网络信息安全与网络防火墙配置与管理

科技信息　０　ＩＴ论坛０　ＳＣＩＥＮＣＥ＆ＴＥＣＨＮＯＬＯＧＹ　ＩＮＦＯＲＭＡＴＩＯＮ　２０１１年第２７期　网络信息安全　防火墙的应用研究　马鹏翔　（曲阜师范大学计算机科学学院　山东　日照２７６８２６）　【摘要】随着网络技术的飞速发展，信息安全问题越来越受到人们的重视，而防火墙就是一个很好的维护信息安全的工具。文章着重研究　了人们在应用防火墙过程中出现的主观错误以及防火墙本身所存在的客观缺陷。　【关键词】网络；信息安全；防火墙　１网络信息安全　随着计算机技术的飞速发展．信息网络已经成为社会发展的重要　保证。与此同时，网络信息安全问题也随着全球信息化步伐的加快而　变得尤为重要。网络信息安全主要是指信息网络系统的硬件、软件及　其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、　更改、泄露，系统连续可靠正常地运行，网络服务不中断。　２网络信息安全存在的问题　目前．主要存在的信息安全问题有：　２．ｉ信息泄露：信息被泄露或透露给某个非授权的实体。　２．２窃听：用各种可能的合法或非法的手段窃取系统中的信息资源　和敏感信息　２－３特洛伊木马：软件中含有一个觉察不出的或者无害的程序段．当　它被执行时。会破坏用户的安全。这种应用程序称为特洛伊木马　（Ｔｒ０ｊａｎ　Ｈｏｒｓｅ）。　２．４服务的中断：对信息或其他资源的合法访问被无条件地阻止。　２．５计算机病毒：一种在计算机系统运行过程中能够实现传染和侵　害功能的程序　３网络信息安全技术　目前，信息安全技术从无到有．从少到多．并在很大程度上减小了　各种网络威胁带给我们的损失　现在在市场上比较流行．而又能够代　表未来发展方向的安全产品大致有以下几类：　３．１入侵防御系统（ＩＰｓ）：入侵防御，入侵防御系统作为ＩＤＳ很好的补　充．是信息安全发展过程中占据重要位置的计算机网络硬件。　３．２虚拟专用网（ＶＰＮ）：虚拟专用网（ＶＰＮ）是在公共数据网络上，通过　采用数据加密技术和访问控制技术，实现两个或多个可信内部网之间　的互联　ＶＰＮ的构筑通常都要求采用具有加密功能的路由器或防火　墙．以实现数据在公共信道上的可信传递　３．３电子签证机构——ｃＡ和ＰＫＩ产品：电子签证机构（ＣＡ）作为通信　的第三方．为各种服务提供可信任的认证服务。ＣＡ可向用户发行电子　签证证书．为用户提供成员身份验证和密钥管理等功能。ＰＫＩ产品可　以提供更多的功能和更好的服务．将成为所有应用的计算基础结构的　核心部件　３．４入侵检测系统（ＩＤＳ）：入侵检测，作为传统保护机制（比如访问控　制．身份识别等）的有效补充．形成了信息系统中不可或缺的反馈链。　３．５防火墙：防火墙是一种由计算机硬件和软件的组合，使互联网与　内部网之间建立起一个安全网关（ｓｅｃｕｒｉｔｙｇａｔｅｗａｙ）．从而保护内部网免　受非法用户的侵入．它其实就是一个把互联网与内部网（通常指局域　网或城域网）隔开的屏障。它是我们接下来研究的重点。　４防火墙　所谓防火墙指的一个由软件和硬件设备组合而成、在内部网和外　部网之间、专用网与公共网之间的界面上构造的保护屏障．