CN102055742A - 配置防火墙的方法及其装置 - Google Patents

Abstract

本发明实施例提供了一种配置防火墙的方法及其装置，该方法包括：接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；根据接收到的所述命令短消息，对防火墙进行相应的配置。本发明公开的方案利用移动通信系统中的短消息机制来实现防火墙的按需配置，结合移动通信系统自身较高的安全性，有效地提高了配置防火墙的安全性。

Description

配置防火墙的方法及其装置

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种配置防火墙的方法及其装置。

背景技术

随着计算机网络的迅速发展，越来越多的局域网被连接进入了互联网，极大的方便了人们对于互联网的访问。但同时针对互联网中站点和各种内部服务器的恶意攻击也日益频繁，这就使得接入互联网的内部网络的建设者和管理者必须使用适当的防护措施，提高内部网络对来自于互联网的恶意攻击的防护能力。防火墙技术是目前计算机网络中安全防护的最重要的手段之一。防火墙技术主要用于保护计算机网络内部的计算机免受外部攻击，其基本原理是通过对IP包的过滤和转发，来防止未经授权的外部数据进入内部网络，以及防止未经授权的内部数据从内网发出。

防火墙设备是保护内部网络免受外部攻击的常用设备，可以将内部网络中的服务器保护起来，使得内部网络中的服务器仅在特定的服务端端口向外网提供服务。服务器提供的服务可分为公众服务和专用服务两种，前者向全网公众提供服务，如Web、IRC等，其特点是永远在线，即公众服务一直是开放状态；后者是专为系统维护或专为内部人员提供的，如远程维护、远程配置，以及Web页面更新等，其特点是偶尔在线，即专用服务端口不能一直处于开放状态，专用服务端口在大多数时间里应该处于关闭等待状态。

对于专用服务端口的设置，目前的防火墙对专用服务端口设定为“服务常开(Open always)”状态，或者“定时开放(Open on Schedule)”状态，第一种情况相当于将专用服务设定为永远在线，这样会对内部网络造成很大的安全隐患，恶意攻击人员可以在任何时间连续尝试对服务器进行攻击，而且尝试时间几乎是无限的，成熟的防火墙技术很少使用该种方式；第二种情况则缺乏灵活性，相关维护和管理人员只能在设定的时间段登录专用服务器，而且由于开放时段具有规律性，恶意攻击人员仍然有机会进行攻击。针对现有的防火墙存在的安全性缺陷，其改进的方法包括对防火墙进行按需配置。

现有的防火墙按需配置的技术为利用IP通道实现防火墙的远程按需配置，但由于IP通道自身的安全性很差，为了能够支持远程配置，防火墙设备本身的配置端口必须暴露在互联网中，暴露的防火墙配置端口本身就将成为恶意攻击人员的攻击目标。而防火墙的配置端口一旦被黑客攻破，则恶意攻击人员就能够随意修改防火墙的配置，使得整个内网的安全性也就会丧失殆尽，造成灾难性的后果。并且对于恶意攻击人员来说，针对IP网络的监听和数据篡改都有着较低的技术门槛和技术成本。因此现有的利用IP通道配置防火墙的方法，极大的降低了防火墙本身的安全性。

发明内容

本发明实施例提供一种配置防火墙的方法及其装置，以有效地增强配置防火墙的安全性。

本发明实施例提供了一种配置防火墙的方法，包括：接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；根据接收到的所述命令短消息，对防火墙进行相应的配置。

本发明实施例提供了一种配置防火墙的装置，包括：命令短消息接收单元，用于接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；防火墙配置单元，用于根据命令短消息接收单元接收到的所述命令短消息，对防火墙进行相应的配置。

本发明实施例提供的配置防火墙的方法及其装置，利用移动通信系统中的短消息机制来实现防火墙的按需配置，结合移动通信系统自身较高的安全性，有效地提高了配置防火墙的安全性。

附图说明

图1是本发明实施例1提供的配置防火墙的方法的流程图；

图2是本发明实施例2提供的配置防火墙的方法的流程图；

图3是本发明公开的配置防火墙的方法实际应用的示意图；

图4是本发明实施例3提供的配置防火墙的装置的示意图；

图5是本发明实施例4提供的配置防火墙的装置的示意图。

具体实施方式

本发明实施例公开了一种配置防火墙的方案，该方案利用移动通信系统中的短消息机制来实现防火墙的按需配置，结合移动通信系统自身较高的安全性，有效地提高了配置防火墙的安全性。该方案的实现需要在内部网络的防火墙设备上增加一套短消息模块，以及相关的控制程序。下述将结合各个附图对本发明实施例的具体实施过程进行说明。

