防火墙基础知识

Posted 2021-02-10 likaiming

1、概述

防火墙时由硬件和软件组成的系统，处于安全网络和不安全网络之间，根据系统管理员设置的访问访问规则，

防火墙对包有3种处理方式

• 允许数据流通过
• 拒绝数据流通过，需要回复
• 丢弃数据流，不需要回复

1.1 防火墙的构成：

内部网络----过滤器----网关----过滤器----外部网络

过滤器：阻断某种类型的数据传输

网关：一台或多台机器组成，用来提供中继服务，网关所在的网络称为非军事区（DMZ）

外部过滤器用来保护网关，内部过滤器用来防止网关被攻破时的伤害，实际中可能缺失部分组件，根据具体防火墙而定

2、防火墙的类型和结构

2.1 防火墙分类

防火墙的类型主要有3种：

• 包过滤防火墙，网络层
• 电路级网关防火墙，会话层
• 应用级网关防火墙，应用层

OSI网络模型有7层，自顶向下为应用层、表示层、会话层、传输层、网络层、链路层、物理层。防火墙越靠近顶层，所能过滤的信息越多。

2.2 网络地址转换（NAT）

IP地址分为以下四大类：

IP地址中有私有IP地址，不再外部网络中使用，用在内网中。比如，c类地址的地址范围为192.0.1.1-223.255.255.254。私有IP是192.168.0.0-192.168.255.255。所以我们使用的很多IP地址都是192.168开头，这是分配给中小网络的内部IP。

NAT的作用就是转换内网和外网的IP。

内网到外网时，只需要更改源IP地址为NAT路由器的公网IP

外网到内网时，则根据转换表替换路由器公网IP为内网IP

转换表

转换表为二元组，<内部地址，外部地址>

内部地址表示私有IP

外部地址表示与拥有私钥IP的机器通讯的外部机器IP地址

PAT

端口地址转换

如果内网IP使用完了，则可以使用同一内网IP，不同端口号来区分内部机器。

比如有两台内部机器的IP为192.168.10.1，但通信端口号为300、301

此时转换表有如下信息

<内部地址，内部端口，外部地址，外部端口，NAT端口，协议>

内部地址：私有IP

内部端口：上述例子的300或301

外部地址：与拥有私钥IP的机器通讯的外部机器IP地址

外部端口：一般为通信协议使用的默认端口

NAT端口：一般为一个递增的数

2.3 静态包过滤防火墙

工作在网络层，对每个经过内网和外网的包进行规则过滤，根据规则来确定对IP包的操作。

比如拒绝来自内部网络的telnet服务，则屏蔽来目标地址为内部网络，端口号为23的所有包

一般过滤的规则可以根据1、数据源地址，2、目的地址，3、应用和协议，4、源端口地址，5、目的点口号等

包过滤器仅检查IP头和TCP头，无法检测IP地址欺骗

优点：

1、对网络性能影响小

2、成本低

缺点：

1、安全性低

2、缺少状态感知能力

3、容易遭受IP欺骗攻击

4、创建访问规则比较困难

2.4 动态包过滤防火墙

动态包过滤防火墙时普遍使用的一种防火墙技术，既有很高的安全性，又具有完全的透明性

典型的动态包过滤防火墙工作在网络层，更高级的工作在传输层

在对包过滤方面，与普通的包过滤防火墙很相似，如果数据包满足规则，如数据包的端口号、ip地址是可接受的，则被允许通过。但是有一个不同点：它首先对外出的数据包身份进行记录，此后若有相同连接的数据包进入防火墙，它就直接允许这些数据包通过。因此，它可以用来处理TCP和UDP协议。

实现方式主要分为两种：

1、实时改变过滤器的规则集。但比较复杂难以实现

2、所有进入防火墙的呼叫将中止于防火墙，然后防火墙再与目标主机简历新的连接。

比如下面的防火墙部分包括了中间的两个IP地址

　　　　　　　　　　　　防火墙

1.2.3.4 　　----> 　　5.6.7.8<---->1.2.3.4　　---->　　5.6.7.8

优点：

1、采用SMP时，对网络性能影响很小

2、动态包过滤防火墙比静态更安全

3、由于建立了连接之后保存了连接状态，这样性能比静态要好一些

4、本身成本也很低

缺点：

2.5 电路级网关

工作在会话层。电路级网关的作用就像是中继计算器，在两个连接之间来回的复制数据。这一点和感觉和动态包过滤防火墙的第二种实现有些相似。它除了对包进行过滤检查之外，还要增加对连接过程中的握手信息及序列号合法性的验证。比包过滤检查的数据更多，也更安全。

检查的数据包括

1、源地址 2、目的地址 3、应用或协议 4、源端口号 5、目的端口号 6、握手信息及序列号

可以发现和包过滤防火墙相比，电路级网关会查看握手信息以及序列号，当会话过程中SYN标志、ACK标志、序列号等符合逻辑时才会判定会话时合法的。

电路级网关会与外部和内部建立两个会话，在这两个会话间传递信息，让两边感觉字节在和对方通信

优势：

比包过滤能得到更多的信息，但效率也稍微低一些

缺点：

1、无法抵御应用层攻击

2、当增加了内部新程序或资源时，往往需要对许多电路进行代码修改

2.6 应用级网关

应用级网关为特定的应用服务编写特定的代理程序。这些程序称为服务代理。

这种网关作用在应用层，而且，需要针对每个特定的服务运行一个特定的代理，它只能对特定服务所生成的数据包进行过滤。

优点：更安全，功能强大

缺点：配置繁琐，性能不高

2.7 状态检测防火墙

着眼于跟踪会话状态、网络通信状态等，可以分析所有7个层的数据包。

优点：

具备动态包过滤的所有优点，同时具有更高的安全性，应为增加了状态检测机制，能抵御利用协议细节的攻击

没有打破服务器客户端的结构（相对应用级网关而言）

提供动态包过滤功能

缺点：

仅能提供较低水平的安全性

2.8 切换代理

动态过滤器和一个电路级代理的结合。许多实现先工作在OSI的会话层，连接完成后，再切换回动态包过滤模式

2.9 空气隙防火墙

比如，外网和内网交换数据时不直接进行，而是都把数据写道一个共同可访问的磁盘之中，流出一个安全缝隙，保证安全。