|
网络技术是从1990年代中期发展起来的新技术，它把互联网上分散的资源融为有机整体，实现资源的全面共享和有机协作，使人们能够透明地使用资源的整体能力并按需获取信息。资源包括高性能计算机、存储资源、数据资源、信息资源、知识资源、专家资源、大型数据库、网络、传感器等。 当前的互联网只限于信息共享，网络则被认为是互联网发展的第三阶段。 Windows XP SP2在安全方面做了重大的调整，安全设计融合到整个操作系统中，防火墙屏障、操作系统补丁和更新病毒库等理念形成一个安全体系，而防火墙是这个安全体系的第一道屏障，它提供了一个强大的保护层，可以阻止恶意用户和程序依靠未经请求的传入流量攻击计算机。Windows XP SP2防火墙又称ICF（Internet Connection frewall），已经具备个人防火墙的基本功能，它是一种能够阻截所有传入的未经请求的流量的状态防火墙。这些流量既不是响应计算机请求而发送的流量（请求流量），也不是事先指定允许传入的未经请求的流量（异常流量）。这有助于使计算机更加安全，使您可以更好地控制计算机上的数据。和Windows良好的兼容性及可靠性是其它个人防火墙所不能比拟的。 注：此文只探讨Windows 防火墙原理、功能变化以及应用过程中可能遇到问题和解决办法，不描述怎样设置Windows 防火墙，如果未特别说明，本文所提到的Windows 防火墙指Windows XP SP2防火墙。
[page_break]一、使用个人防火墙还是使用Windows 防火墙 仅就防火墙功能而言，个人防火墙对双向流量都进行审核，拥有更复杂的控制列表，但是，Windows 防火墙只阻截所有传入的未经请求的流量，对主动请求传出的流量不作理会，这一点是它们之间最大的区别。绝大多数商业防火墙都提供了应用程序过滤功能，这一功能可以阻止未通过认证的应用程序向外发送报文，这样就可以防止病毒或木马等恶意代码同外部建立未认证的连接，同时也可以防止用户的计算机被黑客用做分布式攻击的跳板。然而，WindowsXP SP2所带的防火墙却只能对进入计算机的报文进行过滤，而不对计算机向外发出的报文进行过滤，它不对应用程序向外发送报文做任何限制。 事物有其两面性，这些个人防火墙产品依据的防黑客原理通常不一样，例如Norton的Personal Firewall(个人防火墙)是基于应用程序的（Application Level）。基于应用程序的防火墙在使用上相当麻烦，因为你必须要为每一个访问Internet的程序设置策略。而随着策略的增多，防火墙的效率也逐步下降，况且过多的策略也会相互矛盾、影响，给系统安全带来漏洞。更糟糕的是，这些个人防火墙产品都非常占用系统资源。 比如接入网络游戏联众世界的时候，本地计算机请求连接远程服务器，这时，个人防火墙立即提示是否允许此连接通过，而Windows 防火墙对这个主动出站请求不做任何处理，也不做任何提示，好像防火墙不存在似的，所以如果入侵已经发生或间谍软件已经安装，并主动连接到外部网络，那么防火墙束手无策；如果Windows 间谍软件开放端口等待外部请求连接，那么Windows 防火墙立刻阻断连接并弹出安全警告。但这不表示Windows防火墙不安全，因为攻击多来自外部，而且如果间谍软件开放端口等待外部连接的时候，Windows防火墙立即阻断连接，并且作出提示，关于这一点在下面的文章中还会提到。 对来自外部的请求连接的控制，Windows防火墙和个人防火墙在功能上区别不大。而且Windows防火墙有其独特的特性，包括：计算机的所有连接默认启用ICF、人性化的屏蔽模式－充分考虑到了计算机使用环境的变化和及时阻断攻击和恢复正常使用的情况、智能应用程序异常流量管理、对于 IPv6 ICF 内建支持等功能。比如在启动安全性功能上，有一个可以执行状态数据包过滤的启动策略。该策略允许计算机使用动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）和域名系统（Domain Name System，DNS）执行基本网络启动任务，并与域控制器进行通信，以更新组策略。避免计算机在网络上进入活动状态的时间与 ICF 开始保护连接的时间之间的延迟中被未经请求的流量在启动期间攻击计算机留下了可乘之机。 遗憾的是Windows防火墙并不提供报警和入侵检测。