防火墙、utm产品硬件平台架构分析防火墙技术
【简介】感谢网友“GrateG”参与投稿，以下是小编帮大家整理的防火墙、utm产品硬件平台架构分析防火墙技术（共9篇），仅供参考，希望能够帮助到大家。
篇1：防火墙、utm产品硬件平台架构分析防火墙技术
现在市场上的防火墙、utm产品从其架构上来说，大概分为三大类，
第一类是基于x86平台的，这种平台通常使用一颗或多颗主cpu来处理业务数据，网卡芯片和cpu通过pci总线来传输数据。
由于传统的32位pci总线频率为33mhz，所以，理论通讯速率为：132 mb bytes/s即：1056 mbits/s。单从pci通讯的速率上来说是可以满足千兆防火墙的需要，但实际上pci总线在x86系统中是共享的，也就是说，如果有两个网卡同时传输数据，那么每个网卡所能获得的速率就只有 66 mb bytes/s，即：528 mbits/s ，如果有四个网口同时传输数据，则每个网卡所能获得的速度只有16 mb bytes/s，即128mbit/s。
从总线速度来看基于32位pci总线的x86平台，做为百兆防火墙的方案是没有任何问题的。但x86平台的防火墙方案，数据从网卡到cpu之间的传输机制是靠“中断”来实现的，中断机制导致在有大量数据包的需要处理的情况下(如：64 bytes的小包，以下简称小包)，x86平台的防火墙吞吐速率不高，大概在30%左右，并且cpu占用会很高。这是所有基于x86平台的防火墙所共同存在的问题。
因此，基于32位pci总线的x86平台是不能做为千兆防火墙使用的，因为32位pci总线的通讯速率不能达到千兆防火墙的要求。针对这个问题，intel提出了解决方案，可以把32位的pci总线升级到了pci-e ，即：pci-express，这样，pci-e 4x的总线的速度就可以达到 mb bytes/s，即：16gbits/s，并且pci-e各个pci设备之间互相独立不共享总线带宽，每个基于pci-e的网口可以使用的带宽为：2000mb bytes/s，即：16gbits/s，所以基于pci-e 4x的x86从系统带宽上来说，做为千兆防火墙是没有任何问题的。但是，基于pci-e的防火墙数据从网卡到cpu之间传输同样使用“中断”机制来传输数据，所以小包（64 bytes）的通过率仍然为：30-40%。
第二类，基于asic架构的防火墙、utm产品。
从上面对x86架构防火墙的分析中，我们了解到x86平台的防火墙其最大的缺点就是小包通速率低，只有30%－40%，造成这个问题的主要原因是因为x86平台的中断机制以及x86平台的防火墙所有数据都要经过主cpu处理。基于asci架构的防火墙从架构上改进了中断机制，数据从网卡收到以后，不经过主cpu处理，而是经过集成在系统中的一些芯片直接处理，由这些芯片来完成传统防火墙的功能，如：路由、nat、防火墙规则匹配等。这样数据不经过主cpu处理，不使用中断机制，理所当然，asic是做为功能简单的防火墙的最佳选择。
但随之而来的问题是，asic架构的防火墙是芯片一级的，所有的防火墙动作由芯片来处理。这些芯片的功能比较单一，要升级维护的开发周期比较长。尤其是作为多功能集成的utm网关来说，无法在芯片一级完成杀毒、垃圾邮件过滤、网络监控等比较复杂的功能，所以说，asic架构用来做功能简单的防火墙，是完全适用的，64 bytes的小包都可以达到线速。但asic架构做为utm就不是理想的选择，因为asic架构不可能把像网关杀毒、垃圾邮件过滤、网络监控等这些功能做到芯片一级去。
第三类，基于np架构的防火墙。
np架构实现的原理和asic类似，但升级、维护远远好于asic 架构。np架构在的每一个网口上都有一个网络处理器，即：npe，用来处理来自网口的数据。每个网络处理器上所运行的程序使用微码编程，其软件实现的难度比较大，开发周期比asic短，但比x86长。做为utm，由于np架构每个网口上的网络处理器性能不高，所以同样无法完成像网关杀毒、垃圾邮件、过滤、访问监控等复杂功能。
可能有人会问？asic 和 np为什么不可以把网关杀毒、和垃圾邮件过滤、访问监控等这些功能放在主cpu上来实现？这样不就可以做为utm方案使用了吗？这个问题问得很好，目前有很多基于np和asic的utm都是这样做的，但问题是asic和np架构的防火墙，其主cpu性能很低，如：intel基于ixp2400的千高端np方案，主cpu只有1.0g，处理能力还比不上celeron 1.0g，大家可以对照一下与其主频相当的x86平台的处理能力，
所以如果以asic和np架构来实现一个utm网关，只能是做为低端的方案来使用，如桌面型的utm，而并不能做为中、高端的utm来使用。
关 键 字：防火墙
篇2：防火墙、UTM产品硬件平台架构分析
现在市场上的防火墙、UTM产品从其架构上来说，大概分为三大类，
第一类是基于X86平台的，这种平台通常使用一颗或多颗主CPU来处理业务数据，网卡芯片和CPU通过PCI总线来传输数据。
由于传统的32位PCI总线频率为33MHZ，所以，理论通讯速率为：132 MB Bytes/S即：1056 MBits/S。单从PCI通讯的速率上来说是可以满足千兆防火墙的需要，但实际上PCI总线在X86系统中是共享的，也就是说，如果有两个网卡同时传输数据，那么每个网卡所能获得的速率就只有 66 MB Bytes/S，即：528 Mbits/S ，如果有四个网口同时传输数据，则每个网卡所能获得的速度只有16 MB Bytes/S，即128Mbit/S。
从总线速度来看基于32位PCI总线的X86平台，做为百兆防火墙的方案是没有任何问题的。但X86平台的防火墙方案，数据从网卡到CPU之间的传输机制是靠“中断”来实现的，中断机制导致在有大量数据包的需要处理的情况下(如：64 Bytes的小包，以下简称小包)，X86平台的防火墙吞吐速率不高，大概在30%左右，并且CPU占用会很高。这是所有基于X86平台的防火墙所共同存在的问题。
因此，基于32位PCI总线的X86平台是不能做为千兆防火墙使用的，因为32位PCI总线的通讯速率不能达到千兆防火墙的要求。针对这个问题，Intel提出了解决方案，可以把32位的PCI总线升级到了PCI-E ，即：PCI-Express，这样，PCI-E 4X的总线的速度就可以达到 2000MB Bytes/S，即：16Gbits/S，并且PCI-E各个PCI设备之间互相独立不共享总线带宽，每个基于PCI-E的网口可以使用的带宽为：2000MB Bytes/S，即：16Gbits/S，所以基于PCI-E 4X的X86从系统带宽上来说，做为千兆防火墙是没有任何问题的。但是，基于PCI-E的防火墙数据从网卡到CPU之间传输同样使用“中断”机制来传输数据，所以小包（64 Bytes）的通过率仍然为：30-40%。
