匿名使用者 1級 2013-11-09 回答

一、防火牆的作用是什麼？ 1。包過濾 具備包過濾的就是防火牆？對，沒錯！根據對防火牆的定義，凡是能有效阻止網路非法連線的方式，都算防火牆。早期的防火牆一般就是利用設定的條件，監測透過的包的特徵來決定放行或者阻止的，包過濾是很重要的一種特性。雖然防火牆技術發展到現在有了很多新的理念提出，但是包過濾依然是非常重要的一環，如同四層交換機首要的仍是要具備包的快速轉發這樣一個交換機的基本功能一樣。透過包過濾，防火牆可以實現阻擋攻擊，禁止外部/內部訪問某些站點，限制每個ip的流量和連線數。2。包的透明轉發 事實上，由於防火牆一般架設在提供某些服務的伺服器前。如果用示意圖來表示就是 Server—FireWall—Guest 。使用者對伺服器的訪問的請求與伺服器反饋給使用者的資訊，都需要經過防火牆的轉發，因此，很多防火牆具備閘道器的能力。3。阻擋外部攻擊 如果使用者傳送的資訊是防火牆設定所不允許的，防火牆會立即將其阻斷，避免其進入防火牆之後的伺服器中。4。記錄攻擊 如果有必要，其實防火牆是完全可以將攻擊行為都記錄下來的，但是由於出於效率上的考慮，目前一般記錄攻擊的事情都交給IDS來完成了，我們在後面會提到。以上是所有防火牆都具備的基本特性，雖然很簡單，但防火牆技術就是在此基礎上逐步發展起來的。二、防火牆有哪些缺點和不足？ 1。防火牆可以阻斷攻擊，但不能消滅攻擊源。“各掃自家門前雪，不管他人瓦上霜”，就是目前網路安全的現狀。網際網路上病毒、木馬、惡意試探等等造成的攻擊行為絡繹不絕。設定得當的防火牆能夠阻擋他們，但是無法清除攻擊源。即使防火牆進行了良好的設定，使得攻擊無法穿透防火牆，但各種攻擊仍然會源源不斷地向防火牆發出嘗試。例如接主幹網10M網路頻寬的某站點，其日常流量中平均有512K左右是攻擊行為。那麼，即使成功設定了防火牆後，這512K的攻擊流量依然不會有絲毫減少。2。防火牆不能抵抗最新的未設定策略的攻擊漏洞就如防毒軟體與病毒一樣，總是先出現病毒，防毒軟體經過分析出特徵碼後加入到病毒庫內才能查殺。防火牆的各種策略，也是在該攻擊方式經過專家分析後給出其特徵進而設定的。如果世界上新發現某個主機漏洞的cracker的把第一個攻擊物件選中了您的網路，那麼防火牆也沒有辦法幫到您的。3。防火牆的併發連線數限制容易導致擁塞或者溢位由於要判斷、處理流經防火牆的每一個包，因此防火牆在某些流量大、併發請求多的情況下，很容易導致擁塞，成為整個網路的瓶頸影響效能。而當防火牆溢位的時候，整個防線就如同虛設，原本被禁止的連線也能從容通過了。4。防火牆對伺服器合法開放的埠的攻擊大多無法阻止某些情況下，攻擊者利用伺服器提供的服務進行缺陷攻擊。例如利用開放了3389埠取得沒打過sp補丁的win2k的超級許可權、利用asp程式進行指令碼攻擊等。由於其行為在防火牆一級看來是“合理”和“合法”的，因此就被簡單地放行了。5。防火牆對待內部主動發起連線的攻擊一般無法阻止“外緊內松”是一般區域網絡的特點。或許一道嚴密防守的防火牆內部的網路是一片混亂也有可能。透過社會工程學傳送帶木馬的郵件、帶木馬的URL等方式，然後由中木馬的機器主動對攻擊者連線，將鐵壁一樣的防火牆瞬間破壞掉。另外，防火牆內部各主機間的攻擊行為，防火牆也只有如旁觀者一樣冷視而愛莫能助。6．防火牆本身也會出現問題和受到攻擊防火牆也是一個os，也有著其硬體系統和軟體，因此依然有著漏洞和bug。所以其本身也可能受到攻擊和出現軟/硬體方面的故障。7．防火牆不處理病毒不管是funlove病毒也好，還是CIH也好。在內部網路使用者下載外網的帶毒檔案的時候，防火牆是不為所動的（這裡的防火牆不是指單機/企業級的防毒軟體中的實時監控功能，雖然它們不少都叫“病毒防火牆”）。看到這裡，或許您原本心目中的防火牆已經被我拉下了神臺。是的，防火牆是網路安全的重要一環，但不代表設定了防火牆就能一定保證網路的安全。“真正的安全是一種意識，而非技術！”請牢記這句話。不管怎麼樣，防火牆仍然有其積極的一面。在構建任何一個網路的防禦工事時，除了物理上的隔離和目前新近提出的網閘概念外，首要的選擇絕對是防火牆。那麼，怎麼選擇需要的防火牆呢？防火牆的分類介紹： 首先大概說一下防火牆的分類。就防火牆（本文的防火牆都指商業用途的網路版防火牆，非個人使用的那種）的組成結構而言，可分為以下三種：第一種：軟體防火牆軟體防火牆運行於特定的計算機上，它需要客戶預先安裝好的計算機作業系統的支援，一般來說這臺計算機就是整個網路的閘道器。軟體防火牆就象其它的軟體產品一樣需要先在計算機上安裝並做好配置才可以使用。防火牆廠商中做網路版軟體防火牆最出名的莫過於Checkpoint。使用這類防火牆，需要網管對所工作的作業系統平臺比較熟悉。第二種：硬體防火牆這裡說的硬體防火牆是指所謂的硬體防火牆。之所以加上“所謂”二字是針對晶片級防火牆說的了。它們最大的差別在於是否基於專用的硬體平臺。目前市場上大多數防火牆都是這種所謂的硬體防火牆，他們都基於PC架構，就是說，它們和普通的家庭用的PC沒有太大區別。在這些PC架構計算機上執行一些經過裁剪和簡化的作業系統，最常用的有老版本的Unix、Linux和FreeBSD系統。 值得注意的是，由於此類防火牆採用的依然是別人的核心，因此依然會受到os本身的安全性影響。收藏本文章下載本文章（DOC格式）下載本文章（TXT格式）