防火墻的基礎(chǔ)知識科普

時間：2020-11-20 20:12:43 懷健0由分享

網(wǎng)絡(luò)基礎(chǔ)知識：TCP協(xié)議之探測防火墻

為了安全，主機通常會安裝防火墻。防火墻設(shè)置的規(guī)則可以限制其他主機連接。例如，在防火墻規(guī)則中可以設(shè)置IP地址，允許或阻止該IP地址主機對本機的連接;還可以設(shè)置監(jiān)聽端口，允許或阻止其他主機連接到本地監(jiān)聽的端口。

為了清楚地了解目標(biāo)主機上是否安裝防火墻，以及設(shè)置了哪些限制，netwo__工具提供了編號為76的模塊來實現(xiàn)。它通過發(fā)送大量的TCP[SYN]包，對目標(biāo)主機進行防火墻探測，并指定端口通過得到的響應(yīng)包進行判斷。

如果目標(biāo)主機的防火墻處于關(guān)閉狀態(tài)，并且指定的端口沒有被監(jiān)聽，將返回[RST，ACK]包。

如果目標(biāo)主機上啟用了防火墻，在規(guī)則中設(shè)置了端口，阻止其他主機連接該端口，那么在探測時將不會返回響應(yīng)信息。如果設(shè)置為允許其他主機連接該端口，將返回[SYN，ACK]包。

如果在規(guī)則中設(shè)置了IP地址，并允許該IP地址的主機進行連接，探測時返回[SYN，ACK]包;當(dāng)阻止該IP地址的主機進行連接，探測時將不會返回數(shù)據(jù)包。

由于它可以發(fā)送大量的TCP[SYN]包，用戶還可以利用該模塊實施洪水攻擊，耗盡目標(biāo)主機資源。

在主機192.168.59.131上對目標(biāo)主機192.168.59.133進行防火墻探測。

1)向目標(biāo)主機端口2355發(fā)送TCP[SYN]包，探測是否有防火墻。執(zhí)行命令如下：

root@da__ueba:~# netwo__ 76 -i 192.168.59.133 -p 2355

執(zhí)行命令后沒有任何輸出信息，但是會不斷地向目標(biāo)主機發(fā)送TCP[SYN]包。

2)為了驗證發(fā)送探測包情況，可以通過Wireshark抓包進行查看，如圖1所示。其中，一部分?jǐn)?shù)據(jù)包目標(biāo)IP地址都為192.168.59.133，源IP地址為隨機的IP地址，源端口為隨機端口，目標(biāo)端口為2355。這些數(shù)據(jù)包是探測防火墻時發(fā)送的TCP[SYN]數(shù)據(jù)包。另一部分?jǐn)?shù)據(jù)包源IP地址為192.168.59.133，目標(biāo)IP地址為隨機的IP地址，源端口為2355，目標(biāo)端口為隨機端口。這些數(shù)據(jù)包為對應(yīng)的響應(yīng)包。這里的響應(yīng)包為[RST，ACK]包，表示目標(biāo)主機的防火墻沒有開啟，并且目標(biāo)主機沒有監(jiān)聽2355端口。

3)目標(biāo)主機沒有開啟防火墻時，如果監(jiān)聽了端口(如監(jiān)聽了49213端口)，將會得到[SYN，ACK]響應(yīng)包，如圖2所示。其中，一部分?jǐn)?shù)據(jù)包的源IP地址為192.168.59.133，目標(biāo)IP地址為隨機的IP地址，源端口為49213，目標(biāo)端口為隨機端口。這些數(shù)據(jù)包為對應(yīng)的響應(yīng)包。這里的響應(yīng)包為第2次握手包，表示目標(biāo)主機監(jiān)聽了49213端口。

4)當(dāng)目標(biāo)主機上開啟了防火墻，再進行探測時，如果目標(biāo)主機監(jiān)聽了端口，并且在防火墻規(guī)則中允許連接到該端口，那么將會收到[SYN，ACK]響應(yīng)包。如果不允許連接到該端口，那么將不會返回任何響應(yīng)數(shù)據(jù)包。例如，防火墻規(guī)則中不允許連接49213端口，那么在探測時，將只有TCP[SYN]包，如圖3所示。其中，所有的數(shù)據(jù)包目標(biāo)IP地址都為192.168.59.133，源IP地址為隨機的IP地址，源端口為隨機端口，目標(biāo)端口為49213。這些數(shù)據(jù)包就是探測時發(fā)送的TCP[SYN]包。

