-什么是防火墙是基于应用层的防火墙

"什么是防火墙是基于应用层的防火墙

       随着科技的发展，"什么是防火墙是基于应用层的防火墙的今日更新也在不断地推陈出新。今天，我将为大家详细介绍它的今日更新，让我们一起了解它的最新技术。

1.什么叫防火墙?

2.何谓防火墙

3.简述防火墙的概念和功能

什么叫防火墙?

       防火墙（Firewall），也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）。它是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。

       1.什么是防火墙

       XP系统相比于以往的Windows系统新增了许多的网络功能（Windows 7的防火墙一样很强大，可以很方便地定义过滤掉数据包），例如Internet连接防火墙（ICF），它就是用一段"代码墙"把电脑和Internet分隔开，时刻检查出入防火墙的所有数据包，决定拦截或是放行那些数据包。防火墙可以是一种硬件、固件或者软件，例如专用防火墙设备就是硬件形式的防火墙，包过滤路由器是嵌有防火墙固件的路由器，而代理服务器等软件就是软件形式的防火墙。

       2.ICF工作原理

       ICF被视为状态防火墙，状态防火墙可监视通过其路径的所有通讯，并且检查所处理的每个消息的源和目标地址。为了防止来自连接公用端的未经请求的通信进入专用端，ICF保留了所有源自ICF计算机的通讯表。在单独的计算机中，ICF将跟踪源自该计算机的通信。与ICS一起使用时，ICF将跟踪所有源自ICF/ICS计算机的通信和所有源自专用网络计算机的通信。所有Internet传入通信都会针对于该表中的各项进行比较。只有当表中有匹配项时（这说明通讯交换是从计算机或专用网络内部开始的），才允许将传入Internet通信传送给网络中的计算机。

       源自外部源ICF计算机的通讯（如Internet）将被防火墙阻止，除非在“服务”选项卡上设置允许该通讯通过。ICF不会向你发送活动通知，而是静态地阻止未经请求的通讯，防止像端口扫描这样的常见黑客袭击。

       3.防火墙的种类

       防火墙从诞生开始，已经历了四个发展阶段：基于路由器的防火墙、用户化的防火墙工具套、建立在通用操作系统上的防火墙、具有安全操作系统的防火墙。常见的防火墙属于具有安全操作系统的防火墙，例如NETEYE、NETSCREEN、TALENTIT等。从结构上来分，防火墙有两种：即代理主机结构和路由器+过滤器结构从原理上来分，防火墙则可以分成4种类型：特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关。安全性能高的防火墙系统都是组合运用多种类型防火墙，构筑多道防火墙“防御工事”。

何谓防火墙

       火墙定义

       防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的很少只有国防部等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。

       防火墙的功能

       防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。

       为什么使用防火墙

       防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

       防火墙的类型

       防火墙有不同类型。一个防火墙可以是硬件自身的一部分，你可以将因特网连接和计算机都插入其中。防火墙也可以在一个独立的机器上运行，该机器作为它背后网络中所有计算机的代理和防火墙。最后，直接连在因特网的机器可以使用个人防火墙。

       防火墙的概念

       当然，既然打算由浅入深的来了解，就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦著火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。再电脑术语中，当然就不是这个意思了，我们可以类比来理解，在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

       防火墙的功能

       防火墙是网络安全的屏障：

       一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

       防火墙可以强化网络安全策略：

       通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。

       对网络存取和访问进行监控审计：

       如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。

       防止内部信息的外泄：

       通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。

       除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系***（虚拟专用网）。

       防火墙的英文名为“FireWall”，它是目前一种最重要的网络防护设备。从专业角度讲，防火墙是位于两个(或多个)网络间，实施网络之间访问控制的一组组件集合。

       防火墙在网络中经常是以下图所示的两种图标出现的。左边那个图标非常形象，真正像一堵墙一样。而右边那个图标则是从防火墙的过滤机制来形象化的，在图标中有一个二极管图标。而二极管我们知道，它具有单向导电性，这样也就形象地说明了防火墙具有单向导通性。这看起来与现在防火墙过滤机制有些矛盾，不过它却完全体现了防火墙初期的设计思想，同时也在相当大程度上体现了当前防火墙的过滤机制。因为防火最初的设计思想是对内部网络总是信任的，而对外部网络却总是不信任的，所以最初的防火墙是只对外部进来的通信进行过滤，而对内部网络用户发出的通信不作限制。当然目前的防火墙在过滤机制上有所改变，不仅对外部网络发出的通信连接要进行过滤，对内部网络用户发出的部分连接请求和数据包同样需要过滤，但防火墙仍只对符合安全策略的通信通过，也可以说具有“单向导通”性。

