第1章 無線通信網(wǎng)概述103

無線網(wǎng)絡(luò)技術(shù)1參考資料推薦參考書21.7網(wǎng)絡(luò)互聯(lián)1.7.3無線網(wǎng)絡(luò)互聯(lián)(1)無線中繼(WirelessRepeater)高端商用AP大多支持中繼模式。使用這種模式時，一個接入有線局域網(wǎng)的AP

作為中心AP，根據(jù)需要可采用“AP模式”，而充當(dāng)中繼器的AP不接入有線網(wǎng)絡(luò)，只接電源，使用“中繼模式”(作為Repeater)，并填入遠(yuǎn)程AP

的MAC

地址(RemoteAPMAC)。中繼AP

與中心AP

之間進(jìn)行橋接，同時也可提供自身信號覆蓋范圍內(nèi)的客戶端接入，從而延伸覆蓋范圍。中繼模式使無線覆蓋變得更容易和靈活，但需要高檔AP

的支持。另一方面，如果中心AP

出了問題，則整個WLAN將癱瘓，冗余性無法保障。31.7網(wǎng)絡(luò)互聯(lián)

(2)網(wǎng)橋網(wǎng)橋?qū)蓚€相似的網(wǎng)絡(luò)連接起來，并對網(wǎng)絡(luò)數(shù)據(jù)的流通進(jìn)行管理。它作于數(shù)據(jù)鏈路層，不但能擴(kuò)展網(wǎng)絡(luò)的距離或范圍，而且可提高網(wǎng)絡(luò)的性能、可靠性和安全性。網(wǎng)絡(luò)1和網(wǎng)絡(luò)2通過網(wǎng)橋連接后，網(wǎng)橋接收網(wǎng)絡(luò)1發(fā)送的數(shù)據(jù)包，檢查數(shù)據(jù)包中的地址，如果地址屬于網(wǎng)絡(luò)1，它就將其放棄，相反，如果是網(wǎng)絡(luò)2的地址，它就繼續(xù)發(fā)送給網(wǎng)絡(luò)2.這樣可利用網(wǎng)橋隔離信息，將同一個網(wǎng)絡(luò)號劃分成多個網(wǎng)段（屬于同一個網(wǎng)絡(luò)號），隔離出安全網(wǎng)段，防止其他網(wǎng)段內(nèi)的用戶非法訪問。由于網(wǎng)絡(luò)的分段，各網(wǎng)段相對獨(dú)立（屬于同一個網(wǎng)絡(luò)號），一個網(wǎng)段的故障不會影響到另一個網(wǎng)段的運(yùn)行。41.7網(wǎng)絡(luò)互聯(lián)51.7網(wǎng)絡(luò)互聯(lián)(3)無線網(wǎng)橋(WBridgeP2P)距離較遠(yuǎn)的兩個點(diǎn)可以使用加設(shè)定向天線的方式實現(xiàn)長距離的信號傳輸?？梢岳眠@種點(diǎn)對點(diǎn)橋接模式實現(xiàn)網(wǎng)絡(luò)互聯(lián)。例如，兩棟建筑物內(nèi)各有一個局域網(wǎng)：LAN1和LAN2，兩個

AP：AP-

A和AP-B使用點(diǎn)對點(diǎn)橋接模式相連。兩個AP

都各自連入本地LAN的交換機(jī)中，此時這兩個AP起到無線網(wǎng)橋的作用。兩個

AP均設(shè)置在“橋接模式”，并在“遠(yuǎn)程橋接

MAC

地址(RemoteBridgeMAC)”中輸入對方AP

的MAC地址。兩個AP

的IP須在同一網(wǎng)段，使用相同的信道，均采用定向天線。從而實現(xiàn)兩個有線局域網(wǎng)之間互連和資源共享,也可以實現(xiàn)有線網(wǎng)絡(luò)的擴(kuò)展。61.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)1.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)1.8.1無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)點(diǎn)到點(diǎn)連接P2P或ad-hoc連接；LAN無線網(wǎng)橋；藍(lán)牙；IrDA…星型拓?fù)鋀iMAX

