互聯網安全基石--『防火牆』七大技術[圖]

　　隨著防火牆的發展，根據具體的情況不同，目前主要有下面的幾種技術：

　　包過濾技術

　　包過濾技術的原理在於監視並過濾網絡上流入流出的IP包，拒絕發送可疑的包。在互聯網的信息包交換網絡上，所有往來的信息都被分割成一定長度的信息包，包頭信息中包括IP源地址、IP目標地址、內裝協議、TCP/UDP目標端口、ICMP消息類型、包的進出接口。當這些包被送上互聯網時，防火牆會讀取接收者的IP並選擇一條物理上的線路發送出去，信息包可能從不同的線路抵達目的地，當所有的包抵達後會在目的地重新組裝還原。在圖1中，我們可以看到防火牆處於網絡層(Network Layer)與數據鏈路層(Data-Link Layer)之間，由於所處的位置較低，僅能對當前正在通過的單一數據包的內容進行分析和判斷，而不具備應用層保護能力。現在包過濾技術逐漸由『傻瓜型』向『智能型』轉化，從一種被動的規則檢查方式變為多級並行或串行或串並行混合的復雜檢查方式，例如入侵檢測(IDS)與防火牆互動(如圖2)，就是一種簡單的復變包過濾技術。

　　應用代理技術

　　代理技術與包過濾不同，它直接和應用服務程序打交道。它不會讓數據包直接通過，而是自己接收了數據包，並對其進行分析(如圖3)。從圖1中可以看到代理是處在Application Layer的地位，通過一種代理技術參與到一個TCP連接的全過程，所以它能夠理解應用層上的協議，做一些復雜的訪問控制，並做精細的注冊和稽查。但是當工作量大時，它的效率是不如包過濾技術的。針對這個問題，自適應代理技術應運而生。它可以結合代理類型防火牆的安全性和包過濾防火牆的高速度等優點，在毫不損失安全性的基礎之上將代理型防火牆的性能提高10倍以上。組成這種類型防火牆的基本要素有兩個：自適應代理服務器與動態包過濾器。