第二节第三节 防火墙的体系结构防火墙的创建.doc

5.2 防火墙的体系结构

2、防火墙的体系结构
1.屏蔽路由器
2.双重宿主主机体系结构
3.屏蔽主机体系结构
4.屏蔽子网体系结构
5.其它的防火墙结构

5.2.1 屏蔽路由器
屏蔽路由器（Screening Router）
这是防火墙最基本的构件。它可以由厂家专门生产的路由器实现，也可以用主机来实现。
    屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。路由器上可以装基于IP层的报文过滤软件，实现报文过滤功能。许多路由器本身带有报文过滤配置选项，但一般比较简单。
    单纯由屏蔽路由器构成的防火墙的危险带包括路由器本身及路由器允许访问的主机。它的缺点是一旦被攻陷后很难发现，而且不能识别不同的用户。
双重宿主主机体系结构（Dual Homed)
    双重宿主主机至少有两个网络接口，它位于内部网络和外部网络之间，这样的主机可以充当与这些接口相连的网络之间的路由器，它能从一个网络接收IP数据包并将之发往另一网络。然而实现双重宿主主机的防火墙体系结构禁止这种发送功能，完全阻止了内外网络之间的IP通信。
    两个网络之间的通信可通过用户直接登录和应用层代理服务的方法实现。用户直接登录需要用户先登入双重宿主主机，在以此为起点访问外部服务，因用户帐号易被攻破，所以不推荐使用。一般情况下采用代理服务的方法。
双重宿主主机体系结构（Dual Homed)

双重宿主主机的特性与缺点
用户口令控制安全是关键；
必须支持很多用户的访问（中转站），其性能非常重要。
缺点：双重宿主主机是隔开内外网络的唯一屏障，一旦它被入侵，内部网络便向入侵者敞开大门。
5.2.3 屏蔽主机体系结构
屏蔽主机体系结构（Screened Host ）
    屏蔽主机体系结构由防火墙和内部网络的堡垒主机承担安全
责任；
  典型构成：包过滤路由器＋堡垒主机。
    包过滤路由器配置在内部网和外部网之间，保证外部系统对内部网络的操作只能经过堡垒主机；

    堡垒主机配置在内部网络上，是外部网络主机连接到内部网络主机的桥梁，它需要拥有高等级的安全。
优点： 安全性更高，双重保护：实现了网络层安全（包过滤）和应用层安全（代理服务）。
    缺点：过滤路由器能否正确配置是安全与否的关键。如果路由器被损害，堡垒主机将被穿过，整个网络对侵袭者是开放的。
屏蔽主机体系结构

5.2.4 屏蔽子网体系结构
本质上与屏蔽主机体系结构一样，但添加了额外的一层保护体系——周边网络。堡垒主机位于周边网络上，周边网络和内部网络被内部路由器分开。
    堡垒主机是用户网络上最容易受侵袭的机器。通过在周边网络上隔离堡垒主机，能减少在堡垒主机被侵入的影响。
屏蔽子网体系结构

5.2.5 其它的防火墙结构
(1) 一个堡垒主机和一个非军事区

(2) 两个堡垒主机和两个非军事区

5.3.1 IP和MAC地址绑定

5.3.2 NAT地址转换

  隐藏了内部网络的结构
  内部网络可以使用私有IP地址
  公开地址不足的网络可以使用这种方式提供IP复用功
5.3.3 反向地址映射

5.3.4 防火墙划分VLAN

5.3.5 小 结
小 结
    防火墙是使用最广泛的网络安全工具，是网络安全的第一道防线，用以防止外部网络的未授权访问;
    防火墙具有副作用，使内部网络与外部网络的信息系统交流受到阻碍，增大了网络管理开销，而且减慢了信息传递速率；
    防火墙不是解决网络安全问题的万能药方，它只是网络安全政策和策略的一个组成部分。