第二类，基于ASIC架构的防火墙、UTM产品。
从上面对X86架构防火墙的分析中，我们了解到X86平台的防火墙其最大的缺点就是小包通速率低，只有30%－40%，造成这个问题的主要原因是因为X86平台的中断机制以及X86平台的防火墙所有数据都要经过主CPU处理。基于ASCI架构的防火墙从架构上改进了中断机制，数据从网卡收到以后，不经过主CPU处理，而是经过集成在系统中的一些芯片直接处理，由这些芯片来完成传统防火墙的功能，如：路由、NAT、防火墙规则匹配等。这样数据不经过主CPU处理，不使用中断机制，理所当然，ASIC是做为功能简单的防火墙的最佳选择。
但随之而来的问题是，ASIC架构的防火墙是芯片一级的，所有的防火墙动作由芯片来处理。这些芯片的功能比较单一，要升级维护的开发周期比较长。尤其是作为多功能集成的UTM网关来说，无法在芯片一级完成杀毒、垃圾邮件过滤、网络监控等比较复杂的功能，所以说，ASIC架构用来做功能简单的防火墙，是完全适用的，64 Bytes的小包都可以达到线速。但ASIC架构做为UTM就不是理想的选择，因为ASIC架构不可能把像网关杀毒、垃圾邮件过滤、网络监控等这些功能做到芯片一级去。
第三类，基于NP架构的防火墙。
NP架构实现的原理和ASIC类似，但升级、维护远远好于ASIC 架构。NP架构在的每一个网口上都有一个网络处理器，即：NPE，用来处理来自网口的数据，
每个网络处理器上所运行的程序使用微码编程，其软件实现的难度比较大，开发周期比ASIC短，但比X86长。做为UTM，由于NP架构每个网口上的网络处理器性能不高，所以同样无法完成像网关杀毒、垃圾邮件、过滤、访问监控等复杂功能。
可能有人会问？ASIC 和 NP为什么不可以把网关杀毒、和垃圾邮件过滤、访问监控等这些功能放在主CPU上来实现？这样不就可以做为UTM方案使用了吗？这个问题问得很好，目前有很多基于NP和ASIC的UTM都是这样做的，但问题是ASIC和NP架构的防火墙，其主CPU性能很低，如：Intel基于IXP2400的千高端NP方案，主CPU只有1.0G，处理能力还比不上Celeron 1.0G，大家可以对照一下与其主频相当的X86平台的处理能力。所以如果以ASIC和NP架构来实现一个UTM网关，只能是做为低端的方案来使用，如桌面型的UTM，而并不能做为中、高端的UTM来使用。
言归正传，那什么才是UTM网关合适的硬件方案呢？如果要在上述三种方案中选择一种的话，非X86架构莫属，当然，随着技术的发展，还有可能出现第四种防火墙的解决方案，可以做为实现UTM网关的完美平台，但这是后话，值得我们期待。X86平台的主要缺陷在于64Bytes的小包不能达到线速。但在实际用户中，除非是DOS、DDOS攻击才会产生大量的的小包，用户正常的应用不可能产生大量的小包。如果在基于X86平台的UTM产品中，解决好DOS和DDOS攻击的问题，那么，X86平台就是UTM网关理所当然的解决方案。对于这个问题，已经有产品开发了防DOS、DDOS攻击的功能，不但可以防御来自外网的DOS攻击而且能够防御来自企业内部网络的DOS、DDOS攻击，这样我们的UTM产品就解决了这个问题，使网关的稳定性和可靠性大大加强，在UTM整体性能方面优越于NP、ASIC。在遇到大规模的DOS、DDOS攻击时，也不会占用太多的CPU资源。
既然选择了X86做为UTM网关的硬件平台，那么，还会存在一个问题：“如果UTM网关处理的业务比较多，是否会影响网络速度？”，比较简单的答复是这样的：在CPU占用低于90%的时候，是不会影响网络速度的。因为UTM网关虽然集成了众多的功能，并且要求主CPU来处理这所有的业务。但从业务的方面来看，是独立的，如：收发邮件的数据就不会被做为通过HTTP上网的数据来处理，通过HTTP上网的数据也不会被做为邮件的数据来处理，所以当一个数据包通过UTM时，是分业务分流程处理的，在CPU占用90%以下时，CPU完全可以实时的处理这些业务。但如果CPU占用超过了90%，那怎么办？X86的平台是不是不能解决了？答案是否定的，对于这个问题，X86的平台的方案有两种解决方法：
方法一：支持多颗CPU。部分高端设备都配备了2颗以上CPU，更高端的设备甚至配备4颗CPU，这样CPU的处理能力也就不会成为瓶颈。
方法二：使用加速卡。比如把邮件过滤做成一个加速卡安全在系统中，在主CPU发现某个数据包为邮件数据时，把该数据包交给加速卡来完成，不占用主CPU资源。
综上所述可以得出一个结论，X86架构是UTM网关理想的硬件平台，目前来看，没有其它平台可以代替。
注解：
NP：网络处理器（Network Processor）
ASIC：专用集成电路（Application Specific Integrated Circuit）
百兆设备：指数据传输能力在 100Mbits/S 以上的网络传输设备，即：10Mbytes/S。
千兆设备：指数据传输能力在 1000Mbits/S以上的网络传输设备，即：100Mbytes/S
篇3：防火墙、UTM产品硬件平台架构分析服务器教程
现在市场上的防火墙、UTM产品从其架构上来说，大概分为三大类，
第一类是基于X86平台的，这种平台通常使用一颗或多颗主CPU来处理业务数据，网卡芯片和CPU通过PCI总线来传输数据。
由于传统的32位PCI总线频率为33MHZ，所以，理论通讯速率为：132 MB Bytes/S即：1056 MBits/S。单从PCI通讯的速率上来说是可以满足千兆防火墙的需要，但实际上PCI总线在X86系统中是共享的，也就是说，如果有两个网卡同时传输数据，那么每个网卡所能获得的速率就只有 66 MB Bytes/S，即：528 Mbits/S ，如果有四个网口同时传输数据，则每个网卡所能获得的速度只有16 MB Bytes/S，即128Mbit/S。
从总线速度来看基于32位PCI总线的X86平台，做为百兆防火墙的方案是没有任何问题的，
但X86平台的防火墙方案，数据从网卡到CPU之间的传输机制是靠“中断”来实现的，中断机制导致在有大量数据包的需要处理的情况下(如：64 Bytes的小包，以下简称小包)，X86平台的防火墙吞吐速率不高，大概在30%左右，并且CPU占用会很高。这是所有基于X86平台的防火墙所共同存在的问题。