虽然Windows防火墙可以防止对系统的入侵。而且，其他的一些个人防火墙产品还有更好的诊断和报告功能（Windows防火墙没有报告功能，仅仅有个日志）。所以，当选择使用哪个防火墙产品时，你应该考虑这些因素。如果你选择Windows防火墙，你应该确定自己明白它的有限的能力，虽然Windows 防火墙对个人用户而言已经不在是鸡肋。 [page_break]二、Windows XP SP2防火墙工作原理 Windows 防火墙使用的全状态数据包监测技术会把所有由本机发起的网络连接生成一张表，并用这张表跟所有的入站数据包作对比，如果入站的数据包是为了响应本机的请求，那么就被允许进入。除非有实施专门的过滤器以允许特定的非主动请求数据包，否则所有其他数据包都会被阻挡。
单击“开始”，单击“运行”，键入 wscui.cpl，然后单击“确定”，在“Windows 全中心”内单击“Windows 防火墙”。
[page_break]四、Windows XP SP2的防火墙真的安全吗？ Windows防火墙在原则上是对由外向内的通信(inbound)全部进行限制，而由内向外的通信(outbound)及其应答则完全不加限制。Windows防火墙只在像服务器那样运行的应用程序开始通信时才会发出警告。 以登录联众世界为例：在所有网络链接上打开防火墙，现在，登陆联众世界试试，一样登陆，根本不需要通过防火墙允许。选择了“不允许例外”，结果还是一样。而用zonealarm的时候，任何程序都得经过防火墙的允许。这是为什么？ 前面已经提到了Windows防火墙的特点“只阻截所有传入的未经请求的流量”也就是说，Windows防火墙对主动出站流量不作处理，所以登陆联众世界/IE等没有安全提示，而zonealarm等个人防火墙对所有出、入站流量都作审查，所以有安全提示（除非设置审查但不提示）。但是，为什么QQ/MSN/MYIE2等又有安全提示呢？这是因为QQ/MSN/MYIE2等试图在本地开后门--端口等待远程请求连接，显然这种不安全行为被Windows防火墙拦截并作出安全提示，这相当于QQ/MSN/MYIE2等作为提供某种服务的服务器端。如图所示，MYIE2在本开了1067端口，QQ使6000和6001处在监听状态，而联众世界却没有开放任何端口。
五、Windows XP SP2的防火墙可以限制某个应用程序访问网络吗？ Windows XP SP2的防火墙置不适用于不对特定 UDP 或 TCP 端口集合进行监听的应用程序，不能限制某个应用程序访问网络，但是，却可以限制对谁提供哪些服务，这一点也不同于早期版本的Windows防火墙。 虽然Windows防火墙不可以限制出站通讯，但是Windows XP内置的Internet Protocol security (IPSec)却可以提供这种保护，使用IPSec规则，可以指定通讯是被阻断（丢弃数据）还是被放行（允许），同时能保护加密的入站和出站通讯。在这三种情况下（阻断、允许、保护），IPSec能够配置原地址和目标地址范围。同时使用IPSec规则和Windows防火墙可以给网络提供更强大的安全保护。
[page_break]六、部署文件和打印共享、网上邻居不再困难 网络资源共享的一个重要应用是文件和打印共享，如果启用了防火墙是不是象2003或XPSP1中的防火墙一样，阻止了文件和打印共享服务呢？在Windows XP SP22的防火墙下部署文件和打印共享服务非常简单，不必担心出现早期版本遇到的难堪的困难，如上图在“例外”选项上“程序和服务”列表中选择“文件及打印机共享”就可以了。曾几何时，在XPSP1防火墙中如果要让防火墙和网上邻居共存需要映射多个端口，现在，如果在Windows XP SP2防火墙启用了“文件及打印机共享”，网上邻居不能正确显示的问题也迎刃而解。
这样可能带来新问题！如果企业网络同时连接外部网络，比如INTERNET，对外开放这些端口是不安全的。Windows XP SP2防火墙考虑到了这个安全问题，在“编辑服务”选项中点击“更改范围”，在弹出的对话框中选择“仅我的网络（子网）”，这样设置后，文件和打印共享服务只对内部提供提供，而对外而言服务是不可见的，这样就安全多了。
