防火墙在中小企业中的应用设计论文

I

毕业设计（论文）

题目防火墙在中小企业中的应用

姓名

学号

专业系统维护

班级系统维护二班

指导教师

职称

2011年09月

摘要

本文阐述了防火墙的原理，详细论述了基于中小型企业的特殊条件下，构建网络防火墙的思想和步骤。安全是一个不容忽视的问题，当人们在享受网络带来的方便与快捷的同时，也要时时面对网络开放带来的数据安全方面的新挑战和新危险。为了保障网络安全，当局域网与外部网连接时，可以在中间加入一个或多个中介系统，防止非法入侵者通过网络进行攻击，非法访问，并提供数据可靠性、完整性以及保密性等方面的安全和审查控制，这些中间系统就是防火墙(Firewall)技术。

本课题主要研究的是针对不同企业的安全需求，制定不同的网络安全解决方案，以保障网络的安全性。

关键词：防火墙；网络安全；企业

Abstract

Security is a problem can not be ignored, when people enjoy the convenience and fast networks to the same time, we must always face the network data security and opening of new challenges and new dangers. In order to protect network security, LAN and external network when connected, you can join in the middle of one or more intermediate systems, to prevent the illegal intruder attacks through the network, unauthorized access, and to provide data reliability, integrity and confidentiality, etc. safety and review of control, these intermediate systems is a firewall (Firewall) technology.

Key words:Firewall，Network security，Enterprise

目录

第1章概述 (1)

1.1网络安全体系介绍 (1)

1.2网络安全与防火墙 (2)

第2章防火墙的概念 (3)

2.1防火墙概述 (3)

2.1.1 防火墙的定义 (3)

2.1.2 为什么使用防火墙 (3)

2.1.3 防火墙的功能 (4)

2.2 防火墙的分类 (5)

2.2.1 按防火墙技术分类 (5)

2.2.2 按防火墙应用部署位置分类 (7)

2.2.3 按防火墙性能分类 (7)

2.3 防火墙在网络中的连接 (7)

2.3.1 连接局域网和广域网 (7)

2.3.2 连接内部网和第三方网络 (9)

2.3.3 连接不同子网 (9)

2.4 典型硬件防火墙产品推介 (9)

2.5 防火墙最新技术及发展 (12)

2.5.1 防火墙包过滤技术发展趋势 (12)

2.5.2 防火墙的体系结构发展趋势 (12)

2.5.3 防火墙的系统管理发展趋势 (13)

第3章防火墙在中小企业网中的应用 (14)

3.1中小企业网络面临的安全风险 (14)

3.1.1内部窃密和破坏 (14)

3.1.2网络窃听 (14)

3.1.3假冒 (14)

3.1.4完整性破坏 (14)

3.1.5其它网络的攻击 (15)

3.1.6管理及操作人员缺乏安全知识 (15)

3.1.7雷击 (15)

3.2企业防火墙选购三要素 (15)

3.2.1第一要素：防火墙的基本功能 (16)

3.2.2第二要素：企业的特殊要求 (17)

3.2.3第三要素：与用户网络结合 (17)

第4章企业网网络安全总体设计 (19)

4.1安全设计总体考虑 (19)

4.2网络安全 (20)

4.2.1网络传输 (20)

4.2.2访问控制 (23)

4.2.3入侵检测 (24)

4.2.4漏洞扫描 (25)

4.3应用系统安全策略 (25)

4.3.1系统平台安全 (25)

4.3.2应用平台安全 (25)

4.3.3病毒防护 (26)

4.3.4系统设计原则 (26)

4.3.5产品应用 (27)

4.3.6数据备份 (28)

4.3.7安全审计 (29)

4.3.8认证、鉴别、数字签名、抗抵赖 (29)

第5章方案设计与实现 (30)

5.1 项目背景 (30)

5.2 项目需求 (31)

第6章网络安全的现状与展望 (33)

6.1现阶段网络安全技术的局限性 (33)

6.2 防火墙技术发展趋势 (33)

6.3 入侵检测技术发展趋势 (34)