因此，基于32位PCI总线的X86平台是不能做为千兆防火墙使用的，因为32位PCI总线的通讯速率不能达到千兆防火墙的要求。针对这个问题，Intel提出了解决方案，可以把32位的PCI总线升级到了PCI-E ，即：PCI-Express，这样，PCI-E 4X的总线的速度就可以达到 MB Bytes/S，即：16Gbits/S，并且PCI-E各个PCI设备之间互相独立不共享总线带宽，每个基于PCI-E的网口可以使用的带宽为：2000MB Bytes/S，即：16Gbits/S，所以基于PCI-E 4X的X86从系统带宽上来说，做为千兆防火墙是没有任何问题的。但是，基于PCI-E的防火墙数据从网卡到CPU之间传输同样使用“中断”机制来传输数据，所以小包（64 Bytes）的通过率仍然为：30-40%。
篇4：浅谈服务器硬件防火墙
在电脑世界什么最重用?相信有许多朋友都会想到安全，的确，在安全的基础上才能保障系统正常运行，保证自己的内容私密性，保证不会因为受攻击而DOWN机。那么，既然是最重要的部分，那一定就是最贵的吧。这次应该很多朋友会想错，用马云的话来说：“服务是全世界最贵的产品，所以最佳的服务就是不要服务，最好的服务就是不需要服务。”为了节约开支，为了“不需要服务”，在服务器领域里了硬防的概念，IDC服务器租赁商通常免费赠送硬防来争取赢得客户。
服务器硬防的简单介绍
服务器的硬防是指硬件防火墙，硬件防火墙是指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。 硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。因此，日常例行的检查对于保证硬件防火墙的安全是非常重要的。
系统中存在的很多隐患和故障在暴发前都会出现这样或那样的苗头，例行检查的任务就是要发现这些安全隐患，并尽可能将问题定位，方便问题的解决。
硬件防火墙的例行检查主要内容
1.硬件防火墙的配置文件
不论我们在安装硬件防火墙的时候考虑得有多么的全面和严密，一旦硬件防火墙投入到实际使用环境中，情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着，配置参数也会时常有所改变。作为网络安全管理人员，最好能够编写一套修改防火墙配置和规则的安全策略，并严格实施，
所涉及的硬件防火墙配置，最好能详细到类似哪些流量被允许，哪些服务要用到代理这样的细节。
在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。
2.硬件防火墙的磁盘使用情况
如果在硬件防火墙上保留日志记录，那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录，那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下，磁盘占用量的异常增长很可能表明日志清除过程存在问题，这种情况相对来说还好处理一些。在不保留日志的情况下，如果磁盘占用量异常增长，则说明硬件防火墙有可能是被人安装了Rootkit工具，已经被人攻破。
因此，网络安全管理人员首先需要了解在正常情况下，防火墙的磁盘占用情况，并以此为依据，设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线，就意味着系统遇到了安全或其他方面的问题，需要进一步的检查。
3.硬件防火墙的CPU负载
和磁盘使用情况类似，CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员，必须了解硬件防火墙系统CPU负载的正常值是多少，过低的负载值不一定表示一切正常，但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。
篇5：防火墙技术
一、防火墙原理
防火墙（FireWall）成为近年来新兴的保护计算机网络安全技术性措施，它是一种隔离控制技术，在某个机构的网络和不安全的网络（如Internet）之间设置屏障，阻止对信息资源的非法访问，也可以使用防火墙阻止重要信息从企业的网络上被非法输出。
作为Internet网的安全性保护软件，FireWall已经得到广泛的应用。通常企业为了维护内部的信息系统安全，在企业网和Internet间设立FireWall软件。企业信息系统对于来自Internet的访问，采取有选择的接收方式。它可以允许或禁止一类具体的IP地址访问，也可以接收或拒绝TCP/IP上的某一类具体的应用。如果在某一台IP主机上有需要禁止的信息或危险的用户，则可以通过设置使用FireWall过滤掉从该主机发出的包。如果一个企业只是使用Internet的电子邮件和WWW服务器向外部提供信息，那么就可以在FireWall上设置使得只有这两类应用的数据包可以通过。这对于路由器来说，就要不仅分析IP层的信息，而且还要进一步了解TCP传输层甚至应用层的信息以进行取舍。FireWall一般安装在路由器上以保护一个子网，也可以安装在一台主机上，保护这台主机不受侵犯。
二、防火墙的种类
从实现原理上分，防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。它们之间各有所长，具体使用哪一种或是否混合使用，要看具体需要。
1 网络级防火墙：
一般是基于源地址和目的地址、应用、协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。
2 应用级网关：
应用级网关能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册和稽核。它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。 在实际工作中，应用网关一般由专用工作站系统来完成。但每一种协议需要相应的代理软件，使用时工作量大，效率不如网络级防火墙，
应用级网关有较好的访问控制，是目前最安全的防火墙技术，但实现困难，而且有的应用级网关缺乏“透明度”。在实际使用中，用户在受信任的网络上通过防火墙访问Internet时，经常会发现存在延迟并且必须进行多次登录（Login）才能访问Internet或Intranet。
3 电路级网关：
电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息,这样来决定该会话（Session）是否合法,电路级网关是在OSI模型中会话层上来过滤数据包,这样比包过滤防火墙要高二层。
