10.6用于因特网服务的代理特性.ppt

10.6 用于因特网服务的代理特性; 电子邮件由于下述不同原因， 每一部分都是脆弱的， 易于被侵入。  （1） 服务器由于直接接受外部主机的命令（与发信有关）， 因此，如果服务器存在安全漏洞，它将为侵袭者提供访问权的机会。  （2） 发信代理，因为需要有对邮箱的写权力，所以，尽管它不必与外界对话，但如果它被攻破，入侵者仍可得到非常广泛的存取权。  （3） 用户代理以用户方式运行，它不与外界通话，这限制了它的能力和访问权。但是，它能经常运行与接收到的数据相对应的其它任意程序。  ; 因为要与外部通话，所以服务器抵抗外界命令侵袭的能力很弱，这样的侵袭称为命令通道侵袭。发信代理和用户代理不直接接受命令， 但无力抵制邮件信息内容的危害，这样的侵袭称为数据驱动侵袭。另外，某些人通过命令行缺陷知道如何控制程序运行（使用什么变量，哪个用户正在运行某个程序，它的数据文件是什么）， 使程序对于误用显得非常脆弱。  ;10.6.2 简单邮件传输协议（SMTP）的代理特点 因为SMTP是一个存储转发协议，所以它特别适合于进行代理。由于任何一个SMTP服务器都有可能为其它站点进行邮件转发，因而很少将它设置成一个单独的代理。大多数站点将输入的SMTP连接到一台安全运行SMTP服务的堡垒主机上， 该堡垒主机就是一个代理。  现有提供代理服务的防火墙产品都能够进行SMTP服务的代理，因为SMTP采用单个连接，所以其配置相当简单。在防火墙中，不要让一个外部主机直接连接到一个标准的非安全的SMTP服务器上，即使它通过一个代理系统也不要这样做。 ;10.6.3邮局协议（POP）的代理特点 邮局协议（POP）对于代理系统来说是非常简单的，因为它采用单个连接。内置的支持代理的POP客户程序很少，主要原因是POP多用于局域网，而很少用于因特网。如果你能找到UNIX的POP客户程序的源代码，而将其修改成支持代理的POP客户程序是相当简单的，要找到用于PC机的POP源程序要困难一些， 但是修改是容易的。 ; 没有一个简单的方法为内部程序和外部服务器的连接来进行配置，除非所有的客户程序连接到同一台服务器。如果是这样的话， 可以在自己的堡垒主机的POP３端口上运行一个公用的TCP代理程序（如TIS FWTK提供的plug-gw），将所有的POP请求连接到一个单独的POP服务器， 然后再配置你的客户程序， 以访问在堡垒主机上的“POP服务器”（实际上是一个代理程序）。 ; 如果不提供访问多个POP服务器，而且能够确定所有客户程序是从一个给定的IP地址或域名来的，并连接到一个特定的服务器， 那么可以用pluggw程序来设置较复杂的规则，根据连接请求的来源，将它连接到合适的服务器上。如果同一个客户机或多个客户机上有多个用户需要通过防火墙访问不同的POP服务器， 目前还没有简单的方法来做到这一点。 但可以通过编写一个特殊的POP代理服务程序运行在堡垒主机上以认证用户， 决定用户所要连接的服务器，并提供连接。可由POP服务器认证用户，然后扮演传统代理服务器的角色进行数据传输，但必须使用密钥来完成此项服务。 ;10.6.4文件传输(FTP)  FTP用来从一台机器传送文件到另一台机器上。使用FTP可以传送任何类型的文件，包括可执行的二进制文件、图形文件、 ASCII文本文件和音频及视频文件等。 有两种类型的FTP访问，既有名FTP和匿名FTP。有名FTP要求用户在服务器上有帐号， 当登录FTP服务器后可以访问到用户能访问的全部文件。匿名FTP是为了那些在FTP服务器上没有帐号的人提供的，主要是用来使用户访问一些公用文件。 ; 目前匿名FTP主要应用在因特网上。匿名FTP服务器是散发程序、信息和其它文件的标准机构。如果一个站点提供匿名FTP服务器， 那么在因特网上的任何人都可以使用FTP连接到该站点，然后在一个被控制区域内访问服务器管理者提供的文件。 FTP使用两个独立的FTP连接，一个在服务器和客户程序之间传递命令和结果（通常称为命令通道）；另一个用来传送真实的文件和目录列表（通常称为数据通道）。在服务器上，命令通道使用众所周知的端口号21，而数据通道使用端口号20。 客户程序则在命令和数据通道上分别使用大于1023的端口。 ; 在开始使用一个FTP连接时，客户程序首先为自己分配两个大于1023的TCP端口，它使用第一个端口作为命令通道端口与服务器连接， 然后发出端口命令， 告诉服务器它的第二个作为数据通道的端口号，这样服务器就能打开数据通道了。大多数FTP服务器（特别是那