防火墻技術及其在校園網絡安全中的應用

◆張 靜 漆世錢

?

防火墻技術及其在校園網絡安全中的應用

◆張 靜 漆世錢

（武警海警學院 浙江 315000）

選擇更好的專用硬件防火墻將成為各大高校防御網絡黑客攻擊的重要手段。本文主要從防火墻技術的概述、功能、分類以及校園網絡安全的防火墻必須要具備的特征進行了探討，供網絡安全管理相關人員參考。

防火墻；校園網絡安全；內部網絡

0 引言

隨著信息技術的不斷發展，互聯網得到了快速的發展，已成為我們生活中不可或缺的一部分，然而這些年Internet也給我們帶來了大量的負面的影響——計算機受到各種病毒感染和黑客的惡意攻擊，嚴重的威脅了我們計算機的安全，造成巨大的損失。在校園網絡中，為了盡量避免廣大師生的教學資料被丟失、信息被惡意篡改等惡性事件的發生，在校園網絡中應建立起一套網絡安全體系，選擇更好的專用防火墻將成為各大高校防御網絡黑客攻擊的重要手段。目前市場上的硬件防火墻可謂種類繁多，功能各異，而如何選擇合適的防火墻對校園網絡安全來說至關重要。

1 防火墻技術的概述

防火墻是指設置在不同網絡或者網絡安全域之間由軟件和硬件設備共同組成的[1]，在內部網絡和外部網絡之間、公用網絡和專用網絡之間架設起的一道屏障。防火墻可以監測、限制、控制網絡中流動的數據，最大可能的將內部網絡的結構、信息以及運行狀況對外部網絡進行屏蔽、隱藏，防止發生不可預測、破壞性的入侵，從而保護了自己網絡的安全。從邏輯上來闡述,防火墻是一個分離器、限制器、分析器[2]，它最大化地監控了兩個不同網絡之間的數據通信，確保了自己所處一方網絡的安全。其最基本的功能是隔離不同的網絡，采用規則集來增強網絡安全，有以下幾個基本特性：

（1）自主操作主機的所有數據輸入、輸出的通信連接，通過自己建立的規則集過濾相關的數據然后選擇是否放行。

（2）“認證”管理員和應用程序，以保證他們能訪問內部網絡。

（3）有安全審計功能并相應的能記錄下來以文件形式保存,在命中可疑數據時能及時發出告警。

2 防火墻的功能

從本質而言，防火墻是分隔兩個不同的網絡，防火墻只允許它所認可的規則而進行不同網絡之間的通信。防火墻還有另外一個特點，就是防火墻本身就應該具有較為強大的抵抗外部攻擊的能力。防火墻應不易被入侵者攻破，因為一旦被入侵者侵入那么入侵者就能在內部網絡之間操作，竊取有價值的信息或者破壞內部網絡，從而造成不可預計的損失。所以考慮到這些方面的要求，理想的防火墻應支持這些方面的功能：

（1）能夠檢測何時有通信數據進入內部網絡；

（2）能夠檢測何時有通信數據流入外部網絡；

（3）能夠對未允許的規則的數據進行攔截，禁止其進入內部網絡；

（4）能夠對網絡間的數據進出采取相應規則的控制措施；

（5）能夠對網絡通信內容審計跟蹤；

（6）能夠對高風險行為、入侵行為進行檢測以及預警；

（7）能夠對重要的數據進行相應的加密解密；

（8）能夠保護網絡安全用戶信息不發生外泄情況。

院校可以根據自身不同的需求及實際情況，可以選取適合自身特點的相應的防火墻產品，從而盡可能避免在自己計算機上發生被入侵事件，保護了計算機的安全。另外防火墻并不是絕對安全的，還有許多的危險是防火墻能力范圍之外的，防火墻僅僅是一種工具，盡最大可能將危險阻隔。

3 防火墻的分類

防火墻的類型可以有多種劃分，按技術分類可以有三種類型：包過濾防火墻、應用代理防火墻和狀態檢測防火墻。

3.1 包過濾防火墻

包過濾防火墻作用在OSI體系結構七層協議的網絡層和傳輸層，它根據數據包包頭包含的源IP地址、目的IP地址和源主機端口號、目的主機端口號、網絡通信協議類型等標志信息進行比對確定是否允許數據包通過。唯有符合這些條件數據包才能轉發給對方，剩下的不符合條件的數據包就直接從數據中丟掉。鑒于這一原因，包過濾防火墻能很快處理數據包。所以這一類的普遍特點是使用程度大、價格優惠，是一種十分有效的安全手段。但是，瑕不掩瑜包過濾防火墻也有它自身的缺陷：不能對應用層協議做出分析，對應用層缺少保護，沒法防范利用應用層漏洞實施的網絡攻擊。

