網(wǎng)站開(kāi)發(fā)的項(xiàng)目需求,杭州網(wǎng)站建設(shè)技術(shù)支持,陽(yáng)江網(wǎng)站seo服務(wù),西安市市政建設(shè)網(wǎng)站文章目錄防火墻的發(fā)展歷史有哪些不同類(lèi)型的防火墻防火墻是如何工作的防火墻的基本性能指標(biāo)是什么防火墻與路由器和交換機(jī)有什么區(qū)別華為有哪些防火墻產(chǎn)品防火墻#xff08;Firewall#xff09;是一種網(wǎng)絡(luò)安全設(shè)備#xff0c;根據(jù)預(yù)定的安全策略監(jiān)視、過(guò)濾和控制傳入和傳出網(wǎng)…文章目錄防火墻的發(fā)展歷史有哪些不同類(lèi)型的防火墻防火墻是如何工作的防火墻的基本性能指標(biāo)是什么防火墻與路由器和交換機(jī)有什么區(qū)別華為有哪些防火墻產(chǎn)品防火墻Firewall是一種網(wǎng)絡(luò)安全設(shè)備根據(jù)預(yù)定的安全策略監(jiān)視、過(guò)濾和控制傳入和傳出網(wǎng)絡(luò)的流量保護(hù)一個(gè)網(wǎng)絡(luò)區(qū)域免受來(lái)自另一個(gè)網(wǎng)絡(luò)區(qū)域的網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)入侵行為。這里的防火墻不是指建筑領(lǐng)域用來(lái)隔離火源的那一堵墻也不是指Windows等操作系統(tǒng)里內(nèi)置的Windows防火墻更不是“翻墻”中的墻而是指網(wǎng)絡(luò)防火墻可以是硬件、軟件、軟件即服務(wù)SaaS等形式。防火墻作為網(wǎng)絡(luò)部署中安全防護(hù)的第一道防線可靈活應(yīng)用于網(wǎng)絡(luò)邊界、子網(wǎng)隔離等位置具體如企業(yè)網(wǎng)絡(luò)出口、大型網(wǎng)絡(luò)內(nèi)部子網(wǎng)隔離、數(shù)據(jù)中心邊界等等。防火墻的發(fā)展歷史與人類(lèi)的進(jìn)化史相似防火墻的發(fā)展歷史也經(jīng)歷了從低級(jí)到高級(jí)、從功能簡(jiǎn)單到功能復(fù)雜的過(guò)程。在這一過(guò)程中網(wǎng)絡(luò)技術(shù)的不斷發(fā)展新需求的不斷提出推動(dòng)著防火墻向前發(fā)展演進(jìn)。防火墻的發(fā)展歷程最早的防火墻可以追溯到上世紀(jì)80年代末期距今已有三十多年的歷史。在這三十多年間防火墻的發(fā)展過(guò)程大致可以劃分為下面三個(gè)時(shí)期1989年至1994年1989年產(chǎn)生了包過(guò)濾防火墻實(shí)現(xiàn)簡(jiǎn)單的訪問(wèn)控制我們稱之為第一代防火墻。隨后出現(xiàn)了代理防火墻在應(yīng)用層代理內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的通信屬于第二代防火墻。代理防火墻安全性較高但處理速度慢而且對(duì)每一種應(yīng)用開(kāi)發(fā)一個(gè)對(duì)應(yīng)的代理服務(wù)是很難做到的因此只能對(duì)少量的應(yīng)用提供代理支持。1994年CheckPoint公司發(fā)布了第一臺(tái)基于狀態(tài)檢測(cè)技術(shù)的防火墻通過(guò)動(dòng)態(tài)分析報(bào)文的狀態(tài)來(lái)決定對(duì)報(bào)文采取的動(dòng)作不需要為每個(gè)應(yīng)用程序都進(jìn)行代理處理速度快而且安全性高。狀態(tài)檢測(cè)防火墻被稱為第三代防火墻。1995年至2004年在這一時(shí)期狀態(tài)檢測(cè)防火墻已經(jīng)成為趨勢(shì)。除了訪問(wèn)控制功能之外防火墻上也開(kāi)始增加一些其他功能如VPN。