以提高防火墙的灵活性和安全性。一般采用以下几种技术:①动态包过滤;②内核透明技术;③用户认证机制;④内容和策略感知能力;⑤内部信息隐藏;⑥智能日志、审计和实时报警;⑦防火墙的交互操作性等。
3 防火墙的设计
　　1.防火墙的安全要求
　　从网络的安全角度看，防火墙必须满足以下要求:
　　（1）防火墙应由多个构件组成，形成1个有一定冗余度的安全系统，避免成为网络的“单失效点”。若这一点被突破，则网络无安全可言。
　　（2）防火墙应能抵抗网络“黑客”的攻击，并可对网络通信进行监控和审计。这样的网络节点，被称为“阻塞点”。
　　（3）防火墙一旦失效、重启动或崩溃，则应完全阻断内、外部网络站点的连接，以免闯入者进入。这种安全模式的控制方法，是由防火墙安全机制来控制网络接口的启动。这种防火墙的失效模式被称为“失效—安全”模式。
　　（4）防火墙应提供强认证服务，外部网络站点对内部网络的访问应经过防火墙的认证检查，包括对网络用户和数据源的认证。应支持E-mail、FTP、Telnet和WWW等应用。
　　（5）防火墙对内部网络应起到屏蔽作用，即隐藏内部网站的地址和内部网络的拓朴结构。
　　2.防火墙拓朴设计的基本原则
　　（1）决定防火墙的类型和拓朴结构
　　针对防火墙所保护的系统的安全级别作出定性和定量的评估，从系统的成本、安全保护实现的难易程度以及升级、改造和维护的难易程度，决定该防火墙的类型和拓朴结构。
　　（2）制定安全策略
　　在实现过程中，没有允许的服务是被禁止的，没有被禁止的服务都是允许的，因此网络安全的第一条策略是拒绝一切未许可的服务。防火墙封锁所有信息流，逐一完成每一项许可的服务;第二条策略是允许一切没有被禁止的服务，防火墙转发所有的信息，逐项删除被禁止的服务。在此策略的指导下，再针对系统制定各项具体策略。
　　（3）确定包过滤规则
　　一般以处理IP数据包包头信息为基础，包括过滤规则序号、过滤方式、源和目的端口号及协议类型等。它决定算法执行时的顺序，因此正确的排列至关重要。过滤方式包括允许和禁止。另外还有源端口号、目的端口号、IP地址、目的端口是否设置ACK位、协议类型等内容。
　　（4）设计代理服务
　　代理服务器接受外部网络节点提出的服务请求，如果服务请求被接受，代理服务器再建立与实服务器的连接。由于它作用于应用层，故可利用各种安全技术，如身份验证、日志登录、审计跟踪、密码技术等，来加强网络安全性，解决包过滤所不能解决的问题。
　　（5）严格定义功能模块，分散实现
　　防火墙由各种功能模块组成，如包过滤器、代理服务器、认证服务器、域名服务器、通信监控器等。这些功能模块最好由路由器和单独的主机实现。功能分散减少了实现的难度，增加了可靠程度。
　　（6）防火墙维护和管理方案的考虑
　　防火墙的日常维护是对访问记录进行审计，发现入侵和非法访问情况。据此对防火墙的安全性进行评价，需要时进行适当改进，管理工作要根据网络拓朴结构的改变或安全策略的变化，对防火墙进行硬件和软件的修改和升级。通过维护和管理进一步优化其性能，以保证网络及其信息的安全性。
4 防火墙的安全体系结构
　　防火墙的安全体系结构基本上有5种:①过滤路由器结构;②双宿主机结构;③主机过滤结构;④过滤子网结构;⑤吊带式防火墙结构。
　　1.过滤路由器防火墙结构
　　它是通过在传统的路由器中增加分组过滤功能而形成的最简单的防火墙。这种防火墙的好处是完全透明，但由于在单机上实现，从而形成了网络中的“单失效点”。由于路由器的基本功能是转发分组，一旦过滤机能失效，就会形成网络直通状态，任何非法访问都可以进入内部网络。因此这种防火墙的失效模式不是“失效—安全”型，也违反了阻塞点原理，仅选择转发分组并不能完全排除非法访问，所以内部网络中各个潜在的访问都必须增加其安全措施。因此，这种防火墙尚不能提供有效的安全功能，仅在早期的Internet中应用。
　　2.双宿主机防火墙结构
　　该结构围绕着至少具有2个接口、2块网卡的双宿主机而构成。双宿主机一个接口接内部网络，另一个接口接外部网络。双宿主机内、外的网络可与该堡垒主机实施通信，而内、外网络之间不能直接通信。该防火墙的安全结构如图2所示。

