文档介绍：防火墙的基本知识
篇一：防火墙基本原理及ACL基本知识
防火墙功能：
内外网络隔离：
a. 截取IP包，根据安全方略控制其进/出
b. 双向网络地址转换（NAT）
c. 基于一次性口令对移动访问进行身份 |
______|________________|__________| 用 |_____|Filter |___Internet
| 网 | |Router |
网点系统 | 关 | |________|
|__________|
路由器和应用网关防火墙范例
防火墙系统可以是路由器，也可以是个人主机、主系统和一批主系统，专门把网
络或子网同那些也许被子网外的主系统滥用的合同和服务隔绝。防火墙系统一般在等
级较高的网关如网点和Internet的连接处，但是防火墙系统可以在级别较低的网关,
以便为某些数量较少的主系统或子网提供保护。
防火墙基本上是一种独立的进程或一组紧密结合的进程，运营于Router or Server
来控制通过防火墙的网络应用程序的通信流量。一般来说，防火墙置于公共网络(如Inter-
-net)人口处。它可以看作是交通警察。它的作用是保证一种单位内的网络和Internet之间
所有的通信均符合该单位的安全方针。这些系统基本上是基于TCP/IP,并和实现措施有关
它能实行安全路障并为管理人员提供对下列问题的答案：
* 谁在使用网络?
* 她们在网上做什么?
* 她们什么时间使用过网络?
* 她们上网时去了何处?
* 谁要上网但没有成功?
（二）采用防火墙的必须性
引入防火墙是由于老式的子网系统会把自身暴露给NFS或NIS等先天不安全的服务，并
受到网络上其他地方的主系统的试探和袭击。在没有Firewall的环境中，网络安全性完
全依托主系统安全性。在一定意义上，所有主系统必需通力协作来实现均匀一致的高档
安全性。子网越大，把所有主系统保持在相似安全性水平上的可管理能力就越小。随着
安全性的失误和失策越来越普遍，闯入时有发生，这不是由于受到多方的袭击，而仅仅
是由于配备错误、口令不合适而导致的。
防火墙能提高主机整体的安全性，因此给站点带来了众多的好处。如下是使用防火墙
的好处：
防火墙可以大大提高网络安全性，并通过过滤天生不安全的服务来减少子网上主系
统所冒的风险。因此，子网网络环境可经受较少的风险，由于只有通过选择的合同才干
通过Firewall。
For example, Firewall 可以严禁某些易受袭击的服务(如NFS)进入或离开受保护
的子网。这样得到的好处是可防护这些服务不会被外部袭击者运用。而同步许可在大大
减少被外部袭击者运用的风险状况下使用这些服务。对局域网特别有用的服务如NIS或
NFS因此可得到公用，并用来减轻主系统管理承当。
防火墙还可以防护基于路由选择的袭击，如源路由选择和企图通过ICMP改向把发送
途径转向遭致损害的网点。防火墙可以排斥所有源点发送的包和ICMP改向，然后把偶发
事件告知管理人员。
防火墙尚有能力控制对网点系统的访问。例如，某些主系统可以由外部网络访问
而其他主系统则能有效地封闭起来，防护有害的访问。除了邮件服务器或信息服务器
等特殊状况外，网点可以避免外部对其主系统的访问。
这就把防火墙特别擅长实行的访问政策置于重要地位：不访问不需要访问的主系
统或服务。当不用访问或不需要访问时，为什么要提供能由袭击者运用的主系统和服务
访问呢？例如，如果顾客几乎不需要通过网络访问她的台式工作站，那么，防火墙就可
实行这一政策。
如果一种子网的所有或大部分需要改动的软件和附加的安全软件能集中地放在
防火墙系统中，而不是分散到每个主机中，这样防火墙的保护就相对集中部分，也相对
便宜一点。特别对于密码口令系统或其他的身份认证软件等等，放在防火墙系统中更是
优于放在每个Internet能访问的机器上。
固然，尚有部分有关网络安全的出来措施，例如Kerberos,涉及了每个主机系统的
改动。也许，在某些特定场合，Kerberos或其他类似的技术比防火墙系统更好部分。但
有一点不容忽视，由于只需在防火墙上运营特定的软件，防火墙系统实现起来要简朴的
多。
、强化私有权
对部分站点而言，私有性是很重要的，由于，某些看