本发明实施例1提供的一种配置防火墙的方法的流程图如图1所示，包括：

S101、接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；

S102、根据接收到的所述命令短消息，对防火墙进行相应的配置。

本发明利用短消息这一相对安全的信道来增强配置防火墙的安全性，简单易行，而且由于发送命令短消息的终端的标识信息(手机号码等)是移动网络维护的核心数据，被恶意攻击人员攻破的难度非常大，并且该标识信息也难以伪造，所以利用短消息进行防火墙配置的方法就具有了天然的安全性。因此本发明实施例1提供的配置防火墙的方法使得配置防火墙的安全性获得了极大的提高。如果进一步在配置防火墙过程中增加一些提高安全性的措施，如对终端进行认证、对客户端IP地址或者端口号和IP地址进行限制和检测、对专用服务端口进行外部端口随机映射、对短消息内容进行加密等，就会进一步配置防火墙的安全性。能够有效地提高了防火墙的专用服务端口的安全性，使得服务器的专用服务从全时间段、面向全网变成了时间特定、客户特定的方式，进而使得服务器的安全性也得到极大地提高。

本发明实施例2在实施例1提供的配置防火墙的方法基础上，提供了一种具有更高安全性的配置防火墙方法，具体应用流程，如图2所示，包括：

S201、防火墙的短消息模块接收用户通过特定终端发送的包含有预约认证请求的预约短消息；

S202、判断出该终端的标识信息被记录在“白名单”中时，则通过短消息模块发送一个要求认证短消息到该终端，该要求认证短消息可以包含有一个认证随机数；该认证随机数是随机产生的，用于对该终端进行认证；

“白名单”是一个预先存储了可信终端的标识信息的记录，并且该“白名单”至少包含有一条记录内容；发送预约短消息的终端的标识信息可以是手机号，或者客户识别模块(Subscriber Identity Module，SIM)的卡号等。

S203、终端收到防火墙的短消息模块发送的要求认证短消息后，发送一个反馈短消息给防火墙，如果该要求认真短消息携带有认证随机数，则终端用预先指定的加密方式对该认证随机数进行加密处理，并将得到的加密结果置于反馈短消息中；

S204、防火墙的短消息模块收到反馈短消息后，如果反馈短消息中包含有对随机数的加密结果，则将该反馈短消息携带的终端加密认证随机数得到的加密结果与本地利用预先指定的加密方式加密同一个认证随机数得到的加密结果进行比对，若二者相同，则表示手机通过认证。发送一个认证通过短消息到终端，指示终端可以发出命令短消息；

实施例2的以上步骤是防火墙对终端的认证过程，该认证过程主要是利用了短消息交互的方式实现的，有效地提高了认证过程的安全性，甚至可以消除恶意攻击人员通过伪装移动终端的标识信息，发送命令短消息，导致防火墙打开专用服务端口的可能性，充分保证了短消息配置防火墙的安全性。在实际应用中对终端的认证方式可以不局限于这一种方法，当然对终端的认证过程也不是必须的。

S205、终端发出命令短消息，命令防火墙打开专用服务所对应的专用服务端口；为提高安全性，短消息指令可以包括用户登录专用服务端口将要使用的网络终端的IP地址，或者包含网络终端的IP地址和端口号；并且终端发出的命令短消息内容也可以进行加密；

S206、防火墙的短消息模块收到该命令短消息后，验证命令短消息中携带的终端包含的命令要求是否符合防火墙自身的安全管理策略，若符合则对防火墙进行相应的配置，打开指定的专用服务端口；如果该命令短消息包括有用户的IP地址，则设定防火墙开放的指定的专用服务端口可以允许来自该IP地址的网络终端的连接，即将该用户的IP地址加入到允许访问该专用服务端口的可信IP地址信息的记录中；并且防火墙可以将专用服务端口映射到随机的外部端口上，以增加恶意攻击用户的攻击的难度；如果短消息内容经过加密，还包括首先对短消息内容进行解密处理。

S207、端口打开后，防火墙通过短消息模块向用户的终端发出一个提示短消息；提示用户专用服务端口已经开放。该提示短消息还可以包含一个验证码，这个验证码用于对用户网络终端的IP连接进行确认，在用户网络终端要求连接到该专用服务端口时，首先要发送该验证码，在IP通道上进行一次认证；若专用服务端口被映射到随机外部端口，则该提示短消息的内容还需要包括该随机外部端口号；