电路级网关还提供一个重要的安全功能：代理服务器（Proxy Server）。代理服务器是设置在Internet防火墙网关的专用应用级代码。这种代理服务准许网管员允许或拒绝特定的应用程序或一个应用的特定功能。包过滤技术和应用网关是通过特定的逻辑判断来决定是否允许特定的数据包通过，一旦判断条件满足，防火墙内部网络的结构和运行状态便“暴露”在外来用户面前，这就引入了代理服务的概念，即防火墙内外计算机系统应用层的“链接”由两个终止于代理服务的“链接”来实现，这就成功地实现了防火墙内外计算机系统的隔离。同时，代理服务还可用于实施较强的数据流监控、过滤、记录和报告等功能。代理服务技术主要通过专用计算机硬件（如工作站）来承担。
4 规则检查防火墙：
该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过滤防火墙一样，规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也象电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。当然它也象应用级网关一样，可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合企业网络的安全规则。
规则检查防火墙虽然集成前三者的特点，但是不同于一个应用级网关的是，它并不打破客户机/服务器模式来分析应用层的数据，它允许受信任的客户机和不受信任的主机建立直接连接。规则检查防火墙不依靠与应用层有关的代理，而是依靠某种算法来识别进出的应用层数据，这些算法通过已知合法数据包的模式来比较进出数据包，这样从理论上就能比应用级代理在过滤数据包上更有效。
三、使用防火墙
在具体应用防火墙技术时，还要考虑到两个方面：
1、防火墙是不能防病毒的，尽管有不少的防火墙产品声称其具有这个功能。
2、防火墙技术的另外一个弱点在于数据在防火墙之间的更新是一个难题，如果延迟太大将无法支持实时服务请求。并且，防火墙采用滤波技术，滤波通常使网络的性能降低50%以上，如果为了改善网络性能而购置高速路由器，又会大大提高经济预算。
总之，防火墙是企业网安全问题的流行方案，即把公共数据和服务置于防火墙外，使其对防火墙内部资源的访问受到限制。作为一种网络安全技术，防火墙具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到一定的安全要求。
篇6：防火墙技术论文
1、影响网络安全的因素
1.1 数据威胁
数据是构成网络信息的主体也是网络安全需要保护的对象, 数据运行中存在的漏洞被发现并研究, 开发利用漏洞进行针对性破坏的漏洞, 以植入木马、病毒、脚本的形式对计算机数据进行窃取、破坏、修改, 严重的可造成计算机系统瘫痪, 影响政府和企业服务器正常运行或泄露个人电脑用户隐私和造成财产损失。
1.2 外力破坏
外力破坏主要以刻意利用木马、病毒攻击计算机, 其次以利用网站病毒、邮件病毒的方式。由于用户不正确的电脑使用习惯, 如长期使用电脑却不定期杀毒给病毒以可乘之机, 或攻击者摸清网民的上网习惯和偏好的网站后对网民经常访问网站植入攻击链接, 引发网民计算机下载并运行病毒或木马, 直接对网民计算机进行攻击。
1.3 环境威胁
互联网中计算机都与服务器连接, 所有计算机处于信息共享环境中, 而用户访问互联网必须经由互联网环境, 故环境威胁不可避免。而因互联网共享环境中客户端数量较多, 网络环境内的攻击频繁且强烈。网络环境的攻击主要以互联网环境内计算机之间数据包传输的形式, 与木马病毒破坏计算机软件不同的是, 数据包中带入的网络攻击主要攻击内网的防护结构, 为“数据威胁”和“外力破坏”两种方式提高成功率和加大破坏力。
2、防火墙的类型及特点
2.1 防火墙的分类及其原理
1.数据包过滤型
数据包过滤型防火墙主要通过查看流经数据的包头, 再决定不同数据包的去向。此种防火墙对数据包常见操作有丢弃 (DROP) 和接受 (ACCEPT) 两种, 也可执行其他操作。只有满足过滤条件的数据包才被防火墙转发到相应目的地, 其余数据包被阻挡或丢弃。数据包过滤的特点有对用户透明;过滤速度快、效率高。缺点是只能根据数据包的来源、目的地、端口等网络信息进行判断, 不能完全杜绝地址欺骗。数据包过滤与一些应用协议不兼容, 不能防范不断更新的攻击, 不能处理新的安全威胁。
2.网络地址转换 (NAT)
网络地址转换是将IP地址临时转换成外部的、注册的IP地址标准。在内部网络需要访问外部网络时, NAT系统将用于对外访问的源地址和源端口映射为一个伪装的地址和端口与外网连接, 以达到隐藏计算机真实内部地址的目的, 外部计算机安全网卡访问本地用户计算机内网时, 并不知道内网的网络情况, 只能与在互联网中的这一IP地址和端口进行访问, 防火墙只需根据网络安全管理员编写好的映射规则来判断这个访问的安全性再进行安全操作。NAT过程对于用户来说可视化的程度高, 由于NAT能根据预定规则运行, 所以不需用户进行繁杂的设置, 只需简单操作, 有操作门槛低, 易于上手等优点。
3、防火墙技术在计算机网络安全中的应用
3.1 访问策略中的应用
防火墙技术判断有害数据的核心依据是访问策略, 访问策略在计算机网络安全中占据主体地位。访问策略的实施主要以网络技术管理员预先配置的形式为主, 经过周全的设计布置, 依据深入统计的网络信息交换传递特点, 构建科学、完善的网络防护系统。
防火墙在访问策略中经过以下几个保护流程:
(1) 防火墙将运行中的信息划分为不同的单位, 针对每个单位布置内、外两方面的访问保护;
(2) 防火墙通过既有的访问策略对计算机运行的目的地址、端口地址等参数进行学习, 以适应计算机信息传递的特点;
3.2 日志监控中的应用
计算机防火墙生成的日志文件可用来高级计算机用户或发烧友对其进行分析, 以获取计算机运行中的后台行为信息。日志监控和分析在网络安全保护中很重要, 用户分析防火墙日志时, 只关注重要信息即可。具体操作方法是对网络防火墙生成的日志文件信息进行分类, 以降低日志有用信息采集的难度。计算机用户或管理员对日志监控的灵活运用, 使人工智能与防火墙安全技术相结合, 提升网络安全防护能力和网络优化效果。
结语:作为内部网络与外部网络公共网络之间的第一道屏障, 防火墙是最容易被计算机使用者和单位接受的网络安全产品之一。防火墙处于网络安全的最底层, 负责网络安全认证和传输工作, 不仅保证起到识别和过滤的作用, 同时还能为各种联网应用提供网络安全服务。随着信息技术和互联网在日常生活中被广泛普及和应用, 人们对计算机信息安全等级要求愈来愈高, 对网络信息安全管家防火墙的技术更新升级速度也提出了挑战。
参考文献
[1]于志刚.网络思维的演变与网络犯罪的制裁思路[J].中外法学, 20xx, 26 (04) :1045-1058.
