資訊與網路安全技術：第 十章 防火牆  上一頁      下一頁

 

10-2 防火牆簡介

內容：

 10-2-1 何謂防火牆

何謂『防火牆』（Firewall）？ 這是初學者最迫切想知道的答案，如果從字面來解釋，好像是防止火災氾濫，建構一道堅固如銅牆鐵壁般的隔離措施。其實這樣解釋並不能完全表現出防火牆的功能，倒比較像中國古代的護城牆。護城牆保護著城內的居民免受外敵侵犯（如秦始皇所建的萬里長城），它除了阻擋外敵侵犯外，還必須維持城內和城外居民進出暢通，因此必須設有進出城門。有了城牆與城門之後，如何管制人民的進出？如何限制城內外人民的通訊方式？如何防範敵人偽裝混入城內從事破壞的工作？如何偵測出偽裝入城的敵人？以及如何恢復入侵敵人的破壞？以上等等便是『防火牆』所涵蓋的安全措施。10-10-2-2 防火牆的功能

簡單的說，防火牆好比是城門的防護措施，如果防護太過嚴密（甚至關閉城門），便會失去建構網路的目的；但過於鬆散，易使內部資料暴露於外人之手，其間實難取捨。一般就安全措施的鬆緊度而言，主要依照私有網路的『安全政策』（Security Policy）而定，並沒有一定的標準。

圖 10-2 防火牆的功能

我們可用圖 10-2 來說明防火牆的功能。防火牆是介於公眾網路和私有網路（或稱內部網路、受保護的網路）之間，是所有對內/對外通訊的『咽喉點』。當外部網路使用者欲傳送訊息進入內部網路，稱為『進入』（Inbound）封包；而內部使用者送往外部網路的訊息，則稱為『外出』（Outbound）封包。防火牆功能就是管制『進入』與『外出』封包的進出，以達到安全防護的目的。

圖 10-2-1防火牆架構

圖 10-3 防火牆協定堆疊

10-2-3 防火牆的措施

為了管制封包進出，一般建構防火牆有以下三大措施：

  • 過濾封包：依照封包的型態或內容來過濾它是否可以進出私有網路。過濾封包並不能保證完全防止入侵，許多入侵者都會偽造封包來矇騙封包過濾器。再者，過濾封包的原則也很容易產生漏洞，讓入侵者有機可乘。

  • 代理機制：進入或外出的封包並不直接通過防火牆，而是由某一個代理伺服器（Proxy Server）來完成客戶端的要求，再轉傳給客戶端。代理程式可以檢視封包內的『內容』（Content），並決定是否給予轉送（過濾功能）。

  • 網路位址轉譯（Network Address Translation, NAT）：其功能是隱藏內部網路位址。將內部私有網路位址轉譯到外部的合法位址，便可隱藏內部伺服器的真正位址，免除成為外部攻擊者的攻擊目標。

雖然 NAT 位址轉譯功能也是屬於防火牆的一種，但透過位址轉譯的伺服器將無法獨立運作於外部網路，它可說是接近於『鐵幕』般的安全措施。一般討論防火牆功能還是以封包過濾、電路閘門與應用層閘門等三種為主。

翻轉工作室：粘添壽

 

 

資訊與網路安全技術

 

 

翻轉電子書系列：