实施例2的上述步骤已经实现了配置防火墙的方法。但是作为一个用户访问防火墙专用服务端口的完整过程，还包括以下步骤：

S208、用户收到确认短消息后，使用网络终端连接防火墙的专用服务端口；若收到验证码，则需要在连接客户端之前通过IP通道发送验证码，以便防火墙对该IP连接进行确认；若收到随机外部端口号，则使用客户端通过IP连接到该外部端口；

S209、用户使用专用服务端口结束后，断开与专用服务端口的连接；

S210、防火墙检测到专用服务端口的连接断开后，关闭专用服务端口，使专用服务进入“关闭”状态。

实施例2提供的配置防火墙的方法实现了对防火墙的专用服务端口的配置。根据终端发送的命令的不同，可以实现对防火墙的不同配置，如关闭已开启的专用服务端口、打开IP配置通道、撤销防火墙的安全监控或者设定防火墙安全级别等等。

对应于本发明实施例2的一个实际应用的例子如图3所示，图中以一块墙体示意防火墙系统，如301所示，在常规状态下防火墙的专用服务端口都是关闭的，任何对专用服务端口的访问都是无法实现的，防火墙对内部的网络和服务器提供一个很好的保护。如302所示，当维护人员或者特定用户需要使用专用服务端口时，通过手机发送预约认证请求，通过认证后，命令防火墙打开相应的专用服务端口3389和端口5900，防火墙接到命令短消息后，将上述的两个端口打开，并发送一个提示短消息，维护人员或者特定用户接到这个提示短消息后，就可以通过IP通道访问端口3389和端口5900。而此时其他专用服务端口人就对外关闭，实现了对防火墙的按需配置。如303所示，维护人员或者特定用户执行对防火墙系统或者内部网络服务器的操作，而恶意用户对防火墙其他端口的攻击不起任何作用。在完成相应的操作之后，维护人员或者特定用户断开与上述两个端口的IP连接。如304所示，防火墙检测到专用服务端口的相应的IP连接断开后，关闭端口3389和端口5900。使得内部网络服务器停止对外提供专用服务，重新进入防火墙的保护状态。

对应于本发明实施例1提供的配置防火墙的方法，本发明实施例3提供了一种配置防火墙的装置，如图4所示，包括：

命令短消息接收单元401，用于接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；

防火墙配置单元402，用于根据命令短消息接收单元401接收到的所述命令短消息，对防火墙进行相应的配置。

本发明利用短消息这一相对安全的信道来增强配置防火墙的安全性，简单易行，而且由于发送短消息的终端的标识信息(手机号码等)是移动网络维护的核心数据，被恶意攻击人员攻破的难度非常大，并且该标识信息也难以伪造，所以利用短消息进行防火墙配置的方法就具有了天然的安全性。但是对于终端的标识信息的伪造，还可能导致防火墙的专用服务端口意外打开的情况出现。为此，本发明实施例4提供了一种具有更高安全性的配置防火墙的装置，如图5所示，包括：

终端认证单元51，用于在命令短消息接收单元52接收所述命令短消息之前，对发送所述短消息的终端通过认证。

预约短消息接收子单元511，用于接收终端发送的包含有预约认证请求的预约短消息；

第一判断子单元512，用于在要求认证短消息发送子单元513向所述终端发送要求认证短消息之前，判断出预先存储的可信终端的标识信息记录中包含有发送预约短消息的终端的标识信息。

要求认证短消息发送子单元513，用于向所述终端发送携带有认证随机数的要求认证短消息；

反馈短消息接收子单元514，用于接收所述终端返回的反馈短消息，所述反馈短消息中携带有所述终端在接收到要求认证短消息后，对要求认证短消息中携带的所述认证随机数按照预先指定的加密方式进行加密得到的加密结果；

第二判断子单元515，用于在判断出接收到的反馈短消息中携带的所述加密结果，与本地对所述认证随机数利用所述预先指定的加密方式进行加密得到的加密结果相同；

认证通过短消息发送子单元516，用于在确认对所述终端通过认证时，向所述终端发送认证通过短消息。

命令短消息接收单元52，用于接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；

防火墙配置单元53，用于根据命令短消息接收单元52接收到的所述命令短消息，对防火墙进行相应的配置；

防火墙配置单元53还包括：

专用服务端口开启子单元531，用于开启所述防火墙的专用服务端口。

提示短消息发送单元54，用于在专用服务端口开启单元53开启防火墙的专用服务端口之后，向所述终端发送专用服务端口已开启的提示短消息。

实施例4提供的配置防火墙的装置实现了对防火墙的专用服务端口的配置。根据命令短消息接收单元52接收的命令短消息的不同，防火墙配置单元53可以实现对防火墙的不同配置，相应的也将包含不同的子单元，实现不同的功能：如关闭已开启的专用服务端口、打开IP配置通道、撤销防火墙的安全监控或者设定防火墙安全级别等等。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (13)

