linux防火墙作用一：
一、防火墙的基本模型
基于TCP/IP协议簇的Internet网际互联完全依赖于网络层以上的协议栈(网络层的IP协议、传输控制协议TCP/UDP协议和应用层协议)。考虑到网络防火墙是为了保持网络连通性而设立的安全机制，因此防火墙技术就是通过分析、控制网络以上层协议特征，实现被保护网络所需安全策略的技术。构建防火墙有三类基本模型：即应用代理网关、电路级网关(Circuit Level Gateway)和网络层防火墙。
二、不应该过滤的包
在开始过滤某些不想要的包之前要注意以下内容：
ICMP包
ICMP
包可用于检测TCP/IP失败的情形。如果阻挡这些包将导致不能得“Host unreachable”或“No route to host”等信息。ICMP包还用于MTU发现，某些TCP实现使用了MTU发现来决定是否进行分段。MTU发现通过发送设置了不进行分段的位的包探测，
当得到的ICMP应答表示需要分段时，再发送较小的包。如果得不到ICMP包(“destination unreachable”类型的包)，则本地主机不减少MTU大小，这将导致测试无法停止或网络性能下降。 到DNS的TCP连接
如果要拦阻出去的TCP连接，那么要记住DNS不总是使用UDP。如果从DNS服务器过来的回答超过512字节，客户端将使用TCP连接，并仍使用端口53接收数据。若禁止了TCP连接，DNS大多数情况下会正常工作，但可能会有奇怪的延时故障出现。
如果内部网络的DNS查询总是指向某个固定的外部DNS服务器，可以允许本地域端口到该服务器的域端口连接。
主动式FTP的TCP连接
FTP有两种运作方式，即传统的主动式(active)方式和目前流行的被动式(passive)方式。在主动式FTP模式下，FTP 服务器发送文件或应答LS命令时，主动和客户端建立TCP连接。如果这些TCP连接被过滤，则主动方式的FTP将被中断。如果使用被动方式，则过滤远地的TCP连接没有问题。因为数据连接是从客户端到服务器进行的(包括双向的数据)。
三、针对可能的网络攻击
防火墙的性能是否优良关键在于其配置能否防护来自外界的各种网络攻击。这要求网络管理者能针对可能的网络攻击特点设定完善的安全策略。以网络常见的“ping of death”攻击为例，“ping of death”攻击通过发送一个非法的大ICMP包使接收者的TCP堆栈溢出从而引起混乱。针对这种攻击可将防火墙配置为阻挡ICMP分段。因为普通的
ICMP包大都不需要到分段的程度，阻挡ICMP分段只拦阻大的“ping”包。 这种防护策略也可用于针对其他协议安全缺陷的网络攻击。
linux防火墙作用二：
它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况， 以此来实现网络的安全保护。
在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动， 保证了内部网络的安全。
2使用Firewall的益处
保护脆弱的服务
通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。例如， Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。
控制对系统的访问
Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如， Firewall允许外部访问特定的Mail Server和Web Server。
集中的安全管理
Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运行于整个内部网络系统， 而无须在内部网每台机器上分别设立安全策略。Firewall可以定义不同的认证方法， 而不需要在每台机器上分别安装特定的认证软件。外部用户也只需要经过一次认证即可访问内部网。
增强的保密性
使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Figer和DNS。
记录和统计网络利用数据以及非法使用数据
Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据， 来判断可能的攻击和探测。
策略执行Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。
3防火墙的种类