3.2 應用代理防火墻

應用代理防火墻工作在OSI體系結構的最高層，即應用層。其特點是徹底“阻隔”了網絡通信流，可以對相應的應用服務編寫特定的代碼，實現對通信數據的監控以及對應用層的數據流進行相關的掌握控制。

應用代理防火墻最大的優點就是安全。這是因為它工作在最高層，所以它自然就能對網絡中任意一層的通信數據進行選擇也能進行相關的保護，絕非像包過濾防火墻那類只對OSI體系結構中網絡層的數據單一的過濾處理。然而此類防火墻也存在自身的缺點：一是各種應用不一樣，應用代理防火墻配置起來就顯得困難；二是對數據的處理性能差。

3.3 狀態檢測防火墻

基于狀態檢測的防火墻采用了狀態檢測包過濾的技術，保持了簡單的包過濾防火墻的優點，并且在網絡通信中對數據包的狀態變化進行檢測，規范了網絡層和傳輸層的行為，提供了更安全的解決方案。

包過濾防火墻和應用代理防火墻是通過對數據包的源地址、目的地址，源端口號、目的端口號[3]進行檢測來實現相應的功能，而忽略了在傳輸過程中數據的連接狀態的變化也就是“三次握手”。而狀態檢測防火墻正是克服了這些不足，對數據包中的信息與防火墻規則做比較，如果沒有相應規則允許，防火墻就會拒絕這次連接，當然發現有一條規則允許，它就允許數據包外出并且在狀態表中新建一條會話，并記錄會話的狀態變化。從而可見，狀態檢測防火墻更有效的對數據進行了控制。

4 校園網絡防火墻的特征

（1）具備大量的用戶連接數量。目前各大高校的人數急劇增加，在這些高校中，雖然不是每人一臺計算機，但計算機數量也相當可觀，再加上學校的各類機房，高校的網絡非常龐大。所以，硬件防火墻需要帶動數量眾多的計算機上網。現在市場上已經有很多無人數限制的硬件防火墻，從根本上解決了這一問題。

（2）帶寬要足夠的大。由于硬件防火墻位于路由器的下一層，現在的校園網絡一般都采用了百兆或則千兆以上的網絡，所以我們需要連接高帶寬的硬件防火墻。

（3）具體超強的防攻擊能力。目前網絡黑客攻擊的主要手段有DOS(DDOS)攻擊，IP地址欺騙，特洛伊木馬，口令字攻擊，郵件詐騙等。這些攻擊方式不光來自外部網絡，也來自內部網絡。適合于校園的硬件防火墻必須要具有防止這些外網和內網攻擊的能力。硬件防火墻是由軟件和硬件組成，其中的軟件提供了升級功能，這樣就能幫助我們修補不斷發現的漏洞。

（4）完備的網絡監控和控制功能。由于校園網絡內部有訪問一些非法網站的事情發生，為了禁止訪問非法網站，防火墻不光需要有能夠防止內網訪問非法的功能，還必須具有監控網絡的功能，因為現在一些不良網站每天都有新的出現，只有通過監控，才能根據相關信息屏蔽這些非法網站。

5 結束語

總之，要做到校園網絡安全，防火墻技術是校園網絡安全屏障之一，

選擇合適的校園網絡防火墻至關重要。但要確保網絡安全仍必須要從全方位著手，重點還要從管理和安全意識上下功夫。否則即使技術上再先進，也有可能因為人為的疏忽大意而造成資料丟失、泄密等。

[1]睢貴芳.防火墻技術及其在校園網絡安全中的應用探究[J].網絡安全技術與應用, 2019(02):57+66.

[2]王淑靜, 楊曉明.windows平臺的個人防火墻設計研究[J].數字技術與應用, 2018,36(04):180+182.

[3]張瑩瑩.計算機網絡的防火墻技術方案[J/OL].電子技術與軟件工程, 2019(10):211.

[4]楊澤威, 蔣志興.計算機信息安全保密技術的思考[J].電子技術與軟件工程, 2019(03):205.