6.4 防病毒技术发展趋势 (35)

参考文献 (39)

第1章概述

随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。

大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某些人而故意引起的。可以看出保证网络安全不仅仅是使它没有编程错误。它包括要防范那些聪明的，通常也是狡猾的、专业的，并且在时间和金钱上是很充足、富有的人。同时，必须清楚地认识到，能够制止偶然实施破坏行为的敌人的方法对那些惯于作案的老手来说，收效甚微。

因此网络的安全变得尤为重要，防火墙的出现使得这一局面开始变得更加稳定，各种各样的攻击开始被防火墙阻止在外，以保证网络的安全性。但是随着网络攻击的日益复杂，防火墙的防攻击手段越来越多，因此对于防火本身的处理复杂数据的能力出现了隐患。

1.1网络安全体系介绍

每个网络都必须建立起自己的网络安全体系结构(NSA，Network Security Architecture)，包括完善的网络信息访问控制策略、机密数据通信安全与保护策略、灾难恢复规划、对犯罪攻击的预防检测等。一个安全系统的建设涉及的因素很多，是一个庞大的系统工程。一般情况下，采取以下需要措施。

(1)物理措施

例如，保护网络关键设备(如交换机、大型计算机等)，制定严格的网络安全规章制度，采取防辐射、防火等措施。

(2)访问控制

对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限，等等。

(3)数据加密

加密是保护数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。

(4)防止计算机网络病毒

病毒对计算机网络的危害越来越严重，必须引起高度重视。1988年11月3日，美国康乃尔大学一年级研究生罗特·莫里斯编制的称为“蠕虫”的计算机病毒通过Internet网大面积传播，致使6000多台主机被感染，直接经济损失超过6000万美元。

(5)其他措施

其他措施包括容错、数据镜像、数据备份和审计等。近年来，围绕网络安全问题提出了许多解决办法，例如数据加密技术和防火墙技术等。数据加密是对网络中传输的数据进行加密，到达目的地后再解密还原为原始数据，目的是防止非法用户截获后盗用信息。防火墙技术是通过对网络的隔离和限制访问等方法来控制网络的访问权限，从而保护网络资源。其他安全技术包括密钥管理、数字签名、认证技术、智能卡技术和访问控制等。

1.2网络安全与防火墙

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入。该局域网内所有的计算机流入流出多的所有网络通信均要经过防火墙。

防火墙、IDS、IPS，是解决网络安全问题的基础设备，他们所具备的过滤、安全功能能够抵抗大多数来自外网的攻击。配备这些传统的网络防护设备，实现面向网络层的访问控制，是企业安全上网的前提。

第2章防火墙的概念

2.1防火墙概述

2.1.1 防火墙的定义

所谓“防火墙”，指的就是一种被放置在自己的计算机与外界网络之间的防御系统，从网络发往计算机的所有数据都要经过它的判断处理后，才会决定能不能把这些数据交给计算机，一旦发现有害数据，防火墙就会拦截下来，实现了对计算机的保护功能。

1．进出内部网的数据流都必须通过防火墙

图2.1数据流通过防火墙示意图

2．只有符合安全策略的数据流才能通过防火墙

3．防火墙自身应该能够防止渗透

2.1.2 为什么使用防火墙

防火墙只在已授权和未授权通信之间做出决断。

如果周围没有防火墙，安全就完全仰仗主机自身了。而整个系统的安全将由系统中安全性最差的主机所决定。网络越大，把网络内所有主机维护至同样高的安全水平就越复杂。若一时粗心，就会因简单的配置错误或未能修补所有漏洞导致入侵的发生。

