【摘要】
21世纪全世界的计算机都将通过Internet联到一起，Internet的迅速发展给现代人的生产和生活都带来了前所未有的飞跃，大大提高了工作效率，丰富了人们的生活，弥补了人们的精神空缺。网络技术在近几年的时间有了非常大的发展，经历了从无到有，从有到快；网上信息资源也是从医乏到丰富多彩，应有尽有。但随着网络速度越来越快，资源越来越丰富，与此同时也给人们带来了一个日益严峻的问题———网络安全。
网络的安全性成为当今最热门的话题之一，而且网络安全防范对我们校园网的正常运行来讲也显得十分重要。现在各种网络安全技术如防火墙技术、IDS、加密技术和防黑防病毒技术等也不断的出现，内容十分广泛。而其中防火墙技术在网络安全技术当中又是最简单，也是最有效的解决方案。很多企业为了保障自身服务器或数据安全都采用了防火墙。随着科技的发展，防火墙也逐渐被大众所接受。但是，由于防火墙是属于高科技产物，许多的人对此还并不是了解的十分透彻。
本文在简要论述防火墙的基本分类、工作方式等的基础上，对防火墙的优缺点以及局限性进行了说明，也简述了防火墙技术在校园网中的应用，并对其的发展趋势作简单展望。
【关键词】
网络安全 防火墙 发展
- 1
1 防火墙
1.1 防火墙的概念
所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。
防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的较少，例如国防部以及大型机房等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。
防火墙，英语为firewall，《英汉证券投资词典》的解释为：金融机构内部将银行业务与证券业务严格区分开来的法律屏障，旨在防止可能出现的内幕消息共享等不公平交易出现。使用防火墙比喻不要引火烧身。
当然，既然打算由浅入深的来了解，就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦著火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。在电脑术语中，当然就不是这个意思了，我们可以类比来理解，在网络中，所谓“防火墙”，顾名思义，是一种隔离设备。防火墙是一种高级访问控制设备，臵于不同网络安全域之间的一系列部件的组合，它是不同网络安全域之间通信流的唯一
通道，能根据用户有关的安全策略控制进出网络的访问行为。从专业角度讲，防火墙是位于两个或多个网络间，实施网络访问控制的组件集合。从用户角度讲，防火墙就是被放臵在用户计算机与外网之间的防御体系，网络发往用户计算机的所有数据都要经过其判断处理，才决定能否将数据交给计算机，一旦发现数据异常或有害，防火墙就会将数据拦截，从而实现对计算机的保护。防火墙是网络安全策略的组成部分，它只是一个保护装臵，通过监测和控制网络间的信息交换和访问行为来实现对网络安全的有效管理，其主要目的就是保护内部网络的安全。
1.2 防火墙的功能
（1）访问控制：
■ 限制未经授权的用户访问本企业的网络和信息资源的措施，访问者必需要能适用现行所有的服务和应用。网络卫士防火墙支持多种应用、服务和协议，支持所有的internet服务，包括安全的web浏览器、电子邮件、ftp、telnet及rpc和udp等，还支持如oracle、sybase、sql服务器数据库访问和real audio，vodlive、netmeeting和internet phone等这样的多媒体应用及internet广播服务。
■ 提供基于状态检测技术的ip地址、端口、用户和时间的管理控制； ■ 访问控制对象的多种定义方式支持多种方式定义访问控制对象: ip/mask(如202.100.100.0/24)，ip区间(如202.100.100.1-202.100.100.254)，ip/mask与通配符，ip区间与通配符等，使配臵防火墙的安全策略极为方便。
■ 高效的url和文件级细粒度应用层管理控制；应用层安全控制策略主要针对常用的网络应用协议http和ftp，控制策略可以实现定义访问源对象到目标对象间的常用协议命令通过防火墙的权限，源对象可以是网段、主机。http和ftp的协议端口用户可根据实际情况在策略中定义，协议命令为http和ftp的主要常用命令。通过应用层策略实现了url和文件级的访问控制。
