###	Index:940	《电脑爱好者》	你所不了解的“硬件防火墙”和“边界网络攻击”
你所不了解的“硬件防火墙”和“边界网络攻击”

作者：来源：《电脑爱好者》2009年第01期

天生我才栏目教授大家网络安全知识一年多了，基础知识相信大家都已经有了大体的了解，这次会为大家讲解一些硬件类产品的功能与选择。

网络是有边界的……

“欲望是没有边界的”，但显然网络并不适用—举个例子吧，比如你在调试网络的时候，经常会遇到明明可以在局域网内随意访问，可是就是没办法进入互联网的情况，尽管这两个网络在物理层面是相连。两个不同安全级别的网络，产生了安全界的专业词“网络边界”，说白了就是黑客要从互联网破坏你们公司的局域网，就要“网络边界攻击”。

摆事实，讲真相……

时间：2008年11月18日负责工程师：孙晓辉地点：秦皇岛XX集团现场：秦皇岛XX集团近期时常出现断网现象，由于公司网络结构混乱，管理员尝试利用软件防火墙、路由均衡负载等多种手段后依旧无法解决问题，无奈之下，管理员向安全公司请求援助，信服科技网络安全工程师接到电话后在次日上午赶到XX集团机房。事件分析：工程师经过长时间的数据抓包分析与网络环境排查终于确定XX集团是遭受多种洪水DDOS分布式攻击导致网络无法正常连接，并与管理员协商决定采购一台千兆级硬件防火墙配合软策略实现防御。

攻击类型分析：当硬件防火墙加入网络后，攻击行为一览无余，SYNFLOOD攻击、DDOS分布式拒绝服务攻击等多种DDOS攻击全部被记录。

有一堆新名词看不明白吧？别急，别急，下面我们就来给你一一讲解。

黑客：我厉害，因为我会SYNFlood攻击

DDOS听说过吧？你有两只手，但让你1分钟内完成10件事，也没办法吧？你访问的网站服务器也是如此，如果黑客利用技术手段让一堆机器去访问服务器，它立刻就会罢工了！这里的SYNFlood就是DDOS攻击的一种手段，说白了就是网站不能够为正常访问的人提供服务了（见图1）。

来看看SYNFlood为什么这么强大吧。在SYNFlood攻击中，黑客的电脑会向受害主机发送大量伪造源地址的SYN报文，可怜的服务器完全被骗了，它会向源地址返回SYN＋ACK数据包，并等待源端返回ACK包。由于源地址是伪造的，所以源端永远都不会返回ACK报文。这个时候服务器完完全全就是一个被玩弄的角色，但不得不佩服它顽强的意志品质，虽然发出去的包没有人理，但它仍然会继续发送SYN＋ACK包，然后继续等待。于是，黑客这边不停地发，服务器那边傻傻地等，最后的结果—服务器挂了，它拒绝新的连接，将导致该端口无法响应其他机器进行的连接请求，最终服务器的资源耗尽了。

小知识黑客告诉你：什么叫SYN？

两台电脑，要传数据了（或是你要访问服务器了），首先它们需要进行TCP连接，连接就需要初始化，要完成这一任务，就需要数据包，这数据包的名字就是SYN。它的作用就是简单表明地告诉另外那台电脑：来吧，我已经准备好了！

黑客告诉你：DDOS的表现形式有两种DDOS的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即大量攻击包导致网络带宽被阻塞，合法网络包被虚假的攻击包淹没而无法到达主机，不过这需要黑客手里有一定数量的“肉机”才能完成。另一种为资源耗尽攻击，主要是针对服务器主机的攻击，即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务，这个实现起来要简单些。

网络安装工程师：小样，我用硬件防火墙！

从石器到青铜器，再后来的铁器，到现在的钻石，从人类工具的发展进程就可以总结出—硬的就是比软的好！防火墙也不例外，硬件防火墙其实就是指把防火墙程序做到芯片里面，再由专门的硬件执行这些功能，能减少CPU的负担，使网络更稳定。其实就是找来一台专门的电脑当防火墙，但又不用显示器，也不用那些硬盘和内存，玩游戏的独立显卡更是多余—于是大多配备了奔腾CPU的“简化电脑”来充当硬件防火墙（说是这么说，但其实里面的科技含量还是相当多的）（见图2）。