同時(shí)一些專(zhuān)用設(shè)備也在這一時(shí)期出現(xiàn)了雛形。例如專(zhuān)門(mén)保護(hù)Web服務(wù)器安全的WAFWeb Application FirewallWeb應(yīng)用防火墻設(shè)備。2004年業(yè)界提出了UTMUnited Threat Management統(tǒng)一威脅管理的概念將傳統(tǒng)防火墻、入侵檢測(cè)、防病毒、URL過(guò)濾、應(yīng)用程序控制、郵件過(guò)濾等功能融合到一臺(tái)防火墻上實(shí)現(xiàn)全面的安全防護(hù)。2005年至今2004年后UTM市場(chǎng)得到了快速的發(fā)展UTM產(chǎn)品如雨后春筍般涌現(xiàn)但面臨新的問(wèn)題。首先是對(duì)應(yīng)用層信息的檢測(cè)程度受到限制舉個(gè)例子假設(shè)防火墻允許“男人”通過(guò)拒絕“女人”通過(guò)那是否允許來(lái)自星星的都教授外星人通過(guò)呢此時(shí)就需要更高級(jí)的檢測(cè)手段這使得業(yè)務(wù)感知技術(shù)得到廣泛應(yīng)用。其次是性能問(wèn)題多個(gè)功能同時(shí)運(yùn)行UTM設(shè)備的處理性能將會(huì)嚴(yán)重下降。2008年P(guān)alo Alto Networks公司發(fā)布了下一代防火墻解決了多個(gè)功能同時(shí)運(yùn)行時(shí)性能下降的問(wèn)題。同時(shí)還可以基于用戶、應(yīng)用和內(nèi)容來(lái)進(jìn)行管控。2009年Gartner對(duì)下一代防火墻進(jìn)行了定義明確下一代防火墻應(yīng)具備的功能特性。隨后各個(gè)安全廠商也推出了各自的下一代防火墻產(chǎn)品防火墻進(jìn)入了一個(gè)新的時(shí)代。2014年左右隨著云計(jì)算和虛擬化技術(shù)的發(fā)展防火墻開(kāi)始云化并以軟件形式部署在云環(huán)境中為用戶提供彈性伸縮、靈活部署的安全服務(wù)。2018年華為采用機(jī)器學(xué)習(xí)和深度學(xué)習(xí)構(gòu)建威脅檢測(cè)模型首次發(fā)布了運(yùn)用智能檢測(cè)技術(shù)的AI防火墻解決了傳統(tǒng)威脅檢測(cè)技術(shù)顆粒粗、威脅檢測(cè)周期長(zhǎng)等問(wèn)題以應(yīng)對(duì)APT為代表的高級(jí)威脅不斷演進(jìn)如勒索軟件、M2M攻擊。有哪些不同類(lèi)型的防火墻從防火墻的發(fā)展歷史可以看出基于防火墻的實(shí)現(xiàn)技術(shù)手段劃分防火墻主要可以分為如下幾種類(lèi)型。表1-1 防火墻的分類(lèi)根據(jù)設(shè)備形態(tài)劃分防火墻又可分為硬件防火墻、軟件防火墻和云防火墻硬件防火墻最常見(jiàn)的防火墻形態(tài)是一個(gè)單獨(dú)的硬件這些獨(dú)立設(shè)備有自己的資源。硬件防火墻再按照形態(tài)來(lái)細(xì)化還可以分為框式防火墻、盒式防火墻和桌面式防火墻、插板形態(tài)的防火墻等。軟件防火墻以軟件形式安裝在計(jì)算機(jī)或服務(wù)器上的防火墻它既可以作為基于主機(jī)的防火墻來(lái)保護(hù)單個(gè)設(shè)備也可以作為虛擬化環(huán)境中的網(wǎng)絡(luò)防火墻來(lái)保護(hù)整個(gè)虛擬網(wǎng)絡(luò)。把防火墻的處理放到虛擬機(jī)的環(huán)境下讓一臺(tái)虛擬機(jī)變?yōu)榉阑饓@類(lèi)防火墻也就虛擬機(jī)防火墻有時(shí)候也叫VM防火墻、虛擬防火墻。云防火墻部署在云服務(wù)提供商環(huán)境中的防火墻服務(wù)然后通過(guò)服務(wù)訂閱的方式提供給客戶。這些服務(wù)也稱為防火墻即服務(wù)FWaaS以基礎(chǔ)設(shè)施即服務(wù)IaaS或平臺(tái)即服務(wù)PaaS的形式運(yùn)行。