如何建立安全防火墻

2013-07-10 09:46 作者：ly 瀏覽量：

隨著網絡應用的不斷發展和深入，我們對于那些溝通信息的紐帶也越來越依賴，如何保證網絡安全、穩定、暢通地運行也就成為緊迫而且重要的問題。 

　　鑒于目前防火墻已經成為最普遍的網絡安全解決方案，在這里艾銻無限就主要討論如何建立一個安全的防火墻系統。 

　　防火墻是什么東西呢？它相當于一個閥門，一個過濾器或者說國家的海關、邊防檢查站，負責審查經過的數據和信息，根據設定的規則處理不同的情況。由此可見，建立一個安全的防火墻系統并不僅僅取決于購買了什么牌子的設備，更重要的是在于使用者是否了解本企業網絡的情況、掌握用戶的實際需求并正確地付諸實施。 

　　目前防火墻主要有三類：建立在通用操作系統上的軟件防火墻、具有安全操作系統的軟硬件結合的防火墻和基于專用安全操作系統的硬件防火墻。代表產品有Check Point、東大阿派Neteye、Linux下的IPChains、Cisco的PIX等等。 

　　目前的防火墻從結構上講，可分為兩種： 

1.應用網關結構 

內部網絡<—>代理網關(Proxy Gateway)<—>Internet。 

2.路由器加過濾器結構 

內部網絡<—>過濾器(Filter)<—>路由器(Router)<—>Internet。 

　　總的來講，應用網關結構的防火墻系統在安全控制的粒度上更加細致，多數基于軟件系統，用戶界面更加友好，管理控制較為方便；路由器加過濾器結構的防火墻系統多數基于硬件或軟硬件結合，速度比較快，但是一般僅控制到第三層和第四層協議，不能細致區分各種不同業務；有一部分防火墻結合了包過濾和應用網關兩種功能，形成復合型防火墻。具體使用防火墻則應該根據本企業實際情況加以選擇。 

　　下面我就用一個實際例子講解建立安全防火墻系統的過程。 

　　所有的內部網絡用戶通過兩個路由器連接防火墻，防火墻作為本網絡的唯一出口連接到Internet。內部網絡有兩個網段：192.168.1.0 /255.255.255.0和192.168.2.0 /255.255.255.0。 

　　在本例中，我使用的是基于Linux 的軟件防火墻 IPChains 。它運行在系統內核，采用路由器加過濾器結構，但也可以與SQUID等軟件組成復合型應用網關防火墻。IPChains在系統內核層運行，可以保證更高的速度和穩定性，性能遠高于運行在應用程序層的防火墻軟件。根據我個人經驗，一臺運行在PII 300計算機上的雙網卡防火墻，其包轉發速度就可以達到45～60M/S，滿足300個用戶使用。作為防火墻的主機兩端地址分別為 192.168.233.1/255.255.255.248（內部端口）和202.102.184.1/255.255.255.252（外部端口）。 

　　首先，我們應該確定用戶的需求，再根據需求進行實現。 

　　經調研，用戶需求如下： 

1、保障內部網絡安全，禁止外部用戶連接到內部網絡。 

2、保護作為防火墻的主機安全，禁止外部用戶使用防火墻的主機Telnet、FTP等項基本服務，同時要保證處于內部網絡的管理員可以使用Telnet管理防火墻。 

3、隱蔽內部網絡結構，保證內部用戶可以通過僅有的一個合法IP地址202.102.184.1連接Internet。同時要求許可內部用戶使用包括E-Mail、WWW瀏覽、News、FTP等所有Internet上的服務。 

4、要求對可以訪問Internet的用戶進行限制，僅允許特定用戶的IP地址可以訪問外部網絡。 

5、要求具備防止IP地址盜用功能，保證特權用戶的IP不受侵害。 

6、要求具備防IP地址欺騙能力。 

　　其次，根據用戶需求設計解決方案。 

　　方案設計如下： 

　　1、安裝一臺Linux服務器，配置雙網卡，兩端地址分別為192.168.233.1 /255.255.255.252（內部端口ETH 0）和202.102.184.1/255.255.255.248（外部端口ETH 1）。在IPChains中去除諸如 HTTPD、Finger、DNS、DHCP、NFS、SendMail之類所有不需要的服務，僅保留Telnet和FTP服務，以保證系統運行穩定，提高網絡安全性。 