企业的系统和数据有以下三个方面受到防火墙保护：

机密性的风险

包括未经授权就访问敏感数据或数据的过早泄露。

数据完整性的风险

包括未经授权就对数据进行修改，例如财务信息、产品特性或某网站上商品的价格。

可用性的风险

系统可用性保证系统可以适时地为用户服务。

2.1.3 防火墙的功能

防火墙的主要功能，一般来说主要有以下几个方面：

（1）隔离不同的网络，防止内部信息的泄露

（2）强化网络安全策略

（3）创建一个阻塞点

（4）包过滤

（5）有效地监控、审计和记录内、外部网络上的活动

（6）流量控制和统计分析、流量计费

（7）NAT（网络地址转换）

（8）VPN（虚拟专用网）

（9）URL级信息过滤

（9）杀毒技术

（10）其他特殊功能

2.2 防火墙的分类

2.2.1 按防火墙技术分类

（1）包过滤（Packet filtering）技术

（2）应用代理网关技术

（3）状态检测技术

（4）复合型防火墙技术

(1)．包过滤（Packet filtering）技术

包过滤防火墙工作在网络层，对数据包的源及目地 IP 具有识别和控制作用，对于传输层，也只能识别数据包是TCP还是UDP及所用的端口信息，现在的路由器、Switch Router 以及某些操作系统已经具有用 Packet Filter 控制的能力。

由于只对数据包的 IP 地址、 TCP/UDP 协议和端口进行分析，包过滤防火墙的处理速度较快，并且易于配置。

包过滤防火墙具有根本的缺陷：

（1）不能防范黑客攻击

（2）不支持应用层协议

（3）不能处理新的安全威胁

(2)．应用代理网关技术

应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的 TCP 连接，应用层的协议会话过程必须符合代理的安全策略要求。

优点：可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强。

缺点也非常突出，主要有：

（1）难于配置

（2）处理速度非常慢

(3)．状态检测技术

状态检测防火墙摒弃了包过滤防火墙仅考查数据包的 IP 地址等几个参数，而不关心数据包连接状态变化的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力，如图2.2所示。

图2.2状态检测防火墙工作原理图

(4)．复合型防火墙技术

复合型防火墙是指综合了状态检测与透明代理的新一代的防火墙，进一步基于ASIC架构，把防病毒、内容过滤整合到防火墙里，其中还包括VPN、IDS功能，多单元融为一体，是一种新突破。

图2.3复合型防火墙工作原理图

(5)．四类防火墙技术的对比

包过滤防火墙：包过滤防火墙不检查数据区，包过滤防火墙不建立连接状态表，前后报文无关，应用层控制很弱。

应用代理网关防火墙：不检查IP、TCP报头，不建立连接状态表，网络层保护

比较弱。

状态检测防火墙：不检查数据区，建立连接状态表，前后报文相关，应用层控制很弱。

复合型防火墙：可以检查整个数据包内容，根据需要建立连接状态表，网络层保护强，应用层控制细，会话控制较弱。

2.2.2 按防火墙应用部署位置分类

按照这种分类标准又可以将防火墙划分为：

1.边界防火墙

2.个人防火墙

3. 混合型防火墙

2.2.3 按防火墙性能分类

如果按防火墙的性能来分可以分为：

1.百兆级防火墙

2.千兆级防火墙

2.3 防火墙在网络中的连接

1.连接局域网和广域网

2.连接内部网和第三方网络

3.连接不同子网

2.3.1 连接局域网和广域网

(1)．用户网络已存在边界路由器

（2）．用户网络不存在边界路由器

图2.5不存在边界路由器的示意图

2.3.2 连接内部网和第三方网络

这种连接方式对于一般规模的网络应用不是很多，但是在大型企事业计算机网络中，往往有多个合作伙伴或者社会结构，此时就需要用到这种连接方式

图2.6内网与外网连接示意图

2.3.3 连接不同子网

这种连接方式在安全性要求较高的企业网络中比较常见，例如跨国公司等，公司内部网络包含多个部门的子网络，而有些局域网的数据是不允许其他用户访问的，因此，就要在这些局域网中设置防火墙进行隔离。

