Netcontinuum应用防火墙介绍

Netguard防火墙功能说明Netguard防火墙是基于优秀的免费操作系统Linux的包过滤型防火墙，具备基于IP地址的数据包过滤、流量记帐、地址翻译等功能并且为用户提供了方便的Web管理界面，在中小企业中有着广泛的应用前景。

下面对Netguard防火墙的以上几个功能和特点分别予以介绍：一、数据包过滤功能Netguard是基于包过滤的防火墙，安装在内部网络和外部网络的连结点上。

该防火墙工作在OSI七层网络模型的第三层——网络层上，可按照事先制定好的网络安全策略对所有流进和流出的IP包进行选择过滤，允许或拒绝特定的报文通过。

过滤是基于一个IP分组的有关数据域（IP源地址、IP目的地址、TCP/UDP源端口或服务类型和TCP/UDP目的端口或服务类型）进行的。

基于IP源/目的地址的过滤，即根据特定组织机构的网络安全策略，过滤掉具有特定特征的IP分组，从而达到保护内部网络的目的；另一方面也可以控制内部网络用户对外部网络资源的访问。

基于TCP/UDP源/目的端口的过滤，因为端口号区分了不同的服务类型或连接类型（如SMTP使用端口25，Telnet使用端口23等），所以为包过滤提供了更大的灵活性。

同时由于它是位于协议的网络层，所以效率较高。

和应用层防火墙相比基于IP数据包过滤的网络层防火墙配置更容易、性能价格比更高，因而拥有更广阔的市场前景。

Netguard防火墙能够针对中小型网络，提供较为完善的IP数据包过滤机制：1、对内部IP地址或地址段的数据包进行有针对性的过滤；开放或者关闭某些网络服务2、屏蔽外部某些可疑的或危险的站点对内部网络的访问3、屏蔽内部网络对一些有敏感或不健康内容的站点的访问二、流量记帐功能随着网络的不断普及，越来越多的单位和部门不断地加入到联网的行列中来。

在一个单位内部，一般都针对不同的IP地址实际产生的网络流量来进行记帐收费，这样可以做到比较的公平合理。

Netguard防火墙具有比较完善的流量记帐功能。

•防火墙工作原理及应用当网络涉及不同的信任级别时（例如内部网、Internet或者网络划分），要保证安全必须安装控制设备。

此类控制设备几乎总是某种形式的防火墙。

4.1 防火墙概念与分类网络防火墙是隔离内部网与Internet之间的一道防御系统，这里有一个门，允许人们在内部网和开放的Internet之间通信。

访问者必须首先穿越防火墙的安全防线，才能接触目标计算机，网络防火墙如图4.1所示。

4.1.1 防火墙简介在没有防火墙时，局域网内部的每个节点都暴露给Internet上的其它主机，此时内部网的安全性要由每个节点的坚固程度来决定，且安全性等同于其中最薄弱的节点。

使用防火墙后，防火墙会将内部网的安全性统一到它自身，网络安全性在防火墙系统上得到加固，而不是分布在内部网的所有节点上。

防火墙把内部网与Internet隔离，仅让安全、核准了的信息进入，而阻止对内部网构成威胁的数据，它防止黑客更改、拷贝、毁坏重要信息；同时又不会妨碍人们对Internet的访问。

防火墙的工作原理防火墙的基本功能作为一个中心“遏制点”，将内部网的安全管理集中起来，所有的通信都经过防火墙；只放行经过授权的网络流量，屏蔽非法请求，防止越权访问,并产生安全报警；能经受得起对其自身的攻击。

防火墙能为管理人员提供对下列问题的答案：•什么人在使用网络?•他们什么时间，使用了什么网络资源?•他们连接了什么站点?•他们在网上做什么?•谁要上网,但是没有成功?防火墙工作在OSI参考模型上防火墙的发展史第一代防火墙技术由附加在边界路由器上的访问控制表ACL (Access Control Table)构成，采用了包过滤技术。