是一种获　取安全性方法的形象说法．它是一种计算机硬件和软件的结合．使　Ｉｎｔｅｍｅｔ与Ｉｎｔｒａｎｅｔ之间建立起一个安全网关．从而保护内部网免受非　法用户的侵入　４．１防火墙功能　防火墙应该具有以下功能：　４．１．１作为网络安全的屏障　一个防火墙能极大地提高一个内部网络的安全性．并通过过滤不　安全的服务而降低风险　４．１．２可以强化网络安全策略　通过以防火墙为中心的安全方案配置．能将所有安全软件（如Ｅｌ　令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散　到各个主机上相比，防火墙的集中安全管理更经济。　４．１－３对网络存取和访问进行监控审计　如果所有的访问都经过防火墙．那么．防火墙就能记录下这些访　问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生　可疑动作时．防火墙能进行适当的报警．并提供网络是否受到监测和　攻击的详细信息。　４．１．４防止内部信息的外泄　通过利用防火墙对内部网络的划分．可实现内部网重点网段的隔　离．从而限制了局部重点或敏感网络安全问题对全局网络造成的影　响。　４．１．５防火墙是一个安全策略的检查站　所有进出的信息都必须通过防火墙．防火墙便成为安全问题的检　查点，使可疑的访问被拒绝于门外。　４．２防火墙在使用中存在的问题及解决方法　这里我们将防火墙缺点分为两类．分别为人们在应用过程中出现　的主观失误和防火墙本身存在的缺陷　４．２．１主观失误　人为失误从某种情况下来说大部分都是可以避免的．但许多公司　或个人或是由于资金或是由于重视程度的不够．以至于给病毒或黑客　等留下了入侵的机会。以下是几种典型的主观失误情况：　（１）对防火墙信赖过度　（２）配置或策略应用不合理　ｆ３）管理松懈　ｆ４）更新不及时　４．２．２客观缺陷　ｆ１）防火墙自身存在漏洞　就目前而言．无论是硬件还是软件防火墙的生产者都不能保证自　己的产品不存在漏洞　有些漏洞可能会使攻击者绕过防火墙进而入侵　内部网络．因此要求管理者要及时对防火墙进行完善升级．以减小外　界对这些漏洞的利用机会　（２）限制某些服务　众所周之．防火墙功能的发挥靠的是控制端口可开放与关闭．而　防火墙要充分展现其功能就要尽可能多的关闭端口．以减小外界入侵　风险。　（３）无法阻止内部攻击或信息窃取　防火墙处于网络边界．可设置为即防内又防外．但多数企业由于　不方便而采取只防内不防外的策略　这时若是有内部人员对防火墙或　内部网络发起攻击，防火墙便束手无策。这就要求企业尽可能的采取　分布式防火墙．即对内部网络的每台主机安装个人防火墙以阻止内部　发起的恶意攻击　（４）无法阻止病毒传人　当内部用户从外网上下载带病毒的文件时．防火墙无法阻止受病　毒感染的文件进行传输。防火墙本身并没有杀毒功能，意味着管理者　不能仅靠防火墙来保护内网的安全，而要采用防火墙．杀毒软件，入侵　检测等一系列措施来维护信息安全。　ｆ５）无法阻止硬破坏　防火墙不能防止人为或自然的破坏．防火墙是一个安全设备．但　防火墙必须被放置在一个安全的地方。　。　（下转第８４页）