盡管虛擬防火墻和云防火墻與硬件防火墻在形態(tài)上有差異但它們的核心功能是一樣的。防火墻是如何工作的防火墻已經(jīng)發(fā)展了幾十年功能非常多如安全策略、網(wǎng)絡(luò)攻擊防范、用于安全接入的IPsec VPN和SSL VPN、NAT地址轉(zhuǎn)換、入侵防御、反病毒等。但是防火墻之所以被稱為防火墻最基本最核心的功能是安全策略。安全策略其實(shí)就是網(wǎng)絡(luò)的門(mén)禁系統(tǒng)首先它有最基本的“防暴”的能力能夠抵御一些最基本的網(wǎng)絡(luò)攻擊和DDoS泛洪流量的攻擊。然后就是門(mén)禁系統(tǒng)的核心——預(yù)設(shè)的安全策略。通過(guò)預(yù)先設(shè)定好的規(guī)則允許什么樣的流量通過(guò)或者不允許什么樣的流量通過(guò)。條件包括傳統(tǒng)的IP地址和端口也可以包括流量所屬的應(yīng)用程序、流量發(fā)起的用戶、所在的地理位置、甚至當(dāng)前的時(shí)間是工作時(shí)間還是周末等等對(duì)于滿足這些條件的流量防火墻就可以指定是允許它通過(guò)還是不允許它通過(guò)。如果門(mén)禁系統(tǒng)允許流量通過(guò)防火墻的功能并沒(méi)有完結(jié)還可以進(jìn)一步對(duì)流量做進(jìn)一步的“搜身檢查”比如入侵檢測(cè)、反病毒、網(wǎng)頁(yè)過(guò)濾、數(shù)據(jù)防泄漏等等這些都是進(jìn)一步的內(nèi)容安全檢查。如果發(fā)現(xiàn)了風(fēng)險(xiǎn)防火墻可以按照既定設(shè)置攔截流量或者發(fā)出告警事件。防火墻的門(mén)禁系統(tǒng)流量一般都是有兩個(gè)方向比如用戶上網(wǎng)的時(shí)候向網(wǎng)站發(fā)出的訪問(wèn)請(qǐng)求在網(wǎng)站看來(lái)是“入方向”網(wǎng)站返回給用戶的流量則是“出方向”。所以流經(jīng)防火墻的流量也都是有兩個(gè)方向。網(wǎng)絡(luò)里的數(shù)據(jù)流量它并不是像水流一樣連續(xù)的所有的數(shù)據(jù)都被分成一個(gè)一個(gè)的報(bào)文有點(diǎn)像快遞包裹所以防火墻看到的是大量的報(bào)文在兩個(gè)方向上快速流淌、經(jīng)過(guò)。那安全策略是不是需要對(duì)經(jīng)過(guò)的每一個(gè)報(bào)文進(jìn)行檢查和決策呢答案是否定的因?yàn)榉阑饓€是比較聰明的。盡管流過(guò)防火墻設(shè)備的流量是一個(gè)一個(gè)的報(bào)文但是防火墻是能夠看到它們之間的聯(lián)系的也就是防火墻看到的并不是一個(gè)一個(gè)孤立和隨機(jī)的報(bào)文。例如用戶去訪問(wèn)一個(gè)網(wǎng)站訪問(wèn)請(qǐng)求可能比較小是兩個(gè)報(bào)文組成的返回的網(wǎng)頁(yè)可能比較大是幾十個(gè)報(bào)文組成的那么這些報(bào)文其實(shí)是共同完成了用戶上網(wǎng)獲取網(wǎng)頁(yè)這樣一個(gè)使命它們都具有相同的訪問(wèn)目的這些報(bào)文就像是旅行團(tuán)過(guò)門(mén)禁的時(shí)候就可以按照?qǐng)F(tuán)體游客來(lái)處理。防火墻就是這么做的防火墻看到的是一個(gè)個(gè)不同的“旅行團(tuán)”在防火墻的術(shù)語(yǔ)里把它們叫做流。防火墻對(duì)每個(gè)“旅行團(tuán)”也就是流只需要做一次判斷和決策就可以。防火墻的基本性能指標(biāo)是什么防火墻在網(wǎng)絡(luò)安全中扮演著至關(guān)重要的角色防火墻的性能直接關(guān)系到整個(gè)網(wǎng)絡(luò)的安全性和穩(wěn)定性。評(píng)估防火墻的性能是否滿足網(wǎng)絡(luò)需求的三個(gè)最基本的性能指標(biāo)是最大并發(fā)連接數(shù)表示同一時(shí)刻能夠最大能夠維持的流的數(shù)量。