图2 双宿主机的防火墙结构
　　使用时，一般要求用户先注册，再通过双宿主机访问另一边的网络。由于代理服务器简化了用户的访问过程，可以做到对用户透明，属“失效—安全”型。由于该防火墙仍是由单机组成，没有安全冗余机制，仍是网络的“单失效点”，因此这种防火墙仍是不完善的，在现在的Internet中仍有应用。
　　3.主机过滤防火墙
　　这种防火墙是由过滤路由器和运行网关软件的堡垒主机构成。该结构中提供安全保护的堡垒主机仅与内部网络相连，而过滤路由器位于内部网络和外部网络之间，如图3所示。

图3 主机过滤型防火墙结构
　　该主机可完成多种代理，如FTP、Telnet，还可以完成认证和交互作用，能提供完善的Internet访问控制。这种防火墙主机是网络的单失效点，也是网络黑客集中攻击的目标，安全保障仍不够理想。但这种防火墙投资少，功能容易实现，也便于扩充，因而应用比较广泛。
　　4.子网过滤器防火墙结构
　　该防火墙是在主机过滤结构中再增加1层参数网络的安全机制，使得内部网络与外部网络之间有2层隔断。由参数网络的内、外部路由器分别连接内部网络与外部网络，如图4所示。

图4 子网过滤器防火墙结构
这种防火墙把前一种主机的通信功能分散到多个主机组成的网络中，有的作为FTP服务器，有的作为E-mail服务器，有的作为WWW服务器，有的作为Telnet服务器，而堡垒主机则作为代理服务器和认证服务器置于周边网络中，以维护Internet与内部网络的连接。这种网络防火墙容易配置，也减少了闯入破坏的机会，是一种比较理想的安全防范模式。
　　5.吊带式防火墙的结构
　　这种防火墙与子网过滤器防火墙结构的区别是作为代理服务器和认证服务器的网关主机位于周边网络中，另外增加了内部过滤路由器保护内部网络的安全。这样代理服务器和认证服务器是内部网络的第一道防线，内部路由器是内部网络的第二道防线，而把Internet的公共服务（如FTP服务器、Telnet服务器、WWW服务器及E-mail服务器等）置于周边网络中，也减少了内部网络的安全风险。这种防火墙的结构如图5所示。这种结构正符合我们提出的3点要求，应是最安全的防范模式。

图5 吊带式防火墙结构
　　应用实践表明，过滤路由器防火墙是简单的安全防范措施，双宿主机防火墙居中，主机过滤防火墙和子网过滤防火墙安全措施比较理想，而吊带式防火墙安全防范措施最好，但一般在中小型企业网络应用中还不是很广。
　　现实意义的防火墙将多种安全技术(如包过滤器路由器、代理服务器、密码技术、审计认证技术)相结合，将各种单一的防火墙相结合，如与子网过滤防火墙结构相结合构造的防火墙，使用2台堡垒主机的参数网络结构，使用外、内部路由器合并的过滤子网结构和多参数网络结构的防火墙等。上海交通大学网络中心设计的防火墙结构如图6所示。

