本頁使用了標題或全文手工轉換

防火牆

維基百科,自由的百科全書
跳到: 導覽搜尋
防火牆隔開了信任區域與非信任區域
例證,防火牆將位於網絡中。
Flow of network packets through Netfilter, a Linux kernel module
Gufw is a graphical front-end for Uncomplicated Firewall, which itself is a wrapper for netfilter

電腦運算領域中,防火牆(英文:Firewall)是一個架設在互聯網與企業內網之間的資安系統,根據企業預定的策略來監控往來的傳輸。防火牆可能是一台專屬的硬件或是架設在一般硬件上。

功能[編輯]

防火牆最基本的功能就是隔離網絡,通過將網絡劃分成不同的區域(通常情況下稱為ZONE),制定出不同區域之間的存取控制策略來控制不同信任程度區域間傳送的數據流。例如互聯網是不可信任的區域,而內聯網絡是高度信任的區域。以避免安全策略中禁止的一些通訊。它有控制資訊基本的任務在不同信任的區域。 典型信任的區域包括互聯網(一個沒有信任的區域) 和一個內聯網絡(一個高信任的區域) 。 最終目標是提供受控連通性在不同水平的信任區域通過安全政策的執行和連通性模型之間根據最少特權原則 例如:TCP/IP Port 135~139是 Microsoft Windows 的【網路上的芳鄰】所使用的。如果電腦有使用【網路上的芳鄰】的【分享資料夾】,又沒使用任何防火牆相關的防護措施的話,就等於把自己的【分享資料夾】公開到Internet,供不特定的任何人有機會瀏覽目錄內的檔案。且早期版本的Windows有【網路上的芳鄰】系統溢位的無密碼保護的漏洞(這裏是指【分享資料夾】有設密碼,但可經由此系統漏洞,達到無須密碼便能瀏覽資料夾的需求)。

防火牆類型[編輯]

針對普通用戶的個人防火牆,通常是在一部電腦上具有封包過濾功能的軟件,如ZoneAlarmWindows XP SP2後內建的防火牆程式。而專業的防火牆通常為網絡裝置,或是擁有2個以上網絡介面的電腦。以作用的TCP/IP堆疊區分,主要分為網絡層防火牆應用層防火牆兩種,但也有些防火牆是同時運作於網絡層應用層

網絡層(封包過濾型)防火牆[編輯]

運作於底層的TCP/IP協定堆疊上。管理者會先根據企業/組織的策略預先設定好封包通過的規則或採用內建規則,只允許符合規則的封包通過。

網絡層防火牆可分為:狀態感知(stateful)與無狀態感知(stateless)

狀態感知(stateful)

狀態感知防火牆會針對活動中的連線維護前後傳輸的脈絡,並使用這些狀態資訊來加速封包過濾處理。

根據需求,現行的網絡連線由各種性質描述,包括:來源端IP位置,目的端IP位置、UDP或TCP埠口號碼,以及連線所處的狀態階段(連線初始化、交握中,數據傳輸中、或完成連線)。

如果有封包與現存連線不符,防火牆會根據規則來評估此封包是否該屬於另外一個新連線。如果封包符合現存連線,防火牆會根據自己所建立的狀態表完成比對,該封包就不必額外處理,即可通過兩端網絡。

無狀態感知(stateless)

無狀態感知防火牆所需較少的記憶體,針對欲通過的封包,作比較簡易與快速的過濾。如此,相較於查詢對話工作期間(sesssion),無狀態感知防火牆所耗的時間也較少。

這種防火牆可處理無狀態網絡通訊協定,這種協定並沒有對話工作期間(sesssion)的概念。

反之,這種防火牆無法根據溝通的兩端所處的狀態階段作出複雜的決策。

我們也能以另一種較寬鬆的角度來制定防火牆規則,只要封包不符合任何一項「否定規則」就予以放行。現在的作業系統及網絡裝置大多已內建防火牆功能。

較新的防火牆能利用封包的多樣屬性來進行過濾,例如:來源 IP 地址、來源埠號、目的 IP 地址或埠號、服務類型(如 HTTP 或是 FTP)。也能經由通訊協定、TTL 值、來源的網域名稱或網段...等屬性來進行過濾。

