防火墻是兩個(gè)網(wǎng)絡(luò)通信時(shí)實(shí)施的訪問控制尺度，可以大限度地防止網(wǎng)絡(luò)中的黑客訪問您的網(wǎng)絡(luò)。指在不同網(wǎng)絡(luò)(如可信內(nèi)網(wǎng)和不可信公網(wǎng))或網(wǎng)絡(luò)安全域之間設(shè)置的一系列組件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間唯一的信息出入口，可以根據(jù)企業(yè)的安全策略控制(允許、拒絕、監(jiān)控)進(jìn)出網(wǎng)絡(luò)的信息流，具有很強(qiáng)的抗攻擊能力。

一、防火墻的分類：防火墻按照功能和級別的不同，一般分類這么三類：包過濾型防火墻、狀態(tài)檢測型防火墻、代理型防火墻。

1.包過濾型防火墻：這種防火墻只能實(shí)現(xiàn)最基礎(chǔ)的包過濾功能，按照既定的訪問控制列表對數(shù)據(jù)包的三、四層信息進(jìn)行控制，詳細(xì)一點(diǎn)就是：三層信息：源IP地址，目標(biāo)IP地址。四層信息：源端口，目標(biāo)端口。這種情況其實(shí)用一個(gè)路由器或者三層交換機(jī)，配置ACL就能實(shí)現(xiàn)。只有符合了條件的數(shù)據(jù)包才能被放行，不符合條件的數(shù)據(jù)包無論如何都不會(huì)被放行。但是包過濾型防火墻的性質(zhì)就是那么“教條”與“頑固不化”！

2.狀態(tài)檢測型防火墻：狀態(tài)檢測型防火墻就是為了解決“傻~”的包過濾型防火墻而存在的。它比包過濾型防火墻還多了一層“狀態(tài)檢測”功能。狀態(tài)化檢測型防火墻可以識(shí)別出主動(dòng)流量和被動(dòng)流量，如果主動(dòng)流量是被允許的，那么被動(dòng)流量也是被允許的。例如TCP的三次握手中，第一次流量是主動(dòng)流量，從內(nèi)到外，第二次流量就是從外到內(nèi)的被動(dòng)流量，這可以被狀態(tài)監(jiān)測型防火墻識(shí)別出并且放行。狀態(tài)監(jiān)測型防火墻會(huì)有一張“連接表”，里面記錄合法流量的信息。當(dāng)被動(dòng)流量彈回時(shí)，防火墻就會(huì)檢查“連接表”，只要在“連接表”中查到匹配的記錄，就會(huì)放行這個(gè)流量。

3.代理型防火墻：代理型防火墻一般是一個(gè)安裝在多網(wǎng)卡服務(wù)器上的軟件，擁有狀態(tài)監(jiān)測的功能，但是多了一項(xiàng)功能就是代理服務(wù)器功能。一般有正向代理和反向代理兩種功能：正向代理用于內(nèi)部主機(jī)訪問Internet服務(wù)器的時(shí)候，特別是Web服務(wù)的時(shí)候很管用。當(dāng)內(nèi)部主機(jī)第一次訪問外部的Web服務(wù)器時(shí)，代理服務(wù)器會(huì)將訪問后的內(nèi)容放在自己的“高速緩存”中。當(dāng)內(nèi)部主機(jī)再次訪問該Web服務(wù)器的時(shí)候，如果有相同的內(nèi)容，代理服務(wù)器就會(huì)將這個(gè)訪問定位到自己的高速緩存，從而提升內(nèi)部主機(jī)的訪問速度。反向代理和正向代理有點(diǎn)類似，只不過訪問的方向是外部到內(nèi)部。當(dāng)外部主機(jī)要訪問內(nèi)部發(fā)布的某個(gè)服務(wù)器的時(shí)候，不會(huì)讓它把訪問目標(biāo)定位到內(nèi)部服務(wù)器上，而是反向代理設(shè)備上。反向代理設(shè)備會(huì)從真實(shí)的服務(wù)器上抽取數(shù)據(jù)到自己的緩存中，起到保護(hù)真實(shí)服務(wù)器的功能。

二、加固網(wǎng)絡(luò)的安全：防火墻的其中一個(gè)功能，就是網(wǎng)絡(luò)流量流向的問題（內(nèi)到外可以訪問，外到內(nèi)默認(rèn)不能訪問），這就從一定程度上加強(qiáng)了網(wǎng)絡(luò)的安全性，那就是：“內(nèi)網(wǎng)屬于私有環(huán)境，外人非請莫入！”另外，防火墻還能從另外一些方面來加固內(nèi)部網(wǎng)絡(luò)的安全：

1.會(huì)話日志功能：防火墻都有“會(huì)話記錄”功能，每一個(gè)數(shù)據(jù)包在經(jīng)過防火墻之后，都可以在防火墻的會(huì)話表中查詢到歷史訪問記錄。如果是外部主機(jī)訪問內(nèi)部呢？當(dāng)然，在你的內(nèi)部網(wǎng)絡(luò)遭受不安全以后，可以在防火墻上查到從外到內(nèi)，到底是哪個(gè)IP地址非法闖入了。

