防火墙产品原理与应用

本书共5章，从防火墙产品的技术实现和标准介绍入手，对其产生需求、发展历程、实现原理、技术标准、应用场景和典型产品等内容进行了全面翔实的介绍。本书系信息安全产品技术丛书之一。作者系业内相关标准制定者，具有一定的权威性。 

本书共5章，从防火墙产品的技术实现和标准介绍入手，对其产生需求、发展历程、实现原理、技术标准、应用场景和典型产品等内容进行了全面翔实的介绍。 本书适合防火墙产品的使用者（系统集成商、系统管理员）、产品研发人员及测试评价人员作为技术参考，也可供信息安全专业的大学生及其他科研人员参考。

张艳，公安部计算机信息系统安全产品质量监督检验中心博士。著作方向：网络信息安全。主要作品有：《网络入侵检测产品原理及应用》、《网络扫描器产品原理及应用》等。

第1章 综述 （1）
1.1 为什么要防火墙产品 （1）
1.1.1 网络面临的安全威胁 （1）
1.1.2 网络安全的实现 （3）
1.1.3 采用防火墙系统的必要性 （4）
1.2 防火墙发展历程 （4）
1.2.1 防火墙技术的发展 （4）
1.2.2 防火墙发展的新技术趋势 （6）
1.2.3 其他新型防火墙 （7）
第2章 防火墙产品的技术及实现 （10）
2.1 防火墙接入方式 （10）
2.1.1 交换模式 （10）
2.1.2 路由模式 （13）
2.1.3 混合模式 （14）
2.1.4 链路捆绑模式 （15）
2.2 访问控制与地址转换 （16）
2.2.1 访问控制技术 （16）
2.2.2 地址转换技术 （19）
2.3 应用层控制 （27）
2.3.1 应用层协议分析 （27）
2.3.2 基本协议识别方法 （32）
2.3.3 常见的应用识别技术分析 （37）
2.4 攻击检测与防护 （39）
2.4.1 网络攻击常见步骤 （39）
2.4.2 常见的几种攻击分类 （41）
2.4.3 常见的网络安全防范措施 （45）
2.5 防病毒处理技术 （48）
2.5.1 防病毒的背景及意义 （48）
2.5.2 病毒的种类 （49）
2.5.3 病毒的特点 （51）
2.5.4 当今防火墙对病毒的处理 （53）
2.5.5 蠕虫防护 （57）
2.6 日志报警与事件审计 （62）
2.6.1 防火墙日志 （62）
2.6.2 报警 （64）
2.6.3 事件审计 （64）
2.7 流量管理 （65）
2.8 高可用性 （70）
2.8.1 产生背景 （70）
2.8.2 技术分类 （72）
2.8.3 双机热备（AS） （73）
2.8.4 双机双主（AA） （74）
2.8.5 双机热备实现机制 （75）
2.8.6 VRRP （76）
2.8.7 链路备份 （78）
2.8.8 服务器的负载均衡 （78）
2.9 VPN技术 （79）
2.9.1 VPN技术概况 （79）
2.9.2 SSL VPN技术原理 （84）
2.9.3 IPSEC VPN技术原理 （100）
2.10 IPv6技术 （126）
2.10.1 IPv6协议特点 （127）
2.10.2 IPv6地址 （129）
2.10.3 邻居发现 （131）
2.10.4 PMTU发现 （133）
2.10.5 隧道技术 （134）
2.11 防火墙虚拟化 （139）
2.11.1 硬件虚拟防火墙 （140）
2.11.2 软件虚拟防火墙 （145）
第3章 防火墙产品标准介绍 （150）
3.1 信息安全标准概述 （150）
3.1.1 标准化基础概念 （150）
3.1.2 我国信息安全标准体系介绍 （151）
3.1.3 信息安全等级保护工作概述 （152）
3.2 信息安全产品等级保护相关标准介绍 （155）
3.2.1 GB 17859—1999计算机信息系统安全保护等级划分准则 （155）
3.2.2 GB/T 20271—2006信息安全技术信息系统通用安全技术要求 （156）
3.2.3 GB/T 20272—2006信息安全技术操作系统安全技术要求 （156）
3.2.4 GB/T 20273—2006信息安全技术数据库管理系统安全技术要求 （156）
3.3 防火墙产品标准 （157）
3.3.1 防火墙安全技术标准历史 （157）
3.3.2 GB/T 20281—2006标准介绍 （166）
3.3.3 新型防火墙的标准 （188）
第4章 防火墙产品的典型应用 （201）
4.1 应用场景一 （201）
4.1.1 背景及需求 （201）
4.1.2 解决方案及分析 （202）
4.2 应用场景二 （204）
4.2.1 背景及需求 （204）
4.2.2 解决方案及分析 （206）
4.3 应用场景三 （208）
4.3.1 背景及需求 （208）
4.3.2 解决方案及分析 （210）
4.4 应用场景四 （211）
4.4.1 背景及需求 （212）
4.4.2 解决方案及分析 （213）
第5章 防火墙产品 （216）
5.1 防火墙简介 （216）
5.2 天融信防火墙介绍 （218）
5.2.1 天融信防火墙发展历程 （218）
5.2.2 天融信防火墙产品特点 （220）
5.2.3 天融信防火墙产品应用案例 （225）
5.3 网御星云防火墙介绍 （227）
5.3.1 网御星云防火墙发展历程 （227）
5.3.2 网御星云防火墙产品特点 （228）
5.3.3 网御星云防火墙产品应用案例 （230）
5.4 启明星辰防火墙介绍 （232）
5.4.1 启明星辰防火墙发展历程 （232）
5.4.2 启明星辰防火墙产品特点 （232）
5.4.3 启明星辰防火墙产品应用案例 （234）
5.5 网神防火墙介绍 （236）
5.5.1 网神防火墙发展历程 （236）
5.5.2 网神防火墙产品特点 （236）
5.5.3 网神防火墙产品应用案例 （238）
5.6 中科网威防火墙介绍 （240）
5.6.1 中科网威防火墙发展历程 （240）
5.6.2 中科网威防火墙产品特点 （240）
5.6.3 中科网威防火墙产品应用案例 （242）
参考文献 （246）

