防火墙技术在校园网中的实现|校园网防火墙
时间：2019-05-20 03:32:35 来源：雅意学习网 本文已影响 人 
摘要：随着Internet的不断发展和企业Intranet的普及，信息化已成为现代化企业标志之一，网络信息的安全和管理成为企业信息化的重要问题，一方面企业希望向外提供的Internet服务受到保护，另一方面也要限制内部网络访问Internet的范围。NetST防火墙系列产品为企业信息安全提供了重要的解决方案。NetST 防火墙位于内部网络与外部网络的连接处，对进出内部网络的所有数据进行检查，符合一定的访问控制规则的数据才允许通过，否则要拒绝或修改数据，并能检测出可能的非法内外网络入侵，及时进行处理和记录，保证网络安全。
关键词：防火墙；NetST；网络信息
中图分类号：TP393 文献标识码：A 文章编号：1006-4311（2012）18-0178-02
0 引言
一般来说，防火墙包括几个不同的组成部分：过滤器(有时也称屏蔽)用于阻断一定类型的通信传输。网关是一台或一组机器，它提供中继服务，以补偿过滤器的影响。驻有网关的网络常被叫做非军事区（DeMilitarized Zone，DMZ）。DMZ中的网关有时还由一个内部网关（internal gateway）协助工作。一般情况下，两个网关通过内部过滤器到内部的连接比外部网关到其他内部主机的连接更为开放。就网络通信而言，两个过滤器或网关本身，都是可以省去的，详细情况随防火墙的变化而变化。一般说来，外部过滤器可用来保护网关免受攻击，而内部过滤器用来应付一个网关遭到破坏后所带来的后果，两个过滤器均可保护内部网络，使之免受攻击。一个暴露的网关机器通常被叫做堡垒机。
防火墙可分成两种主要类别：数据包过滤（packet filtering）和应用网关（application gateway）。
数据包过滤防火墙的工作方法是通过基于数据包的源地址、目的地址或端口来进行过滤的。一般说来，不保持前后连接信息，过滤决定也是根据当前数据包的内容来做的。管理员可以设计一个可接受机器和服务的列表，以及一个不可接受机器和服务的列表。在主机和网络一级，利用数据包过滤器很容易实现允许或禁止访问。例如，允许主机A和B之间的任何IP访问，或禁止除A以外的任何机器访问B。
大多数安全策略需要更为精细的控制：对根本不被信任的主机，需要定义容许它们访问的服务。例如，可以希望允许任何主机与机器A连接，但仅限于发送或接收邮件。其他服务可以或不可以被允许。数据包过滤器允许在这一级别上进行某些控制，为了正确地做到这一点，要求精通许多操作系统上TCP和UDP端口的使用知识。包过滤防火墙的优点是速度快，缺点是不能对数据内容进行控制。
应用网关防火墙则是另一种方式，它不使用通用目标机制来允许各种不同种类的通信，而是针对每个应用使用专用目的代码。虽然这样做看来有些浪费，但却比任何其他方法安全得多。一是不必担心不同过滤规则集之间的交互影响，二是不必担忧对外部提供安全服务的主机中的漏洞。只需仔细检查选择的数个程序。应用网关还有另一个优点：它易于记录并控制所有的进/出通信，并对Internet的访问做到内容级的过滤，所以是很安全的。应用级网关的最大缺点就是速度慢。
1 网络的系统规划与设计
根据用户具体情况，规划内网的环境，必要时使用多个网段。确定是否需要向外部Internet提供服务以及何种服务，由此确定是否需要DMZ网段以及DMZ网段的具体结构。根据内网、DMZ网的结构确定NetST■防火墙的具体连接方式，防火墙位置一般放在路由器之后，内网、DMZ网之前。设计系统的访问控制规则，使防火墙起作用。
2 防火墙配置步骤建议
配置网络结构，安装NetST■防火墙硬件，使防火墙各网卡正确连接内网，外网和DMZ网。配置NetST■防火墙网络参数使网络连接正常，必要时需重启NetST■防火墙。设计网络安全策略，根据用户具体情况设置安全选项、NAT规则、访问控制的过滤规则、内容过滤规则等。启动防火墙引擎，使规则起作用。
3 防火墙规则定义的一般步骤
NetST防火墙一般按下列步骤定义规则：
一般情况下，我们建议用户按上面步骤进行规则配置，用户也可以根据情况进行一定的调整和修改。
4 状态检测防火墙引擎
