179
制。象3)会话认证sa( session authentication):防火墙提供通讯双方每次通倍时通明的会话授
它的实现主要有三种要领:文，治にな() )基于口令的认证 (password-based authe日令是收发双方先预约好的
数据。口令验证是按照用户知道甚么来进行的。在不少计较机网络和散布式零碎中，对资
将其以明文模式不加庇护地在网上传输，达到主机后，主机在数据库中査询该用户的口令，与 源的庇护是经由过程用户直接输入口令录到各个主机上实现的。这类情况下，用户选择口令并
只谈谈此中三点:①用户所选的口令不是随机分配的。の若是一个用户在差别主机上有多 接管到的口令比力。若是沟公则用户正当，差别则非法。这类要领存在许多不安全因素。这
个户，则他不克不及不为每一个主机记忆一个ロ令、而且当他每换一个主机时就必需输入一遍口
令，这很不便当。相反，用户对于整个计较机网络或散布式零碎来说应该是单个用户。②口令
的传输易受消极进犯( passive attac)和重播进犯( replay attack)。主要由于第三个缺陷，口令
冒用户。认证不适适用于计较机网络和散布式零碎。经由过程网络传送的口令很容易被截获而且被用来假
(2)基于地址的认证( address- based authentication)。基于寻址的身份认证可以降服口
器包的源地址而获得认证。它的主要思惟是每一个主机存储有其它可托任主机的记载。比方在 令认证的缺陷，寻址认证其实不依赖于在网络上传送口令，而是假定原点的身份可以经由过程参考数
umix中，每一个主机有一个名为/ etc/host. equiv的文件，它包罗有一张可托任主机名的列表。
用户运用本主机和远程主机上沟通的用户名就能够没必要输入ロ令而从一个可托任的主机上登
送口令的认证体式格局更不安全。录。可是，寻址认证其实不是解决身份认证问题的通用法子，环境差别，它能够比以明文模式传
公钥暗码体系体例的认证协定；②基于传统暗码体系体例的认证协定:③基于密钥分配中心的认证协 (3)暗码认证( cryptographic authentication)。暗码认证又可以有三种实现机制:①基于
设计一个实用的身份认证的协定倒是十分国难的。q 以。常规，暗码认证比上述两种身份认证更安全。虽然身份认证的根本设计准则很简略，可是
传统的身份认证普通采用口令认证，而它的实现常规是零碎把口令以密文的体式格局寄存在
一个特定的文件中。但用户名普通是公开的，若是进犯者获得这个文件、他极有能够破译，甚
反驶出来。在现实中曾经有不少如许胜利的例子。日 至直接采用字典进犯或推测进犯来对零碎进行进犯。这曾经从umx孫统的安全问题中可以
的应用服务。当外部网络的一个服务要求达到防火墙时，防火墙可以用其拟定的均衡算法，确 5.负载均衡( load balance)。均衡服务器的负载，由多个服务器为外部网络用户提供沟通
定要求是由哪台服务器来完成的。但对用户来说，这些都是通明的低气写
180?爱 由于大都路由器自己就包罗有分组过滤功，故网络访间控制功用可经由过程路由控制来实
现，从而使具备分组过滤功用的路由器称为第一代防火墙商品。
第一代防火墙商品的特性是 (1)行使路由器自己的对分组的剖析，以访问控制表体式格局实现对分组的过滤。
2(2)过滤裁决的依据可所以:地址、端标语、icmp报文类型等。
附带防火墙的功用的要领，对安全性要求较高的网络则可零丁行使一台路由器构成防火墙。1(3)只要分组过滤的功用，且防火墙与路由器是一体的，对安全要求低的网络采用路由器
第一代防火墙商品的缺乏的地方在于: (1)路由协定十分灵活，自己具备安全缝隙，外部网络要探问内部网络十分容易。
比方:在运用ftp协定时，外部服务器容易从20号端ロ上与内部网相连，即便在路由器
设置了过速规则，内部网络的20端口仍可由外部探访 (2)路由器上的分组过滤规则的设置和设置存在安全隐患。对路由器中过滤规则的设暑
网络零碎管理员难以胜任，加上一旦泛起新的协定，管理员就得加上更多的规去限定，这往 和设置十分庞大，它波及到规则的逻辑一致性，作用端口的有用性和规则集的正确性，普通的
往会带来不少毛病 (3)路由器防火墙的最大隐患是:进犯者可以“混充”地址，由于信息在网络上是以明文专
送的，黑客可以在网络上例造假的路由信息坑骗防火墙。(4の路由器防火墙的本色性缺陷是:由于路由器的主要功用是为网络访问提供动态的，灵
活的路由，而防火墙则要对访间举动施行静态的、固定的控制，这是一对难以和的不盾，防火
墙的规则设置会大大低落路由器的机能。可以说；基于路由器的防火墙只是网络安全的一种应急措施，用这类权宜之计去对于黑客
的进犯是十分危险的。
只知其一，不知其二阶段:用户化的防火墙工具套。为了补充路由器防火墙的缺乏，不少大型用户纷繁要求以专门开发的防火墙零碎来庇护
自己的网络，从而推进了用户化的防火墙工具套的泛起
作为只知其一，不知其二代防火墙商品，用户化的防火墙工具套具备如下的特色:行
基，(2)针对用户需要，提供模块化的软件包；に1 定(1)将过滤功用从路由器中自力出来，并加上审计和告警功用；一月
(3)软件可经由过程网络发送，用户可自己入手机关防火墙；
(4)与第一代防火墙比拟，安全性普及了，费用低落了。
当庞大的要求，并带来如下间题:，ty 国由于是纯软件商品，只知其一，不知其二代防火墙商品无论在实现仍是维护上都对零碎管理员提出了相
(1)设置和维护过程庞大、费时；法互，
(2)对用户的手艺要求高；
(3)全软件实现，安全性和处置速率均有局限
(4)实践表白，运用中泛起过失的情况不少。
第三阶段:建立在通用操纵系銃上的防火墙。
的田(