前 言
随着越来越多重要的信息应用以互联网作为运行基础，用户面临的威胁形形色色，各类网络安全问题日益突出，计算机病毒、协议缺陷、系统脆弱性、各类攻击等直接导致网络安全形势日趋严峻。如何有效地防御网络安全威胁，让网络连接更安全？
防火墙技术作为保护计算机网络安全的*常用技术之一，在不危及内部网络数据和其他资源的前提下，允许本地用户使用外部网络资源，并将外部未被授权的用户屏蔽在内部网络之外，从而解决因连接外部网络所带来的安全问题。
防火墙产品经历了怎样的发展历程？防火墙产品的各项防护功能是如何实现的？本书就是带着这些问题展开陈述的。
本书是信息安全产品技术丛书之一。本书在产品需求、发展历程、实现原理、技术标准、应用等几方面均有翔实的描述。与此同时，本书力求实用，收集了许多实际数据与案例，期望能够给读者在防火墙产品的安全防护技术和标准的了解方面予以一定的帮助。
本书的主要编写成员均来自公安部计算机信息系统安全产品质量监督检验中心，他们常年从事防火墙产品等信息安全产品的测评工作，对防火墙产品有深入的研究。部分作者全程参与了新型防火墙产品标准从规范、行标到国标的制定、修订工作，因此，本书在标准介绍和描述方面具有一定的权威性。
本书由顾健作为丛书主编，负责把握全书技术方向，第1章由张艳编写， 第2章由俞优、沈亮编写，第3章由张艳编写，第4、5章由沈亮、陆臻编写。此外，顾建新、王志佳、冯婷婷、武滕等同志也参与了本书资料的收集和部分编写工作。由于编写人员水平有限和时间紧迫，本书不足之处在所难免，恳请各位专家和读者不吝批评指正。
本书的编写得到了北京天融信网络安全技术有限公司、华为技术服务有限公司和珠海经济特区伟思有限公司的大力协助，在此表示衷心的感谢！
编 者