基站，ZigBeePAN…網(wǎng)狀移動ad-hoc連接71.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)(1)WLAN802.11拓?fù)浣Y(jié)構(gòu)：點(diǎn)對點(diǎn)Ad-HOC結(jié)構(gòu)Adhocnetwork：自組織網(wǎng)絡(luò)，特定網(wǎng)絡(luò)，對等網(wǎng)絡(luò)。指臨時應(yīng)變的特定網(wǎng)絡(luò)。若干個移動的無線通信終端可以構(gòu)成一個臨時應(yīng)變的網(wǎng)絡(luò)。這種網(wǎng)絡(luò)是臨時性的、無中心的，無需依靠任何基礎(chǔ)設(shè)施的非標(biāo)準(zhǔn)網(wǎng)絡(luò)。因此可稱作是“自組織網(wǎng)絡(luò)”。也有人稱它是“特定網(wǎng)絡(luò)”，是因為它是很短距離的特定連接，并且只能用于近距離的用戶，又因為它是便于加入和離開，既能主控，又能被控的網(wǎng)絡(luò)，所以又有人稱之為“對等網(wǎng)絡(luò)”。點(diǎn)對點(diǎn)Ad-Hoc

對等結(jié)構(gòu)就相當(dāng)于有線網(wǎng)絡(luò)中的多機(jī)(一般最多是3臺機(jī))直接通過網(wǎng)卡互聯(lián)，中問沒有集中接入設(shè)備，信號直接在兩個通信端點(diǎn)對點(diǎn)傳輸。81.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)Ad-Hoc對等結(jié)構(gòu)91.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)上述結(jié)構(gòu)模式也稱為IBSS

(Independentbasicserviceset)：Aself-sufficientnetwork

。ThereisnoAP(accesspoint)inIBSS。有線網(wǎng)絡(luò)中每個連接都需要專門的傳輸介質(zhì)，所以在多機(jī)互連結(jié)構(gòu)中，一臺機(jī)器可能需要安裝多塊網(wǎng)卡。WLAN

中沒有物理傳輸介質(zhì)，信號以電磁波的形式發(fā)散傳播，所以在WLAN中的對等連接模式中，各用戶無須安裝多塊WLAN

網(wǎng)卡，相比有線網(wǎng)絡(luò)來說，組網(wǎng)方式要簡單得多。101.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)Ad-Hoc

對等結(jié)構(gòu)網(wǎng)絡(luò)通信中沒有一個信號交換設(shè)備，網(wǎng)絡(luò)通信效率較低，僅適用于較少數(shù)量的無線互連。同時由于這一模式?jīng)]有中心管理單元，這種網(wǎng)絡(luò)在可管理性和擴(kuò)展性方面受到一定的限制。各無線節(jié)點(diǎn)之間只能單點(diǎn)通信，不能實現(xiàn)交換連接，類似于有線網(wǎng)絡(luò)中的對等網(wǎng)。這種無線網(wǎng)絡(luò)模式通常只適用于臨時的無線應(yīng)用環(huán)境，如小型會議室，SOHO家庭無線網(wǎng)絡(luò)等。IBSS

的安全性：每個

IBSS主機(jī)都需要自建安全機(jī)制。111.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)(2)WLAN802.11拓?fù)浣Y(jié)構(gòu)：基于AP的Infrastructure結(jié)構(gòu)基于無線AP

的

Infrastructure(基礎(chǔ))結(jié)構(gòu)模式類似于有線網(wǎng)絡(luò)中的星型交換模式，也屬于集中式結(jié)構(gòu)類型。其中的無線AP相當(dāng)于有線網(wǎng)絡(luò)中的交換機(jī)，起著集中連接和數(shù)據(jù)交換的作用。在這種無線網(wǎng)絡(luò)結(jié)構(gòu)中，除了需要像Ad-Hoc對等結(jié)構(gòu)中在每臺主機(jī)上安裝無線網(wǎng)卡，還需要一個AP接入設(shè)備，稱“訪問點(diǎn)”或“接入點(diǎn)”。這個