防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。
数 据 包 过 滤
数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑， 被称为访问控制表(Access Control Table)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、 协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用， 网络性能和透明性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备， 因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。
数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击; 二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。
应 用 级 网 关
应用级网关(Application Level Gateways)是在网络应用层上建立协议过滤和转发功能。 它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、 登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。
数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。 一旦满足逻辑，则防火墙内外的计算机系统建立直接联系， 防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。
代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels)， 也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术， 其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的 链接， 由两个终止代理服务器上的 链接来实现，外部计算机的网络链路只能到达代理服务器， 从而起到了隔离防火墙内外计算机系统的作用。
linux防火墙作用三：
windows防火墙是一项协助确保信息安全的设备，会依照特定的规则，允许或是限制传输的数据通过。
具体作用如下：
1、防止来自网络上的恶意攻击;
2、阻止外来程序连接计算机端口;
3、对电脑进行防护，防止木马入侵或其它黑客软件、程序运行‘
4、阻止本地程序通过计算机端口，向外并发信息;
1、防火墙能强化安全策略。
2、防火墙能有效地记录Internet上的活动，作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。
3、防火墙限制暴露用户点，能够防止影响一个网段的问题通过整个网络传播。
4、防火墙是一个安全策略的检查站，使可疑的访问被拒绝于门外。
二、缺点：
1、防火墙可以阻断攻击，但不能消灭攻击源。
2、防火墙不能抵抗最新的未设置策略的攻击漏洞。
3、防火墙的并发连接数限制容易导致拥塞或者溢出。
4、防火墙对服务器合法开放的端口的攻击大多无法阻止。
5、防火墙对待内部主动发起连接的攻击一般无法阻止。
6、防火墙本身也会出现问题和受到攻击，依然有着漏洞和Bug。
7、防火墙不处理病毒。
三、功能：
1、防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传送的数据流。
2、防火墙具有很好的保护作用：入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机；可以将防火墙配置成许多不同保护级别；高级别的保护可能会禁止一些服务，如视频流等。
Internet防火墙可以防止Internet上的危险(病毒、资源盗用)传播到网络内部
3、能强化安全策略：通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。
4、能有效记录Internet上的活动。
5、可限制暴露用户点，防止内部信息的外泄：通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。
6、它是安全策略的检查点。