       防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称之为“防火墙”。其实与防火墙一起起作用的就是“门”。如果没有门，各房间的人如何沟通呢，这些房间的人又如何进去呢？当火灾发生时，这些人又如何逃离现场呢？这个门就相当于我们这里所讲的防火墙的“安全策略”，所以在此我们所说的防火墙实际并不是一堵实心墙，而是带有一些小孔的墙。这些小孔就是用来留给那些允许进行的通信，在这些小孔中安装了过滤机制，也就是上面所介绍的“单向导通性”。

       我们通常所说的网络防火墙是借鉴了古代真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火可以使企业内部局域网（LAN）网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。典型的防火墙具有以下三个方面的基本特性：

       （一）内部网络和外部网络之间的所有网络数据流都必须经过防火墙

       这是防火墙所处网络位置特性，同时也是一个前提。因为只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业网部网络不受侵害。

       根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。所谓网络边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。

       典型的防火墙体系网络结构如下图所示。从图中可以看出，防火墙的一端连接企事业单位内部的局域网，而另一端则连接着互联网。所有的内、外部网络之间的通信都要经过防火墙。

       （二）只有符合安全策略的数据流才能通过防火墙

       防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速的从一条链路转发到另外的链路上去。从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址。防火墙将网络上的流量通过相应的网络接口接收上来，按照OSI协议栈的七层结构顺序上传，在适当的协议层进行访问规则和安全审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断。因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备，它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作。如下图：

       （三）防火墙自身应具有非常强的抗攻击免疫力

       这是防火墙之所以能担当企业内部网络安全防护重任的先决条件。防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵本领。它之所以具有这么强的本领防火墙操作系统本身是关键，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性。其次就是防火墙自身具有非常低的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行。当然这些安全性也只能说是相对的。

       目前国内的防火墙几乎被国外的品牌占据了一半的市场，国外品牌的优势主要是在技术和知名度上比国内产品高。而国内防火墙厂商对国内用户了解更加透彻，价格上也更具有优势。防火墙产品中，国外主流厂商为思科（Cisco）、CheckPoint、NetScreen等，国内主流厂商为东软、天融信、联想、方正等，它们都提供不同级别的防火墙产品。来自:引用

简述防火墙的概念和功能

       分类: 电脑/网络 >> 反病毒

        解析:

        通俗点就是当程序访问你的机子或你的程序访问网络的时候他回提醒你的东东

        专业点就是一、防火墙的概念

        1. 最初含义：当房屋还处于木制结构的时侯，人们将石块堆砌在房屋周围用来防止火灾的发生。这种墙被称之为防火墙 。

        2. Rich Kosinski(Inter Security公司总裁）：

       防火墙是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问。换句话说，防火墙是一道门槛，控制进/出两个方向的通信。

        3. William Cheswick和Steve Beilovin（1994）：

        防火墙是放置在两个网络之间的一组组件，这组组件共同具有下列性质：

        （1）只允许本地安全策略授权的通信信息通过；

        （2）双向通信信息必须通过防火墙；

        （3）防火墙本身不会影响信息的流通。

        4. 防火墙是位于两个信任程度不同的网络之间（如企业内部网络和Inter之间）的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。

        注意：防火墙主要用于保护安全网络免受不安全网络的侵害。

        典型情况：安全网络为企业内部网络，不安全网络为因特网。

        但防火墙不只用于因特网，也可用于Intra各部门网络之间。（内部防火墙）。E.g.：财务部与市场部之间。

        5. 在逻辑上，防火墙是分离器，限制器，也是一个分析器，有效地监控了内部网和外部网之间的任何活动，保证了内部网络的安全。

        在物理上，防火墙通常是一组硬件设备——路由器、主计算机，或者是路由器、计算机和配有软件的网络的组合。

        防火墙一般可分为多个部分，某些部分除了执行防火墙功能外还执行其它功能。E.g.：加密和解密——***。

        6. 防火墙的实质是一对矛盾（或称机制）：限制数据流通，允许数据流通。

        两种极端的表现形式：除了非允许不可的都被禁止，安全但不好用。（限制政策）；除了非禁止不可的都被允许，好用但不安全。（宽松政策）

        多数防火墙都在两种之间采取折衷。

        在一个没有防火墙环境中，网络安全完全依赖于主机安全，并且在某种意义上所有主机都必须协同达到一个统一的高安全标准。基于主机的安全伸缩性不好：当一个站点上主机的数量增加时，确定每台主机处于高安全级别之上，势必会使性能下降。如果某个网络软件的薄弱点被发现，没有防火墙保护的站点必须尽可能快地更正每个暴露的系统，这并不现实，特别是在一些不同版本的操作系统正被使用时。