AP

設(shè)備用于集中連接所有無線節(jié)點(diǎn)，并進(jìn)行集中管理。一般的無線AP還提供了一個有線以太網(wǎng)接口，用于與有線網(wǎng)絡(luò)、工作站和路由設(shè)備的連接?；A(chǔ)結(jié)構(gòu)網(wǎng)絡(luò)如圖所示。121.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)基于AP的Infrastructure結(jié)構(gòu)131.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)上述網(wǎng)絡(luò)結(jié)構(gòu)模式也稱為BSS(Basicserviceset)，或(Infrastructure)：Asetofstationscontrolledbyasinglecoordinationfunction(AP).141.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)這種網(wǎng)絡(luò)結(jié)構(gòu)模式的特點(diǎn)主要表現(xiàn)在網(wǎng)絡(luò)易于擴(kuò)展、便于集中管理、能提供用戶身份驗證等優(yōu)勢，另外數(shù)據(jù)傳輸性能也明顯高于Ad-Hoc

對等結(jié)構(gòu)。在這種

AP網(wǎng)絡(luò)中，AP和無線網(wǎng)卡還可針對具體的網(wǎng)絡(luò)環(huán)境調(diào)整網(wǎng)絡(luò)連接速率。理論上一個IEEE802.11b

的AP

最大可連接72個無線節(jié)點(diǎn)，實際應(yīng)用中考慮到更高的連接需求，一般建議為10個節(jié)點(diǎn)以內(nèi)。同時要求單個AP

所連接的無線節(jié)點(diǎn)要在其有效的覆蓋范圍內(nèi)，這個距離通常為室內(nèi)100米、室外300米左右。在實際的應(yīng)用環(huán)境中，連接性能往往受到許多方面因素的影響，實際連接速率要遠(yuǎn)低于理論速率，如上面所提到的AP

和無線網(wǎng)卡可針對特定的網(wǎng)絡(luò)環(huán)境動態(tài)調(diào)整速率，原因就在于此。151.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)IEEE802.11a或IEEE802.11g的AP

速率可達(dá)到54Mbps，有效覆蓋范圍也比

IEEE802.11b的大1倍以上，理論上單個AP

的理論連接節(jié)點(diǎn)數(shù)在l00個以上，實際應(yīng)用中所連接的用戶數(shù)一般建議不超過20個。另外，基礎(chǔ)結(jié)構(gòu)的無線局域網(wǎng)不僅可以應(yīng)用于獨(dú)立的無線局域網(wǎng)中，如小型辦公室無線網(wǎng)絡(luò)、SOHO家庭無線網(wǎng)絡(luò)，也可以以它為基本網(wǎng)絡(luò)結(jié)構(gòu)單元組建成龐大的無線局域網(wǎng)系統(tǒng)，如ISP在“熱點(diǎn)”位置為各移動辦公用戶提供的無線上網(wǎng)服務(wù)，在賓館、酒店、機(jī)場為用戶提供的無線上網(wǎng)區(qū)等。注意到各AP所用的信道數(shù)量，在同一有效距離內(nèi)不能超過3個不同的信道。161.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)171.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)1.8.2WLAN設(shè)備無線網(wǎng)卡(WNIC)181.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)接入點(diǎn)（AP）191.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)無線交換機(jī)無線路由器無線網(wǎng)橋智能天線WLAN天線20211.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)1.8.3WPAN設(shè)備藍(lán)牙藍(lán)牙音箱藍(lán)牙家用電話221.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)藍(lán)牙數(shù)碼相框藍(lán)牙太陽能耳機(jī)231.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)藍(lán)牙虛擬鍵盤241.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)ZigBeeZigBee