[2]马利, 梁红杰.计算机网络安全中的防火墙技术应用研究[J].电脑知识与技术, 20xx, 10 (16) :3743-3745.
[3]赵文胜.论信息安全的刑法保障[D].武汉大学, 20xx.
[4]隋晓冰.网络环境下大学英语课堂教学优化研究[D].上海外国语大学, 20xx.
[5]雷瑞林.计算机网络安全中的防火墙技术研究[J].福建电脑, 20xx (05) :43+54.
篇7：防火墙技术论文
摘要：随着经济的发展，互联网技术越来越发达。网络已经成为人们生活中必不可少的部分。当然，网络的迅速发展也是具有两面性的，它就是一把双刃剑，一方面它给人们的生活带来了便利，让我们的生活方式更加快捷。另一方面，计算机也存在一些安全问题。例如，互联网会出现一些信息泄露、支付安全等问题。所以，维护和建立一个健康的网络环境尤为重要。文章研究了防火墙技术在计算机网络中的应用。
关键词：网络；防火墙；信息；技术
社会的高速发展下，人们对网络的依赖性越来越强。包括日常生活中的网上购物，大到上万小到几块的支付。再到网上搜索一些信息，基本上生活离不开网络。但是网络也是一把双刃剑，在这些交易的过程中，会需要我们注册各种信息，包括身份信息、银行卡信息。这些信息放在网上，总会有一些不法分子和程序偷取信息。那么，网络的安全性必须引起我们的重视。目前，防火墙技术就是解决网络安全问题的重要手段之一。
1防火墙技术存在的问题
1.1第一代防火墙技术
以往的第一代防火墙技术是通过对每个数据包检查流经网络的简单包过滤技术，按照一定的安全要求来断定能否符合既定要求。要具有良好的理解能力，只是单单了解数据处理的更高协议是行不通的。1985年，Cisc的IOS技术产生并处理分析出了第一代防火墙技术。经过多年的不断研究和改善。在各个方面都有了很大的提高和完善。它的运行速度和安全检测能力也有了巨大的提升。这项技术基于数据包中目的地址内容经过判断对数据包的全部内容进行分析，促使一些不良的数据包不会对计算机本身产生安全隐患。这项技术会先对数据源头进行检测，并由此完成一步一步向下传递的任务。这项技术的优点是速度快且费用较低。但就目前而言，它还不能对计算机进行深层次的检测，所以还不够完善。目前的网络发展存在一定的漏洞[1]。
1.2第三代防火墙
应用层网关（ApplicationLayerGateway，ALG）也叫应用层防火墙或应用层代理防火墙，其进程名是alg.exe，应用层网关通常被描述为第三代防火墙。它是由美国电报公司实验室发现的。当网络上受信任的用户连接到不安全网络（如Internet）上的服务时，这项技术就会指引至防火墙中的代理服务器。代理服务器可以伪装成Internet上的真实服务器。它可以对我们发出的请求进行评估，并根据一套单个网络服务的规则决定允许或拒绝该请求，来有效地解决计算机与计算机之间存在的一些不信任问题。
1.3电路层网关代理技术
20世纪80年代电路网关代理技术产生。这项技术设立了内端口和外端点的连接。达成了数据层的.传输。这就实现了防火墙与主机，主机和防火墙的建立。也就把数据包检测内容分成了传输控制协议（TransmissionControlProtocol，TCP）的两个部分。TCP在中转时，会连接外界和网关的母的地址。过程中分析和处理传输层的非交互数据，能够让用户通过检验网关技术，就能穿越网关访问系统和服务。这一技术也存在一些问题。它无法对数据包进行更深层的访问和认证。它只是用于服务器和用户间的联系[2]。
2目前计算机运用的防火墙技术
2.1多级过滤技术
随着经济的不断发展，网络技术研究也受到更深入的研究。传统的防火墙技术都存在一个共同特点，都采用逐一匹配的方法，这样的话计算量会很大。怎样才能提升计算机的安全性，成为我们研究的重点。随着不断的深入研究，多级过滤技术产生。它是由分组过滤、应用网关过滤、电路网关3个部分组成。第一部分分组过滤能先过滤掉一些虚假的IP地址，第二级别对服务器系统进行安全检测和防护。最后一阶段电路网关是最终的守护者，建立起主机和外部站点的联系，实现服务和运用的安全管理。
2.2计算机内部的转换
计算机技术的不断进步和发展，使得计算机网络之间的转化变得更加透明和安全。计算机之间处理的直接化使得我们的网络运用更加安全化。一些入侵程序再也无法深入窃取我们的信息和隐私。不仅这样，计算机内部的转化透明化还会提高我们主机地址的准确性。也为我们一些公司企业的内部专用网络提供了便捷的访问权限。所以，防火墙的技术在计算机安全方面起着重要作用。
2.3深化计算机系统的处理层
之前的防火墙在运用中要进行登录或者通过对路径的修改来达成电脑安全的防护。但这些只是对一些表层问题有所修护。而深化透明我们的访问方式可以对IP地址进行判断和能力进行转化。更加透明的转换方式可以对我们电脑处理层进行深化，对用户信息进行加密，减少系统和深层数据库存在的一些风险。
2.4口字令技术的运用
互联网的发展随之会带来许多安全隐患，我们在防患过程中也会遇到一些解决不了的问题。新型的防火墙技术运用于计算机时，针对数据远程传输中存在的问题，我们也研究出了一些解决方法。新型的防火墙技术在计算机运用过程中，采用了加密技术和鉴别技术。在防火墙自身系统通过口令技术自带防护技术。提升了计算机的安全性。工作和使用效率也得到了大大提高。
2.5告警功能和审计功能
防火墙的技术日益完善，为减少一些数据包中存在的安全问题对计算机的影响。告警功能和审计功能出现在新型防火技术中，而且成为重要的维护安全的产品。对通过不同计算机的地址的内容进行审计和认证，减少了服务器与服务器之间的安全隐患。提高了计算机数据和系统之间的安全性。审计功能的出现就像我们多了一位安全检测员，在运用中，有这样的一个功能让信息更加安全。而在使用过程中，告警功能会在出现异常、漏洞、危险程序时进行及时的警报。对计算机系统和信息进行了及时防护，避免出现信息泄露、程序异常等诸多问题[3]。
