精华区文章阅读

发信人: Iamhere (灯火阑珊), 信区: Communication
标  题: Internet防火墙系统的设计与实现(1)      dormouse
发信站: 哈工大紫丁香 (2001年06月15日23:40:06 星期五), 站内信件

发信人: arclight (别惹我，正烦着呢！), 信区: CRC
标  题: Internet防火墙系统的设计与实现(1)
发信站: 紫丁香 (Wed Jul  7 12:25:53 1999), 转信

转载自通信学报1998.1       Internet防火墙系统的设计与实现


                                          林晓东杨义先马严
                                      (北京邮电大学北京 100876)
                                                   王仲文
                                   (北京电子科技学院北京 100039)

摘　要　　本文首先分析了目前流行的网络互连协议——TCP/IP协议存
在的安全问题及Internet网的不安全性，然后给出了Internet网安全可
行的解决方案——防火墙技术，同时分析了传统防火墙系统存在的不足，
并设计了一个基于包过滤、代理技术和密码技术的双层防火墙系统，最
后探讨了防火墙技术的发展方向。
关键词　TCP/IP?nbsp;防火墙?nbsp;网络安全?nbsp;Internet ?nbsp;intranet

1　前言

　　随着计算机网络的发展，网络的开放性、共享性、互连程度扩大，比?
Internet网的出现，一些网络新业务开始兴起，比如电子商业(electronic commerce)
数字货币(digital csash)、互联网络银行等，安全问题显得越来越重要，成
为关键之所在。因此网络安全成了数据通信领域研究和发展的一个重要方向，
目前，网络互连的协议一般采用TCP/IP协议，TCP/IP协议在制订之初，没有把
安全考虑在内，所以没有安全可言，协议中存在很多的安全问题，由此人们开
始研究各种各样的网络安全技术来保证网络安全，方法主要有两种，一种是制
订桓鲂碌陌踩耐缁チ椋热鏘Pv6，另一种是在兼容目前网络系统的
基础上开发网络安全产品来保证网络上的信息安全，前一种目前不是很现实，
因此现在唯一可行的解决方法就是采用网络安全技术，比如密码技术、防火墙
技术等，现解决网络安全问题的一个有效方法就是在内部网和外部网之间设置
防火墙，因此，研究防火墙技术，无任从理论上还是实际应用中都具有十分重
要的意义，本文在分析了TCP/IP协议的安全缺陷及Internet网的不安全性后，
提出了一种Internet防火墙系统的设计与实现方案。

2　TCP/IP协议的安全问题［1，2］

　　Internet是基于TCP/IP协议的，TCP/IP协议具有网络互连能力强、网络技
术独立，支持FTP、TELNET、SMTP和HTTP等标准应用协议，是目前能够满足异
种计算机、异构网络互连要求的网络互连协议，但是由于它在制定之初，没有
考虑安全性问题，因此协议中存在着很多安全问题，主要有：

　　(1) TCP/IP协议数据流采用明文传输，因此数据信息很容易被在线窃听、
篡改和伪造，特别是在使用FTP和TELNET时，用户的帐号、口令是明文传输，
所以攻击者可以截取含有用户帐号、口令的数据包，进行攻击，例如使用
SNIFFER程序、SNOOP程序、网络分析仪等；

　　(2) 源地址欺骗(Source address spoofing)，TCP/IP协议是用IP地址来
作为网络节点的唯一标识，但是节点的IP地址又是不固定的，因此攻击者可以
直接修改节点的IP地址，冒充某个可信节点的IP地址，进行攻击；

　　(3) 源路由选择欺骗(Source Routing spoofing)，TCP/IP协议中，IP数据包为
测试目的设置了一个选项——IP Source Routing，该选项可以直接指明到达节
点的路由，攻击者可以利用这个选项进行欺骗，进行非法连接，攻击者可以冒
充某个可信节点的IP地址，构造一个通往某个服务器的直接路径和返回的路径，
利用可信用户作为通往服务器的路由中的最后一站，就可以向服务器发请求，对
其进行攻击，在TCP/IP协议的两个传输层协议TCP和UDP中，由于UDP是面向非连
接的，因而没有初始化的连接建立过程，所以UDP更容易被欺骗；

　　(4) 路由选择信息协议攻击(RIP Attacks)，RIP协议用来在局域网中发布
动态路由信息，它是为了在局域网中的节点提供一致路由选择和可达性信息而
设计的，但是各节点对收到的信息是不检查它的真实性的，TCP/IP协议没有提
供这个功能，因此攻击者可以在网上发布假的路由信息，利用ICMP的重定向信
息欺骗路由器或主机，将正常的路由器定义为失效路由器，从而达到非法存取
的目的；

　　(5) 鉴别攻击(Authentication Attacks)，TCP/IP协议只能以IP地址进行鉴别，
而不能对节点上的用户进行有效的身份认证，因此服务器无法鉴别登录用户的
身份有效性，目前主要依靠服务器软件平台提供的用户控制机制，比如UNIX系
统采用用户名、口令，虽然口令是密文存放在服务器上，但是由于口令是静态
的、明文传输的，所以无法抵御重传、窃听，而且在UNIX系统中常常将加密后
的口令文件存放在一个普通用户就可以读的文件里，攻击者也可以运行已准备
好的口令破译程序来破译口令，对系统进行攻击；

--
※ 来源:．紫丁香 bbs.hit.edu.cn．[FROM: sys03.hit.edu.cn]

Communication 版 (精华区)