第7章 网络安全.ppt

7.4.3 防火墙的类型(续) 可对防火墙上的代理进行裁减以适应特殊要求(比如要求记录访问细节)，甚至能把与内部功能相异的部分呈现给普通的用户接口。假设内部网络有多种类型的操作系统，每种操作系统均不能通过挑战-响应支持强鉴别。代理可以要求强鉴别(姓名、口令和挑战-响应)，并执行挑战-响应协议，然后以特定内部主机操作系统要求的格式传递简单的姓名和口令等鉴别细节。 代理与屏蔽路由器的区别在于：代理面向应用软件解析协议流，根据协议内部可见的内容而不是仅仅根据头部数据来控制穿越防火墙的行为。 7.4.3 防火墙的类型(续) 7.33 防火墙代理的动作 7.4.3 防火墙的类型(续) 门卫 像代理防火墙一样，它接收协议数据单元并解析它们，然后使用相同或不同的协议数据单元传递相同的或经过修改的数据。门卫能提供的控制程度仅限于一些可计算的内容。门卫和代理防火墙极为相似，二者的区别有时很模糊。 7.4.3 防火墙的类型(续) 门卫的活动是相当精密复杂的，看过以下示例就能明白： (1) 某大学想要限制学生使用电子邮件，要求在最近若干天中的消息数或电子邮件字符数不能超过某个上限。 (2) 某学校想让学生能够访问万维网，但由于其连接速度慢，故只允许他们在下载图像时仅能下载有限的种类。 (3) 某图书馆想使某些文献可以被访问，但考虑到支持合理使用版