3如何运用防火墙技术
3.1访问策略的重要性
在日常生活中，如何更好地让我们的防火墙技术运用在生活工作中，主要还是在访问策略的制订上。我们在制订策略时，做好和认清什么可以访问，什么不可以访问。计算机在实际操作和运用中，对计算机系统进行合理的分配，可以在运用计算机时根据系统提示，安装一些科学的、安全的软件，对电脑的软件和一些病毒信息泄露进行深层保护和防护，为我们的互联网打造一个干净、无污染的网络环境。
3.2日志监控的重要性
防火墙技术的使用越来越广泛。除了在源头建立访问策略，日志监控也是重要的手段之一。我们的防火墙技术会在电脑出现异常时出现告警状态。随之也会产生日志监控，这个日志的存在也是十分重要的。当电脑出现问题时，可以通过这项功能研究分析出一些存在的问题和潜在风险，随之建立一些保护措施，确保电脑的安全使用。当出现问题时，日志可以最直接地反映出，可以帮助我们最快速度找出问题，解决问题，重新建立防火墙，拦截一些危险的程序和病毒，从而提高防火墙的使用率。
3.3合理的建立安全配置
防火墙的重点内容就在于如何做好安全配置。如何对安全网络进行模块化管理十分重要。把网络划分成不同的版块。区分出不同模块所受保护的程度。相似的模块划分成一个区域。我们可以根据自身得需要进行“区别”的对待。比如，工作中相关的文件和内容可以进行加密或重点保护，一些娱乐版块可以放在不太重要的区域。这样的优化资源配置才会把防火墙技术最大程度的运用。“区别”对待不是直接分离，它还是会在同一个区域网内，所有的版块组合在一起，还是一个计算机的内部网络。这一技术的建立可以让电脑更加优化，让信息更加安全，防火墙技术才能真正地运用于生活。
3.4保护数据安全的重要性
经济的发展，互联网的进步，防火墙技术的完善更加凸显出数据的重要性。网络时代，数据是最重要的资源。如何才能把这一资源优化利用尤为重要。我们可以发现，现在的网络环境十分自由。许多信息出现在网络上。当然有很多信息可以在网上免费查找运用，但也有许多信息也是具有一定保密性的，不是对外公开的。比如，我们登记在网上的一些银行信息、财务关系，还有一些研究成果和资料都是一些不可窃取的秘密。一直以来，很多私人的信息会出现在网上，比如电话号码、身份信息、家庭住址等。这样的做法极其需要我们的防火墙技术来减少这种行为的发生。所以，防火墙技术在网络数据运用中要尤为重视。通过初始的一些措施，及时阻止一些安全隐患的发生，提高我们互联网环境的质量[4]。
4结语
总而言之，随着社会的日益发展，互联网技术越来越发达。为减少出现个人信息、密码、身份等数据泄露，建立一个干净的网络环境我们应该运用新型的防火墙技术，重视访问策略在防火墙技术中的重要作用，结合日志监控功能，优化安全配置资源，注重数据安全的应用，不断更新和注重防火墙技术在计算机网络中的运用。
[参考文献]
[1]王海荣.防火墙技术入侵检测系统在高校校园网运用分析[J].电子技术与软件工程，20xx（10）：194-195.
[2]冯旗.浅述计算机防火墙技术[J].电子测试，20xx（9）：65-67.
[3]肖继海.防火墙技术发展趋势探析[J].信息安全与技术，20xx（8）：12-13.
[4]陈健.计算机网络安全常见问题与对策[J].信息系统工程，20xx（3）：44-45.
篇8：防火墙技术论文
摘要：随着计算机技术的不断发展，一些问题也接踵而来，最主要的就是网络安全问题。现代一些不法分子利用网络漏洞，进行违法行动，防火墙由此而生。防火墙的主要作用就是保护计算机不受网络病毒和外界入侵的干扰，是计算机一种基础、有效防护措施。
关键词：计算机网络安全；防火墙；计算机自我防御
0引言
计算机网络安全主要指的是网络信息传输的安全性和保密性，防止系统安装的病毒软件或者外界强制攻击造成的个人信息泄密。开启防火墙的计算机不管是系统数据的安全还是日常运行，都会有一定的保障，现代我国的计算机网络安全保护技术有很多，本文主要讲解的方向就是防火墙，分析防火墙在计算机网络安全保护的作用和所处的位置，直观的理解防火墙--在计算机在进行网络互动的时候实施信息保护，先排除一些自弹危险窗口和自动下载病毒，再而保护整个计算机的操作系统，设置监管节点。防火墙在计算机网络安全保护中有着至关重要的作用。
1计算机网络存在的安全问题
1.1概述
我国现在的计算机都或多或少都存在一些安全问题，如访问系统的监管能力不强，没有一套针对性的措施来避免计算机网络安全上造成的损失。现代的一些入门防护措施只能对一些旧型的入侵进行简单防护，一旦出现稍微复杂的系统，就极可能被入侵，从而造成计算机系统的损坏和个人信息的泄露。现在很多从事秘密工作的人员对于计算机网络安全没有一个较为完善的概念，没有对计算机进行有效的网络安全防护，就很容易出问题，而等到发现问题以后再想办法为时已晚，无法补救，这样的情况造成的损失通常都是很严重的[1]。
1.2对于计算机安全系统防御力不高方面
首先，对于我国的计算机系统来说，其对网络攻击的防御效果不佳，安全防范体系并不完善，防御系统升级调整不及时，由此导致网络安全问题十分严重。目前，网络病毒与网络攻击十分猖獗，网络攻击大多是利用计算机或网络防御体系中的漏洞，进行隐秘是或者毁灭性的入侵，从而达到破坏或者盗取信息的目的。目前，最常见的网络攻击方式有木马病毒攻击、IP攻击、端口攻击、拒绝服务攻击。
1.3对安全监测数据信息上存在的问题方面
安全监测数据信息上存在的问题主要是由于系统的访问存在一定的缺陷，导致系统在访问控制系统时只能够解决程序内部设定的问题解决，对于新出现的安全问题不能进行及时的预警和解决，导致实际的数据安全受到一定的威胁，且计算机网络系统出现问题之后，往往会对原本的计算机处理系统造成严重的威胁，给计算机内部数据造成更加严重的威胁。例如，20xx年出现的“敲诈者病毒”、“勒索病毒”给人们的财产安全带来重大威胁。然而，大多数杀毒软件都没有做好数据监测工作，只是在事后制定防御机制，而不能有效改变这一问题。对此，相关技术人员必须树立正确的思想意识，加强系统防护。严格按照相关规定对数据进行监测，一旦发现问题及时启动预警防御措施。
