| |
這里介紹的防火墻是傳統(tǒng)邊界防火墻，不包括后面將要介紹的個人防火墻和分布式防火墻。首先介紹的是防火墻的幾種典型應(yīng)用拓撲結(jié)構(gòu)。
一、防火墻的主要應(yīng)用拓撲結(jié)構(gòu)
邊界防火墻雖然是傳統(tǒng)的，但是它的應(yīng)用最廣，技術(shù)最為成熟。目前大多數(shù)企業(yè)網(wǎng)絡(luò)中所應(yīng)用的都是邊界防火墻。所以了解邊界防火墻的應(yīng)用對于掌握整個防火墻技術(shù)非常重要。
傳統(tǒng)邊界防火墻主要有以下四種典型的應(yīng)用環(huán)境，它們分別是：
●控制來自互聯(lián)網(wǎng)對內(nèi)部網(wǎng)絡(luò)的訪問
●控制來自第三方局域網(wǎng)對內(nèi)部網(wǎng)絡(luò)的訪問
●控制局域網(wǎng)內(nèi)部不同部門網(wǎng)絡(luò)之間的訪問
●控制對服務(wù)器中心的網(wǎng)絡(luò)訪問
下面分別予以介紹。
1、 控制來自互聯(lián)網(wǎng)對內(nèi)部網(wǎng)絡(luò)的訪問
這是一種應(yīng)用最廣，也是最重要的防火墻應(yīng)用環(huán)境。在這種應(yīng)用環(huán)境下，防火墻主要保護內(nèi)部網(wǎng)絡(luò)不遭受互聯(lián)網(wǎng)用戶(主要是指非法的黑客)的攻擊。目前絕大多數(shù)企業(yè)、特別是中小型企業(yè)，采用防火墻的目的就是這個。
在這種應(yīng)用環(huán)境中，一般情況下防火墻網(wǎng)絡(luò)可劃分為三個不同級別的安全區(qū)域：
內(nèi)部網(wǎng)絡(luò)：這是防火墻要保護的對象，包括全部的企業(yè)內(nèi)部網(wǎng)絡(luò)設(shè)備及用戶主機。這個區(qū)域是防火墻的可信區(qū)域(這是由傳統(tǒng)邊界防火墻的設(shè)計理念決定的)。
外部網(wǎng)絡(luò)：這是防火墻要防護的對象，包括外部互聯(lián)網(wǎng)主機和設(shè)備。這個區(qū)域為防火墻的非可信網(wǎng)絡(luò)區(qū)域(也是由傳統(tǒng)邊界防火墻的設(shè)計理念決定的)。
DMZ(非軍事區(qū))：它是從企業(yè)內(nèi)部網(wǎng)絡(luò)中劃分的一個小區(qū)域，在其中就包括內(nèi)部網(wǎng)絡(luò)中用于公眾服務(wù)的外部服務(wù)器，如Web服務(wù)器、郵件服務(wù)器、FTP服務(wù)器、外部DNS服務(wù)器等，它們都是為互聯(lián)網(wǎng)提供某種信息服務(wù)。
在以上三個區(qū)域中，用戶需要對不同的安全區(qū)域廟宇不同的安全策略。雖然內(nèi)部網(wǎng)絡(luò)和DMZ區(qū)都屬于企業(yè)內(nèi)部網(wǎng)絡(luò)的一部分，但它們的安全級別(策略)是不同的。對于要保護的大部分內(nèi)部網(wǎng)絡(luò)，一般情況下禁止所有來自互聯(lián)網(wǎng)用戶的訪問；而由企業(yè)內(nèi)部網(wǎng)絡(luò)劃分出去的DMZ區(qū)，因需為互聯(lián)網(wǎng)應(yīng)用提供相關(guān)的服務(wù)，所以在一定程度上，沒有內(nèi)部網(wǎng)絡(luò)限制那么嚴格，如Web服務(wù)器通常是允許任何人進行正常的訪問。或許有人問，這樣的話，這些服務(wù)器不是很容易初攻擊，按原理來說是這樣的，但是由于在這些服務(wù)器上所安裝的服務(wù)非常少，所允許的權(quán)限非常低，真正有服務(wù)器數(shù)據(jù)是在受保護的內(nèi)部網(wǎng)絡(luò)主機上，所以黑客攻擊這些服務(wù)器沒有任何意義，既不能獲取什么有用的信息，也不能通過攻擊它而獲得過高的網(wǎng)絡(luò)訪問權(quán)限。
另外，建議通過NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換)技術(shù)將受保護的內(nèi)部網(wǎng)絡(luò)的全部主機地址映射成防火墻上設(shè)置的少數(shù)幾個有效公網(wǎng)IP地址。這樣有兩個好處：一則可以對外屏蔽內(nèi)部網(wǎng)絡(luò)構(gòu)和IP地址，保護內(nèi)部網(wǎng)絡(luò)的安全；同時因為是公網(wǎng)IP地址共享，所以可以大大節(jié)省公網(wǎng)IP地址的使用，節(jié)省了企業(yè)投資成本。
本新聞共 7頁,當(dāng)前在第 1頁 1 2 3 4 5 6 7 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