1.一种配置防火墙的方法，其特征在于，包括：

接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；

根据接收到的所述命令短消息，对防火墙进行相应的配置。

2.如权利要求1所述的方法，其特征在于，所述对防火墙进行相应的配置包括开启防火墙的专用服务端口。

3.如权利要求1所述的方法，其特征在于，在接收所述命令短消息之前，还包括：对发送所述命令短消息的终端通过认证。

4.如权利要求3所述的方法，其特征在于，对发送所述命令短消息的终端通过认证具体包括：

接收终端发送的包含有预约认证请求的预约短消息；并

在判断出预先存储的可信终端的标识信息记录中包含有发送预约短消息的终端的标识信息时，发送认证通过短消息到发送预约短消息的终端。

5.如权利要求3所述的方法，其特征在于，对发送所述命令短消息的终端通过认证具体包括：

接收终端发送的包含有预约认证请求的预约短消息；并

向所述终端发送携带有认证随机数的要求认证短消息；

接收所述终端返回的反馈短消息，所述反馈短消息中携带有所述终端在接收到要求认证短消息后，对要求认证短消息中携带的所述认证随机数按照预先指定的加密方式进行加密得到的加密结果；并

在判断出接收到的反馈短消息中携带的所述加密结果，与本地对所述认证随机数利用所述预先指定的加密方式进行加密得到的加密结果相同时，发送认证通过短消息到发送预约短消息的终端。

6.如权利要求5所述的方法，其特征在于，在向所述终端发送要求认证短消息之前，还包括：

判断出预先存储的可信终端的标识信息记录中包含有发送预约短消息的终端的标识信息。

7.如权利要求2所述的方法，其特征在于，所述命令短消息中包含有用户用于访问所述专用服务端口的网络标识信息；并且

在开启所述防火墙的专用服务端口之后，还包括：

将所述网络标识信息添加到允许访问所述专用服务端口的可信网络标识信息记录中。

8.如权利要求2所述的方法，其特征在于，在开启防火墙的专用服务端口之后，还包括：向所述终端发送专用服务端口已开启的提示短消息。

9.一种配置防火墙的装置，其特征在于，包括：

命令短消息接收单元，用于接收终端通过移动通信网络发送的用于指示配置防火墙的命令短消息；

防火墙配置单元，用于根据命令短消息接收单元接收到的所述命令短消息，对防火墙进行相应的配置。

10.如权利要求9所述的装置，其特征在于，所述防火墙配置单元包括：

专用服务端口开启子单元，用于开启所述防火墙的专用服务端口。

11.如权利要求9所述的装置，其特征在于，在命令短消息接收单元接收所述命令短消息之前，还包括：

终端认证单元，用于在命令短消息接收单元接收所述命令短消息之前，对发送所述命令短消息的终端通过认证。

12.如权利要求11所述的装置，其特征在于，所述终端认证单元具体包括：

预约短消息接收子单元，用于接收终端发送的包含有预约认证请求的预约短消息；

判断子单元，用于在预约短消息接收子单元接收到预约短消息后，判断出预先存储的可信终端的标识信息记录中包含有发送预约短消息的终端的标识信息；

认证通过短消息发送子单元，用于发送认证通过短消息到发送预约短消息的终端。

13.如权利要求11所述的装置，其特征在于，所述终端认证单元具体包括：

预约短消息接收子单元，用于接收终端发送的包含有预约认证请求的预约短消息；

要求认证短消息发送子单元，用于在预约短消息接收子单元接收到预约短消息后，向所述终端发送携带有认证随机数的要求认证短消息；

反馈短消息接收子单元，用于接收所述终端返回的反馈短消息，所述反馈短消息中携带有所述终端在接收到要求认证短消息后，对要求认证短消息中携带的所述认证随机数按照预先指定的加密方式进行加密得到的加密结果；

第二判断子单元，用于在判断出接收到的反馈短消息中携带的所述加密结果，与本地对所述认证随机数利用所述预先指定的加密方式进行加密得到的加密结果相同；

认证通过短消息发送子单元，用于发送认证通过短消息到发送预约短消息的终端。

Images