硬件好什么是防火墙 防火墙就昰一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子别的玩意都统统过滤掉。在网络的世界里要由防火墙過滤的就是承载通信数据的通信包。 天下的防火墙至少都会说两个词：Yes或者No直接说就是接受或者拒绝。
最简单的防火墙是以太网桥但幾乎没有人会认为这种原始防火墙能管多大用。大多数防火墙采用的技术和标准可谓五花八门这些防火墙的形式多种多样：有的取代系統上已经装备的TCP/IP协议栈；有的在已有的协议栈上建立自己的软件模块；有的干脆就是独立的一套操作系统。
还有一些应用型的防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）还有一些基于硬件的防火墙产品其实应该归入安全路由器一类。以上的产品都可以叫莋防火墙因为他们的工作方式都是一样的：分析出入防火墙的数据包，决定放行还是把他们扔到一边
所有的防火墙都具有IP地址过滤功能。这项任务要检查IP包头根据其IP源地址和目标地址作出放行/丢弃决定。看看下面这张图两个网段之间隔了一个防火墙，防火墙的一端囿台UNIX计算机另一边的网段则摆了台PC客户机。 当PC客户机向UNIX计算机发起telnet请求时PC的telnet客户程序就产生一个TCP包并把它传给本地的协议栈准备发送。
接下来协议栈将这个TCP包“塞”到一个IP包里，然后通过PC机的TCP/IP栈所定义的路径将它发送给UNIX计算机在这个例子里，这个IP包必须经过横在PC和UNIX計算机中的防火墙才能到达UNIX计算机 现在我们“命令”（用专业术语来说就是配制）防火墙把所有发给UNIX计算机的数据包都给拒了，完成这項工作以后“心肠”比较好的防火墙还会通知客户程序一声呢！既然发向目标的IP数据没法转发，那么只有和UNIX计算机同在一个网段的用户財能访问UNIX计算机了
还有一种情况，你可以命令防火墙专给那台可怜的PC机找茬别人的数据包都让过就它不行。这正是防火墙最基本的功能：根据IP地址做转发判断但要上了大场面这种小伎俩就玩不转了，由于黑客们可以采用IP地址欺骗技术伪装成合法地址的计算机就可以穿越信任这个地址的防火墙了。
不过根据地址的转发决策机制还是最基本和必需的另外要注意的一点是，不要用DNS主机名建立过滤表对DNS嘚伪造比IP地址欺骗要容易多了。 服务器TCP/UDP 端口过滤 仅仅依靠地址进行数据过滤在实际运用中是不可行的还有个原因就是目标主机上往往运荇着多种通信服务，比方说我们不想让用户采用 telnet的方式连到系统，但这绝不等于我们非得同时禁止他们使用SMTP/POP邮件服务器吧所以说，在哋址之外我们还要对服务器的TCP/ UDP端口进行过滤
比如，默认的telnet服务连接端口号是23假如我们不许PC客户机建立对UNIX计算机（在这时我们当它是服務器）的telnet连接，那么我们只需命令防火墙检查发送目标是UNIX服务器的数据包把其中具有23目标端口号的包过滤就行了。
这样我们把IP地址和目标服务器TCP/UDP端口结合起来不就可以作为过滤标准来实现相当可靠的防火墙了吗？不没这么简单。 客户机也有TCP/UDP端口 TCP/IP是一种端对端协议每個网络节点都具有唯一的地址。网络节点的应用层也是这样处于应用层的每个应用程序和服务都具有自己的对应“地址”，也就是端口號
地址和端口都具备了才能建立客户机和服务器的各种应用之间的有效通信联系。比如telnet服务器在端口23侦听入站连接。同时telnet客户机也有┅个端口号否则客户机的IP栈怎么知道某个数据包是属于哪个应用程序的呢？ 由于历史的原因几乎所有的TCP/IP客户程序都使用大于1023的随机分配端口号。
只有UNIX计算机上的root用户才可以访问1024以下的端口而这些端口还保留为服务器上的服务所用。所以除非我们让所有具有大于1023端口號的数据包进入网络，否则各种网络连接都没法正常工作 这对防火墙而言可就麻烦了，如果阻塞入站的全部端口那么所有的客户机都沒法使用网络资源。
因为服务器发出响应外部连接请求的入站（就是进入防火墙的意思）数据包都没法经过防火墙的入站过滤反过来，咑开所有高于1023的端口就可行了吗也不尽然。由于很多服务使用的端口都大于1023比如X client、基于RPC的NFS服务以及为数众多的非UNIX IP产品等（NetWare/IP）就是这样嘚。
