網路開展事業或在網路創業賺錢的第一步:【架設24小時賺錢網站主機】比網頁設計更優先!

感謝您造訪 Linux主機伺服器架設技術基地。 你可進入替你架設主機.影片教你維護頁面,詳細瞭解Linux主機架設及相關技術維護影片教學(完整配套措施),有主機馬上可以架設網站營運,完全無限制!

租用不如自有主機!聰明的網站經營者都選擇架設Linux主機伺服器做為網站運作平台,因功能完整又強大,免費架站程式超多!完全沒有版權問題,超強『防駭客攻擊與入侵』及安全防護可以讓你無後顧之憂。

                    架設主機.影片教你維護: http://por.tw/linux/new-E_learning/index.php

Linux主機伺服器架設技術基地  維護團隊  敬上
  • 1 
瀏覽模式: 普通 | 列表

Linux主機伺服器為何需要防火牆?

Linux主機伺服器為何需要防火牆?

Linux主機伺服器防火牆防火牆最重要的任務:
1.規劃出切割被信任(如子網域)與不被信任(如 Internet)的網段
2.規劃出可提供 Internet 的服務與必須受保護的服務
3.分析出可接受與不可接受的封包狀態

畢竟網路的世界是很複雜的,而 Linux 主機也不是一個簡單的東西。
說不定哪一天你在進行某個軟體的測試時,主機突然間就啟動了一個網路服務, 如果你沒有管制該服務的使用範圍,那麼該服務就等於對所有 Internet 開放,那就麻煩了!
因為該服務可能可以允許任何人登入你的系統,那不是挺危險?

所以囉,防火牆能作什麼呢?防火牆最大的功能就是幫助你『限制某些服務的存取來源』!
舉例來說:
(1)你可以限制檔案傳輸服務 (FTP) 只在子網域內的主機才能夠使用,而不對整個 Internet 開放。
(2)你可以限制整部 Linux 主機僅可以接受客戶端的 WWW 要求,其他的服務都關閉。
(3)你還可以限制整部主機僅能主動對外連線,對我們主機主動連線的封包狀態 (TCP 封包的 SYN flag) 就予以抵擋等等。
這些就是Linux主機最主要的防火牆功能!

網路防火牆的基本功能

網路防火牆的基本功能

一般來說,網路防火牆的應具備下列三種重要的基本功能:

1.存取管控(AccessControl):
指依據系統管理者所設定的存取控制規則,決定網路交通的許可或拒絕。
存取管控的條件包括資料封包的來源位址、目標位址、連接的網路服務協定種類以及使用者的身分等。
防火牆對於所有的網路流通會依規則判斷,只有可信任的來源位址可以連到被允許的目標位址,且只能以特定的使用者身分使用特定的網路服務。
存取管控甚至可以做到控制網路服務的某些特定指令是否允許其執行,例如FTP可以限制只能下載檔案,不能上傳或刪除。

2.身分識別(Authentication):
即驗證身分,作為服務授權的參考。
防火牆必須有效地識別網路使用者及主機的身分,以控管使用權限、確認責任歸屬。

3.安全稽核:
防火牆應能詳細記錄網路流通的狀況,並記錄安全相關事件,以供系統管理者分析之用。
一般安全稽核的內容包括:網路服務的連通或拒絕、身分辨識、網路通信發生的時間及持續的時間、資料傳輸位元數、執行時發生的異常狀態、系統組態的修改、某些協定的特殊指令、系統核心接收到的特殊封包等等。

網路防火牆的進階功能

網路防火牆的進階功能

隨著安全的需求愈來愈增加,目前的防火牆產品也紛紛提供了一些進階的功能,列舉如下:

◎.整合網路通信協定:
傳統TCP/IP是組不甚安全的協定,應用在網際網路上產生許多安全上的漏洞,但是由於它十分普及,因此有些解決方案是對於內部區域網路的所有主機皆採非TCP/IP的網路協定,而對於必須由TCP/IP服務的主機,可於其中安裝額外的軟體,以令其TCP/IP封包也改採區域網路協定封裝,如此,在內部網路將見不到TCP/IP封包,內部網路的通信皆採特定的區域網路協定,而對外則使用TCP/IP,故安全性較高。
◎.內部轉換:
包括IP轉換與DNS轉換,其目的是保護組織內部的資訊,使其不讓外界知悉。

