文章作者 100test 发表时间 2007:03:30 11:21:06
来源 100Test.Com百考试题网
Internet 过滤路由器 Intranet
图7.2 网络过滤防火墙
这种配置使所有Intranet的出入都必须通过过滤路由器,由过滤路由器的规则确定允许什么通过。
对小型的、不太复杂的站点网络过滤比较容易实现。如果在您的网络与外界之间已经有一个独立的路由器,那么可以简单地加一个包过滤软件进去,只须一步就给您的整个网络加上了保护。
包过滤不要求对运行的应用程序做任何改动,也不要求用户学习任何新的东西。除非用户试图做什么违反规则的事情,否则他们根本不会感觉到过滤服务器的存在。
网络过滤在安全管理上存在明显的不足,由于过滤路由器很少或根本没有日志记录能力,所以网络管理员很难确认系统是否正在被入侵或已经被入侵了。
在实际应用中,过滤路由器的规则表很快会变得很大而且很复杂,应用的规则很难进行测试。随着规则表的增大和复杂性的增加,规则结构出现漏洞的可能性也会增加。
不仅如此,这种防火墙的最大缺陷是依赖一个单一的部件来保护系统。如果这一部件出现问题,会使网络的大门敞开,而您甚至可能还不知道危险的来临。
Internet 双宿主主机 Intranet
图7.3 双宿主网关
双宿主主机是一台有两块网络接口卡(NIC)的计算机,每一块网卡都有一个IP地址,如果网络上的一台计算机想与另一台计算机通信,他必须与双宿主主机上能“看到”的IP地址联系,代理服务器软件查看其规则是否允许连接,如果允许的话,代理服务器软件通过另一块网卡启动网络的连接。
但值得注意的是,如果您建立了一个双宿主主机,那么应该确认操作系统的路由能力是关闭的。如果路由开着,从一块网卡到另一块网卡的通信可能会绕过代理服务器软件,造成网络管理的漏洞。
n