設(shè)備251.8無線網(wǎng)絡(luò)的物理結(jié)構(gòu)1.8.4WMAN設(shè)備基站用戶終端固定天線移動設(shè)備26271.9網(wǎng)絡(luò)安全1.9.1安全網(wǎng)絡(luò)和安全策略網(wǎng)絡(luò)不能簡單地劃分為安全的或是不安全的，因為安全這個詞本身就有其相對性，它因環(huán)境和需求的界定不同而有不同的含義。不存在能滿足各種需要的絕對安全的網(wǎng)絡(luò)。比如，有些單位的數(shù)據(jù)是很有保密價值的，他們就把網(wǎng)絡(luò)安全定義為其數(shù)據(jù)不被外界訪問；有些單位需要向外界提供信息，但禁止外界修改這些信息，他們就把網(wǎng)絡(luò)安全定義為數(shù)據(jù)不能被外界修改；有些單位注重通信的隱秘性，他們就把網(wǎng)絡(luò)安全定義為信息不可被他人截獲或閱讀；還有些單位對安全的定義會更復(fù)雜，他們把數(shù)據(jù)劃分為不同的級別，其中有些級別數(shù)據(jù)對外界保密，有些級別數(shù)據(jù)只能被外界訪問而不能被修改等等。281.9網(wǎng)絡(luò)安全正因為沒有絕對意義上的安全網(wǎng)絡(luò)（securenetwork）存在，任何安全系統(tǒng)的第一步就是制定一個合理的安全策略（securitypolicy）。該策略不需規(guī)定具體的技術(shù)實現(xiàn)，而是要清晰地闡明要保護(hù)的各項條目。網(wǎng)絡(luò)安全策略必須能夠覆蓋數(shù)據(jù)在計算機(jī)網(wǎng)絡(luò)系統(tǒng)中存儲、傳輸和處理等各個環(huán)節(jié)，否則安全策略就不會有效。制定網(wǎng)絡(luò)安全策略的復(fù)雜性還體現(xiàn)在對網(wǎng)絡(luò)系統(tǒng)信息價值的評定。任何組織只有正確認(rèn)識了其數(shù)據(jù)信息的價值，才能制定一個合理的安全策略。而在大多數(shù)情況下，信息的價值難以評估。291.9網(wǎng)絡(luò)安全例如：一個工資數(shù)據(jù)庫系統(tǒng)。該數(shù)據(jù)庫系統(tǒng)記錄了某公司所有雇員、他們的上班時間及工資等級等信息。該系統(tǒng)的價值來自三個方面：第一、重新建立該系統(tǒng)的代價。這一部分比較容易評價，只需要計算出重新收集和組織該系統(tǒng)信息所需的工作量。第二、該系統(tǒng)信息不正確使得公司可能面臨的損失。比如非法操作使系統(tǒng)中某些雇員的工資等級比實際情況高，公司將被迫多支付薪水。第三、系統(tǒng)信息泄漏導(dǎo)致的間接損失。例如工資信息被競爭者竊取，競爭者會采取針對性措施使該公司在人力資源方面蒙受巨大損失，如被迫提高員工薪水、增加培訓(xùn)等各項開銷。301.9網(wǎng)絡(luò)安全1.9.2安全性指標(biāo)如前所述，沒有絕對安全的網(wǎng)絡(luò)。制定安全策略時，往往必須在安全性和實用性之間采取一個折衷的方案，著重保證一些主要的安全性指標(biāo)，如數(shù)據(jù)完整性（dataintegrity）：數(shù)據(jù)在傳輸過程中的完整性，也即數(shù)據(jù)在發(fā)送前和到達(dá)后是否完全一樣。數(shù)據(jù)可用性（dataavailability）：在系統(tǒng)故障的情況下數(shù)據(jù)是否會丟失。數(shù)據(jù)保密性（dataconfidentialityandprivacy）：數(shù)據(jù)是否會被非法竊取。311.9網(wǎng)絡(luò)安全1.9.3安全責(zé)任和控制系統(tǒng)管理權(quán)限的正確分配往往是安全策略成敗的關(guān)鍵。強(qiáng)制授權(quán)（Authorization）：對請求訪問的用戶進(jìn)行授權(quán)，規(guī)定各用戶對系統(tǒng)的操作權(quán)限。認(rèn)證（Authentication）：對訪問資源的用戶進(jìn)行認(rèn)證以驗證他們是否有訪問的權(quán)利和權(quán)限?？捎嫀ば裕ˋccountability）：對獲得授權(quán)和認(rèn)證的用戶活動情況進(jìn)行監(jiān)督記錄。 簡稱AAA。321.9網(wǎng)絡(luò)安全1.9.4完整性機(jī)制在數(shù)據(jù)可能遭到意外破壞的情況下，使用一些技術(shù)如奇偶位、校驗和以及CRC等來保證數(shù)據(jù)的完整性。例如發(fā)送方同時發(fā)送該消息的檢驗值，消息接收方接到消息時只需重新計算一次檢驗值，并比較兩檢驗值是否相同就可判斷該消息是否正確。校驗和以及CRC

