|
|
域名空间 下载中心 社区论坛 信息公告 my小屋 | |
 |
联系我们 设为首页 加入收藏 |
 |
|
 |
首页 | 新闻资讯 | 编程开发 | 网页设计 | 图形图象 | 网络媒体 | 网站模板 | 数 据 库 | 投稿 论坛 | 操作系统 | 系统优化 | 网络安全 | 黑客技术 | 硬件学堂 | 硬件报价 | 服 务 器 | 地图 专题 | 应用软件 | 聊天通讯 | q q 专栏 | 建站经验 | 在线工具 | 站长club | 注 册 表 | 旧版 社会 | 游戏娱乐 | 设计欣赏 | 疑难解答 | 社区论坛 | 网络赚钱 | 网站地图 | 广告服务 | 服务 |
 |
 |
 |
 当前位置：首页>>网络安全>>防 火 墙>>正文 |
新版上线！[旧版] |  |
|||
注:打开慢时请稍等
|
防火墙在为内部网络带来安全的同时，也产生了一定的反作用——降低网络运行效率。在传统防火墙的设计中，包过滤只是与规则表进行匹配，对符合规则的数据包进行处理，不符合规则的就丢弃。由于是基于规则的检查，同属于同一连接的不同包毫无任何联系，每个包都要依据规则顺序过滤。由于网络安全涉及领域很多，技术复杂，安全规则往往要达到数百甚至上千种。随着安全规则的增加，很多防火墙产品都会出现性能大幅度降低，网络资源衰竭等问题，从而造成网络拥塞。所以，安全与效率的两难选择成为传统防火墙面临的最大问题。此外，在这种设计中，入侵者可能会采用ip spoofing的办法将自己的非法包伪装成属于某个合法的连接，进而侵入用户的内部网络系统。因此，传统的包过滤技术既缺乏效率又容易产生安全漏洞。 日前，具有自主核心技术的防火墙新品已产生，该产品就利用这一技术，将属于同一连接的所有包作为一个整体的数据流看待，通过规则表与连接状态表的共同配合，大大提高了系统的传输效率和安全性，从而较好地解决了防火墙固有的安全与效率的矛盾问题。 与传统包过滤的无连接检测技术不同，基于连接状态的包过滤在进行包的检查时，不仅将其看成是独立的单元，同时还要考虑它的历史关联性。例如，在基于tcp协议的连接中，每个包在传输时都包括了ip源地址、目的地址、协议的源接口和目的接口等信息，还包括了对在允许的时间间隔内是否发生了tcp握手消息的监视信息等，这些信息与每个数据包都是有关联的。换句话说，对于属于同一个连接的数据包来说并不是孤立的，它们存在内部的关联信息。无连接的包过滤规则由于忽略了这些内在的关联信息，对每个数据包都进行孤立的规则检测，所以大大降低了传输效率。 由于采用了基于连接的包过滤处理方法，该防火墙在进行规则检查的同时，可以将包的连接状态记录下来，该连接以后的包则无需再通过规则检查，而只需通过状态表里对该包所属的连接的记录来检查即可。如果有相应的状态标识，则说明该包属于已经建立的合法连接，可以接受。检查通过后该连接状态的记录将被刷新。这样就使具有相同连接状态的包避免了重复检查。同时由于规则表的排序是固定的，只能采用线性的方法进行搜索，而连接状态表内的记录是可以随意排列的，于是可采用诸如二叉树或hash等算法进行快速搜索，这就提高了系统的传输效率。同时，采用实时的连接状态监控技术，可以在状态表中通过诸如ack（应答响应）、no等连接状态因素加以识别，阻止该包通过，增强了系统的安全性。 另外，对于基于udp协议的应用来说，由于该协议本身对于顺序错误或丢失的包并不做纠缠或重传，所以很难用简单的包过滤技术对其处理。防火墙在对基于udp协议的连接处理时，会为udp建立虚拟连接，同样能够对连接过程状态进行监控，通过规则与连接状态的共同配合，达到包过滤的高效与安全。 编辑：黑鹰 [发送给好友] [打印本页] [关闭窗口] [返回顶部] 上一篇：防火墙常见问题十问十答 下一篇：2005年防火墙发展趋势漫谈 转载请注明来源：www.iyit.net 特别声明： 本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载，但请务必注明出处和原始作者。文章版权归文章原始作者所有。对于被本站转载文章的个人和网站，我们表示深深的谢意。如果本站转载的文章有版权问题请联系编辑人员，我们尽快予以更正。 |
| 最新更新 | 热点排行 | 推荐新闻 | |||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||
| 友情链接 | ||||||
 |
设置首 页 - 版权声明 - 广告服务 - 关于我们 - 联系我们 - 友情连接 |  |
| |||||||
易特网络技术