一、防火牆技術發展概述
傳統的防火牆通常是基於訪問控制列表(ACL)進行包過濾的，位於在內部專用網的入口處，所以也俗稱"邊界防火牆"。隨著防火牆技術的發展，防火牆技術也得到了發展，出現了一些新的防火牆技術，如電路級網關技術、應用網關技術和動態包過濾技術，在實際運用中，這些技術差別非常大，有的工作在OSI參考模式的網路層，；有的工作在傳輸層，還有的工作在應用層。
在這些已出現的防火牆技術中，靜態包過濾是最差的安全解決方案，其應用存在著一些不可克服的限制，最明顯的表現就是不能檢測出基於用戶身份的地址欺騙型數據包，並且很容易受到諸如DoS（拒絕服務）、IP地址欺詐等駭客攻擊。現在已基本上沒有防火牆廠商單獨使用這種技術。應用層網關和電路級網關是比較好的安全解決方案，它們在應用層檢查數據包。但是，我們不可能對每一個應用都運行這樣一個代理伺服器，而且部分應用網關技術還要求客戶端安裝有特殊的軟體。這兩種解決方案在性能上也有很大的不足之處。動態包過濾是基於連接狀態對數據包進行檢查，由於動態包過濾解決了靜態包過濾的安全限制，並且比代理技術在性能上有了很大的改善，因而目前大多數防火牆廠商都採用這種技術。但是隨著主動攻擊的增多，狀態包過濾技術也面臨著巨大的挑戰，更需要其他新技術的輔助。
除了訪問控制功能外，現在大多數的防火牆製造商在自己的設備上還集成了其他的安全技術，如NAT和VPN、病毒防護等。
二、防火牆未來的技術發展趨勢
隨著新的網路攻擊的出現，防火牆技術也有一些新的發展趨勢。這主要可以從包過濾技術、防火牆體系結構和防火牆系統管理三方面來體現。
1. 防火牆包過濾技術發展趨勢
（1）. 一些防火牆廠商把在AAA系統上運用的用戶認證及其服務擴展到防火牆中，使其擁有可以支援基於用戶角色的安全策略功能。該功能在無線網路應用中非常必要。具有用戶身份驗證的防火牆通常是採用應用級網關技術的，包過濾技術的防火牆不具有。用戶身份驗證功能越強，它的安全級別越高，但它給網路通信帶來的負面影響也越大，因為用戶身份驗證需要時間，特別是加密型的用戶身份驗證。
（2）. 多級過濾技術
所謂多級過濾技術，是指防火牆採用多級過濾措施，並輔以鑒別手段。在分組過濾（網路層）一級，過濾掉所有的源路由分組和假冒的IP源地址；在傳輸層一級，遵循過濾規則，過濾掉所有禁止出或/和入的協議和有害數據包如nuke包、聖誕樹包等；在應用網關（應用層）一級，能利用FTP、SMTP等各種網關，控制和監測Internet提供的所用通用服務。這是針對以上各種已有防火牆技術的不足而產生的一種綜合型過濾技術，它可以彌補以上各種單獨過濾技術的不足。
這種過濾技術在分層上非常清楚，每種過濾技術對應于不同的網路層，從這個概念出發，又有很多內容可以擴展，為將來的防火牆技術發展打下基礎。
（3）. 使防火牆具有病毒防護功能。現在通常被稱之為"病毒防火牆"，當然目前主要還是在個人防火牆中體現，因為它是純軟體形式，更容易實現。這種防火牆技術可以有效地防止病毒在網路中的傳播，比等待攻擊的發生更加積極。擁有病毒防護功能的防火牆可以大大減少公司的損失。
2. 防火牆的體系結構發展趨勢
隨著網路應用的增加，對網路帶寬提出了更高的要求。這意味著防火牆要能夠以非常高的速率處理數據。另外，在以後幾年裏，多媒體應用將會越來越普遍，它要求數據穿過防火牆所帶來的延遲要足夠小。為了滿足這種需要，一些防火牆製造商開發了基於ASIC的防火牆和基於網路處理器的防火牆。從執行速度的角度看來，基於網路處理器的防火牆也是基於軟體的解決方案，它需要在很大程度上依賴於軟體的性能，但是由於這類防火牆中有一些專門用於處理數據層面任務的引擎，從而減輕了CPU的負擔，該類防火牆的性能要比傳統防火牆的性能好許多。
與基於ASIC的純硬體防火牆相比，基於網路處理器的防火牆具有軟體色彩，因而更加具有靈活性。基於ASIC的防火牆使用專門的硬體處理網路數據流，比起前兩種類型的防火牆具有更好的性能。但是純硬體的ASIC防火牆缺乏可編程性，這就使得它缺乏靈活性，從而跟不上防火牆功能的快速發展。理想的解決方案是增加ASIC晶片的可編程性，使其與軟體更好地配合。這樣的防火牆就可以同時滿足來自靈活性和運行性能的要求。
首信CF-2000 系列EP-600和CG-600高端千兆防火牆即採用了功能強大的可編程專有ASIC晶片作為專門的安全引擎，很好地兼顧了靈活性和性能的需要。它們可以以線速處理網路流量，而且其性能不受連接數目、包大小以及採用何種策略的影響。該款防火牆支援QoS，所造成的延遲可以達到微秒量級，可以滿足各種互動式多媒體應用的要求。浙大網新也在杭州正式發佈三款基於ASIC晶片的網新易尚千兆系列網關防火牆,據稱,其ES4000防火牆速度達到4Gbps,3DES速度可達600Mbps。易尚系列千兆防火牆還採用了最新的安全網關概念,集成了防火牆、VPN、IDS、防病毒、內容過濾和流量控制等多項功能。
1
2
下一頁>>