　　2、啟動IPChains后，為保證安全性，首先將Forward Chains的策略設置為DENY，禁止所有的未許可包轉發，保障內部網安全性，以滿足需求1。 

eg：# ipchains-P forward DENY 

　　3、為滿足需求2，必須禁止所有來自外部網段對防火墻發起的低于1024端口號的連接請求。在此，我做了如下設定來阻止對ETH1端口請求連接小于1024端口號的TCP協議的數據報（請求連接數據報帶有SYN標記，IPChains中使用參數-y表示） 

eg：#ipchains -A input -p tcp -d 202.102.184.1 0:1024 -y -i eth1 -j DENY 

　　之所以不是簡單的拒絕所有小于1024端口號的數據報在于，某些情況下服務器會回復一個小于1024接口的數據報。比如某些搜索引擎就可能在回復查詢中使用一個不常用的小于1024的端口號。此外，當使用DNS查詢域名時，如果服務器回復的數據超過512字節，客戶機使用TCP連接從53端口獲得數據。 

　　4、為滿足需求3，必須使用IP地址翻譯功能。來自內部保留地址的用戶數據包在經過防火墻時被重寫，使包看起來象防火墻自身發出的。然后防火墻重寫返回的包，使它們看起來象發往原來的申請者。采用這種方法，用戶就可以透明地使用因特網上的各種服務，同時又不會泄露自身的網絡情況。注意，對于FTP服務，需要加載FTP偽裝模塊。命令如下： 

eg: # insmod ip_masq_ftp 

　　5、為滿足需求4，可以在已經設置為DENY的Forward Chains中添加許可用戶。因為許可這部分用戶使用所有的服務，訪問所有的地址，所以不用再指定目標地址和端口號。假定許可IP地址為192.168.1.22，配置命令如下： 

eg: #ipchains-A forward-s 192.168.1.22 -j MASQ 

　　同時，必須啟動系統的IP包轉發功能。出于安全的考慮，建議在設置了Forward Chains的策略設置為DENY，禁止所有的未許可包轉發后再開啟轉發功能。 

　　配置命令如下： 

# echo 1 > /proc/sys/net/ipv4/ip_forward 

　　6、關于防止IP地址盜用問題，在本網絡拓撲中，可見所有用戶都是通過兩個路由器連接到防火墻，所以只需要在路由器中建立授權IP地址到MAC地址的靜態映射表即可。如果有客戶機直接連接到防火墻主機，就需要使用ARP命令在防火墻主機中建立IP地址到MAC地址的靜態映射表。 

　　7、對于需求6，只要在進入端口中設定IP地址確認，丟棄不可能來自端口的數據包就可以了。配置命令如下： 

# ipchains -A input -i eth1 -s 192.168.0.0/255.255.0.0 -j DENY 

　　至此，就算基本建立起來一個較為安全的防火墻了，再針對運行中出現的問題進行修改，調試無誤后就可以用ipchains-save命令將配置保存起來。需要再次使用時，用命令 ipchains-restore即可。 

　　其他的包過濾防火墻與IPChains的運行原理都相差不遠，配置命令也大同小異。市面上出售的防火墻雖然可以預置一些基本的內容，但由于最終用戶要求和環境千差萬別，免不了要自己動手配置。 

　　從上面的例子我們可以看出，建立一個安全的防火墻關鍵在于對實際情況的了解，對用戶需求的掌握和對工具的熟練運用與正確實施上，這是真正的重點

做為一家企業IT服務提供商，我們有責任也有義務為企業提供IT外包的相關信息，為企業的發展提升更高的效率，創造更大價值。

艾銻無限，成就夢想！