络防火墙技术

1、防火墙简介

　　包过滤防火墙应用在 络层，用于对每一个数据包进行检查，检查发送地址、目的地址、协议、端口信息，将检查到的内容与用户设置的规则相比较，以识别并丢弃那些带欺骗性的数据包。

　　优点：对用户透明，设置只须在包过滤路由器上进行， 络用户不知道它的存在；与应用程序无关，因其工作在 络层和传输层，所以无须对客户机和主机上的应用程序作任何改动，提高 络的性能。

　　缺陷：只能对 络层的数据包进行识别，不能够对应用层的一些协议进行识别，所以不能防范黑客攻击。不能分辨好的和坏的用户，只能区分好的包和坏的包。

　　假设管理员细心创建了一个规则，指示数据包过滤器丢弃所有发来的未知源地址的数据包。这条包过滤规则虽然使黑客访问变得更加困难，但并非不可能。黑客只需用某个已知可信客户机的地址替代某个恶意数据包的实际源地址就客达到目的。这一形式的攻击通常叫IP地址欺骗（IP Address Spoofing），这种攻击来对付包过滤防火墙非常有效。

3、应用代理 关防火墙

　　屏蔽主机防火墙体系统结构由包过滤路由器和堡垒主机构成。实现了 络层安全（包过滤）和应用层安全（代理服务）。

　　对于这种防火墙系统，堡垒主机配置在内部 络上，而包过滤路由器则放置在内部 络和Internet之间。在路由器上进行规则配置，由于内部主机与堡垒主机处于同一个 络，内部系统是否允许直接访问Internet，或者是要求使用堡垒主机上的代理服务来访问Internet由机构的安全策略来决定。在实际的应用中，为了增强安全性，一般堡垒主机应至少有两个 卡，这样可以物理的隔离子 。

　　优点：因为它实现了 络层安全（包过滤）和应用层安全（代理），因此安全等级比屏蔽路由器要高。

　　缺点：堡垒主机可能被绕过，堡垒主机与其他内部主机间没有任何保护 络安全的东西存在，一旦被攻破，内 就会暴露。

7、屏蔽子 防火墙