WEB开发网
开发学院网络安全防火墙 网络防火墙设计中的一些重点问题 阅读

网络防火墙设计中的一些重点问题

 2007-07-26 12:46:13 来源:WEB开发网   
核心提示:1.方案:硬件?还是软件?现在防火墙的功能越来越多越花哨,如此多的功能必然要求系统有一个高效的处理能力,网络防火墙设计中的一些重点问题,防火墙从实现上可以分为软件防火墙和硬件防火墙,软件防火墙以checkpoint公司的Firewall-I为代表,无一例外,各厂家的区别仅仅在于对Linux系统本身和防火墙部分(2.2内

1.方案:硬件?还是软件?

现在防火墙的功能越来越多越花哨,如此多的功能必然要求系统有一个高效的处理能力。

防火墙从实现上可以分为软件防火墙和硬件防火墙。软件防火墙以checkpoint公司的Firewall-I为代表,其实现是通过 dev_add_pack的办法加载过滤函数(Linux,其他操作系统没有作分析,估计类似),通过在操作系统底层做工作来实现防火墙的各种功能和优化。国内也有一些所谓的软件防火墙,但据了解大多是所谓“个人”防火墙,而且功能及其有限,故不在此讨论范围。

在国内目前已通过公安部检验的防火墙中,硬件防火墙占绝大多数。硬件防火墙一种是从硬件到软件都单独设计,典型如Netscreen防火墙不但软件部分单独设计,硬件部分也采用专门的ASIC集成电路。

另外一种就是基于PC架构的使用经过定制的通用操作系统的所谓硬件防火墙。目前国内绝大多数防火墙都属于这种类型。

虽然都号称硬件防火墙,国内厂家和国外厂家还是存在着巨大区别。硬件防火墙需要在硬件和软件两方面同时下功夫,国外厂家的通常做法是软件运算硬件化,其所设计或选用的运行平台本身的性能可能并不高,但它将主要的运算程序(查表运算是防火墙的主要工作)做成芯片,以减少主机CPU的运算压力。国内厂家的防火墙硬件平台基本上采用通用PC系统或工业PC架构(直接原因是可以节省硬件开发成本),在提高硬件性能方面所能做的工作仅仅是提升系统CPU的处理能力,增大内存容量而已。现在国内防火墙的一个典型结构就是:工业主板+x86+128(256)M内存+DOC/DOM+硬盘(或不要硬盘而另增加一个日志服务器)+百兆网卡 这样一个工业PC结构。

在软件性能方面,国内外厂家的差别就更大了,国外(一些著名)厂家均是采用专用的操作系统,自行设计防火墙。而国内所有厂家操作系统系统都是基于通用的 Linux,无一例外。各厂家的区别仅仅在于对Linux系统本身和防火墙部分(2.2内核为ipchains,2.4以后内核为netfilter)所作的改动量有多大。

1 2 3 4 5 6  下一页

Tags:网络 防火墙 设计

编辑录入:爽爽 [复制链接] [打 印]
赞助商链接