網際網路防火牆的製作方法
2023-05-20 10:34:16
專利名稱：網際網路防火牆的製作方法
技術領域：
本發明一般說來涉及網際網路防火牆，特別來說涉及一個不需要設置IP位址的網際網路防火牆，依此隱藏網際網路防火牆的存在。
眾所周知，防火牆一般連接在專用網絡與公共網絡之間，以起到控制和保護專用網絡的作用。已知防火牆產品的缺點在於其內部和外部埠均需設置IP位址，方能與相應網絡連接。如美國3COM公司防火牆，在使用之前，需先將外部網絡接口設置為某一與公用網絡兼容的IP位址，再將內部網絡接口設置為某一與專用網絡兼容的IP位址，然後方可實行防火牆功能。已知防火牆只接收送給本身MAC地址或廣播地址的IP信息包，並根據信息包的IP信息進行處理，如轉發或丟棄。因此，需要提供一個不需要設置內外IP位址的防火牆，使防火牆的設置簡單，並可隱藏防火牆的存在。
本發明的目的在於提供一個不需要設置IP位址的防火牆，用於連接兩個計算機網絡。
本發明的網際網路防火牆包括內部網絡接口，用於接收/發送內部網絡信息；外部網絡接口，用於接收/發送內部網絡信息；防火牆策略表存儲器，用於存貯防火牆策略；信息包處理器，連接內部網絡接口和外部網絡接口，用於分析內部及外部接口所接收到的信息包內容，根據防火牆策略表存儲器之內容，對信息包進行處理，將處理結果分別發送至外部或內部網絡接口；和一個網絡節點表存儲器，用於將IP位址與MAC地址的對應表存於其中；當信息包處理器接收到任意接口接收到信息量包時，做下列處理(1)從信息包中提取出網絡接點信息，即IP位址及MAC地址，將公用和專用網絡上的網絡節點分別儲存於此表中；(2)比較信息包內容與網絡節點表存儲的內容是否相符；確定信息包流向，當信息包的流向在網絡節點表存儲器中屬於同一類型，信息包處理器不作任何處理，否則，轉下一步處理；(3)判斷處理信息包動作，查閱防火牆策略表存儲器，並根據防火牆的策略設置，決定轉發或丟棄信息包。
因此本發明的防火牆可被動態的置於網絡中的任一節點，無需進行任何重新配置，便可根據預先輸入的防火牆策略，對網絡信息包進行處理和過濾。
圖一為本發明的防火牆的結構示意圖。
圖二為本發明的防火牆的連接示意圖。
如
圖1所示，本發明的防火牆1包括信息包處理器2，分別連接至網絡節點表存儲器3，防火牆策略表存儲器4，外部網絡接口5和內部網絡接口6。當網絡信息包被內部網絡接口6或外部網絡接口5接收後，信息包處理器2的處理步驟如下(1)從信息包中提取出網絡接點信息，即IP及MAC地址，將公用和專用網絡上的網絡節點分別儲存於網絡節點表存儲器3中；(2)確定信息包流向，當信息包的流向在網絡節點表存儲器3中屬於同一類型，例如從公用網絡到公用網絡，或從專用網絡到專用網絡，信息包處理器不作任何處理，否則，轉下一步處理；(3)查閱防火牆策略表存儲器4，並根據防火牆的策略表中該IP位址的設置和接收到的包信息，即源IP位址，目的IP位址，協議類型等，對符合特徵的信息包所需採取行動，如轉發至內部網絡接口6，轉發至外部網絡接口5，或丟棄等。
防火牆1還可包括一個策略表處理器7，連接防火牆策略表存儲器4和內部網絡接口6或外部網絡接口5，通過WWW伺服器或特殊網絡協議，接收網絡信息，並根據接收的信息，設置策略表存儲器4中的防火牆策略表。
防火牆1還可包括一個設置接口8，如RS232，鍵盤終端等，該設置接口8連接至策略表處理器7，策略表處理器接收設置接口的信號，設置策略表存儲器4中的防火牆策略表。
圖二示例出本發明防火牆連接於專用網絡及公用網絡之間時的連接方式，本發明防火牆還可用於連接專用網絡與專用網絡或公用網絡與公用網絡。
權利要求
1．一種網際網路防火牆，包括內部網絡接口，用於接收/發送內部網絡信息；外部網絡接口，用於接收/發送內部網絡信息；防火牆策略表存儲器，用於存貯防火牆策略；信息包處理器，連接內部網絡接口和外部網絡接口，用於分析內部及外部接口所接收到的信息包內容，根據防火牆策略表存儲器之內容，對信息包進行處理，將處理結果分別發送至外部或內部網絡接口；其特徵在於還包括一個網絡節點表存儲器，用於將IP位址與MAC地址的對應表存於其中；當信息包處理器接收到任意接口接收到信息量包時，做下列處理(1)從信息包中提取出公用和專用網絡上的網絡節點信息，即IP位址及MAC地址，將分別儲存於網絡節點表存儲器中；(2)比較信息包內容與網絡節點表存儲的內容是否相符；確定信息包流向，當信息包的流向在網絡節點表存儲器中屬於同一類型，信息包處理器不作任何處理，否則，轉下一步處理；(3)查閱防火牆策略表存儲器，並根據防火牆的策略設置，決定轉發或丟棄信息包。
2．如權利要求1所述的防火牆，其特徵在於，信息包處理器根據接收到的信息包的源IP位址，目的IP位址，協議類型，對符合策略表中該IP位址的特徵的信息包採取所需行動，即轉發至內部網絡接口，轉發至外部網絡接口，或丟棄等。
3．如權利要求1所述防火牆，其特徵在於，還包括一個策略表處理器，用於連接內部或外部網絡接口，通過WWW伺服器或特殊網絡協議，設置策略表存儲器中的防火牆策略表。
4．如權利要求3所述防火牆，其特徵在於，該防火牆還可包括一個設置接口，如RS232，鍵盤終端等，策略表處理器接收設置接口的信號，設置策略表存儲器中的防火牆策略表。
全文摘要
本發明涉及網際網路防火牆,包括:內部網絡接口,外部網絡接口,防火牆策略表存儲器,信息包處理器和網絡節點表存儲器,用於將IP位址與MAC地址的對應表存於其中,當信息包處理器接收到網絡信息後,查閱防火牆策略表存儲器,並根據防火牆的策略設置,決定轉發或丟棄信息包。該防火牆本身不具備IP位址,可直接收集與其相連之網絡的所有信息包,由信息包處理器進行處理。
文檔編號G06F11/30GK1286430SQ9911840
公開日2001年3月7日 申請日期1999年8月26日 優先權日1999年8月26日
發明者M·謝 申請人:網觀科技(加拿大)有限公司