由于是一台“电脑”，所以硬件防火墙也有系统，这系统一般就是厂商定制的Linux和他们提供的软件，也正因为这个特性，在不受攻击状态下，硬件防火墙对服务器的CPU占用率几乎是0了。

在硬件防火墙正在“忙活”的时候，软件防火墙在干嘛呢？就拿微软的ISA防火墙来说，当ISA在服务器上运行后（这里讲述的防火墙可不是你常见的杀毒软件用于电脑上的防火墙，比那个高档些哦），如果有黑客DDOS攻击，这时候CPU不仅要照顾Windows其他正常服务，还要处理着这边的DDOS攻击，两头忙活，最后还不落好—服务器挂了！当然，即便在不受攻击状态下，运行软件防火墙，也要占用CPU20%～30%的资源。

一个是专门对付你，一个是兼职的打“鬼子”的，根本就不是一个数量级别呀！低档的黑客顶多也就是和软件防火墙对着干干，遇到硬件防火墙，那就抓瞎了，看来“欺软怕硬”是亘古不变的真理呀……

硬件防火墙开发商：设备好，但还要看谁来用！

NBA有句话—得内线者得天下，每只NBA球队的老板都希望队伍中有一名超级中锋，姚明牛吧，够超级了吧？但球传不到他手里，你也只能干瞪眼——谁让教练用不好呀！所以说别以为有了硬件防火墙就可以高枕无忧了，咱还是要学学怎么应对DDOS类的攻击。来来，看我就传你“防D（DDOS类攻击）五法”。

①黑洞法：硬件防火墙会有专门的黑洞设置（高档的企业级软件防火墙也有此功能），当服务器遭受攻击之后，在网络当中设置访问控制，将所有的流量放到黑洞里面去扔掉。不需要的根本就不放它进来！这样你的局域网就不会有问题了。

②免NAT法：虽然这玩意是安全，但还是尽量别打开NAT，主要是由于NAT需要把地址进行转换，这一转换就麻烦了，要对数据进行校验，还要计算，这事全是CPU来干的—CPU也没有（多）余（性）能呀！所以NAT会降低网络的通信能力，还是能省就省吧（如必须进行NAT地址转换，网络结构一般都比较大，硬件防火墙的串联防护还是很必要的）。

③过滤所有RFC1918IP地址法：RFC1918IP地址就是一般局域网的IP地址，像什么10.0.0.0、192.168.0.0和172.16.0.0等等，黑客最喜欢利用这些地址来DDOS攻击了，因为它们是在互联网上找不到的，完全就是用来骗服务器的！所以应该把它们过滤掉，当然，此方法并不是过滤内部员工的访问。

④限制SYN流量法：前面已经介绍了SYNFlood是利用SYN攻击服务器的，那么可以在防火墙上设置SYN的最大流量，限制SYN包所能占用最高带宽，当有一堆的SYN流量时，就说明有黑客入侵。早期通过限制SYN流量是最好的防范DDOS的方法，虽然目前该方法对于DDOS效果不太明显了，不过仍然能够起到一定的作用（见图3）。

⑤屏蔽端口法：一般的服务器只需要21（FTP）、25（SMTP）、80（Web）、1433（SQL）等协议支持操作，一般对此类端口外所有端口进行屏蔽。要特别注意一定要把139端口进行屏蔽，这个端口是为NetBIOSSessionService提供的，就是Windows文件和打印机共享，黑客就喜欢从这个端口进入攻击，用流光、SuperScan等端口扫描工具一扫一个准，这是非常危险的（近期流行的MS08-067攻击就是此端口漏洞的强大攻击漏洞）。

怎么样，这次的知识你学会了吗？