第二代代理防火墙即电路层网关和应用层网关。

1994年，以色列的Check Point公司开发出了第一个基于动态包过滤技术的防火墙产品。

1998年，美国的网络联盟公司NAI (Network Associates Inc.)又推出了一种自适应代理技术。

代理服务器的原理是： 根据安全规则决定是否允许这个连接，如果允许的话，代理服 务器就代替客户机向外部网络服务器发出请求；然后代理服务器接 受外部网络服务器发过来的数据包，根据安全规则决定是否丢弃这 个数据包，如果接受了数据包，就把它转发给一开始发起请求的那 个客户机。
代理服务器的应用具体包括以下内容： 过滤与工作无关的站点内容，从而提高工作效率；对可能携带 病毒的Web页面进行扫描和剥离；全面禁止使用Web邮件或允 许使用Web邮件但禁止收发附件；聊天工具是传播蠕虫病毒和 混合威胁的理想平台，其可以记录聊天内容、跟踪聊天关键字、 禁止收发文件或通过语音、视频聊天；对点对点文件共享应用 （P2P）进行屏蔽，屏蔽P2P应用。 ②自适应代理(Adaptive proxy)型防火墙 1.原理： 自适应代理防火墙，初始安全检测仍在应用层进行，但在 安全检测结束后，可以通过网络层重新发送数据包。如下图所 示：
（二）防火墙(FΒιβλιοθήκη rewall)技术 实现防火墙的主要技术有：包过滤技术, 应用代理技术和状态 检测技术等。 包过滤(Packet Filter)技术 包过滤防火墙是最早的防火墙技术，是防火墙所要实现的 最基本功能。包过滤技术也称作分组过滤技术。 1，工作原理：在网络层中对数据包实施有选择的通过。 它根据数据包头源地址，目的地址、端口号和协议类型等标志 确定是否允许通过。只有满足过滤条件的数据包才被转发到相 应的目的地，其余数据包则被从数据流中丢弃，如图2所示。
2．包过滤技术的特点： （1）优点：它对用户来说是简单、方便、透明性好，处理 速度快且易于维护，较高的网络性能，通常作为第一道防线。 比如，当你用netscape浏览Dilbert文档时，在它的页面上会出现 来自的烦人广告，让包过滤禁止任何来自 的包就可以解决问题了。 （2）缺点： ① 不能防范黑客攻击。对于黑客来说，只需将源 IP 包改 成合法 IP 即可轻松通过包过滤防火墙，进入内网后，任何一 个初级水平的黑客都能进行 IP 地址欺骗。 ② 不支持应用层协议。假如内网用户提出只允许内网访 问外网的网页（使用 HTTP 协议），不允许去外网下载电影 （一般使用 FTP 协议），而FTP 协议属于应用层。这都因包过 滤防火墙不认识数据包中的应用层协议，访问控制粒度太粗糙 而造成的。

基于目的端口 基于时间 基于用户 基于流量 基于文件 基于网址 基于MAC地址
Host C Host D 1010010101
规则编号 1 2 3 4 5 6 7 8 源地址 源端口 Any Any Any Any Any Any Any Any 目的地址 Any 目标端口 Any Any Any 53 25 110 80 Any 动作 拒绝 拒绝 允许 允许 允许 允许 允许 拒绝
192.168.1.1
Any
192.168.1.1
防火墙体系结构

包过滤型防火墙 双宿网关防火墙 屏蔽主机防火墙



屏蔽子网防火墙
包过滤型防火墙

用一台过滤路由器来实现对所接收的每个数据包做 允许拒绝的决定 过滤规则基于IP包头信息
包头信息中包括IP源地址、IP目标端地址、内装协议 （TCP,UDP,ICMP或IP Tunnel）、TCP/UDP目标端口、 ICMP消息类型以及TCP包头中的ACK位 包的进入接口和出接口如果有匹配，并且规则允许该数 据包通过，该数据包会按照路由表转发 如果匹配规则拒绝，则该数据包就会被丢弃 如果没有匹配规则，用户配置的缺省参数会决定是转发 还是丢弃数据包




访问控制功能 身份认证功能 审计功能 带宽管理 IP与MAC（用户）绑定 端口映射 NAT
访问控制功能
基于源IP地址
基于目的IP地址 基于源端口
Access list 192.168.1.3 to 202.2.33.2
Access nat 192.168.3.0 to any pass Access 202.1.2.3 to 192.168.1.3 block Access default pass 规则匹配成功