■ 双向nat，提供ip地址转换和ip及tcp/udp端口映射，实现ip复用和隐藏网络结构：nat在ip层上通过地址转换提供ip复用功能，解决ip地址不足的问题，同时隐藏了内部网的结构，强化了内部网的安全。网络卫士防火墙提供了nat功能，并可根据用户需要灵活配臵。当内部网用户需要对外访问时，防火墙系统将访问主体转化为自己，并将结果透明地返回用户，相当于一个ip层代理。防火墙的地址转换是基于安全控制策略的转换，可以针对具体的通信事件进行地址转换。internet用户访问对内部网络中具有保留ip主机的访问，可以利用反向nat实现，即为内部网络主机在防火墙上映射一注册ip地址，这样internet 用户就可以通过防火墙系统访问主机了。映射类型可以为ip级和端口级。端口映射
- 4
■阻止activex、java、javascript等侵入：属于http内容过滤，防火墙能够从http页面剥离activex、javaapplet等小程序及从script、php和asp等代码检测出危险的代码，同时，能够过滤用户上载的cgi、asp等程序。
■ 提供实时监控、审计和告警功能：网络卫士防火墙提供对网络的实时监控，当发现攻击和危险行为时，防火墙提供告警等功能。
■ 可扩展支持第三方ids入侵检测系统，实现协同工作：网络卫士防火墙支持topsec协议，可与第三方ids产品实现无缝集成，协同工作。
（3）用户认证
因为企业网络为本地用户、移动用户和各种远程用户提供信息资源，所以为了保护网络和信息安全，必须对访问连接用户采用有效的权限控制和身份识别，以确保系统安全。
■ 提供高安全强度的一次性口令(otp)用户认证：一次性口令认证机制是高强度的认证机制，能极大地提高了访问控制的安全性，有效阻止非授权用户进入网络，保证网络系统的合法使用。一次性口令用户认证的基本过程是：首先用户向防火墙发送身份认证请求，并指明自己的用户名，防火墙收到请求后，向用户提出挑战及同步信息，用户收到此信息后，结合自己的口令，产生一次性口令并发送给防火墙，防火墙判断用户答复是否正确以鉴别用户的合法性，为防止口令猜测，如果用户连续三次认证失败则在一定时间内禁止该用户认证。由于采用一次性的口令认证机制，即使窃听者在网络上截取到口令，由于该口令的有效期仅为一次，故也无法再利用这个口令进行认证鉴别。在实际应用中，用户采用一次性口令登录程序登陆时，防火墙向用户提供一个种子及同步次数，登录程序根据用户输入的口令、种子、同步次数计算出一次性口令并传给防火墙.用户可以在不同的服务器上使用不同的种子而口令相同，每次在网络上传输的口令也不同， 用户可以定期改变种子来达到更高的安全目标.■ 可扩展支持第三方认证和支持智能ic卡、ikey等硬件方式认证：网络卫士防火墙有很好的扩展性，可扩展支持radius等认证，提供拨号用户等安全访问。也可通过扩展支持支持职能ic卡、ikey等硬件方式认证。
（4）安全管理
■ 提供基于otp机制的管理员认证。
■ 提供分权管理安全机制；提供管理员和审计员分权管理的安全机制，保证安全产品的安全管理。
- 67
过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。
■ 应用代理（Application Proxy）型
应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。
在代理型防火墙技术的发展过程中，它也经历了两个不同的版本：第一代应用网关型代理防火和第二代自适应代理防火墙。
代理类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。
另外代理型防火墙采取是一种代理机制，它可以为每一种应用服务建立一个专门的代理，所以内外部网络之间的通信不是直接的，而都需先经过代理服务器审核，通过后再由代理服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。
代理防火墙的最大缺点是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，代理防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的网络服务建立专门的代理服务，在自己的代理程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。
（3）从防火墙结构上分类