图6 上海交大设计的Internet防火墙结构
　　这个防火墙由2个包过滤路由器和1个堡垒主机构成，支持应用层和网络层的安全功能。它把代理服务器（WWW、Telnet、FTP和E-mail）、身份认证系统，日志登录和审计系统以及加密系统放在堡垒主机中。堡垒主机位于外部网络和内部网络之间。其中路由器、堡垒主机和包过滤、代理服务、加密技术、身份认证和日志登录审计系统构成屏蔽子网。
　　目前比较知名的防火墙产品有TIS公司（Trusted Information System Inc.）的Gauntlet Internet Firewall，美国弗吉尼亚州ASN公司（Advanced Network & Service Inc.）的Interlock，Sun Microsystem的Firewall-I，加拿大安大略省Boarder Network Technololgies开发的Border ware等产品。Gauntlet防火墙基本功能是面向应用服务的代理服务器，可以对Telnet、FTP、SMTP、Gopher、HTTP及X-Windows等应用提供代理服务，还配有系统完整性自检、系统文件记录和报告、接入控制和用户确认等功能，应用相当广泛。Interlock是用户层上的代理服务系统，它为Telnet、FTP、SMTP、X-Windows、Gopher、HTTP、NNTP等应用提供代理服务，还有1个接入控制规则数据库，用作用户确认、加密等应用。Firewall-I防火墙在网络的链路层与网络层之间增加1个过滤器，对数据进行过滤，其主要优点对应用层用户是透明的。BoarderWare防火墙基本功能是1个代理服务器，可以对Telnet、FTP、SMTP、NNTP、POP（邮局协议）等应用提供代理服务。此外还具有包过滤器、远程管理、审计和报警等功能。除此之外，还有Microsoft的Microsoft Proxy Server、Digital的Alta Vista Firewall，Raptor system的Eagle Firewall，Netscape Proxy Server等产品。
5 防火墙发展趋势
　　随着Internet的广泛应用和计算机技术的发展，防火墙技术也在不断发展。目前，混合应用包过滤技术、代理服务技术和其它一些技术，如动态包过滤、内核透明代理、用户身份认证、智能日志审计、跟踪、加密技术等的新型防火墙正向我们走来。
　　1.动态包过滤
　　传统的包过滤基于单个IP包包头中的源目的IP地址、源目的端口号、协议类型等判断包是否转发或丢弃。目前包过滤技术向着更具柔性和多功能的方向发展，比如动态包过滤技术;动态包过滤还可以与其数据流向适应，基于ICP连接和通信过程中的状态变化及上、下文内容，建立临时会话状态表来控制访问。例如TIS公司的Stateful filtering就是采用动态过滤技术，是1种包过滤防火墙。CISCO PIX防火墙、Check Point Firewall也是对数据进行动态过滤，其过滤规则可由路由器快速进行配置。
　　2.内核透明代理
　　现在越来越多的应用支持代理服务方式，而且网络操作系统采用最小内核技术，关闭了IP for warding等功能子系统;加入IP Sec 、IP（V6）等支持，以提供加密的IP通信，对提供的服务给以最小特权，并使提供的服务独立，以提供防火墙的安全基石。在内核级实现了代理服务，做到协议透明和应用透明，采用包截取方法，获取数据包，待做出授权校验后，决定转发或丢弃，整个过程对用户透明。
　　3.用户强认证机制
　　传统防火墙缺乏用户认证机制，其安全强度较低。现在的防火墙都加入用户认证机制，对用户远程访问实施强认证，提供分布式跨域认证能力。强认证系统可基于第三方的认证服务，基于用户（组）、地址、服务类型、时间等要求，采用一次口令机制，不必存储秘密口令。
　　4.加密技术
　　采用加密技术，使网络数据交换中不被非法用户理解和伪造，采用的密码机制有2种:对称密钥机制和公开密钥机制。对称的加密算法和解密算法公用一把密钥，其加密和解密互为逆过程，典型的算法有DES、三重DES、IEDA和Kerberos几种，公开密钥机制的加密和解密算法使用各自的密钥。其加密密钥是公开的，而解密密钥是秘密的，只有用户知道，典型的算法如RSA、Diffie-Hellman和PGP等。其加密的强度取决于密钥的大小，以及对密码分析的抵抗能力等。
　　5.智能日志、审计跟踪和实时报警
　　智能日志系统具有综合性数据登录、自动分类和自动检索功能。审计跟踪系统能提供对防火墙的完整性校验，具有跟踪多次连接行为的能力。实时报警系统利用日志和审计结果进行网络探测、端口扫描，并通过智能型推理实时触发E-mail、窗口、呼叫和打印等功能，进行报警和跟踪，必要时可以自动中断服务和关闭系统。
　　6.内容和策略感知能力
　　代理服务若具有内容和策略感知能力，则防火墙不仅能理解传输类型和本地策略，它还可以根据本地策略自适应地进行处理。例如在防火墙上进行病毒扫描及消除，进行黄色信息的过滤，对FTP下载的自抽取文档进行筛选，检测隐藏在多媒体数据库中的非法命令等能力。
　　7.内部信息隐藏技术
　　使用网络地址翻译技术可使内部信息实现隐藏，对公开的信息服务采用静态映射，对内部主机采用多对多或多对一的地址映射。在防火墙内、外部域名和帐号等之间建立映射关系来保护内部信息。
　　8.集成性与交互操作性
　　提高防火墙产品的集成性，采用分布式管理，加强防火墙之间的交互操作性。
　　此外还可以采用智能I/O处理宽带技术，以提高防火墙的信息吞吐量;结合安全代理技术，采用高速传输介质（如ATM）以及快速处理能力、可适应性控制、监测数据包重组，以优化数据交换时的安全检查，对高速数据流提供高度安全控制。还可以采用双机备份运行技术等，以消除防火墙作为单失效点的缺陷。
　　目前，被称为第三代防火墙产品的第一批系统，如Border公司的Border产品和TIS公司的Gauntlet Firewall Ⅲ已经面市。这些防火墙看起来像代理服务器，而内部又像包过滤，还有认证和审计功能，安全性很好，十分实用。现在，人们正在设计新的IP协议（IP V6.0），将对防火墙的建立和运行产生深远影响。
李海泉（西安石油学院计算机系７１００６５）
参考文献
１，胡道元．Internet网络技术及应用．北京：清华大学出版社，1998
２，刘渊．因特网防火墙技术．北京：机械工业出版社，1998
３，李海泉．计算机网络安全与加密．北京：科学出版社，1999
４，李海泉，李健．计算机网络的安全与加密技术．计算机与通信，1999；7
５，汪立东，钱丽萍．Internet攻击和防火墙新技术．计算机系统应用，1998；8
收稿日期：1999－09－09