技術(shù)都不能絕對保證數(shù)據(jù)的完整性，有兩個原因：其一，如果出現(xiàn)檢驗值和消息數(shù)據(jù)同時破壞，且改變后的檢驗值和消息又正巧匹配的情況，系統(tǒng)就無法發(fā)現(xiàn)錯誤（這種情況概率很低，但決不為零）；其二，原因一中所述技術(shù)上的缺陷，可能為人惡意利用。331.9網(wǎng)絡(luò)安全有幾種機(jī)制能夠確保受到惡意攻擊的消息的完整性。一般采用的方法是使用攻擊者不能攻擊或偽造的信息驗證碼（messageauthenticationcode，MAC）技術(shù)對傳輸數(shù)據(jù)進(jìn)行編碼。典型的編碼機(jī)制是密碼散列(cryptographichashing)機(jī)制，如使用只有發(fā)送方和接受方才知道的私有密鑰。這樣，在發(fā)送方對信息編碼時，密碼散列函數(shù)像對數(shù)據(jù)編碼一樣使用私有密鑰打亂信息中的字節(jié)的排列位置。只有接收方才能夠恢復(fù)這些信息，而沒有密鑰的攻擊者不能解碼，也就不能引入錯誤。只有接收方才能知道被解碼的信息都是真實的。341.9網(wǎng)絡(luò)安全現(xiàn)已采用幾種機(jī)制能夠確保受到惡意攻擊的消息的完整性。一般采用的方法是使用攻擊者不能攻擊或偽造的信息驗證碼（messageauthenticationcode，MAC）技術(shù)對傳輸數(shù)據(jù)進(jìn)行編碼。典型的編碼機(jī)制是密碼散列(cryptographichashing)機(jī)制，如使用只有發(fā)送方和接受方才知道的私有密鑰。這樣，在發(fā)送方對信息編碼時，密碼散列函數(shù)像對數(shù)據(jù)編碼一樣使用私有密鑰打亂信息中的字節(jié)的排列位置。只有接收方才能夠恢復(fù)這些信息，而沒有密鑰的攻擊者不能解碼，也就不能引入錯誤。只有接收方才能知道被解碼的信息都是真實的。351.9網(wǎng)絡(luò)安全1.9.6訪問控制和口令很多計算機(jī)系統(tǒng)采用口令機(jī)制來控制對系統(tǒng)資源的訪問。每個用戶都有一個私有密鑰。用戶想要訪問被保護(hù)的資源時，被要求輸入口令。在傳統(tǒng)的計算機(jī)系統(tǒng)中，簡單的口令機(jī)制可以取得很好的效果，因為系統(tǒng)本身不會把口令泄漏出去。而在網(wǎng)絡(luò)系統(tǒng)中，這樣的口令就很容易被竊聽。比如，如果某用戶通過網(wǎng)絡(luò)傳輸口令到一臺遠(yuǎn)程計算機(jī)上，在線竊聽者就很容易獲取該口令的副本。在線竊聽在局域網(wǎng)上更容易實現(xiàn)，因為大多數(shù)局域網(wǎng)都是總線結(jié)構(gòu)，任一臺計算機(jī)都可以獲得傳輸數(shù)據(jù)的副本。在這種情況下，必須采取另外的保護(hù)措施。361.9網(wǎng)絡(luò)安全1.9.7加密為了保證有在線竊聽的情況下的保密性，必須對數(shù)據(jù)加密。加密的基本思想是改變信息的排列方式，使得只有合法的接收方才能讀懂。任何他人即使截取了該加密信息也無法解開。(1)一個簡單的加密結(jié)構(gòu)一種傳統(tǒng)的加密技術(shù)是，消息發(fā)送方和消息接收方使用相同的密鑰，該密鑰必須由雙方加以保密。發(fā)送方用該密鑰對待發(fā)消息進(jìn)行加密，然后將消息傳輸至接收方，接收方再用相同的密鑰對收到的消息進(jìn)行解密。371.9網(wǎng)絡(luò)安全這一過程表示成數(shù)學(xué)形式如下：消息發(fā)送方使用的加密函數(shù)encrypt