如果防火墻的并發(fā)連接數(shù)耗盡新的流就無(wú)法創(chuàng)建也無(wú)法通過(guò)防火墻。一般網(wǎng)絡(luò)中存在大量終端、大量API服務(wù)器、或者提供即時(shí)通信和在線游戲等服務(wù)時(shí)需要防火墻較大的并發(fā)連接數(shù)。這個(gè)性能主要是由防火墻內(nèi)部的內(nèi)存大小來(lái)決定的。最大新建連接速率表示每秒鐘防火墻可以建立的新連接的數(shù)量。當(dāng)防火墻新建連接速率滿負(fù)荷的時(shí)候用戶上網(wǎng)就會(huì)卡頓體驗(yàn)下降。一般提供云服務(wù)、實(shí)時(shí)性比較高的應(yīng)用、或者碰到節(jié)假日促銷(xiāo)等業(yè)務(wù)突增的場(chǎng)景這個(gè)指標(biāo)就會(huì)變得很重要。 這個(gè)性能主要取決于防火墻內(nèi)的中央處理器和軟件的處理性能。最大吞吐量表示每秒最大可以通過(guò)防火墻的數(shù)據(jù)量一般用每秒通過(guò)的比特?cái)?shù)或者每秒通過(guò)的報(bào)文數(shù)來(lái)衡量。值得注意的是這個(gè)指標(biāo)有很多細(xì)分項(xiàng)比如小包吞吐量、大包吞吐量、開(kāi)啟內(nèi)容安全以后的吞吐量等它們都是在不同的前提條件下的吞吐量要注意區(qū)分。 關(guān)注吞吐量的場(chǎng)景主要包括流媒體服務(wù)器、大量下載活動(dòng)、或者云存儲(chǔ)等等。這個(gè)性能主要是由處理器和接口的性能決定的。有些防火墻產(chǎn)品內(nèi)會(huì)有專(zhuān)門(mén)的硬件加速芯片來(lái)提升這個(gè)性能。防火墻與路由器和交換機(jī)有什么區(qū)別防火墻、路由器和交換機(jī)都是網(wǎng)絡(luò)設(shè)備但它們的功能和作用有所不同。路由器用來(lái)連接不同的網(wǎng)絡(luò)通過(guò)路由協(xié)議保證互聯(lián)互通確保將報(bào)文轉(zhuǎn)發(fā)到目的地交換機(jī)則通常用來(lái)組建局域網(wǎng)作為局域網(wǎng)通信的重要樞紐通過(guò)二層/三層交換快速轉(zhuǎn)發(fā)報(bào)文防火墻主要部署在網(wǎng)絡(luò)邊界對(duì)進(jìn)出網(wǎng)絡(luò)的訪問(wèn)行為進(jìn)行控制安全防護(hù)是其核心特性。路由器與交換機(jī)的本質(zhì)是轉(zhuǎn)發(fā)防火墻的本質(zhì)是控制。防火墻與交換機(jī)、路由器對(duì)比華為有哪些防火墻產(chǎn)品經(jīng)過(guò)三十多年的發(fā)展演變防火墻的功能越來(lái)越強(qiáng)性能越來(lái)越高。同樣華為的防火墻產(chǎn)品也經(jīng)歷了從無(wú)到有、逐步壯大的過(guò)程。在三十多年的時(shí)間中華為防火墻始終堅(jiān)韌前行勇于創(chuàng)新不斷突破取得了一個(gè)又一個(gè)輝煌。華為防火墻發(fā)展歷程已謝幕或即將謝幕的華為防火墻產(chǎn)品主要包括USG2000、USG5000、USG6000和USG9000四大系列涵蓋高、中、低端設(shè)備。其中USG2000和USG5000系列定位于UTM產(chǎn)品USG6000系列屬于中低端下一代防火墻產(chǎn)品USG9000系列屬于高端下一代防火墻產(chǎn)品。華為UTM產(chǎn)品和下一代防火墻產(chǎn)品自2018年華為首次發(fā)布中低端AI防火墻USG6000E系列隨后又發(fā)布了高端AI防火墻USG12000系列、新一代中低端AI防火墻USG6000F系列。2024年又陸續(xù)推出USG6000E-S和USG6000F-S等面向分銷(xiāo)市場(chǎng)的AI防火墻。華為AI防火墻產(chǎn)品