2针对计算机网络信息安全对防火墙技术的应用分析方面
对于计算机的网络信息系统安全方面存在的问题，要建立起科学的防火墙技术，利用网络防火墙保证计算机网络系统的安全工作。计算机网络信息安全的保障思路，首先要考虑到的是数据加密的方法对于数据安全性的促进作用，在实际的操作当中，可以将数据进行加密，结合计算机网络防火墙实现对相应数据的强化保护[2]。对于实际的数据加密的方式，主要是通过网络连接和相应的端口加密来进行的，因此需要网络安全维护程序当中的控制端与协议类型符合实际的网络数据筛选条件，以实现对数据的实时转发。
3防火墙的种类及具体的使用方面
3.1对于包过滤防火墙技术的叙述
包过滤技术主要是指有选择性的对信息进行合理的判断，分辨信息的实际意义，并拒绝不良信息传输的技术。包过滤防火墙主要通过网络参考模型中的数据传输与控制，来实现相应计算机网络的保护。例如，网络传输工作当中，在对网络传输的目的IP进行相应的保护工作时，能够主动获取信息传输中的IP，并对其中的数据包进行必要的分析与识别，以保证正确信息传输的安全性和可靠性。另一方面，包过滤防火墙技术可以在计算机的内部形成新的监测网，从内到外对信息进行全面的控制和监督，从而实现过滤数据、防御攻击的目的[3]。另外，实际的包过滤防火墙技术往往应用在路由器和电脑的主机上，它可以通过实际的需求选择内网封闭或者外网开放的应用形式来实现对数据的监控管理。
3.2应用型防火墙与网路型防火墙方面
对于应用型防火墙和网络型防火墙的运用来说，网络型防火墙主要是通过网络的IP端口地址转化、注册来确保与外网的连接正确，加强对网络的实时控制。在实际的计算机访问网络的时候，即内部网络与外部网络沟通的时候，网络防火墙发挥主要作用，它能够对自动的网络终端地址和相应的端口进行监督、分析、管理，通过改变终端地址和外界网络与实际端口的连接来保证网络得到有效的控制。计算机的防火墙是为了保护计算机各项工作稳定进行的基础，只有建立完善计算机防火墙，才能够保证计算机各项数据的安全性，保证相应用户的各项隐私。所有数据要进入系统必须经过防火墙的筛选与过滤，这就给防火墙保护功能的发挥提供了可能，例如通过对某一频繁发送信息的IP进行锁定，以抵御不法分子的攻击。多防火墙联合防御是提高网络安全的重要方法。该技术方法结合了多种防火墙系统，对网络防火墙采用多种类型共同配置的方式配置防火墙，在计算机的内部将防火墙的工作内容分层次、分等级的设置，以保证相互之间的工作不受冲突。多个防火墙组成的安全系统可以监控到不同区域的安全问题，各个防火墙通过相互之间的转化，对网络的不良信息进行分层次的过滤，达到提升网络系统整体安全的目的。
4计算机网络信息安全中防火墙技术的有效运用
计算机网络的系统安全主要靠对整体网络的实时监控来实现，简单来说就是将先进的科学技术融入到计算机网络系统当中，然后利用这些技术手段实现对网络的全面管理，从而保证计算机用户相关数据的机密性，保证相关数据的安全。在计算机实际使用的过程中，由于使用者之间存在一定的差异，他们对计算机安全防护墙的认识也并不全面。例如，计算机网络使用者会认为防火墙的设置保护的是网络形式的隐私和相应信息，同时认为防火墙能够保证网络不受外界各个因素的影响而安全运行。在网络系统的专业人员看来，防火墙技术对维护网络信息的安全具有一定的促进作用，其在网络系统发生异常或者出现问题时，能够保护网络信息。对于网络信息的交流而言，信息的传送方可以将相应的信息加密处理，建立全面的安全网络系统规则，从而实现计算机网络与外界连接传输信息的机密性和安全性，保证在不法分子入侵系统时，无法窥探到信息的具体内容。计算机的网络防火墙技术在维护计算机网络信息安全上发挥了巨大的作用：
（1）计算机网络防火墙能够对存在风险的文件和信息进行有效的分析、研究、过滤，确认文件安全后传输到计算机当中，防止计算机被病毒侵入；
（2）计算机网络防火墙能够在一些没有得到正确授权的登入者登入时，拒绝登入，及时防范不法分子侵入计算机盗取信息；
（3）计算机网络防火墙也可以规范计算机用户本身的操作，对于一些违规的和不安全的网站，能够及时进行屏蔽，规范用户安全、合法地使用计算机网络。实际的工作当中，计算机网络防火墙对于用户来说，既是保障计算机网路安全的一种有效手段，又是规范用户使用计算机网络的一种行之有效的方式；
（4）对于一些企业或有工作需要的个人来说，计算机上涉及大量的数据，计算机网络防火墙的存在使得用户数据文件的安全得到保障，避免用户数据的安全受到威胁，避免文件被盗。计算机网络防火墙是保障计算机网络安全的一项基本措施，因此，要不断的将先进的技术融入到计算机网络防火墙的建设当中，已对其不断的进行优化管理，充分发挥计算机网络防火墙的真正作用。
5结论
综上所述，对于计算机网络信息安全中防火墙技术的有效运用与分析要从实际的科学技术出发，将先进的科学技术与实际的计算机网络防火墙相结合，建立安全网络信息安全管理系统，使计算机用户的实际信息得到可靠的保护；将网络安全管理与防火墙相结合，对网络数据进行必要的检查的同时，注重对系统本身的监控管理，从而不断的提高计算机网络信息的安全性。
参考文献：
[1]骆兵.计算机网络信息安全中防火墙技术的有效运用分析[J].信息与电脑（理论版），20xx（9）：193-194.
[2]谢平.计算机网络信息安全中防火墙技术的有效运用研究[J].通讯世界，20xx（19）：97-98.
[3]何承.计算机网络安全中防火墙技术的有效运用分析[J].福建质量管理，20xx（1）：171-172.
