V6-2 防火墻的功能

防火墻的功能主講崔升廣一、防火墻的功能防火墻是“木桶”理論在網(wǎng)絡(luò)安全中的應(yīng)用。網(wǎng)絡(luò)安全概念中有一個(gè)“木桶”理論：一個(gè)桶能裝的水量不取決于桶有多高，而取決于組成該桶的最短的那塊木板的高度。在一個(gè)沒(méi)有防火墻的環(huán)境里，網(wǎng)絡(luò)的安全性只能體現(xiàn)為每一個(gè)主機(jī)的功能，所有主機(jī)必須通力合作，才能使網(wǎng)絡(luò)具有較高程度的安全性。而防火墻能夠簡(jiǎn)化安全管理，使得網(wǎng)絡(luò)的安全性可在防火墻系統(tǒng)上得到提高，而不是分布在內(nèi)部網(wǎng)絡(luò)的所有主機(jī)上。在邏輯上，防火墻是分離器，也是限制器，更是一個(gè)分析器，有效地監(jiān)控了內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的安全。典型的防火墻具有以下3個(gè)方面的基本特性。一、防火墻的功能（1）內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有數(shù)據(jù)流都必須經(jīng)過(guò)防火墻。防火墻安裝在信任網(wǎng)絡(luò)（內(nèi)部網(wǎng)絡(luò)）和非信任網(wǎng)絡(luò)（外部網(wǎng)絡(luò)）之間，它可以隔離非信任網(wǎng)絡(luò)（一般指的是Internet）與信任網(wǎng)絡(luò)（一般指的是內(nèi)部局域網(wǎng)絡(luò)）的連接，同時(shí)不會(huì)妨礙用戶對(duì)非信任網(wǎng)絡(luò)的訪問(wèn)。內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有數(shù)據(jù)流都必須經(jīng)過(guò)防火墻，因?yàn)橹挥蟹阑饓κ莾?nèi)部、外部網(wǎng)絡(luò)之間的唯一通信通道，才可以全面、有效地保護(hù)企業(yè)內(nèi)部網(wǎng)絡(luò)不受侵害。（2）只有符合安全策略的數(shù)據(jù)流才能通過(guò)防火墻。部署防火墻的目的就是在網(wǎng)絡(luò)連接之間建立一個(gè)安全控制屏障，通過(guò)允許、拒絕或重新定向經(jīng)過(guò)防火墻的數(shù)據(jù)流，實(shí)現(xiàn)對(duì)進(jìn)、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問(wèn)的審計(jì)和控制。防火墻最基本的功能是根據(jù)企業(yè)的安全規(guī)則控制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流，確保網(wǎng)絡(luò)流量的合法性，并在此前提下將網(wǎng)絡(luò)流量快速地從一條鏈路轉(zhuǎn)發(fā)到另外的鏈路上。（3）防火墻自身具有非常強(qiáng)的抗攻擊能力。防火墻自身具有非常強(qiáng)的抗攻擊能力，它承擔(dān)了企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護(hù)重任。防火墻處于網(wǎng)絡(luò)邊界，就像一個(gè)邊界衛(wèi)士一樣，每時(shí)每刻都要抵御黑客的入侵，因此要求防火墻自身具有非常強(qiáng)的抗攻擊入侵的能力。一、防火墻的功能防火墻除了具備上述3個(gè)方面的基本特性外，一般來(lái)說(shuō)，還具有以下幾個(gè)方面的功能。（1）支持NAT。防火墻可以作為部署NAT的邏輯地址，因此防火墻可以用來(lái)解決地址空間不足的問(wèn)題，并避免機(jī)構(gòu)在變換ISP時(shí)帶來(lái)的需要重新編址的麻煩。（2）支持虛擬專用網(wǎng)（VPN，VirtualPrivateNetwork）。防火墻還支持具有Internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN。通過(guò)VPN可將企事業(yè)單位在地域上分布在全世界各地的局域網(wǎng)或?qū)Ｓ米泳W(wǎng)有機(jī)地互聯(lián)成一個(gè)整體。不僅省去了專用通信線路，而且為信息共享提供了技術(shù)保障。（3）支持用戶制定的各種訪問(wèn)控制策略。（4）支持網(wǎng)絡(luò)存取和