一種用來加�(qiáng)�(wǎng)�(luò)之間訪問控制、防止外部網(wǎng)�(luò)用戶以非法手段通過外部�(wǎng)�(luò)�(jìn)入內(nèi)部網(wǎng)�(luò)、訪問內(nèi)部網(wǎng)�(luò)資源,保�(hù)�(nèi)部網(wǎng)�(luò)操作�(huán)境的特殊�(wǎng)�(luò)互連設(shè)備�
防火墻的本義是指古代�(gòu)筑和使用木制�(jié)�(gòu)房屋的時(shí)�,為防止火災(zāi)的發(fā)生和蔓延,人們將�(jiān)固的石塊堆砌在房屋周圍作為屏�,這種防護(hù)�(gòu)筑物就被稱之為“防火墻�。其�(shí)與防火墻一起起作用的就是“門�。如果沒有門,各房間的人如何溝通呢,這些房間的人又如何�(jìn)去呢?當(dāng)火災(zāi)�(fā)生時(shí),這些人又如何逃離�(xiàn)�(chǎng)�?這�(gè)門就相�(dāng)于我們這里所講的防火墻的“安全策略�,所以在此我們所說的防火墻實(shí)際并不是一堵實(shí)心墻,而是帶有一些小孔的�。這些小孔就是用來留給那些允許�(jìn)行的通信,在這些小孔中安裝了過濾�(jī)制,也就是上面所介紹的“單�?qū)ㄐ浴薄?/FONT>
我們通常所說的�(wǎng)�(luò)防火墻是借鑒了古代真正用于防火的防火墻的喻義,它指的是隔離在本地�(wǎng)�(luò)與外界網(wǎng)�(luò)之間的一道防御系�(tǒng)。防火可以使企業(yè)�(nèi)部局域網(wǎng)(LAN)網(wǎng)�(luò)與Internet之間或者與其他外部�(wǎng)�(luò)互相隔離、限制網(wǎng)�(luò)互訪用來保護(hù)�(nèi)部網(wǎng)�(luò)�
種:軟件防火�
軟件防火墻運(yùn)行于特定的計(jì)算機(jī)�,它需要客戶預(yù)先安裝好的計(jì)算機(jī)操作系統(tǒng)的支�,一般來說這臺(tái)�(jì)算機(jī)就是整�(gè)�(wǎng)�(luò)的網(wǎng)�(guān)。俗稱“�(gè)人防火墻�。軟件防火墻就像其它的軟件產(chǎn)品一樣需要先在計(jì)算機(jī)上安裝并做好配置才可以使�。防火墻廠商中做�(wǎng)�(luò)版軟件防火墻最出名的莫過于Checkpoint。使用這類防火�,需要網(wǎng)管對(duì)所工作的操作系�(tǒng)平臺(tái)比較熟悉�
第二種:硬件防火�
這里說的硬件防火墻是指“所謂的硬件防火墻�。之所以加�"所�"二字是針�(duì)芯片�(jí)防火墻說的了。它們的差別在于是否基于專用的硬件平�(tái)。目前市�(chǎng)上大多數(shù)防火墻都是這種所謂的硬件防火墻,他們都基于PC架構(gòu),就是說,它們和普通的家庭用的PC沒有太大區(qū)�。在這些PC架構(gòu)�(jì)算機(jī)上運(yùn)行一些經(jīng)過裁剪和�(jiǎn)化的操作系統(tǒng),最常用的有老版本的Unix、Linux和FreeBSD系統(tǒng)� 值得注意的是,由于此類防火墻采用的依然是別人的內(nèi)核,因此依然�(huì)受到OS(操作系�(tǒng))本身的安全性影��
傳統(tǒng)硬件防火墻一般至少應(yīng)具備三�(gè)端口,分別接�(nèi)�(wǎng),外�(wǎng)和DMZ區(qū)(非軍事化區(qū)�,現(xiàn)在一些新的硬件防火墻往往�(kuò)展了端口,常見四端口防火墻一般將第四�(gè)端口做為配置�、管理端�。很多防火墻還可以�(jìn)一步擴(kuò)展端口數(shù)��
