包过滤防火墙策略的应用

时间：2025-07-10

在TCP/IP网络中,包过滤防火墙的策略制定是至关重要的.策略就是让包过滤防火墙在转发数据包之前打开TCP/IP封装,检查进出网络的数据包的各种属性,决定是否允许该数据包通过防火墙.文中对TCP、IP数据包进行了描述,给出了一些策略实例.

２００９年第１２期中图分类号：ＴＰ３９３．０８文献标识码：Ａ文章编号：１００９—２５５２｛２００９）１２—０１５２—０３

包过滤防火墙策略的应用

陈宝林

（北京联合大学生物化学工程学院，北京１０００２３）

摘要：在Ｔ℃Ｐ／ＩＰ网络中，包过滤防火墙的策略制定是至关重要的。策略就是让包过滤防火墙在转发数据包之前打开Ｔ℃Ｐ／ＩＰ封装，检查进出网络的数据包的各种属性，决定是否允许该数据包通过防火墙。文中对ＴＣＰ、ＩＰ数据包进行了描述，给出了一些策略实例。

关键词：防火墙；过滤；策略・

Ａｐｐｌｉｃａｔｉｏｎｏｆｐａｃｋｅｔｆｉｌｔｅｒｉｎｇｆｉｒｅｗａｌｌｓｔｒａｔｅｇｉｅｓ

Ｃ既ＮＢａｏ．１ｉｎ

（Ｓｃｈｏｏｌ０ｆＢｉｏｃｈｅｍｉｓｔｒｙａｎｄＥＩＩｇｉ耻ｅｒｉｎｇ，ＢｅＧｉｎｇＵｎｉｏｎＵｎｉｖｅｒｓｉｔｙ，Ｂｅｉｊｍｇ１０（０）０３，Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ：Ｉｎ’Ｉ℃Ｐ／ＩＰｎｅｔｗｏｒｋ．ｔｈｅｐａｃｋｅｔｆ＇ｄｔｅｆｉｎｇｆｉｒｅｗａｌｌｓｔｒａｔｅ目＂ｅｓｉｓｅｓｓｅｎｔｉａｌ．Ｓｔｒａｔｅｇｙｉｓｔｏｍａｋｅｔｈｅ

ｐａｃｋｅｔｆｉｌｔｅｒｉｎｇｆｉｒｅｗａｌｌｏｐｅｎ代Ｐ／口ｐａｃｋａｇｅｂｅｆｏｒｅｔｈｅｄａｔａｐａｃｋｅｔｆｏｒｗａｒｄｉｎｇ．ｃｈｅｃｋｖａｒｉｏｕｓｐｒｏｐｅｒｔｉｅｓｏｆｄａｔａｐａｃｋｅｔｔｈｅｎｄｅｃｉｄｅｏｎｗｈｅｔｈｅｒｔｏａｌｌｏｗｔｈｅｐａｃｋｅｔｔｈｒｏｕｇｈｔｈｅｆｉｒｅｗＭｌ．ＩｎｔｈｉｓｐａｐｅｒＴＣＰ、ＩＰｐａｃｋｅｔｓａｒ｝ｅｄｅｓｃｒｉｂｅｄ，ａｎｄ￥ｏｎ＇ｌｅｐｏｌｉｃｙｉｎｓｔａｎｃｅａｒｅｐｒｏｐｏｓｅｄ．

Ｋｅｙｗｏｒｄｓ：ｆｉｒｅｗａｌｌ；ｆｉｌｔｅｒ；ｓｔｒａｔｅｇｉｅｓ

在ＴＣＰ／ＩＰ网络中，包过滤防火墙的工作原理是在转发数据包之前打开ｒＩ℃Ｐ，口封装，检查进出网络的数据包的各种属性，根据用户设定的安全策略决定是否允许须该数据包通过防火墙。制定合适的安防策略才能使防火墙有效地保护内部网络或主机。

ＴＣＰ／ＩＰ数据包头格式，了解包头格式对防火墙策略的制定是非常必要的。如果对数据包头一无所知是很难制定出合适的策略的。

Ｐ数据包头如表１所示，各字段的属性为：

版本：标识了口协议的版本（ＩＰｖ４／ＩＰｖ６）。

报头长度：标识了ＩＰ报头的长度，长度单位为３２比特。

服务类型：它用来表示特殊报文的处理方式。

总长度。

标记字段：长度位３位，其中第一位没有被使用，第二位是不分片位ＤＦ，位被置１，第三位ＭＦ，当二１５２一路由器对数据进行分片时，除了最后一个分片的ＭＦ

位为０外，其他所有的ＭＦ全部为ｌ。

分片偏移：以８个ｂｉｔ为单位，用于指明分片起始点相对于报头的起始点的偏移量。

生存时间：在最初创建报文时，吼就被设定为