２００６年３月　第７卷第１期总第２５期　太原大学学报　

Ｊｏｕｍａ］Ｏｆ　Ｔａｉｙｕａｎ　Ｕｎｉｖｅｒｓｉｔｙ　Ｖｏ１．７Ｎｏ．１　Ｓｕｎ，Ｎｏ．２５　

文章编号：１６７１—５９７７（２００６）０１—００６６—０３　

基于中小企业网络安全的防火墙配置策略　

李彦军　屠全良２　郝梦岩。　

（１．３．中北大学计算机科学与技术系，山西太原０３００５１；２．太原大学，山西太原０３０００９）　

摘要：防火墙是计算机与它所连接的网络之间的一个软件，所有进、出该计算机的信息均要通过它，它可　

以对数据进行过滤。因此，防火墙在网络安全中显得十分重要。防火墙根据防范的方式和侧重点可分为数据　包过滤型防火墙、应用级网关型防火墙、代理月良务型防火墙和复合型防火墙。目前市场上防火墙产品的品种　很多，中小企业需要从需求、安全、成本、易使用、易维护等配置原则出发进行选择。　

关键词：防火墙；中小企业；网络安全　中图分类号：ＴＰ３０９　文献标识码：Ａ　

防火墙概述　防火墙就是一个位于计算机和它所连接的网络之间　

的软件，所有进入该计算机的信息与该计算机发送的信　

息均要通过它。防火墙的系统结构如（图１）所示。防火　墙可以对所有进、出网络的数据进行过滤，从而有效的阻　

止恶意入侵者对你的计算机系统进行攻击；可以对进、出　网络的访问行为进行管理；可以对互联网的某些业务进　行封堵，如禁止对不良网站的访问；可以对通过防火墙的　

信息内容和活动记录；可以对网络攻击进行检测和破坏　

报警；可以关闭不使用的端口，并通过禁止从特定的端口　流出信息来封锁特洛伊木马。　

图１　

防火墙技术根据防范的方式和侧重点可分为数据包　

过滤型防火墙、应用级网关型防火墙、代理服务型防火墙　

和复合型防火墙。数据包过滤型防火墙又可分为数据包　

过滤和分组过滤或包过滤。数据包过滤（Ｐａｃｋｅｔ　Ｆｉｌｔｅｒ—　

ｉｎｇ）技术是在网络层对数据包进行选择，其依据是系统内　

设置的过滤逻辑，被称为访问控制表（Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　

第二章 防火安全墙技术实验

配置防火墙链路负载

【实验名称】 配置防火墙链路负载

【实验目的】 利用防火墙实现双链路负载分担

【背景描述】

某公司原先使用一条广域网链路连接到Internet。随着公司员工的增加，原先的Internet链路已经不能满足业务需求，因此公司又向ISP申请了一条Internet线路。为了合理地利用

带宽，避免带宽资源的浪费，公司希望在两个Internet链路上进行流量的负载分担。

【需求分析】

为了使流量能够在两条链路上进行负载分担，可以使用防火墙提供的策略路由功能。

【实验拓扑】

【实验设备】

两个防火墙连接Internet的链路 防火墙 1台 PC 1台

【预备知识】 网络基础知识

95网络安全实验教程

防火墙工作原理

【实验原理】 防火墙的策略路由功能可以实现路由的负载均衡，即到达同一目的地的报文可以指定多

个下一跳地址。

【实验步骤】

第一步：配置防火墙接口的IP地址 进入防火墙的配置页面：网络配置—>接口IP，单击按钮为接口添加IP地址。

为防火墙的LAN接口配置IP地址及子网掩码。

为防火墙的WAN接口配置IP地址及子网掩码。

为防火墙的WAN1接口配置IP地址及子网掩码。

96第二章 防火安全墙技术实验

第二步：配置NAT规则 进入防火墙配置页面：安全策略->安全规则，单击页面上方的按钮添加NAT

规则。

在NAT规则中，我们将“源地址转换为”设置为“by_route”，这表明防火墙将根据路由表来确定转换后的地址。

第三步：配置策略路由 进入防火墙配置页面：网络配置->策略路由，点击按钮配置路由。在策略路由

配置框中，选择“路由负载均衡”选项，这样我们可以为到达同一个目的地网络添加多个下

一跳地址。

97网络安全实验教程

配置到达Internet的默认路由0.0.0.0/0，并将下一跳设置为两个ISP的地址，权重都

配置为1，这样流量将在两条链路上进行平分。

【注意事项】 防火墙的负载均衡为按照目的地址进行负载，即到达地址A的报文走第一条链路，并

网络安全防护设备配置与管理

随着互联网的快速发展，网络安全问题日益凸显。为了保护企业的网络和数据安全，网络安全防护设备的配置与管理变得尤为重要。本文将介绍网络安全防护设备的常见类型及其配置与管理的方法。

一、网络安全防护设备的类型

1. 防火墙（Firewall）

防火墙是网络安全的第一道防线，它能够对网络流量进行过滤，防止不合法的访问和攻击。常见的防火墙有软件防火墙和硬件防火墙，根据实际情况选择适合的类型。

2. 入侵检测与防御系统（Intrusion Detection and Prevention System，简称IDPS）

IDPS能够监控网络流量，检测并阻止恶意入侵行为。它可以根据已知的攻击特征和行为规律，及时发现网络攻击并采取相应的防御措施。

3. 虚拟专用网（Virtual Private Network，简称VPN）

VPN能够在公共网络上建立起一条安全的通信线路，加密传输数据，确保数据在传输过程中不被窃取和修改。通过配置VPN，企业可以实现远程办公和跨地域网络连接的安全性。

4. 权限管理系统（Access Control System） 权限管理系统主要用于控制用户对网络资源的访问权限。通过合理配置权限管理系统，可以防止未经授权的用户获取敏感数据和系统权限，提高网络安全性。

二、网络安全防护设备的配置

1. 制定安全策略

在开始配置网络安全防护设备之前，企业应该制定一套完整的安全策略。安全策略应包括网络访问控制、敏感数据保护、网络流量监控等内容，以确保网络安全防护设备的配置能够满足实际需求。

2. 选择合适的设备

根据企业的规模和需求，选择合适的网络安全防护设备。考虑设备的性能、扩展性以及与其他设备的兼容性，确保设备能够满足未来的发展需求。

3. 设定网络拓扑结构

根据企业的网络架构和部署需求，设计合理的网络拓扑结构。将网络安全防护设备按照所需功能进行划分，例如将防火墙放置在内部网络与外部网络之间进行流量过滤和监控。