那么让达到1023端口标准的数据包都进入网络的话网络还能说是安全的吗连这些客户程序都不敢说自己是足够安全的。 双向过滤 OK咱们換个思路。我们给防火墙这样下命令：已知服务的数据包可以进来其他的全部挡在防火墙之外。比如如果你知道用户要访问Web服务器，那就只让具有源端口号80的数据包进入网络： 不过新问题又出现了
首先，你怎么知道你要访问的服务器具有哪些正在运行的端口号呢 象HTTP這样的服务器本来就是可以任意配置的，所采用的端口也可以随意配置如果你这样设置防火墙，你就没法访问哪些没采用标准端口号的嘚网络站点了！反过来你也没法保证进入网络的数据包中具有端口号80的就一定来自Web服务器。
有些黑客就是利用这一点制作自己的入侵工具并让其运行在本机的80端口！ 检查ACK位 源地址我们不相信，源端口也信不得了这个不得不与黑客共舞的疯狂世界上还有什么值得我们信任呢？还好事情还没到走投无路的地步。对策还是有的不过这个办法只能用于TCP协议。
TCP是一种可靠的通信协议“可靠”这个词意味着協议具有包括纠错机制在内的一些特殊性质。为了实现其可靠性每个TCP连接都要先经过一个“握手”过程来交换连接参数。还有每个发送出去的包在后续的其他包被发送出去之前必须获得一个确认响应。但并不是对每个TCP包都非要采用专门的ACK包来响应实际上仅仅在TCP包头上設置一个专门的位就可以完成这个功能了。
所以只要产生了响应包就要设置ACK位。连接会话的第一个包不用于确认所以它就没有设置ACK位，后续会话交换的TCP包就要设置ACK位了 举个例子，PC向远端的Web服务器发起一个连接它生成一个没有设置ACK位的连接请求包。当服务器响应该请求时服务器就发回一个设置了ACK位的数据包，同时在包里标记从客户机所收到的字节数
然后客户机就用自己的响应包再响应该数据包，這个数据包也设置了ACK位并标记了从服务器收到的字节数通过监视ACK位，我们就可以将进入网络的数据限制在响应包的范围之内于是，远程系统根本无法发起TCP连接但却能响应收到的数据包了 这套机制还不能算是无懈可击，简单地举个例子假设我们有台内部Web服务器，那么端口80就不得不被打开以便外部请求可以进入网络
还有，对UDP包而言就没法监视ACK位了因为UDP包压根就没有ACK位。还有一些TCP应用程序比如FTP，连接就必须由这些服务器程序自己发起 FTP带来的困难 一般的Internet服务对所有的通信都只使用一对端口号，FTP程序在连接期间则使用两对端口号
第┅对端口号用于FTP的“命令通道”提供登录和执行命令的通信链路，而另一对端口号则用于FTP的“数据通道”提供客户机和服务器之间的文件傳送 在通常的FTP会话过程中，客户机首先向服务器的端口21（命令通道）发送一个TCP连接请求然后执行LOGIN、DIR等各种命令。
一旦用户请求服务器發送数据FTP服务器就用其20端口 (数据通道)向客户的数据端口发起连接。问题来了如果服务器向客户机发起传送数据的连接，那么它就会发送没有设置ACK位的数据包防火墙则按照刚才的规则拒绝该数据包同时也就意味着数据传送没戏了。
通常只有高级的、也就是够聪明的防火牆才能看出客户机刚才告诉服务器的端口然后才许可对该端口的入站连接。 UDP端口过滤 好了现在我们回过头来看看怎么解决UDP问题。刚才說了UDP包没有ACK位所以不能进行ACK位过滤。UDP 是发出去不管的“不可靠”通信这种类型的服务通常用于广播、路由、多媒体等广播形式的通信任务。
NFS、DNS、WINS、NetBIOS-over-TCP/IP和 NetWare/IP都使用UDP 看来最简单的可行办法就是不允许建立入站UDP连接。防火墙设置为只许转发来自内部接口的UDP包来自外部接口的UDP包則不转发。现在的问题是比方说，DNS名称解析请求就使用UDP如果你提供DNS服务，至少得允许一些内部请求穿越防火墙
还有IRC这样的客户程序吔使用UDP，如果要让你的用户使用它就同样要让他们的UDP包进入网络。我们能做的就是对那些从本地到可信任站点之间的连接进行限制但昰，什么叫可信任！如果黑客采取地址欺骗的方法不又回到老路上去了吗 有些新型路由器可以通过“记忆”出站UDP包来解决这个问题：如果入站UDP包匹配最近出站UDP包的目标地址和端口号就让它进来。
如果在内存中找不到匹配的UDP包就只好拒绝它了！但是我们如何确信产生数据包的外部主机就是内部客户机希望通信的服务器呢？如果黑客诈称DNS服务器的地址那么他在理论上当然可以从附着DNS的UDP端口发起攻击。只要伱允许DNS查询和反馈包进入网络这个问题就必然存在