篇9：防火墙技术论文
摘要:
网络技术的迅速发展,给人们生活带来便利的同时一些网络犯罪也逐渐出现,因此信息安全的保密工作成为网络建设中的关键点,而防火墙技术就是其中重要的一个技术。防火墙相当一个屏障,竖立在内部网络与外部网络之间,保护内部网络安全。本文阐述了防火墙的功能,实现防火墙的主要技术手段,并对防火墙技术的未来进行了展望。
关键词:防火墙网络安全发展趋势
1防火墙概述
1.1防火墙的概念
防火墙主要是用来加强网络之间的访问和控制,以防止安全策略中禁止的通讯,从而保护计算机安全的一种硬件或软件。它和建筑之中的防火墙功能有些类似,通常外部的网络用户以非法的手段从外部网络进入内部网络,访问内部网络资源,窃取数据。为了保护计算机的安全,防火墙对两个或者以上的安全策略进行检查,进行的通讯是否安全从而决定是否放行,同时也监视者网络的运行状态。设立防火墙的主要目的是出于信息的安全考虑,防止外部的用户任意的浏览计算机内部信息和窃取数据,以达到保护计算机安全的目的。
1.2防火墙的功能
防火墙的功能主要有,隔离内外网络,增加保密内容,防止信息被有意盗窃。建立检查点,强化安全策略,记录一些入侵途径的日志,监控网络情况,为预警提供方便等。
2防火墙与入侵检测技术
2.1入侵检测系统概述
入侵检测是对一些有害的信息进行监测或者阻止,它可以对信息安全提供保障。根据检测系统监测的对象是主机还是网络,可以将入侵检测系统主要分为两种。
2.1.1基于主机的入侵检测系统这类系统主要用于保护运行关键应用的服务器。通过查看日志文件,可以发现入侵或者入侵的企图,并迅速的启动应急程序,从而到达避开检测系统的目的。
2.1.2基于网络的入侵检测系统这种入侵检测系统通过在共享的网段上对数据的监听来收集数据并分析可疑的对象数据,这种系统不要严格的审计,因此对主机的要求不高,而且还可以提供对网络通用的的保护,不必去担心不同主机的不同架构。
2.2入侵检测系统面临的挑战
入侵检测系统(IDS)是近些年来发展起来的一种动态安全防范技术,它主要是通过对一些关键点收集信息并对它们进行分析,看行为是否有被攻击的迹象。这也是一种集检测、记录、报警、响应的动态安全技术,它不仅能检查外部的入侵行为,也可以检测内部的行为,这种检测技术主要面临着三个挑战,分别表现在以下几个方面:
(1)如何来提高检测数据的速度以适应日益发展的网络通信要求;
(2)如何来提高检测系统的检测安全性和准确性;
(3)如何来提高整个检测系统的互动性能。这些挑战在以后的信息安全问题中将继续凸显出来,所以只有继续提高检测技术来应对这些方面的挑战。
2.3防火墙与入侵技术的结合
从概念上我们可以看出防火墙是一种对入侵比较被动的防御,而入侵检测相对来说是一种主动的防御。防火墙作为第一道防线,阻止了网络层的攻击,拒绝了一些明显的攻击数据但是还是放入了一些隐藏攻击的数据,这时就需要入侵检测技术的支持。如果防火墙加入了入侵检测技术那么很快就会确认入侵者,这样就大大的提高了防火墙的整体防御效力。下面是防火墙和入侵检测系统的两种合作方式。一种是紧密的结合。这种结合就是把入侵检测技术配置到防火墙中。这种结合使得所有的数据在经过防火墙的同时也会接受入侵检测技术的检查。来判断数据包是否有入侵嫌疑。从而达到即时阻挡。第二种是两者之间拿出一个开放接口给对方调用,并且按照一定的协议进行交流。这种结合方式是在对防火墙和入侵检测的优缺点进行分析后研究建立的模型,实现了功能上的优势互补。无论是哪种方式,入侵检测技术和防火墙的结合都很好的解决了防火墙可以阻挡但难发现入侵的弊端,同时也解决了入侵检测技术容易发现进攻但难阻挡的劣势。这样的结合型防火墙不仅能快速的发现进攻而且还能够及时做出反应来阻挡进攻。同时高效的收集有关入侵信息也给了入侵很大的威慑力。
3防火墙发展趋势及前景
防火墙的一些安全问题暴露出防火墙的一些不足,防火墙开始出现了一种更高级的防火墙,这是也是防火墙一种设计理念的升华。这种较为先进的防火墙带有检测系统,它通过过滤数据来检测入侵,这也是现有防火墙的一种主流模式了。在未来防火墙的检测技术中将继续聚合更多的范畴,这些聚合的范畴也很大的提高了防火墙的性能和功能的扩展,与此同时我们可以展望未来的防火墙必定是向着多功能化、高性能、智能化、更安全的方向发展。
3.1多功能化防火墙
现在防火墙已经出现了一种聚成多种功能的设计趋势,入侵检测这样的功能很多出现在现在防火墙产品中了,这样的设计给管理性能带来了不少的提升。甚至会有更多新颖的设计出现在防火墙中,比如短信功能,当防火墙的规则被变更或者出现入侵攻击的时候,报警行为会通过多种途径将消息发送到管理员手中,包括即时短信,或者电话呼叫。以确保安全行为第一时间即被启动。也许在不久的将来我们就可以在防火墙产品上看到更多更出色的功能设计。
3.2高性能防火墙
另外一种趋势是性能的提高,未来的防火墙在功能上的提高一定会伴随着性能的提升,特别是数据的流量日益复杂更需要性能的保障。如果只是要求性能的提高必然会出现问题。单纯的流量过滤性能问题是比较容易解决的问题,但是与应用层涉及越密,性能提高需要面对的问题就会越来越复杂。特别是在大型应用环境中防火墙规则库有几万的记录,这对防火墙的负荷来说是很大的考验,所以一些并行处理技术的高性能防火墙将出现在人们的眼中。
3.3智能化防火墙
网络中的一些以垃圾电子邮件的发送,恶意性网站网页的弹出问题等,这些已经不是简单的防火墙技术可以解决的。传统防火墙解决的效果差而且效果也不好,所以智能防火墙在未来的发展趋势中也必定发挥出相应的作用。所以不论是从功能还是性能或者其他方面来说防火墙在今后都将会迅速发展,这也是反映了信息安全对防火墙的要求,同时也是防火墙的发展趋势。
参考文献
[1]刘彦保.防火墙技术及其在网络安全中的应用[J].安徽教育学院学报,20xx.
[2]龙毅.探讨防火墙技术的网络安全[M].硅谷.20xx,(6):181-181.