防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。
主要功能：
1、入侵检测功能
网络防火墙技术的主要功能之一就是入侵检测功能，主要有反端口扫描、检测拒绝服务工具、检测CGI/IIS服务器入侵、检测木马或者网络蠕虫攻击、检测缓冲区溢出攻击等功能，可以极大程度上减少网络威胁因素的入侵，有效阻挡大多数网络安全攻击。
2、网络地址转换功能
利用防火墙技术可以有效实现内部网络或者外部网络的IP地址转换，可以分为源地址转换和目的地址转换，即SNAT和NAT。
SNAT主要用于隐藏内部网络结构，避免受到来自外部网络的非法访问和恶意攻击，有效缓解地址空间的短缺问题，而DNAT主要用于外网主机访问内网主机，以此避免内部网络被攻击。
3、网络 *** 作的审计监控功能
通过此功能可以有效对系统管理的所有 *** 作以及安全信息进行记录，提供有关网络使用情况的统计数据，方便计算机网络管理以进行信息追踪。
4、强化网络安全服务
防火墙技术管理可以实现集中化的安全管理，将安全系统装配在防火墙上，在信息访问的途径中就可以实现对网络信息安全的监管。
类型
1、过滤型防火墙
过滤型防火墙是在网络层与传输层中，可以基于数据源头的地址以及协议类型等标志特征进行分析，确定是否可以通过。在符合防火墙规定标准之下，满足安全性能以及类型才可以进行信息的传递，而一些不安全的因素则会被防火墙过滤、阻挡。
2、应用代理类型防火墙
应用代理防火墙主要的工作范围就是在OIS的最高层，位于应用层之上。其主要的特征是可以完全隔离网络通信流，通过特定的代理程序就可以实现对应用层的监督与控制。
这两种防火墙是应用较为普遍的防火墙，其他一些防火墙应用效果也较为显著，在实际应用中要综合具体的需求以及状况合理的选择防火墙的类型，这样才可以有效地避免防火墙的外部侵扰等问题的出现。
3、复合型
目前应用较为广泛的防火墙技术当属复合型防火墙技术，综合了包过滤防火墙技术以及应用代理防火墙技术的优点，譬如发过来的安全策略是包过滤策略，那么可以针对报文的报头部分进行访问控制。
如果安全策略是代理策略，就可以针对报文的内容数据进行访问控制，因此复合型防火墙技术综合了其组成部分的优点，同时摒弃了两种防火墙的原有缺点，大大提高了防火墙技术在应用实践中的灵活性和安全性。
扩展资料
具体应用
1、内网中的防火墙技术
防火墙在内网中的设定位置是比较固定的，一般将其设置在服务器的入口处，通过对外部的访问者进行控制，从而达到保护内部网络的作用，而处于内部网络的用户，可以根据自己的需求明确权限规划，使用户可以访问规划内的路径。
总的来说，内网中的防火墙主要起到以下两个作用：一是认证应用，内网中的多项行为具有远程的特点，只有在约束的情况下，通过相关认证才能进行；二是记录访问记录，避免自身的攻击，形成安全策略。
2、外网中的防火墙技术
应用于外网中的防火墙，主要发挥其防范作用，外网在防火墙授权的情况下，才可以进入内网。针对外网布设防火墙时，必须保障全面性，促使外网的所有网络活动均可在防火墙的监视下，如果外网出现非法入侵，防火墙则可主动拒绝为外网提供服务。
基于防火墙的作用下，内网对于外网而言，处于完全封闭的状态，外网无法解析到内网的任何信息。防火墙成为外网进入内网的唯一途径，所以防火墙能够详细记录外网活动，汇总成日志，防火墙通过分析日常日志，判断外网行为是否具有攻击特性。
参考资料来源：百度百科-防火墙
防火墙具有很好的保护作用，入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。
从实现原理上分，防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。
1、网络级防火墙
一般来说，它是根据源地址和目的地址、应用程序、协议和每个IP包的端口来决定是否通过。路由器是“传统的”网络级防火墙。大多数路由器可以通过检查这些信息来确定是否转发接收到的数据包，但无法确定IP数据包从何而来，从何而去。
防火墙检查每个规则，直到发现数据包中的信息与规则匹配为止。如果没有可以满足的规则，防火墙将使用默认规则。通常，默认规则是要求防火墙丢弃数据包。其次，通过定义基于TCP或UDP包的端口号，防火墙可以确定是否允许建立特定的连接，如telnet和FTP连接。
2、应用级网关
应用级网关可以检查传入和传出的数据包，通过网关复制和传输数据，防止可信服务器和客户端与不可信主机直接建立联系。应用层网关可以理解应用层的协议，进行更复杂的访问控制，并进行精细的注册和审计。