有兩個參數(shù)：密鑰K和待加密消息M，加密后的消息為E：

E=

encrypt(K,M) 消息接收方使用的解密函數(shù)decrypt

把這一過程逆過來，就還原了原來的消息：

M=decrypt(K,E) 數(shù)學(xué)上，decrypt

和encrypt

互為逆函數(shù)，有：

M=decrypt(K,encrypt(K,M))381.9網(wǎng)絡(luò)安全(2)公共密鑰加密很多加密方法中，密鑰必須是保密的。公共密鑰加密法它給每個用戶分配兩把密鑰：一個稱私有密鑰，是保密的；一個稱公共密鑰，是眾所周知的。該方法的加密函數(shù)必須具備如下數(shù)學(xué)特性：用公共密鑰加密的消息除了使用相應(yīng)的私有密鑰外很難解密；同樣，用私有密鑰加密的消息除了使用相應(yīng)的公共密鑰外很難解密。假設(shè)M表示一條消息，pub-u1表示用戶1的公共密鑰，prv-u1表示用戶1的私有密鑰，那么有

M=decrypt(pub-u1,encrypt(prv-u1,M))391.9網(wǎng)絡(luò)安全 和M=decrypt(prv-u1,encrypt(pub-u1,M))這種方法是安全的，因為加密和解密的函數(shù)具有單向性質(zhì)。也就是說，僅知道了公共密鑰并不能偽造由相應(yīng)私有密鑰加密過的消息?？梢宰C明，公共密鑰加密法能夠保證保密性。只要消息發(fā)送方使用消息接收方的公共密鑰來加密待發(fā)消息，就只有消息接收方能夠讀懂該消息。因為要解密必須要知道接收方的所有密鑰。401.9網(wǎng)絡(luò)安全1.9.8數(shù)字簽名公共密鑰加密法還可以用于驗證消息發(fā)送方，這種技術(shù)稱作數(shù)字簽名（digitalsignature）。消息發(fā)送方使用其私鑰加密一條消息，實現(xiàn)對消息的簽名。接收方使用消息發(fā)送方的公共密鑰對該消息進(jìn)行解密。由于只有發(fā)送方發(fā)送的密文才能被公共密鑰解密，從而完成驗證（即發(fā)送方身份得以確認(rèn)）。為了保證加密的消息不被復(fù)制和重傳，原始消息中可引入創(chuàng)建該消息的日期和時間。411.9網(wǎng)絡(luò)安全如果采用雙重加密，可以使消息同時具有身份可驗證性和保密性。所謂雙重加密，是指先用發(fā)送方的私有密鑰加密，再用接收方的公共密鑰對已加密消息進(jìn)行再加密。其數(shù)學(xué)形式如下：

X=encrypt(pub-u2,encrypt(prv-u1,M)) 其中，M

表示原始消息，X

表示雙重加密后的消息，prv-u1

表示消息發(fā)送方的私有密鑰，pub-u2

表示消息接收方的公共密鑰。在接收端，解密過程是加密過程的逆過程。首先，消息接收方用它的私有密鑰解除外層加密，然后用消息發(fā)送方的公共密鑰解除內(nèi)層加密。這一過程表示如下：