图2.7防火墙隔离示意图

2.4 典型硬件防火墙产品推介

（1）.国内硬件防火墙产品推介

产品名称：天融信 NGFW4000-UF(TG-5366)防火墙

硬件配置：标配4个10/100/1000BASE-T千兆电口、6个千兆SFP扩展接口、2个10/100BASE-T端口。

适合企业：大中型企业级防火墙。

图 2.8天融信 NGFW4000-UF(TG-5366)防火墙

产品名称：H3C SecPath F1000-S-AC防火墙

硬件配置：1个配置口（CON）、1个备份口（AUX）、2个10/100/1000M以太网口（支持光口或者电口）、2个10/100/1000M以太网口（支持电口）、2个MIM 插槽。

适合企业：大中型企业级防火墙。

图 2.9 H3C SecPath F1000-S-AC防火墙

产品名称：RG-WALL1600千兆防火墙/VPN网关

硬件配置：固化4个10/100/1000BaseT 端口+4个SFP端口。

适合企业：大中型企业级防火墙。

图 2.10 RG-WALL1600千兆防火墙/VPN网关

(2)．国外硬件防火墙产品推介

产品名称：Cisco Secure PIX 515-E防火墙

硬件配置：它具有一个集成化的VAC，64MB的RAM，最多可以支持六个10/100快速以太网接口。

适合企业：中小型企业级防火墙。

图 2.11 Cisco Secure PIX 515-E防火墙

产品名称：Juniper NetScreen 208防火墙

硬件配置：具有8个自适应10/100M以太网端口。

适合企业：大中型企业级防火墙。

图2.12 Juniper NetScreen 208防火墙

2.5 防火墙最新技术及发展

随着新的网络攻击的出现，防火墙技术也有一些新的发展趋势。这主要可以从：

1.包过滤技术

2.防火墙体系结构

3.防火墙系统管理三方面来体现

2.5.1 防火墙包过滤技术发展趋势

1．加强了用户身份认证

2．多级过滤技术

3．使防火墙具有病毒防护功能。

2.5.2 防火墙的体系结构发展趋势

随着网络应用的增加，对网络带宽提出了更高的要求。这意味着防火墙要能够以非常高的速率处理数据。

为了满足这种需要，一些防火墙制造商开发了基于ASIC的防火墙和基于网络处理器的防火墙。从执行速度的角度看来，基于网络处理器的防火墙也是基于软件的解决方案，它需要在很大程度上依赖于软件的性能，但是由于这类防火墙中有一些专门用于处理数据层面任务的引擎，从而减轻了CPU的负担，该类防火墙的性能要比传统防火墙的性能好许多。

2.5.3 防火墙的系统管理发展趋势

防火墙的系统管理也有一些发展趋势，主要体现在以下几个方面：1．首先是集中式管理，分布式和分层的安全结构是将来的趋势2．强大的审计功能和自动日志分析功能

3．网络安全产品的系统化

第3章防火墙在中小企业网中的应用

3.1中小企业网络面临的安全风险

3.1.1内部窃密和破坏

企业网络上同时接入了所有部门的网络系统，因此容易出现部门内不怀好意的人员（或外部非法人员利用公司内某部门的计算机）通过网络进入内部网络，并进一步窃取和破坏其中的重要信息（如领导的网络账号和口令、重要文件等）。

3.1.2网络窃听

攻击者可以采用如Sniffer等网络协议分析工具，在INTERNET网络安全的薄弱处进入INTERNET，并非常容易地在信息传输过程中获取所有信息（尤其是敏感信息）的内容。

3.1.3假冒

企业网内部用户，也可能来自INTERNET内的其它用户。如系统内部攻击者伪装成系统内部的其他正确用户。攻击者可能通过冒充合法系统用户，诱骗其他用户或系统管理员，从而获得用户名/口令等敏感信息，进一步窃取用户网络内的重要信息。或者内部用户通过假冒的方式获取其不能阅读的秘密信息。

3.1.4完整性破坏

信息在传输过程中或者存储期间被篡改或修改，使得信息/数据失去了原有的真实性，从而变得不能用或造成广泛的负面影响。由于企业网内有许多重要信息，因此那些不怀好意的用户和非法用户就会通过网络对没有采取安全措施的服务器上的重要文件进行修改或传达一些虚假信息，从而影响工作的正常进行。