它针对特定的网络应用服务协议，即数据过滤协议，能够对数据包进行分析并形成相关的报表。应用网关对一些易于登录和控制所有输出和输入通信的环境进行严格控制，以防止有价值的程序和数据被盗。在实际应用中，应用网关通常由一个专用的工作站系统来完成。
然而，每一个协议都需要相应的代理软件，由于其工作量大，效率不如网络防火墙。应用层网关具有较好的访问控制能力，是目前最安全的防火墙技术，但实现起来比较困难，一些应用层网关缺乏“透明性”。
实际上，当用户通过可信网络上的防火墙访问Internet时，他们经常发现存在延迟，必须多次登录才能访问Internet或intranet。
3、电路级网关
电路级网关用于监控可信客户端或服务器与不可信主机之间的TCP握手信息，以确定会话是否合法。在OSI模型中，电路级网关过滤会话层上的包，这比包过滤防火墙高两层。电路级网关还提供了一个重要的安全功能：代理服务器。
代理服务器是Internet防火墙网关中设置的一种特殊的应用程序级代码。此代理服务允许管理员允许或拒绝特定应用程序或应用程序的特定功能。包过滤技术和应用网关通过特定的逻辑判断来决定是否允许特定的数据包通过。
一旦满足判断条件，防火墙内网的结构和运行状态就会“暴露”给国外用户，这就引入了代理服务的概念，即防火墙内外计算机系统应用层的“链路”被两个代理服务“链路”终止，从而实现成功实现了防火墙内外计算机系统的隔离。
同时，代理服务还可以实现强大的数据流监控、过滤、记录和报告功能。代理服务技术主要由专用计算机硬件（如工作站）承担。
4、规则检查防火墙
防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。与包过滤防火墙一样，规则检查防火墙可以通过OSI网络层上的IP地址和端口号过滤传入和传出的包。与电路级网关一样，它可以检查syn和ACK标记以及序列号是否按逻辑顺序排列。
当然，和应用层网关一样，它可以检查OSI应用层上的包内容，看看这些内容是否符合企业网络的安全规则。尽管规则检查防火墙集成了前三种防火墙的特性，但它不同于应用层网关，因为它不会破坏客户机/服务器模式来分析应用层中的数据。
它允许受信任的客户端和不受信任的主机建立直接连接。规则检查防火墙不依赖于与应用层相关的代理，而是依赖于某种算法来识别传入和传出的应用层数据。这些算法通过了解合法数据包的模式来比较传入和传出的数据包，从而在理论上比应用程序级代理更有效地过滤数据包。
扩展资料；
防火墙技术的应用应考虑两个方面：
首先，虽然许多防火墙产品声称它们具有此功能，但防火墙并不是反病毒的。其次，防火墙技术的另一个弱点是防火墙之间的数据更新是一个问题。
如果延迟太大，它将不支持实时服务请求。此外，防火墙采用过滤技术，通常会使网络性能降低50%以上。如果为了提高网络性能而购买高速路由器，将大大增加经济预算。
防火墙对流经它的网络通信进行扫描，以便过滤掉一些攻击，并避免它们在目标计算机上执行。防火墙还可以关闭未使用的端口。
同时还可以禁止特定端口的外流通信，阻止木马。最后，它可以禁止特殊站点的访问，从而防止来自未知入侵者的所有通信。
参考资料来源；百度百科——防火墙技术
防火墙不只是一种路由器、主系统或一批向网络提供安全性的系统。相反，防火墙是一种获取安全性的方法；它有助于实施一个比较广泛的安全性政策，用以确定允许提供的服务和访问。就网络配置、一个或多个主系统和路由器以及其他安全性措施(如代替静态口令的先进验证)来说，防火墙是该政策的具体实施。防火墙系统的主要用途就是控制对受保护的网络(即网点)的往返访问。它实施网络访问政策的方法就是逼使各连接点通过能得到检查和评估的防火墙。
路由器和应用网关防火墙范例
防火墙系统可以是路由器，也可以是个人主机、主系统和一批主系统，专门把网络或子网同那些可能被子网外的主系统滥用的协议和服务隔绝。防火墙系统通常位于等级较高的网关如网点与Internet的连接处，但是防火墙系统可以位于等级较低的网关,以便为某些数量较少的主系统或子网提供保护。防火墙基本上是一个独立的进程或一组紧密结合的进程，运行于Router or Server来控制经过防火墙的网络应用程序的通信流量。一般来说，防火墙置于公共网络(如Internet)人口处。它可以看作是交通警察。它的作用是确保一个单位内的网络与Internet之间所有的通信均符合该单位的安全方针。这些系统基本上是基于TCP/IP,并与实现方法有关，它能实施安全路障并为管理人员提供对下列问题的答案：
谁在使用网络
他们在网上做什么