1.IP轉換:防火牆的內部通常具備一個IP位址的對映機制。
將IP作轉換有兩個好處:
其一是隱藏內部網路真正的IP,使駭客無法直接攻擊內部網路。
另一好處是可以讓內部使用者使用保留的IP,這對許多IP不足的企業是很有幫助的。
2.雙重DNS:
通常的作法是是架設兩個領域名稱伺服器(DomainNameServer),一個負責對外,另一個負責對內,如此外部網路無法獲知企業內部網路的資訊,但不影響內部網路對外界資訊的獲得。
◎.強化的身分識別機制:
一般UNIX主機是一個使用者密碼作為身分識別的機制,但是這種機制會造成密碼在網路上以明碼傳遞,有可能被欄截而得知,並不夠安全。
因此防火牆必須具備至少一種以上的強化身分驗證機制,如讓密碼不要直接在網路上傳遞、或使密碼隨著時間而改變。
防火牆也可以與其他有名的身分識別產品整合。
◎.警告功能(Alarm):
系統被侵入常常是出人意料之外的時機,因此若防火牆軟體能提供通知遠方系統管理者的功能,當嚴重的網路安全事件發生時,可以從電子郵件、甚至以以撥呼叫器等方式來立即通知系統管理者,如此可以爭取時效,立即採取行動。
◎.管理工具:
設計圖形化的管理介面,讓系統管理者易於進行設定、管理及維護。
另外,採用集中式的管理工具,使管理者可以同時管理多個防火牆及伺服器,也是目前防火牆發展的趨勢。
◎.強化作業系統:作業系統多少都有一些安全上的漏洞,使得防火牆軟體容易由作業系統被侵入入。
因此,必須加強防火牆作業系統的安全性,甚至將防火牆直接架在作業系統上,以防範某些網路通信協定或其他原因所造成的安全缺陷。
◎.資料加解密:虛擬私有網路(VirtualPrivateNetwork,簡稱VPN)在目前逐漸受到需求與重視,但它必須對所有網路傳輸內容加密以建立一個虛擬通道,讓不同網路上的使用者可以安全且不受拘束的互相存取,感覺上像在同一個組織內部的網路之中。
所以要達到此功能,防火牆必須能快速、正確地對資料封包加解密,並試圖發展互通的加解密標準。
◎.與防毒軟體的整合:與防毒軟體互相搭配,甚至直接整合,以同時具備防火牆與防毒的功能。
◎.JAVA與ActiveX:JAVA與ActiveX在網路上帶來了一些網路安全的潛在性危機,例如用JAVA寫成的Applet雖然豐富了網頁,但使用者只要連上網頁,等於是把Applet程式抓回自己的機器來執行,有時會存取到機器上不該存取的部分,而造成一些訊息的流出,因此在其中隱藏了許多不可預知的危機。
所以,防火牆必須針對此方面作一些特殊的設計,以過濾這些類型的資訊。
◎.阻絕系統服務型(denial-of-service)攻擊:
有些使用者會對Web站台發出大量的請求,防礙了其他人對此站的連接。防火牆對這類阻絕系統服務的侵入,也必須有解決的對策。

網路防火牆的特色

網路防火牆的特色

網路防火牆有以下主要特色:

1.即插即用:
現有的網路安全方案頗多,但它們在實施時常需要變動網路中的主機、協定堆疊及伺服程式等。
而防火牆只須擺在網路對外的連接點即可,隨插即用,不會牽涉到網路的其他部分,所以最省事、經濟實惠、效果最明顯。
2.網路安全的集中管理:
所有流進、流出的網路交通皆須通過防火牆,安全控制、監督、事件稽核及統計等皆在防火牆上進行,而非分散於一群主機,故可於此進行最完整的流量控制統計,也可偵測記錄不正常的存取嘗試,以事先杜絕可能的入侵。
3.可進行簡單的服務:
簡單的、安全性較不講究的網路應用服務如匿名(anonymous)FTP、全球資訊網(WWW)等服務,可安裝於防火牆內,而不須擺在內部主機,減低由外而內的風險。

網路防火牆雖然具備以上優點,但在也並非無所不能:
1.防火牆基本上只管制封包的流向,而無法偵測出外界假造的封包。
2.防火牆無法確保連線的可信度,一旦連線涉及外界的公眾網路,即有可能被竊聽或劫奪。
3.防火牆的主要功能在控制不同網路間的傳輸動作,但並不能避免同一個網路上互相攻擊的動作,這是防火牆先天的限制。
根據經驗,許多入侵或犯罪行為都是所謂的內賊或熟知內部網路佈局的人做的。
4.將所有內、外網路的安全控制全置於防火牆中,使得該點有可能會成為網路交通的瓶頸,也容易成為駭客攻擊的對象。

網路防火牆雖然看似具有奇效,但它也並非是解決所有安全問題的萬靈丹,所以我們只能將它視為安全體系當中的重要一環,而非全部。
  • 1 
本Linux主機伺服器架設基地立志於收集各類Linux主機伺服器架設、網站架設及網頁設計技術教學資訊,便於本人和廣大網友及網友查詢檢索,無論公司或個人認為本站存在侵權內容均可與本站聯繫,任何此類反饋資訊一經查明屬實後,將立即移除!