M=decrypt(pub-u1,decrypt(prv-u2,X))421.9網(wǎng)絡(luò)安全經(jīng)過雙重加密的消息是保密的，因為只有指定的消息接收方才擁有解除外層加密所需的解密密鑰。同時該消息的身份一定是經(jīng)過驗證的，因為只有消息發(fā)送方才擁有必要的內(nèi)層加密密鑰。431.9網(wǎng)絡(luò)安全1.9.9包過濾為了防止網(wǎng)絡(luò)系統(tǒng)中每臺計算機(jī)都可隨意訪問其他計算機(jī)以及系統(tǒng)中的各項服務(wù)，需要使用包過濾（packet

filtering）技術(shù)。如圖所示，包過濾器是路由器的一部分，它是由阻止包任意通過路由器在不同的網(wǎng)絡(luò)之間穿越的軟件組成的。441.9網(wǎng)絡(luò)安全網(wǎng)絡(luò)管理員可以配置包過濾器，以控制哪些包可以通過路由器，哪些包不可以（一些局域網(wǎng)交換機(jī)在局域網(wǎng)內(nèi)部提供類似的過濾功能，允許管理員控制哪些幀可以從一臺計算機(jī)到另一臺計算機(jī)，哪些則不可以）。包過濾器的工作是檢查每個包的頭部中的有關(guān)字段。網(wǎng)絡(luò)管理員可以配置包過濾器，指定要檢測哪些字段以及如何處理等等。比如，控制兩個網(wǎng)絡(luò)的計算機(jī)之間的通信，要檢測每個包頭部中的

source和destination

字段。上圖中，要防止右邊網(wǎng)絡(luò)中IP地址為7的計算機(jī)和左邊網(wǎng)絡(luò)中的所有計算機(jī)通信，包過濾器必須阻止所有source

字段為7的包通過。451.9網(wǎng)絡(luò)安全同樣，要防止左邊網(wǎng)絡(luò)中

IP

地址為2的計算機(jī)接收來自右邊網(wǎng)絡(luò)中的任意包，包過濾器必須阻止所有destination

字段為2的包通過。除了源地址和目的地址之外，包過濾器還能檢查出包中使用的上層協(xié)議，從而知道該包所傳遞的數(shù)據(jù)屬于哪一種服務(wù)。包過濾器的這種功能使得網(wǎng)絡(luò)管理員能夠?qū)Ω鞣N服務(wù)進(jìn)行管理，比如可以過濾掉所有www服務(wù)的包而讓電子郵件的包能得到較快的傳輸?shù)?。網(wǎng)絡(luò)管理員可以根據(jù)需要靈活配置包過濾器，以達(dá)到其所希望的過濾效果。通常，包過濾器的過濾條件是源地址、目的地址以及各種網(wǎng)絡(luò)服務(wù)等的復(fù)雜的布爾表達(dá)式。凡是滿足該過濾條件的包都會被過濾掉。461.9網(wǎng)絡(luò)安全1.9.10防火墻包過濾器經(jīng)常用來控制一個單位的內(nèi)部網(wǎng)絡(luò)和因特網(wǎng)之間的通信。如圖所示，包過濾器是連接內(nèi)部網(wǎng)絡(luò)和因特網(wǎng)的路由器的一部分。471.9網(wǎng)絡(luò)安全用于保護(hù)一個單位內(nèi)部網(wǎng)絡(luò)，使之不受來自外部因特網(wǎng)的非法訪問的包過濾器，稱為因特網(wǎng)防火墻（Internetfirewall）。這個術(shù)語來源于兩個結(jié)構(gòu)間為防止火在它們之間蔓延而采用的物理防火邊界。與傳統(tǒng)的防火墻相似，因特網(wǎng)防火墻可用來防止在因特網(wǎng)上不同組織的計算機(jī)間可能產(chǎn)生的問題。防火墻是互不信任的單位之間建立網(wǎng)絡(luò)連接時最重要的安全工具。通過設(shè)置防火墻為組織提供了防止外界侵入內(nèi)部網(wǎng)絡(luò)的安全邊界（secureperimeter）。特別地，通過限制對一小部分計算機(jī)的訪問，防火墻能防止外界接觸到組織內(nèi)所有計算機(jī)、禁止大量占用組織內(nèi)部網(wǎng)絡(luò)的通信或阻止通過傳輸大量IP

數(shù)據(jù)報攻擊計算機(jī)而引起的系統(tǒng)癱瘓。481.9網(wǎng)絡(luò)安全除了提供安全機(jī)制之外，防火墻還可以降低系統(tǒng)成本。沒有防火墻的話，外界可以向任意計算機(jī)傳輸數(shù)據(jù)包（通過猜測、嘗