他们什么时间使用过网络
他们上网时去了何处
谁要上网但没有成功
（二）防火墙的功能
引入防火墙是因为传统的子网系统会把自身暴露给NFS或NIS等先天不安全的服务，并受到网络上其他地方的主系统的试探和攻击。在没有Firewall的环境中，网络安全性完全依赖主系统安全性。在一定意义上，所有主系统必须通力协作来实现均匀一致的高级安全性。子网越大，把所有主系统保持在相同安全性水平上的可管理能力就越小。随着安全性的失误和失策越来越普遍，闯入时有发生，这不是因为受到多方的攻击，而仅仅是因为配置错误、口令不适当而造成的。防火墙能提高主机整体的安全性，因而给站点带来了众多的好处。以下是使用防火墙的好处：
1防止易受攻击的服务
防火墙可以大大提高网络安全性，并通过过滤天生不安全的服务来降低子网上主系统所冒的风险。因此，子网网络环境可经受较少的风险，因为只有经过选择的协议才能通过Firewall。For example, Firewall 可以禁止某些易受攻击的服务(如NFS)进入或离开受保护的子网。这样得到的好处是可防护这些服务不会被外部攻击者利用。而同时允许在大大降低被外部攻击者利用的风险情况下使用这些服务。对局域网特别有用的服务如NIS或NFS因而可得到公用，并用来减轻主系统管理负担。
防火墙还可以防护基于路由选择的攻击，如源路由选择和企图通过ICMP改向把发送路径转向遭致损害的网点。防火墙可以排斥所有源点发送的包和ICMP改向，然后把偶发事件通知管理人员。
2控制访问网点系统
防火墙还有能力控制对网点系统的访问。例如，某些主系统可以由外部网络访问，而其他主系统则能有效地封闭起来，防护有害的访问。除了邮件服务器或信息服务器等特殊情况外，网点可以防止外部对其主系统的访问。
这就把防火墙特别擅长执行的访问政策置于重要地位：不访问不需要访问的主系统或服务。当不用访问或不需要访问时，为什么要提供能由攻击者利用的主系统和服务访问呢？例如，如果用户几乎不需要通过网络访问他的台式工作站，那么，防火墙就可执行这一政策。
3集中安全性
如果一个子网的所有或大部分需要改动的软件以及附加的安全软件能集中地放在防火墙系统中，而不是分散到每个主机中，这样防火墙的保护就相对集中一些，也相对便宜一点。尤其对于密码口令系统或其他的身份认证软件等等，放在防火墙系统中更是优于放在每个Internet能访问的机器上 当然，还有一些关于网络安全的出来方法，比如Kerberos,包含了每个主机系统的改动。也许，在某些特定场合，Kerberos或其他类似的技术比防火墙系统更好一些。但有一点不容忽视，由于只需在防火墙上运行特定的软件，防火墙系统实现起来要简单的多。
4增强的保密、强化私有权
对一些站点而言，私有性是很重要的，因为，某些看似不甚重要的信息往往回成为攻击者灵感的源泉。使用防火墙系统，站点可以防止finger 以及DNS域名服务。finger会列出当前使用者名单，他们上次登录的时间，以及是否读过邮件等等。但finger同时会不经意地告诉攻击者该系统的使用频率，是否有用户正在使用，以及是否可能发动攻击而不被发现。
防火墙也能封锁域名服务信息，从而是Internet外部主机无法获取站点名和Ip地址。通过封锁这些信息，可以防止攻击者从中获得另一些有用信息。
5有关网络使用、滥用的记录和统计
如果对Internet的往返访问都通过防火墙，那么，防火墙可以记录各次访问，并提供有关网络使用率的有价值的统计数字。如果一个防火墙能在可疑活动发生时发出音响报警，则还提供防火墙和网络是否受到试探或攻击的细节。
采集网络使用率统计数字和试探的证据是很重要的，这有很多原因。最为重要的是可知道防火墙能否抵御试探和攻击，并确定防火墙上的控制措施是否得当。网络使用率统计数字也很重要的，因为它可作为网络需求研究和风险分析活动的输入。
6政策执行
最后，或许最重要的是,防火墙可提供实施和执行网络访问政策的工具。事实上，防火墙可向用户和服务提供访问控制。因此，网络访问政策可以由防火墙执行，如果没有防火墙，这样一种政策完全取决于用户的协作。网点也许能依赖其自己的用户进行协作，但是，它一般不可能，也不依赖Internet 用户。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。
它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，
以此来实现网络的安全保护
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）