从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。
单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。
- 10
信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。
（5）按防火墙性能分类
按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。
因为防火墙通常位于网络边界，所以不可能只是十兆级的。这主要是指防火的通道带宽（Bandwidth），或者说是吞吐率。当然通道带宽越宽，性能越高，这样的防火墙因包过滤或应用代理所产生的延时也越小，对整个网络通信性能的影响也就越小。
虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。
1.4 各类防火墙的优缺点
（1）包过滤防火墙
使用包过滤防火墙的优点包括：
■ 防火墙对每条传入和传出网络的包实行低水平控制。
■ 每个IP包的字段都被检查，例如源地址、目的地址、协议、端口等。防火墙将基于这些信息应用过滤规则。
■ 防火墙可以识别和丢弃带欺骗性源IP地址的包。
■ 包过滤防火墙是两个网络之间访问的唯一来源。因为所有的通信必须通过防火墙，绕过是困难的。
■ 包过滤通常被包含在路由器数据包中，所以不必额外的系统来处理这个特征。
使用包过滤防火墙的缺点包括：
■ 配臵困难。因为包过滤防火墙很复杂，人们经常会忽略建立一些必要的规则，或者错误配臵了已有的规则，在防火墙上留下漏洞。然而，在市场上，许多新版本的防火墙对这个缺点正在作改进，如开发者实现了基于图形化用户界面(GUI)的配臵和更直接的规则定义。
■ 为特定服务开放的端口存在着危险，可能会被用于其他传输。例如，Web服务器默认端口为80，而计算机上又安装了RealPlayer，那么它会搜寻可以允许连接到RealAudio服务器的端口，而不管这个端口是否被其他协议所使用，RealPlayer正好是使用80端口而搜寻的。就这样无意中，RealPlayer就利用了Web服务器的端口。
■ 可能还有其他方法绕过防火墙进入网络，例如拨入连接。但这个并不是
- 1213
也不要忘记了防火墙内的安全保障。
其次，防火墙技术的另外一个显著不足是无法有效地应付病毒。当网络内的用户在访问外网中的含有病毒的数据时，防火墙无法区分带毒数据与正常数据，内部网络随时都有受到病毒危害的可能，防火墙技术的这个缺点给网络带来很大的隐患。
另外，由于防火墙技术的自身不断发展，其自身问题和漏洞也使其具有局限性。防火墙本身作为一个独立的系统，其软、硬件在发展过程中必然也有其自己的bug和漏洞，所以各种故障和因漏洞所遭受的各种攻击也不可避免。防火墙的技术原理与杀毒软件类似：先出现病毒，杀毒软件获得病毒的特征码，将其加入到病毒库内来实现查杀。防火墙的防御、检测策略，也是在发生攻击行为后分析其特征而设臵的。如果出现新的未知攻击行为，防火墙也将束手无策。
最后，防火墙的检测机制容易造成拥塞以及溢出现象。由于防火墙需要处理每一个通过它的数据包，所以当数据流量较大时，容易导致数据拥塞，影响整个网络性能。严重时，如果发生溢出，就像大坝决堤一般，无法阻挡，任何数据都可以来去自由了，防火墙也就不再起任何作用。
1.6 防火墙的未来发展趋势
尽管罗列了这么多防火墙技术的局限性，但防火墙在网络安全中所扮演的重要角色是不可撼动的。未来的防火墙发展朝高速、多功能化、更安全的方向发展。
实现高速防火墙，可以应用ASIC硬件加速技术、FPGA和网络处理器等方法。其中以采用网络处理器最好，因为网络处理器采用微码编程，可以根据需要随时升级，甚至可以支持IPv6；并且网络处理器中集成了很多硬件协处理单元，通过算法也比较容易实现高速。防火墙将会集成更多的网络安全功能，入侵检测、防病毒、防御拒绝服务攻击等安全技术都可以模块形式安装到防火墙的机箱内。既节省宝贵的机柜空间，又能为企业节约一部分安全支出，更主要的是可以实现网络安全设备之间的联动。防火墙将会更加的行业化。
任何一种防火墙只是为内部网络提供安全保障，但网络安全不能完全依赖于防火墙，还需要加强内部的安全管理，完善安全管理制度，提高用户的安全意识，从而形成全方位的安全防御体系。
2 防火墙技术在校园网中的应用
随着高校信息化进程的推进，学院校园网上运行的应用系统越来越多，信息
- 151617