5)目標(biāo)主機的防火墻規(guī)則可能限制了特定IP地址的主機進行連接。那么，在進行探測時，其他IP地址的TCP[SYN]包會得到對應(yīng)的[SYN，ACK]響應(yīng)包，被限制的IP地址主機將不會收到響應(yīng)包。捕獲到的探測數(shù)據(jù)包，如圖4所示。其中，偽造了大量的IP地址向目標(biāo)主機發(fā)送的TCP[SYN]包。例如，第45個數(shù)據(jù)包為偽造主機19.182.220.102向目標(biāo)主機192.168.59.133發(fā)送的探測包。第53個數(shù)據(jù)包為偽造主機223.145.224.217向目標(biāo)主機192.168.59.133發(fā)送的探測包。

6)通過顯示過濾器，過濾主機19.182.220.102的數(shù)據(jù)包，如圖5所示。圖中第45個數(shù)據(jù)包為發(fā)送的探測包，第283個數(shù)據(jù)包為對應(yīng)的響應(yīng)包[SYN，ACK]。這說明目標(biāo)主機防火墻規(guī)則中沒有限制主機19.182.220.102的連接。

7)過濾主機223.145.224.217的數(shù)據(jù)包，如圖6所示。該數(shù)據(jù)包為進行探測發(fā)送的[SYN]包，主機IP地址為223.145.224.217，但是該數(shù)據(jù)包沒有對應(yīng)的響應(yīng)包。這說明目標(biāo)主機防火墻規(guī)則中限制了主機223.145.224.217的連接。

8)對目標(biāo)主機實施洪水攻擊，在攻擊之前，在目標(biāo)主機上查看所有端口的相關(guān)狀態(tài)信息，如圖7所示。其中，192.168.59.133：49213表示主機192.168.59.133開啟了49213端口。狀態(tài)列中的LISTENING表示該端口處于監(jiān)聽狀態(tài)。

9)對目標(biāo)主機進行洪水攻擊，執(zhí)行命令如下：

root@da__ueba:~# netwo__ 76 -i 192.168.59.133 -p 49213

10)再次在目標(biāo)主機上查看所有端口的相關(guān)狀態(tài)信息，如圖8所示。圖中顯示了大量的地址192.168.59.133：49213，表示有大量的主機連接了主機的49213端口。其中，1.11.56.194：49356表示，主機1.11.56.194的49356端口連接了主機192.168.59.133的49213端口。

科普 l 防火墻的基礎(chǔ)知識整理

一、基本特征

1、內(nèi)外部網(wǎng)絡(luò)之間的一切網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過防火墻

2、只有符合安全策略的數(shù)據(jù)流的數(shù)據(jù)才能通過防火墻

3、防火墻本身就應(yīng)該具備非常強的抗攻擊和免疫力

4、應(yīng)用層防火墻應(yīng)該具備更精細(xì)的防護能力

5、數(shù)據(jù)庫防火墻應(yīng)該具備針對數(shù)據(jù)庫惡意攻擊的阻斷能力

二、主要優(yōu)點

1、防火墻具有強化安全策略的能力。

2、防火墻可以有效對Internet上的活動進行記錄。

3、防火墻具有限制暴露用戶點的能力，可以用來隔開網(wǎng)絡(luò)中的網(wǎng)段，有效防止其中某一網(wǎng)段的出現(xiàn)問題時影響其他網(wǎng)段。

4、防火墻是一個檢查站。所有輸入輸出的信息都必須通過防火墻的檢查，確認(rèn)安全才能通過，可疑的訪問全都會被拒絕于門外。

三、基本功能

1.對進出網(wǎng)絡(luò)的數(shù)據(jù)進行過濾

2.管理用戶進出訪問網(wǎng)絡(luò)的行為

3.封堵禁止的業(yè)務(wù)

4.記錄所有通過防火墻信息內(nèi)容和活動

5.對網(wǎng)絡(luò)攻擊行為進行檢測和告警

四、防火墻的分類

按照防火墻的實現(xiàn)方式可將防火墻分為下列幾種：

1、包過濾防火墻：包過濾防火墻比較簡單，但缺乏靈活性。而且包過濾防火墻每個包通過時都需要進行策略檢查，一旦策略過多會導(dǎo)致性能的急劇下降。

2、代理型防火墻：安全性高，但開發(fā)成本也很高，如果每個應(yīng)用都開發(fā)一個的代理服務(wù)的話是很難做到的。所以代理型防火墻需要針對某些業(yè)務(wù)應(yīng)用，不適合很豐富的業(yè)務(wù)。

3、狀態(tài)檢測防火墻：屬于高級通信過濾，在狀態(tài)檢測防火墻中，會維護著一個會話表項，通過Session表項就能判斷連接是否合法訪問，現(xiàn)在主流的防火墻產(chǎn)品多為狀態(tài)檢測防火墻。

論防火墻之基礎(chǔ)知識

1.防火墻原理

通過匹配數(shù)據(jù)包中的源目IP地址及源目端口或者協(xié)議，地址轉(zhuǎn)換及隱藏端口等，定義相應(yīng)策略，從而實現(xiàn)需求及效果。