第三種:芯片�(jí)防火�
芯片�(jí)防火墻基于專門的硬件平�(tái),沒有操作系�(tǒng)。專有的ASIC芯片促使它們比其他種類的防火墻速度更快,處理能力更�(qiáng),性能更高。做這類防火墻最出名的廠商有NetScreen、FortiNet、Cisco�。這類防火墻由于是專用OS(操作系�(tǒng)�,因此防火墻本身的漏洞比較少,不過�(jià)格相�(duì)比較高昂�
防火墻技�(shù)雖然出現(xiàn)了許�,但總體來講可分為“包過濾型”和“應(yīng)用代理型”兩大類。前者以以色列的Checkpoint防火墻和美國Cisco公司的PIX防火墻為代表,后者以美國NAI公司的Gauntlet防火墻為代表�
�(wǎng)�(luò)中的�(shù)�(jù)是由一�(gè)�(gè)�(shù)�(jù)包組成,防火墻對(duì)每�(gè)�(shù)�(jù)包的處理要耗費(fèi)資源。吞吐量是指在沒有幀丟失的情況下,設(shè)備能夠接受的速率。其�(cè)試方法是:在�(cè)試中以一定速率�(fā)送一定數(shù)量的幀,并�(jì)算待�(cè)�(shè)備傳�?shù)�?,如果發(fā)送的幀與接收的幀�(shù)量相�,那么就將發(fā)送速率提高并重新測(cè)�;如果接收幀少于�(fā)送幀則降低發(fā)送速率重新�(cè)�,直至得出最終結(jié)�。吞吐量�(cè)試結(jié)果以比特/秒或字節(jié)/秒表示�
吞吐量和�(bào)文轉(zhuǎn)�(fā)率是�(guān)系防火墻�(yīng)用的主要指標(biāo),一般采用FDT(Full Duplex Throughput)來衡量,�64字節(jié)�(shù)�(jù)包的全雙工吞吐量,該指標(biāo)既包括吞吐量指標(biāo)也涵蓋了�(bào)文轉(zhuǎn)�(fā)率指�(biāo)�
隨著Internet的日益普�,內(nèi)部網(wǎng)用戶訪問Internet的需求在不斷增加,一些企�(yè)也需要對(duì)外提供諸如WWW頁面瀏覽、FTP文件傳輸、DNS域名解析等服�(wù),這些因素�(huì)�(dǎo)致網(wǎng)�(luò)流量的急劇增加,而防火墻作為�(nèi)外網(wǎng)之間的數(shù)�(jù)通道,如果吞吐量太小,就�(huì)成為�(wǎng)�(luò)瓶頸,給整�(gè)�(wǎng)�(luò)的傳輸效率帶來負(fù)面影�。因�,考察防火墻的吞吐能力有助于我們更好的�(píng)�(jià)其性能表現(xiàn)。這也是測(cè)量防火墻性能的重要指�(biāo)�
吞吐量的大小主要由防火墻�(nèi)�(wǎng)卡,及程序算法的效率決定,尤其是程序算法,會(huì)使防火墻系統(tǒng)�(jìn)行大量運(yùn)�,通信量大打折�。因�,大多數(shù)防火墻雖�(hào)�100M防火�,由于其算法依靠軟件�(shí)�(xiàn),通信量遠(yuǎn)�(yuǎn)沒有�(dá)�100M,�(shí)際只�10M-20M。純硬件防火�,由于采用硬件�(jìn)行運(yùn)算,因此吞吐量可以達(dá)到線�90-95M,是真正的100M防火��
�(duì)于中小型企業(yè)來講,選擇吞吐量為百兆級(jí)的防火墻即可滿足需�,而對(duì)于電�、金�、保�(xiǎn)等大公司大企�(yè)部門就需要采用吞吐量千兆�(jí)的防火墻�(chǎn)��