2.帶有安全檢測防御：這種功能并不是每一款防火墻都有。安全檢測系統(tǒng)（簡稱“IDS”）是一種對網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。它與其他網(wǎng)絡(luò)安全設(shè)備的不同之處便在于，香港服務(wù)器租用，IDS是一種積極主動(dòng)的安全防護(hù)技術(shù)。

3.隱藏內(nèi)部的網(wǎng)絡(luò)拓?fù)洌哼@種情況用于互聯(lián)網(wǎng)防火墻。因?yàn)閮?nèi)網(wǎng)一般都會(huì)使用私有IP地址，而互聯(lián)網(wǎng)是Internet的IP地址。由于在IPv4環(huán)境下IP地址不足，內(nèi)部使用大量的私有地址，轉(zhuǎn)換到外部少量的Internet地址，這樣的話，外部網(wǎng)絡(luò)就不會(huì)了解到內(nèi)部網(wǎng)絡(luò)的路由，也就沒法了解到內(nèi)部網(wǎng)絡(luò)的拓?fù)淞?。同時(shí)，防火墻上還會(huì)使用NAT技術(shù)，將內(nèi)部的服務(wù)器映射到外部，所以從外部訪問服務(wù)器的時(shí)候只能了解到映射后的外部地址，根本不會(huì)了解到映射前的內(nèi)部地址。

三、防火墻并不普適：不是任何場合都適合部署防火墻。誰都知道安全性和方便性有時(shí)候會(huì)有那么一些沖突。防火墻作為一種網(wǎng)絡(luò)安全設(shè)備，部署在網(wǎng)絡(luò)中會(huì)對穿過防火墻的數(shù)據(jù)包進(jìn)行攔截，然后確定它符合策略要求以后才會(huì)放行。這會(huì)對網(wǎng)絡(luò)傳輸效率造成一定影響。所以防火墻一般用于數(shù)據(jù)中心，大型企業(yè)總部，國有企業(yè)省級、地區(qū)級辦公機(jī)構(gòu)，帶有服務(wù)器區(qū)域的網(wǎng)絡(luò)環(huán)境或機(jī)密性較高的單位。

四、劃分網(wǎng)絡(luò)的邊界：防火墻設(shè)備的其中一個(gè)功能，就是劃分網(wǎng)絡(luò)的邊界，嚴(yán)格地將網(wǎng)絡(luò)分為“外網(wǎng)”和“內(nèi)網(wǎng)”?！巴饩W(wǎng)”則是防火墻認(rèn)為的——不安全的網(wǎng)絡(luò)，不受信任的網(wǎng)絡(luò)；“內(nèi)網(wǎng)”則是防火墻認(rèn)為的——安全的網(wǎng)絡(luò)，受信任的網(wǎng)絡(luò)。

五、防火墻在企業(yè)環(huán)境的應(yīng)用

1.互聯(lián)網(wǎng)出口設(shè)備：這估計(jì)是大家最能想到的一種用途吧。因?yàn)镮nternet就是一個(gè)最典型的“外網(wǎng)”，當(dāng)企業(yè)網(wǎng)絡(luò)接入Internet的時(shí)候，為了保證內(nèi)部網(wǎng)絡(luò)不受來自外部的威脅侵害，就會(huì)在互聯(lián)網(wǎng)出口的位置部署防火墻。

2.分支機(jī)構(gòu)接骨干網(wǎng)作邊界設(shè)備：在電力行業(yè)、金融行業(yè)等大型跨地，跨省的企業(yè)時(shí)，為了企業(yè)中各個(gè)省級、地市級單位的內(nèi)部數(shù)據(jù)通信通常都會(huì)自建一張骨干網(wǎng)絡(luò)。每個(gè)省級、地市級單位辦公網(wǎng)絡(luò)接入骨干網(wǎng)時(shí)，就可以在網(wǎng)絡(luò)接入點(diǎn)部署防火墻，虛擬主機(jī)，進(jìn)一步提高每個(gè)單位的辦公網(wǎng)絡(luò)安全性。

3.數(shù)據(jù)中心內(nèi)保護(hù)服務(wù)器：數(shù)據(jù)中心是為企業(yè)存放重要數(shù)據(jù)資料的，同時(shí)數(shù)據(jù)中心內(nèi)會(huì)放置各種各樣功能不一的服務(wù)器。想要保證數(shù)據(jù)的安全，首先就要保證這些服務(wù)器的安全。物理上的安全嘛，你就防火防水防賊唄，應(yīng)用上的安全，找殺毒軟件嘛；但是在網(wǎng)絡(luò)上防止，防止非授權(quán)人員操作服務(wù)器，就需要到防火墻來發(fā)揮作用了。一般在傳統(tǒng)的數(shù)據(jù)中心內(nèi)，會(huì)根據(jù)不同的功能來決定服務(wù)器的分區(qū)，然后在每個(gè)分區(qū)和核心設(shè)備的連接處部署防火墻。

當(dāng)前文章：全面了解服務(wù)器防火墻
文章URL：http://jinyejixie.com/news2/272952.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供品牌網(wǎng)站制作、網(wǎng)站維護(hù)、軟件開發(fā)、網(wǎng)站改版、做網(wǎng)站、網(wǎng)站導(dǎo)航

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)