什么是代理防火墻

發布時間： 2022-05-25 14:45:42

什么是代理防火墻？在防火墻的設計中引入“代理”的概念是革命性的?！按怼蓖耆白韪簟绷司W絡通信流，使得從內部網絡發出的數據包經過代理技術處理后，就好像是源于防火墻外部網卡一樣，從而可以達到隱藏內部網絡結構的作用。以代理技術為基礎的防火墻分為應用層代理防火墻和電路層代理防火墻兩種。

(1)應用層代理

應用層代理防火墻，又稱為應用層網關(Application Level Gateway)工作在OSI的最高層——應用層。它通過代理技術參與到一個TCP連接的全過程，其特點是完全“阻隔”了網絡通信流，通過對每種應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用，在用戶層和應用協議層間提供訪問控制。

當客戶端提出一個請求時，代理程序將核實請求，處理連接請求，并將處理后的請求傳遞出去，然后接受應答并做處理，最后將處理結果提交給發出請求的客戶端。代理程序在外部網絡和內部網絡通信中起著中間轉接的作用。圖1示意了應用層代理防火墻的工作原理。

圖1 應用層代理防火墻示意圖

應用層代理服務器針對不同的網絡應用提供不同的處理，譬如HTTP代理、FTP代理、SMTP代理、POP3代理等。它提供雙重服務功能，一是為內部網絡提供了一個保護層，二是通過“緩存頁面(Caching pages)”方法向客戶提供對外部網絡的訪問。應用層代理的主要問題是速度慢，支持的并發連接數有限。為此，研究人員提出了各種改進方案。例如，TCP代理(TCP forwarder)是在TCP對(pair ofTCP connection)之間傳遞數據的網絡節點，被廣泛應用于防火墻中。

1998年，美國網絡聯盟公司(Networks Associates)提出了自適應代理(Adaptive Proxy)的概念，并在其產品Gauntlet Firewall for NT中得以實現。以自適應代理技術為基礎的自適應代理防火墻，綜合了包過濾型和應用代理型防火墻的優點，其安全性能和應用代理型防火墻很接近，而速度卻比狀態檢測防火墻快。

自適應代理不僅能維護系統安全，還能夠動態“適應”傳送中的分組流量。它允許用戶根據具體需求，定義防火墻策略，以提高性能和效率，使“速度和安全”比處于最佳狀態。自適應代理防火墻的初始安全檢測依然在應用層中進行，一旦檢測通過后(即：自適應代理明確了會話的所有細節)，隨后的數據包就直接在網絡層上傳送。自適應代理可以和安全脆弱性掃描器、病毒安全掃描器和入侵檢測系統之間實現更加靈活的集成。作為自適應安全計劃的一部分，自適應代理將允許經過正確驗證的設備在安全傳感器和掃描儀發現重要的網絡威脅時，根據事先確定的安全策略，自動“適應”防火墻級別。

組成自適應代理防火墻的基本要素有兩個：自適應代理服務器(Adaptive ProxyServer)和動態包過濾器(Dynamic Packet Filter)。在自適應代理服務器與動態包過濾器之間存在一個控制通道。自適應代理就可以根據用戶的配置信息，決定是使用代理服務從應用層代理請求還是從網絡層轉發數據包。如果是后者，它將動態地通知包過濾器增減過濾規則，滿足用戶對速度和安全性的雙重要求。

(2)電路層代理

電路層代理防火墻又稱電路級網關(Circuit-Level Gateway)，如圖 6-3 所示，用來在兩個通信的終點之間實現數據包的轉換。它監視兩個主機建立連接時的握手信息，從而判斷該會話請求是否合法。顯然，電路層代理防火墻將所有跨越防火墻的網絡通信鏈路分成了兩段。

圖2 電路層代理防火墻示意圖

SOCKS是一個客戶/服務器環境的代理協議，被應用于實現電路級網關。SOCKS包括兩個部件：SOCKS服務器和SOCKS客戶端。SOCKS服務器在應用層實現，而SOCKS客戶端的實現位于應用層和傳輸層之間。SOCKS協議的基本目的就是讓SOCKS服務器兩邊的主機能夠互相訪問，而不需要直接的IP互聯。當一個應用程序客戶需要連接到一個應用服務器時，客戶先連接到 SOCKS 代理服器，代理服務器代表客戶連接到應用服務器，并在客戶和應用服務器之間中繼數據。對于應用服務器來說，代理服務器就是客戶。

電路層代理防火墻僅監視兩個主機建立連接時的握手信息，例如 Syn、Ack 和序列數據等是否合乎邏輯。雖然在電路層代理防火墻中，數據包也是被提交應用層處理的，但它只負責傳遞數據，而不進行數據過濾。因而不能削弱應用層攻擊的威脅。

綜上所述，代理防火墻的最突出的優點就是安全性較高。由于每一個內外網絡之間的連接都要通過“代理”的介入和轉換，沒有給內外網絡的主機以任何直接會話的機會，從而避免了入侵者使用數據驅動類型的攻擊方式入侵內部網絡。代理防火墻的較大缺點就是速度相對比較慢，支持的并發連接數有限。當用戶對內外網絡網關的吞吐量要求比較高時，代理防火墻很可能成為內外網絡之間的瓶頸，代理防火墻還有一個比較明顯的問題，就是必須為新的服務、新的網絡協議和網絡應用撰寫專門的應用代理程序。

(3)網絡地址轉換

隱藏內部網絡信息是防火墻的任務之一。網絡地址轉換技術(Network AddressTranslation，NAT)因此得到廣泛地應用。它的工作原理是在內部網絡中使用內部地址，通過NAT把內部地址轉換成合法的公網IP地址在Internet上使用。當一個請求被送往防火墻時，NAT 將源地址字段替換為它自己的地址，當應答返回到 NAT時，再將目標地址字段替換為最初建立請求的客戶的地址。

由于NAT僅僅修改過往的數據包頭的個別信息，實現起來比較安全，對用戶也基本上實現了透明服務。NAT 不僅能解決 IP 地址緊缺問題，而且能使得內外網絡隔離，對某些網絡攻擊方式有一定的防護能力。例如，NAT可以讓TCP SYN報文淹沒(TCP SYN Flooding)這種常見的網絡攻擊方式失去作用。

您可能也喜歡：