        二、防火墙的作用

        1. 网络安全的第一道防线（防盗门、战壕、交通警察、门卫）

        2. 防火墙是阻塞点，可强迫所有进出信息都通过这个唯一狭窄的检查点，便于集中实施安全策略。

        3. 防火墙可以实行强制的网络安全策略，E.g.：禁止不安全的协议NFS，禁止finger 。

        4. 对网络存取和访问进行监控审计。E.g.:网络使用和滥用的记录统计。

        5. 使用内部防火墙可以防止一个网段的问题传播到另一个网段。

        三、防火墙体系结构

        1. 基本原理

        （1）防火墙是网络之间的一种特殊的访问控制设施，放置在网络的边界上，用于隔离Inter的一部分，限制其与Inter其他部分之间数据的自由流动，在不可靠的互连网络中建立一个可靠的子网。

        （2）安全域：一个计算机子网中具有相同安全政策的计算机的 *** 。

        （3）过滤器：本地安全政策的具体体现，对穿越的流量实施控制以阻止某一类别的流量。

        2. 防火墙分类

        （1）IP级防火墙，又称报文过滤防火墙。

        原理：在路由软件中根据报文的信源、信宿及服务类型来实现报文过滤功能。

        特点：网络性能好，透明、方便；不能针对特定用户和特定请求，粒度不够。

        （2）应用级防火墙，又称代理防火墙。

        原理：双穴主机隔离内外直接连接，为两端代理服务请求。

        特点：不存在直接报文交换，安全性好，粒度精确完备；但效率低，只能针对专门服务，有局限性。

        （3）链路级防火墙

        原理：双穴主机提供通用的TCP/UDP连接中继服务。

        3. 防火墙的使用

        （1）一般原则

        1）防火墙的使用是以额外的软硬件设备和系统性能的下降为代价的。

        2）防火墙的设置取决于对网络的安全防卫要求和所能承受的经济能力，以及系统被攻破之后可能产生的后果的严重性。

        3）防火墙适用于保护内部主机安全管理不太严格的大型组织机构。

        （2）防火墙的使用形式

        1）路由器过滤方式防火墙

        在内部网与外部网的关键路径上设置一台带有报文过滤功能的路由器，通过设置过滤规则准确完备地表达本地网络的安全政策。

        2）双穴信关方式防火墙

        双穴主机使用两个接口分别连接内部和外部网络，并隔离两个网络之间的直接IP报文交换。分为代理服务和用户直接登录两种访问控制方式。

        3）主机过滤方式防火墙

        提供安全保护的堡垒主机仅与内部网相连，通过过滤路由器连接内部网和外部网，外部网只能访问堡垒主机。更具安全性和可操作性。

        4）子网过滤方式防火墙：DMZ方式（非军事区方式）

        在主机过滤的基础上增加子网过滤，用过滤子网隔离堡垒主机与内部网，减轻攻击者入侵堡垒主机后对内部网的冲击。

        5）内部防火墙

        用于大型网络内部子网分隔，以阻止访问控制中信赖关系的传递转移。

        （3）使用防火墙的问题

        1）灵活性差，不能满足网络互连的复杂形式。

        2）防火墙重点防卫网络传输，不保证高层协议的安全。

        3）防火墙必须设置在路由的关键点，且安全域内不能存在备份的迂回路由。

        4. 防火墙的管理

        （1）防火墙日志：用于安全追踪。

        （2）备份：防火墙系统的所有配置文件和系统文件。

        四、IP级防火墙

        1. 工作原理

        （1）多端 *** 换设备，根据报文报头执行过滤规则来进行报文转发。

        （2）传输控制表

        1）定义过滤规则，报文依次运用每一条规则直至匹配的规则，然后执行对应的操作。

        2）传输控制表的建立：安全政策→形式化描述→防火墙软件语法格式

        3）制定过滤规则：规则之间并不互斥，长前缀匹配优先。

        4）不同的IP级防火墙产品有不同的传输控制表格式。

        2. 报文过滤规则

        （1）SMTP处理：服务器端口25，客户机端口>1023

        （2）POP处理：服务器端口110，客户机端口>1023

        （3）HTTP处理：服务器端口80，客户机端口>1023

        （4）FTP处理：服务器控制连接端口21，数据连接端口20，客户机端口>1023