應用層防火牆[編輯]

防火牆的視察軟件介面範例,紀錄IP進出的情況與對應事件

應用層防火牆是在TCP/IP堆疊的「應用層」上運作,使用瀏覽器時所產生的數據流或是使用 FTP 時的數據流都是屬於這一層。應用層防火牆可以攔截進出某應用程式的所有封包,並且封鎖其他的封包(通常是直接將封包丟棄)。理論上,這一類的防火牆可以完全阻絕外部的數據流進受保護的機器裏。

防火牆藉由監測所有的封包並找出不符規則的內容,可以防範電腦蠕蟲或是木馬程式的快速蔓延。實際上,這個方法繁復(因軟件種類極多),所以大部份防火牆都不會考慮以這種方法設計。

截至2012年,所謂的下一代防火牆(NGFW)都只是「拓寬」並「深化」了在套用棧檢查的能力。例如,現有支援深度分組檢測的現代防火牆均可延伸成入侵預防系統(IPS),使用者身份整合(使用者ID與IP或MAC網址繫結),和Web套用防火牆(WAF)。

代理服務[編輯]

代理(Proxy)裝置(可能是一台專屬的硬件,或只是普通電腦上的一套軟件)也能像應用程式一樣回應輸入封包(例如連線要求),同時封鎖其他的封包,達到類似於防火牆的效果。

代理會使從外部網絡竄改一個內部系統更加困難,且只要對於代理有良好的設定,即使內部系統出現問題也不一定會造成安全上的漏洞。相反地,入侵者也許劫持一個公開可及的系統和使用它作為代理人為他們自己的目的;代理人偽裝作為那個系統對其它內部機器。當對內部網址空間的用途增加安全,破壞者也許仍然使用方法譬如IP欺騙(IP spoofing)試圖通過封包對目標網絡。

防火牆經常有網絡網址轉換(NAT) 的功能,並且主機被保護在防火牆之後共同地使用所謂的「私人網址空間」,定義在RFC 1918。

防火牆的適當的配置要求技巧和智能,它要求管理員對網絡協議和電腦安全有深入的了解,因小差錯可使防火牆不能作為安全工具。

防火牆架構[編輯]

Server-firewall.svg

主機型防火牆[編輯]

此防火牆需有兩張網絡卡,一張與互聯網連接,另一張與內聯網連接,如此互聯網內聯網的通道無法直接接通,所有封包都需要透過主機傳送。

雙閘型防火牆[編輯]

此防火牆除了主機型防火牆的兩張網絡卡外,另安裝應用服務轉送器的軟件,所有網絡封包都須經過此軟件檢查,此軟件將過濾掉不被系統所允許的封包。

屏障單機型防火牆[編輯]

此防火牆的硬件裝置除需要主機外,還需要一個路由器,路由器需具有封包過濾的功能,主機則負責過濾及處理網絡服務要求的封包,當互聯網的封包進入屏障單機型防火牆時,路由器會先檢查此封包是否滿足過濾規則,再將過濾成功的封包,轉送到主機進行網絡服務層的檢查與傳送。

屏障雙閘型防火牆[編輯]

將屏障單機型防火牆的主機換成雙閘型防火牆。

屏障子網域型防火牆[編輯]

此防火牆藉由多台主機與兩個路由器組成,電腦分成兩個區塊,屏障子網域與內聯網,封包經由以下路徑,第一個路由器->屏障子網域->第二路由器->內聯網,此設計因有階段式的過濾功能,因此兩個路由器可以有不同的過濾規則,讓網絡封包更有效率。若一封包通過第一過濾器封包,會先在屏障子網域進行服務處理,若要進行更深入內聯網的服務,則要通過第二路由器過濾。

缺點[編輯]

正常狀況下,所有互聯網的封包軟件都應經過防火牆的過濾,這將造成網絡交通的瓶頸。例如在攻擊性封包出現時,攻擊者會不時寄出封包,讓防火牆疲於過濾封包,而使一些合法封包軟件亦無法正常進出防火牆。

相關條目[編輯]

外部連結[編輯]