一前言此文着重阐述linux下的防火墙的不同实现之间的区别，以ipchains, iptables, checkpoint FW1为例。

开发技术指南» 文章正文

引言：一前言此文着重阐述linux下的防火墙的不同实现之间的区别，以ipchains, iptables, checkpoint FW1为例。

摘要：fwtk是一套用来建立和维护内部网络防火墙的工具集。它包含了许多独立的组件，大部分组件是代理应用程序，如telnet、ftp、rlogin、 sendmail、http、x windows等。与squid、socks等同类软件相比，它的突出优点是不但可以从本地和目标地的主机名、ip地址来指定访问规则，而且可以根据访问操作来允许或拒绝某个执行命令，充分地体现了应用层网关的优势。本文以telnet为例......

·iptables配置工具比较 »显示摘要«

摘要：在过去几年中，linux作为防火墙平台的应用显著增长。从早期1.2版内核的ipfwadm开始，linux的防火墙代码也走过了很长一段路程了。在2.4版的linux内核中，使用了netfilter体系。在最新的2.4版中，linux大大加强了安全性，例如：更好的加密支持和 netfilter体系的使用。netfilter具有完全的向后兼容性。本文将对iptables的配置做一个综述并且重点介绍一......

linux防火墙实现技术比较(1)

一前言

二基本概念【程序编程相关:PIX 506E防火墙】

此文着重阐述linux下的防火墙的不同实现之间的区别,以ipchains, iptables, checkpoint fw1为例. 【推荐阅读:利用IP地址欺骗突破防火墙】

【扩展信息:深入防火墙记录】

2.0

在进入正题之前,我将花少许篇幅阐述一些基本概念.尽管防火墙的术语这些年基本上没有太大的变化,但是如果你以前只看过90年代初的一些文献的话,有些概念仍然会让你混淆.此处只列出一些最实用的,它们不是准确的定义,我只是尽可能的让它们便于理解而已.

2.1 包过滤:

防火墙的一类.80年代便有论文来描述这种系统.传统的包过滤功能在路由器上常可看到,而专门的防火墙系统一般在此之上加了功能的扩展,如状态检测等.它通过检查单个包的地址,协议,端口等信息来决定是否允许此数据包通过.

2.2 代理:

防火墙的一类.工作在应用层,特点是两次连接（browser与proxy之间,proxy与web server之间）.如果对原理尚有疑惑,建议用sniffer抓一下包.代理不在此文的讨论范围之内.

2.3 状态检测:

又称动态包过滤,是在传统包过滤上的功能扩展,最早由checkpoint提出.传统的包过滤在遇到利用动态端口的协议时会发生困难,如ftp.你事先无法知道哪些端口需要打开,而如果采用原始的静态包过滤,又希望用到的此服务的话,就需要实现将所有可能用到的端口打开,而这往往是个非常大的范围,会给安全带来不必要的隐患.而状态检测通过检查应用程序信息（如ftp的port与pass命令）,来判断此端口是否允许需要临时打开,而当传输结束时,端口又马上恢复为关闭状态.

2.4 dmz非军事化区:

为了配置管理方便,内部网中需要向外提供服务的服务器往往放在一个单独的网段,这个网段便是非军事化区.防火墙一般配备三块网卡,在配置时一般分别分别连接内部网,internet与dmz.

2.5

由于防火墙地理位置的优越（往往处于网络的关键出口上）,防火墙一般附加了nat,地址伪装与vpn等功能,这些不在本文的讨论范围.

三检测点

3.0 综述

包过滤需要检查ip包,因此它工作在网络层,截获ip包,并与用户定义的规则做比较.

3.1 ipchains

摘自

----------------------------------------------------------------

... 下一页

·为什么实现千兆防火墙很困难 »显示摘要«

摘要：千兆防火墙的代表产品包括netscreen的 5000系列防火墙，以及nodia-checkpoint的ip720以上的产品。这种防火墙的特点是网络吞吐性能要求高（即带宽要求高），普通的硬件主板不能承受，市场出货量又少。因此，在世界上能够实现的厂家很少，而且必须是世界级的进行市场推广的公司才能推出真正的千兆防火墙。其他的，即使是名为千兆，实际上也只是假千兆，说穿了就是把千兆卡用到百兆防火墙的内核上......

» 本期热门文章：

· 热门栏目：

» 相关精选文章

» 其它相关：