个人透明防火墙技术

摘 要 ：个人透明防火墙能有效防止攻击、防止个人露,而且体积小、使用方便,将成为网络保护最佳选择.

关 键 词 ：网络安全 防火墙 网络处理器

Abstract：Personal transparent firewall can protect personal puter from being attacked and oid that personal data is stilled. Because all volume and used easily, it will be adopted for protection.

Key words：Network security Firewall Network processor

前言

随着计算器的普及,尤其网络的普及,人们习惯使用个人计算机、智能终端处理、保存日常工作、生活的信息或资料.最近我国首个保护专项的国家标准《信息安全技术公共及商用怎么写作信息系统保护指南》已完成,正在报批【1】.“保护”国家标准将有利于人们重视安全问题.绝大数用户忽视信息安全,停留于计算机病毒、木马程序的概念,对的能力一无所知.由于个人计算机和智能终端具有网络通信和更新程序的功能,可以通过操作系统或应用软件的漏洞或后门对个人计算机或智能终端进行攻击并埋下软件,或者利用用户的好奇或无知在网上传播软件.常听到的软件主要是获取.但不被人知道的软件更为可怕,它可能专门攻击某个人使其个人计算机或智能终端的数据完全暴露在他的眼下.

不管是否安装杀毒防毒软件,只要运行网络监测程序就可以发现许多网络连接或网络通信.可以说由于攻击的多样性,安装在个人计算机上的杀毒软件只能降低的可能性,难以抵挡的入侵,对有针对性的的所作所为无动于衷.

虽然大部分单位会在互联网接入口安装企业级防火墙,但由于它仅防止来自互联网的已知攻击或人们熟知的攻击,对内网基本上不具备防范能力.

因此,为阻止的入侵或攻击,防止获取数据,最有效办法是在个人计算机外增加个人硬件防火墙.本文将介绍个人硬件透明防火墙.

1.透明防火墙

网络安全技术中最常用是防火墙技术,通过网络访问控制策略抵御外部攻击.通常人们把使用防火墙技术仅用于抵御外网入侵的计算器称为硬件防火墙,应用在个人计算器上的防火墙技术称为软件防火墙.目前防火墙已经成为计算器操作系统的一个组成部分,软件防火墙的概念已成为历史.

透明防火墙是一种专用网络安全设备,它具有防火墙的各种功能,它特别之处是不影响网络的拓扑结构,在网络外侧不能发现它的存在,不可能对它发动攻击.透明防火墙具有更高的智能程度,在攻击过程仍确保主机的运行.透明防火墙是单主机专用很容易判断主机通信是否合理,因而能避免信息泄漏或削弱隐藏在主机的软件的活动能力.

2.硬件结构

个人透明防火墙是专门为个人计算机设计的透明防火墙,要求使用方便、便于携带.因此,个人透明防火墙硬件结构紧凑,外表看有两个网络口,好像一个网络联机器,用户只要把个人透明防火墙串在网在线,即一个网络接口与计算机的网口连接,另一个与网络连接,再通过usb接口向个人透明防火墙提供电源,个人透明防火墙就开始工作.

个人透明防火墙内部由继承网口的网络处理器以及支持网络处理器工作的DDR RAM和NAND FLASH组成.严格意义上个人透明防火墙是一个高度智能化的网桥.

3.透明防火墙算法

防火墙技术必须在操作系统的核心态实现.利用开源操作系统实现硬件防火墙具有较高的安全性,Linux是真正的开源操作系统,因此大部分硬件防火墙选用Linux操作系统.操作系统实现防火墙技术是在网络处理过程设立监控点,通过访问策略决定信息包的去留.在Linux内核中为实现防火墙功能增加网络过滤的钩子函数NF_HOOK.即,在网络信息处理过程中可利用内核其他功能或其他内核模块的其他功能提高网络的安全性.Linux内核为arp、bridge、deet、ipv4、ipv6等网络通信定义了标识,对应为NFPROTO_ARP、NFPROTO_BRIDGE、NFPROTO_DECNET、NFPROTO_IPV4、NFPROTO_IPV6.根据处理位置定义了5个标识PRE_ROUTING、LOCAL_IN、FORWARD、LOCAL_OUT、POST_ROUTING.在Linux的filter中已经实现包过滤的防火墙算法,并结合iptables实现防火墙功能.大部分硬件防火墙就是利用Linux的filter和iptables实现的.

但要求非计算器专业人士直接使用iptables进行设置是难度极高的,而且iptables采用链表方式,在链表较长的情况下运行效率比较低,所以直接使用iptables作为透明防火墙效果一般；虽然linux已为ipv6设置NF_HOOK,但iptables并不真正支持ipv6,所以,仅靠iptables或iptables-ipv6还不能有效实现网络安全.

从Linux的NF_HOOK分类可以看到只有bridge属于结构分类,其他为协议分类,因此在个人透明防火墙主要针对bridge进行数据监测最有成效.所有通过网桥的信息,不管使用什么协议,均可以在bridge的监测点监测.

4.用户接口

为防止通过http端口破坏透明防火墙的运作,方便用户设置和及时知道可能的攻击情况,透明防火墙采用独立的控制软件,把透明防火墙的监测数据转入个人计算机进行处理,通过动态追踪方式实现通信审计工作.

结语

通过接入透明防火墙,有效隔离各种广告信息,断开计算机在启动过程形成的各个连接.通过接入透明防火墙的前后比对,发现接上透明防火墙后内存剩余空间明显增加.