在检查网络故障的使用通常用PING命令工具，PING一个IP确认该计算机是否存在，当你PING的时候，发送的是ICMP（Internet 控制消息协议 ，此通信用于错误和状态信息的传递） Echo messag信号，获得的回应是ICMP Echo Reply message信号。在默认情况下，indows xp p2防火墙不允许ICMP Echo messages 入站数据进入，所以也就不会回复ICMP Echo Reply message数据报文了。
如果启用了TCP端口445（比如在“例外”中启用了“文件和打印机共享”），那么别人是可以PING到你的IP的。另外，在防火墙的高级选项卡中选择ICMP设置，并且选择了“允许传入回现请求”也可以使别人能够PING到你的IP。 [page_break]八、关于远程协作和远程桌面 通过Windows XP SP2防火墙实现远程协作的方法很简单，虽然远程协作使用的是动态端口。在防火墙设置对话框中的“例外”选项卡上“程序和服务”列表中选择“远程协作”项目，这样Windows自动监视并正确处理来自sessmgr.exe应用程序的所有通讯请求完成连接。 Windows NetMeeting 的远程桌面要复杂一些，尽管在例外选项卡中有“远程桌面”选项，但是如果你选择这个选项，实际是开放了TCP的端口3389，也可能无法完成远程桌面连接，正确的方法是： 在 Windows 防火墙打开的情况下，在可以使用 Windows NetMeeting 的远程桌面共享功能之前，必须向 Windows 防火墙的“例外”选项卡上“程序和服务”列表中分别为 Windows NetMeeting 和 Mnmsrvc.exe（ Drive:\Windows\System32 目录中）文件和conf.exe（Drive:\Program Files\NetMeeting 文件夹中）文件分别添加一个条目。
日志记录可以帮助确定入站通信的来源，并提供有关被阻止的通信的详细信息。%Windir%\pfirewall.log 是默认的日志文件，这里记录的是成功的连接，看看都暴露了哪些信息，其中中文是作者说明文字。 pfirewall.log #Version: 1.5 [page_break]从中可以看出，通过分析日志可以搜集某项应用软件服务端（如QQ服务器）的IP地址，检查是否有木马悄悄开放了后门，确定某个软件建立连接时所需要的端口号，还可以查询攻击者的来源地址。下面附录详细解释了日志表头信息。
注意：连字符 (-) 用于其中没有条目信息的字段。 大多数第三方防火墙软件提供商如Zone Labs、McAfee和Symantec公司都将在近期提供和SP2兼容的新版本防火墙软件。这些新版软件在安装的时候会自动禁用Windows防火墙，而在卸载时又会自动启用Windows防火墙。第三方厂商通过调用Windows Firewall API来实现这一功能。然而，既然防火墙软件可以这么做，其他病毒或木马等恶意代码就同样也可以。病毒或木马可以修改Windows防火墙程序，甚至干脆关闭它。而Zone Labs公司声明，他们采取了一些锁定技术来保证他们的防火墙软件不会被其他第三方软件关闭，除非你将整个防火墙卸载掉。 以下命令显示防火墙状态和配置信息 Netsh firewall show state 另外，如果防火墙被关闭，安全中心会显示安全警告！ 总结 总的来看，相对于以前的Windows自带的防火墙SP2的防火墙拥有更高的防范性能，几乎拥有了其它个人防火墙的优点，所以Win XP SP2的防火墙是值得一试的，特别是针对个人用户而言。 网络的神奇作用吸引着越来越多的用户加入其中，正因如此，网络的承受能力也面临着越来越严峻的考验―从硬件上、软件上、所用标准上......，各项技术都需要适时应势，对应发展，这正是网络迅速走向进步的催化剂。 | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
温馨提示：喜欢本站的话，请收藏一下本站！
本站发布的Win7纯净版系统、Win10纯净版和XP纯净版系统仅为个人学习测试使用，请在下载后24小时内删除，不得用于任何商业用途，否则后果自负，请支持购买微软正版软件！
本站所有资源全部来自于网络资源,如侵犯到您的权益,请及时通知我们(),我们会及时处理.
Copyright © 2018-2020 萝卜系统 手机站 关于本站