NetST防火墙引擎采用国际先进的状态检测包过滤技术，实时在线监测当前内外网络的TCP连接状态，根据连接状态动态配置规则，对异常的连接状态进行阻断，实现入侵检测并及时报警。NetST■防火墙支持对目前国际上主要的网络攻击方法的判别，并且进行有效阻断。作为包过滤型防火墙， NetST防火墙为用户提供强大的包过滤功能。NetST防火墙支持各种主流网络协议，不仅可以根据网络流量的类型、网络地址、应用服务等条件进行过滤，并且可以对多种网络入侵进行辨别和有效阻断，同时实时进行记录和报警；另外，NetST■防火墙与内置多种网络对象的Java管理控制台配合使用，可以更加充分发挥NetST■防火墙引擎的强大的包过滤功能。
4.1 全面安全防护 NetST防火墙具备抵御多种外来恶意攻击的能力：
4.1.1 DoS（Deny of Service，拒绝服务）攻击：此类型的攻击方式包括SYN Flooding、LAND攻击、Ping Flooding、Ping of Death、Teardrop/New Tear、IP碎片攻击等，攻击者对服务器不断发各种类型的数据包使服务器的处理能力达到饱和，从而不能再接受正常的访问。NetST■防火墙利用地址检测、流量限制、碎片重组等方法进行防御；
4.1.2 IP欺骗：攻击机器 C模拟被攻击机器A信任的机器B与A通信，通常先通过DoS攻击使B的网络陷于瘫痪，然后再冒充B与A通信以执行对A造成危害的操作。防止IP欺骗的方法一是服务器不开危险服务，二是服务器的TCP连接的起始序列号要随机选取，防止被猜，三是加强对DoS攻击的防御。NetST■防火墙的防御方法是一是禁止外网到内网的连接请求，或只将允许的开放端口请求转到DMZ区的服务器，同时DMZ区服务器尽量只开单一服务，并注意对系统软件进行升级或打补丁； 4.1.3 端口扫描：通过端口扫描，攻击者可知道被攻击的服务器上运行那些服务，从而对服务进行攻击或利用某些服务的缺陷攻击主机。NetST■防火墙利用网络地址转换（NAT）功能、TCP状态检测等方法进行防御；
4.1.4 IP盗用：在内网中的一台机器通过修改IP地址模拟另一台机器，从而NetST■防火墙使用基于用户的认证使IP地址与用户动态绑定以及IP地址与MAC地址绑定来进行预防。
4.2 全面内容过滤 NetST防火墙支持对最常用的应用层协议进行内容过滤，使用户可以根据网络传输的内容进行管理和控制，从而使企业网络运行更加快速有效。NetST防火墙支持HTTP协议的URL过滤和HTML内容过滤。NetST■防火墙支持与WebCM■3000系列产品无缝集成，由NetST■防火墙提取出URL，然后与UFP服务器连接以确定是否允许此请求通过；同时，可过滤HTML页面中的各种脚本和Java小程序；可拒绝各种媒体类型的数据，如图像、声频、视频等，以免浪费带宽，降低工作效率；NetST防火墙支持FTP协议内容过滤，用户可自行设定拒绝上载和下载的文件类型表，对此文件类型范围内的文件传送请求将被拒绝；
NetST防火墙支持主要邮件协议的内容过滤。对于SMTP协议，用户可自行设定拒绝发的附件文件类型表，对此文件类型范围内的附件发送请求将被拒绝；对于POP3协议，可自行设定危险的附件文件类型表，对此文件类型范围内的附件收取将修改文件的后缀名以使其暂时失效，从而防止诸如“ILOVEYOU”等邮件病毒的攻击。
在当前信息技术高速发展的情况下，好的反火枪技术不断发展更新，设计该系统的过程中，我们也是在不断的发现问题，解决问题。也发现了不少没有能解决的新问题，比如延时的控制以及系统运行时的安全保障等新的问题。这需要在今后的工作中不断的去努力，不断地去研究逐渐解决。
参考文献：
[1]张迅.基于SIP的IP视频电话的设计与实现.华中科技大学硕士学位论文，2006：14-19.
[2]武海宁基于SIP/RTP的实用VOIP系统研究.北京邮电大学硕士学位论文，2007：17-23.
[3]唐岷.基于SIP的VoIP穿越防火墙/NAT的研究与实现.南京理工大学硕士学位论文，2006：45-50.
[4]李倩.基于P2P的流媒体直播系统关键技术研究.中南大学硕士学位论文，2007：23-27.
[5]李剑.SIP软交换系统中NAT/FW穿越技术的研究与实现.电子科技大学硕士学位论文，2007：28-32.