        （5）Tel处理：服务器端口23，客户机端口>1023

        （6）DNS处理：服务器端口53，客户机端口>1023

        （7）RPC处理：端口映射服务器111，不提倡在不安全环境中提供RPC服务

        （8）UDP处理：很难控制和验证，通过应用级防火墙拒绝UDP报文

        （9）ICMP处理：容易遭受DOS攻击，ICMP过滤范围取决于网络的管理域

        （10）路由处理：应阻止内部路由信息出去，同时阻止外部路由信息进来

        （11）IP分段报文处理：取决于网络的安全要求，必要时应设置上下文

        （12）IP隧道：由于开销过大，一般IP级防火墙不对IP隧道进行过滤

        3. 内部路由与防火墙的混合结构

        内部网使用一个路由器同时处理内部路由和外部防火墙功能，此时防火墙的定义要针对路由器的端口进行，需要路由器各端口的路由表配合。

        4. IP防火墙的政策控制

        （1）鉴别：验证用户的标识

        （2）授权：判定用户是否有权访问所申请的资源。

        5. 源点鉴别

        （1）目的：防止盗用资源和服务失效攻击

        （2）验证形式：抽样检查

        1）对报文流当场进行抽样检查

        2）一边转发，一边抽样进行后台检查

        3）将样本记入日志，事后进行审计

        （3）鉴别方法：过滤标准，临时口令，报文摘录，报文签名

        6. IP级防火墙技术评价

        （1）优点（P191）

        （2）目前存在的问题（P192）

        五、应用级防火墙

        1. 基本原理

        （1）在堡垒主机中使用应用代理服务器控制内部网络与外部网络的报文交换。

        （2）优点

        1）对特定的应用服务在内部网络内外的使用实施有效控制，具有很强的针对性和专用性。

        2）内部网络中的用户名被防火墙中的名字取代，增加了攻击者寻找攻击对象的难度。

        3）可以对过往操作进行检查和控制，禁止了不安全的行为。

        4）提供报文过滤功能，还能实现对传输时间、带宽等进行控制的方法。

        （3）缺点

        1）通用性较差，需要为每个应用协议配置不同的代理服务器。

        2）需要对正常的客户软件进行相应的调整或修改。

        3）新服务的出现和对应代理的出现存在较大延迟，成为新的不安全因素。

        （4）设计原则（P193）

        1）不允许内部网络与外界直接的IP交互，要有边界防火墙。

        2）允许内部用户发起向外的FTP和Email，但可以通过代理进行审计。

        3）外部网络用户是不可信任的，要有鉴别功能。

        4）内部用户所使用的涉及外部网络的服务应该是可控制的。

        5）防火墙的功能是针对外部网络访问的。

       防火墙是指一种将内部网和公众访问网分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。

       功能：入侵检测功能；以实现集中化的安全管理，将安全系统装配在防火墙上，在信息访问的途径中就可以实现对网络信息安全的监管；有效对系统管理的所有操作以及安全信息进行记录，提供有关网络使用情况的统计数据，方便计算机网络管理以进行信息追踪；网络地址转换功能。

扩展资料：

       分类

       1、过滤型防火墙

       在网络层与传输层中，可以基于数据源头的地址以及协议类型等标志特征进行分析，确定是否可以通过。在符合防火墙规定标准之下，满足安全性能以及类型才可以进行信息的传递，而一些不安全的因素则会被防火墙过滤、阻挡。

       2、应用代理型防火墙

       主要的工作范围就是在OIS的最高层，位于应用层之上。其主要的特征是可以完全隔离网络通信流，通过特定的代理程序就可以实现对应用层的监督与控制。

       3、复合型防火墙

       综合了包过滤防火墙技术以及应用代理防火墙技术的优点，同时摒弃了两种防火墙的原有缺点，大大提高了防火墙技术在应用实践中的灵活性和安全性。

       百度百科-防火墙

       好了，今天关于“"什么是防火墙是基于应用层的防火墙”的话题就讲到这里了。希望大家能够通过我的介绍对“"什么是防火墙是基于应用层的防火墙”有更全面的认识，并且能够在今后的实践中更好地运用所学知识。如果您有任何问题或需要进一步的信息，请随时告诉我。