7-4 防火墙的体系结构.pptx

项目7防火墙技术

防火墙的体系结构04.

屏蔽路由器体系结构屏蔽路由器体系结构是最初的防火墙结构方案，并不是采用专用的防火墙设备部署的，而是在原有的包过滤路由器上进行包过滤部署，又称为包过滤路由器体系结构，如图所示。在屏蔽路由器防火墙结构中，内部网络的所有出入都必须通过包过滤路由器，路由器审核每个数据包，依据过滤规则决定允许或拒绝数据包通过。

屏蔽主机体系结构1．双宿主机（堡垒主机）屏蔽主机体系结构中有一台特殊的主机，被称为堡垒主机。这台主机拥有两个不同的网络接口，分别连接外部网络和需要被保护的内部网络，故称这台主机为双宿主机。双宿主机上运行代理软件，提供与多个网络相连的主机服务（但是路由关闭，否则从一块网卡到另外一块网卡的通信会绕过代理服务软件）。屏蔽主机体系结构使用一个单独的屏蔽路由器来提供与内部网络相连主机（堡垒主机）的服务。在这种体系结构中，主要的安全措施有数据包过滤

屏蔽主机体系结构2．双宿主机过滤操作双宿主机是因特网上的主机连接到内部网络系统的桥梁（例如，传送进来的电子邮件），同时仅有某些特定类型的连接被允许通过。任何外部系统试图访问内部系统或者服务，都必须首先连接到这台双宿主机上。因此，双宿主机需要拥有高等级的安全。数据包过滤也允许双宿主机开放可允许的连接到外部网络。具体的“可允许”动作将由用户站点的安全策略决定。

屏蔽主机体系结构3．屏蔽路由器上的操作屏蔽路由器上数据包的过滤配置可以按下列之一执行。（1）允许其他的内部主机与Internet上的主机连接，即允许已经由数据包过滤的服务。（2）不允许来自内部主机的所有连接，强迫内部主机经由堡垒主机使用代理服务。双宿主机体系结构优于屏蔽路由器体系结构。双宿主机体系结构的最大特点是网络层的通信是被阻止的，两个网络间的通信依靠应用层代理服务来实现。双宿主机是隔开内部和外部网络的唯一屏障，只能安装小的服务，并设置较低的权限，以免被攻击者控制后对内部网络造成大的危害。此外，双宿主机的角色决定了其性能的重要性，也决定了外部用户对内部网络的访问是否被影响。

屏蔽子网体系结构最简单的屏蔽子网体系结构如图所示，有两个屏蔽路由器，一个连接外网与边界网络，另一个连接边界网络与内部网络。这是当前应用最广泛的防火墙体系结构。

谢谢！