办法是采用代理服务器。 所谓代理服务器顾名思义就是代表你的网络和外界打交道嘚服务器。代理服务器不允许存在任何网络内外的直接连接它本身就提供公共和专用的DNS、邮件服务器等多种功能。代理服务器重写数据包而不是简单地将其转发了事给人的感觉就是网络内部的主机都站在了网络的边缘，但实际上他们都躲在代理的后面露面的不过是代悝这个假面具。
小结 IP地址可能是假的这是由于IP协议的源路有机制所带来的，这种机制告诉路由器不要为数据包采用正常的路径而是按照包头内的路径传送数据包。于是黑客就可以使用系统的IP地址获得返回的数据包有些高级防火墙可以让用户禁止源路由。通常我们的网絡都通过一条路径连接ISP然后再进入Internet。
这时禁用源路由就会迫使数据包必须沿着正常的路径返回 还有，我们需要了解防火墙在拒绝数据包的时候还做了哪些其他工作比如，防火墙是否向连接发起系统发回了“主机不可到达”的ICMP消息或者防火墙真没再做其他事？这些问題都可能存在安全隐患
ICMP“主机不可达”消息会告诉黑客“防火墙专门阻塞了某些端口”，黑客立即就可以从这个消息中闻到一点什么气菋如果ICMP“主机不可达”是通信中发生的错误，那么老实的系统可能就真的什么也不发送了反过来，什么响应都没有却会使发起通信的系统不断地尝试建立连接直到应用程序或者协议栈超时结果最终用户只能得到一个错误信息。
当然这种方式会让黑客无法判断某端口到底是关闭了还是没有使用。。防火墙分为软件防火墙和硬件防火墙两种软件防火墙是安装在pc平台的软件产品，它通过在操作系统底層工作来实现网络管理和防御功能的优化但对国内市场上的硬件防火墙产品介绍仔细研读后，记者发现对于硬件防火墙的定义，厂商們似乎仍莫衷一是
大多数厂商对产品的介绍，往往用大量的篇幅向消费者灌输产品的防护功能而关于防火墙的实际配置，则基本没有提及 查阅国内外大量资料后，发现硬件防火墙一般有着这样的核心要求：它的硬件和软件都需要单独设计有专用网络芯片来处理数据包；同时，采用专门的操作系统平台从而避免通用操作系统的安全性漏洞。
对软硬件的特殊要求使硬件防火墙的实际带宽与理论值基夲一致，有着高吞吐量、安全与速度兼顾的优点而国内市场的硬件防火墙，大部分都是所谓的“软硬件结合的防火墙”采用的是定制機箱+x86硬件架构+防火墙软件模块(大多数是基于unix类系统下开发的)，而且是pc box结构
这种防火墙的核心技术实际上仍然是软件，吞吐量不高容易慥成带宽瓶颈。并且pc架构本身就不稳定更不可能长时间运行。这种防火墙一般只能满足中低带宽的安全要求在高流量环境下往往会造荿网络堵塞甚至系统崩溃。既然这些防火墙产品并非真正意义上的硬件防火墙厂商们为什么要在宣传中一再强化“硬件防火墙”的概念呢？国内一些专家他们指出，随着宽带网络的迅速发展软件防火墙在大数据流量面前显得力不从心。
当企业选购防火墙时自然就把目光锁定在新兴的硬件防火墙上。而随着硬件防火墙市场的风生水起国内外厂商采用了截然不同的做法。 国外著名厂商一般采用将软件運算硬件化的做法同时采用专门设计的网络芯片。而国内厂商为了节约成本往往采用通用pc架构或工业pc架构部分，在提高硬件性能方面所做的工作仅仅是提升系统cpu的处理能力，增大内存容量而已
在软件性能方面，国外厂商一般采用专用的操作系统自行设计防火墙。洏国内厂商一般采用unix类操作系统+防火墙软件各厂家的区别仅仅是对操作系统本身和防火墙部分做的改动不同。 这样国内部分厂商生产嘚“硬件防火墙”就与国际上通行的“硬件防火墙”在速度、安全性能方面存在着很大的差别，但二者在市场上的售价基本却相同
因为咑上了“硬件防火墙”的标志，售价就直逼国外著名品牌的硬件防火墙 国内防火墙产品巨大价格落差的背后，自然是巨大的利润因此咜们往往会以低于报价很多的价格卖给用户。在实际的交易过程中同样的产品价格差异很大，浮动幅度往往在50～80%之间
记者暗访过程中，听到最多的是这句话：“我们是有表示的”惊人的价格差让厂商、销售商和采购人员得以“利益均沾”，心照不宣地维护着这个市场規则 随着互联网的高速发展，人类的工作、生活已经越来越依赖网络攻击网络的手段层出不穷，网络安全的重要性日益凸显出来
据統计，2002年我国网络安全产品的市场销售额达到了5。22亿元其中防火墙是最主要的安全产品，销售额达到了203亿元，占整个市场的389%。 如此巨额的投入自然是希望能够营造出安全的网络环境。但如果我们选择的防火墙产品已经不能适应网络要求，依靠它来捍卫网络的安铨恐怕只能是自欺欺人。
我们企盼有一面坚固的盾牌来保护我们可贵的网络资源，也希望安全设备厂商们能够潜心制造早日使真正嘚硬件防火墙走进中国用户的生活。
全部
}
点击联系发帖人
