浅论网络防火墙技术4

包的一个小碎片中，寄希望过滤规则为丢弃协议类型为ＴＣＰ而ＩＰ帧偏移量为１的所有包）等。由此可见此类网上攻击仅仅借助包头信息是难以识别的，此时，需要路由器在原过滤规则的基础附上另外的条件，这些条件的判别信息可以通过检查路由表、指定ＩＰ选择、检查指定帧偏移量等获得。
　　
　　包过滤路由器的优点，大多数防火墙配置成无状态的包过滤路由器，因而实现包过滤几乎没有任何耗费。另外，它对用户和应用来说是透明的，每台主机无需安装特定的软件，使用起来比较方便。
　　
　　包过滤路由器的局限性在于定义包过滤是个复杂的工作，网络管理员需要对各种因特网服务、包头格式以及希望在每一个城找到的特定的值有足够的了解：面对复杂的过滤需求，过滤规则将是一个冗长而复杂、不易理解和管理的集合，同样也很难测试规则的正确性；任何直接通过路由器的包都可能被利用做为发起一个数据驱动的攻击；随着过滤数目的增加，将降低路由器包的吞吐量，同时耗费更多ＣＰＵ的时间而影响系统的性能；再者ＩＰ包过滤难以进行行之有效的流量控制，因为它可以许可或拒绝一个特定的服务，但无法理解一个特定服务的内容或数据。
　　
　　３、应用层网关
　　
　　应用层网关允许网络管理员实施一个较包过滤路由器更为严格的安全策略，为每一个期望的应用服务在其网关上安装专用的代码（一个代理服务），同时，代理代码也可以配置成支持

页码：[1] [2] [3] [4] [5] [6] [7] 第4页、共7页

设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明