20CN网络安全小组论坛 - 系统集成 - 关于防病毒墙的一点疑惑[疑惑已消，谢谢老A!]

论坛: 系统集成标题: 关于防病毒墙的一点疑惑[疑惑已消，谢谢老A!]

作者: TecZm [teczm]

版主

大家知道防病毒墙部署在网络接入处，在防火墙后。执行防病毒的功能，对网页病毒、文件病毒、邮件病毒和蠕虫病毒进行查杀。

我的疑惑是：

如果它运行在网络层，那么仅仅对包的过滤怎么能查杀病毒？

如果它运行在应用层，那么是否存在以下问题：
1.应用已知协议对包重组成文件再查杀后再分解成包的话，是否意味着相当于一个proxy?
否则对客户端而言，如何保持客户端与服务器端的tcp连接？

2. 如果客户端与服务器端采用防病毒墙未知的协议通讯，那么防病毒墙如何重组和分解包？

3. 其重组和分解包的过程是否会对网络连接造成的滞后？
滞后值上限一般为多少？

[此贴被 TecZm(teczm) 在 08月14日12时12分编辑过]

地主发表时间: 04-08-13 09:45

回复: bluecat_ [bluecat_]

论坛用户

我也想知道啊..........可惜我太菜了

B1层发表时间: 04-08-13 11:05

回复: TecZm [teczm]

版主

查了一些厂商的资料，似乎是运行在应用层的，而且管理员可手动增加已知协议，但是还有一个问题：
如果客户端与墙外的服务器端建立VPN的话，是不是只能依赖客户端杀毒软件了？

再说一点：既然防毒墙运行在应用层，那么其包重组、分解算法应该是相对比较先进的了，不知道国内的几款防毒墙（软件墙或硬件墙）在这方面的速度怎么样？
希望了解情况的兄弟们说说。

B2层发表时间: 04-08-13 11:27

回复: Achieve [achieve]

版主

杀毒软件杀毒是基于应用程序的文件的，所以不可能运行在网络层，这个概念一定要清晰。
互联网上来的数据都是以数据包的形式过来的，不管是防毒墙还是防火墙，对要对数据包进行重组拆分，这个是毋庸置疑的。
客户端访问互联网上的服务器是通过网关的nat功能，在网关上部署防毒墙就是时下比较热门的联动话题，当然，他的数据包重组依然是通过nat流给客户端，客户端与服务器端的tcp连接该怎么连就怎么连。
其重组和分解包肯定会对网络连接造成延迟，这个也是毋庸置疑，这就是时下联动的问题。
延迟上限不可预知，如果防毒墙没响应的话延迟就无限大了