2.作用

2.1防止外部攻擊，保護內(nèi)網(wǎng);

2.2在防火墻上做NAT地址轉(zhuǎn)換(源和目的);

2.3基于源地址及目的地址應(yīng)用協(xié)議及端口做策略規(guī)則，控制訪問關(guān)系;

2.4限定用戶訪問特殊站點

2.5管理訪問網(wǎng)絡(luò)的行為

2.6做監(jiān)管認(rèn)證

3.部署位置(以Hillstone SG6000為例)

一般部署在出口位置，如出口路由器等，或者區(qū)域出口

4.接入方式

三層接入(需要做NAT轉(zhuǎn)換，常用)

二層透明接入(透明接入不影響網(wǎng)絡(luò)架構(gòu))

混合接入(一般有接口需要配置成透明模式，可以支持此模式)

5.安全域劃分

5.1一般正常三個安全域untrust(外網(wǎng))、trust(內(nèi)網(wǎng))、DMZ

5.2服務(wù)器網(wǎng)段也可自定義多個，外網(wǎng)接口ip地址：客戶提供

5.3內(nèi)網(wǎng)口ip地址：如果內(nèi)網(wǎng)有多個網(wǎng)段，建議在中心交換機配置獨立的VLAN網(wǎng)段，不要與內(nèi)網(wǎng)網(wǎng)段相同。

5.4如果客戶內(nèi)網(wǎng)只有一個網(wǎng)段，沒有中心交換機，則把防火墻內(nèi)網(wǎng)口地址設(shè)置為客戶內(nèi)網(wǎng)地址段，并作為客戶內(nèi)網(wǎng)網(wǎng)關(guān)(使用于中小型網(wǎng)絡(luò))

5.5 DMZ口ip地址：建議配置成服務(wù)器網(wǎng)段的網(wǎng)關(guān)

配置基本思路：

配置安全域(默認(rèn)三個安全域)

配置接口地址

配置路由

默認(rèn)路由：其中指定的接口：untrust(外網(wǎng))接口，如果有多個出口，可以在這選擇不同的接口，其中網(wǎng)關(guān)為跟FW互聯(lián)設(shè)備接口的地址，比如59.60.12.33是給電信給的出口網(wǎng)關(guān)地址。

靜態(tài)路由：網(wǎng)關(guān)地址為下一跳地址，客戶內(nèi)部有多個VLAN，需要配置靜態(tài)路由，比如客戶內(nèi)部有172.16.2.0/24,172.16.3.0/24等多網(wǎng)段，可以指定一條靜態(tài)路由。

6.配置策略

Rule id 4

Action permit //動作允許

log session-start

log session-end

src-zone "untrust" //源安全域為untrust

dst-zone "trust" //目的安全域為trust

src-addr "________廣場_10.126.242.3"

dst-addr "____系統(tǒng)_144.160.31.139"

service "Any"

description "______廣場訪問____系統(tǒng)"

e__it

//源地址______廣場訪問目的地址____系統(tǒng)

6.1配置安全域之間的允許策略

6.2配置trust到untrust的允許所有的策略

6.3配置DMZ到untrust的允許所有的策略

6.4配置trust到DMZ的允許所有的策略

6.5配置untrust到DMZ服務(wù)器的允許策略

6.6配置untrust到trust服務(wù)器的允許策略

(有時候有需求是從untrust訪問trust內(nèi)部地址的需求，同樣要先做目的NAT，然后配置從untrust到trust的允許策略)

7.配置詳細(xì)策略

一般為了使接口流量能夠流入或者流出接口，將接口綁定到某個安全域下。

三層安全域，還需為接口配置ip地址，然后規(guī)定策略，多個接口可以綁定到一個安全域下，但是一個接口不能被綁定到多個安全域。

策略查詢：

系統(tǒng)會根據(jù)數(shù)據(jù)包的源安全域、目的安全域、源ip地址及端口號和目的ip地址及端口號及協(xié)議等，查找策略規(guī)則，如果找不到策略，則丟棄數(shù)據(jù)包，如果找到相應(yīng)的策略，則根據(jù)規(guī)則所定義的動作來執(zhí)行，動作為允許、拒絕、隧道。

7.1配置策略規(guī)則

Address address1

Ip address 192.168.10.1 255.255.255.0

Policy from l2-trust2 to l2-untrust2

Rule from ipaddress1 to any service any permit //從地址1來的所有服務(wù)都允許通過

7.2安全域

Trust、untrust、DMZ、l2-trust、l2-untrust、l2-DMZ。

接口綁定到域，并且綁定到vswitch，二層和三層域決定了接口工作在二層模式還是三層模式。

創(chuàng)建vswitch2，創(chuàng)建二層安全域trust1，將trust1綁定到vswitch2中，再將eth0/0綁定到trust1中：

配置示例：

Vswitch vswitch2

Zone trust1 l2