| |
二、防火墻的應(yīng)用配置
在傳統(tǒng)邊界防火墻應(yīng)用配置中，最主要體現(xiàn)在DMZ(非軍事區(qū))、VPN(虛擬專(zhuān)用網(wǎng))、DNS(域名服務(wù)器)和入侵檢測(cè)配置等幾個(gè)方面。下面具體介紹。
1、 DMZ(非軍事區(qū))應(yīng)用配置
DMZ這個(gè)概念在這幾篇防火墻介紹教程中我們多次講到，由此可見(jiàn)它非常重要，為此我們有必要再次對(duì)這樣一個(gè)防火墻技術(shù)進(jìn)行更深入的研究。
DMZ是作為內(nèi)外網(wǎng)都可以訪問(wèn)的公共計(jì)算機(jī)系統(tǒng)和資源的連接點(diǎn)，在其中放置的都是一些可供內(nèi)、外部用戶(hù)寬松訪問(wèn)的服務(wù)器，或提供通信基礎(chǔ)服務(wù)的服務(wù)器及設(shè)備。比如企事業(yè)單位的Web服務(wù)器、E-mail(郵件)服務(wù)器、VPN網(wǎng)關(guān)、DNS服務(wù)器、撥號(hào)所用的Modem池等等。這些系統(tǒng)和資源都不能放置在內(nèi)部保護(hù)網(wǎng)絡(luò)內(nèi)，否則會(huì)因內(nèi)部網(wǎng)絡(luò)受到防火墻的訪問(wèn)限制而無(wú)法正常工作。DMZ區(qū)通常放置在帶包過(guò)濾功能的邊界路由器與防火墻之間。其典型網(wǎng)絡(luò)結(jié)構(gòu)如圖8所示。當(dāng)然這里的邊界路由器也可以是一臺(tái)專(zhuān)門(mén)的硬件防火墻，只是在此想充分利用企業(yè)原有設(shè)備，節(jié)省企業(yè)投資。
之所以要把DMZ區(qū)放在邊界路由器與防火墻之間，那是因?yàn)檫吔缏酚善髯鳛榫W(wǎng)絡(luò)安全的第一防線，可以起到一定的安全過(guò)濾作用，因?yàn)樗哂邪^(guò)濾功能，通常它不會(huì)設(shè)置的太嚴(yán)。而防火墻作為網(wǎng)絡(luò)的第二道，也是最后一道防線，它的安全級(jí)別肯定要比邊界路由器上設(shè)置的要高許多。如果把用于公共服務(wù)嚦嚦的一些服務(wù)器放置在防火墻之后，顯然因安全級(jí)別太高，外部用戶(hù)無(wú)法訪問(wèn)到這些服務(wù)器，達(dá)不到公共服務(wù)的目的。
![請(qǐng)?zhí)砑用枋?src="/Files/BeyondPic/2008-6/12/1082558893560.jpg"]()
以上所介紹的是一種典型網(wǎng)絡(luò)應(yīng)用環(huán)境，有些企事業(yè)單位用戶(hù)網(wǎng)絡(luò)，可能需要兩類(lèi)DMZ，即所謂的“外部DMZ”和“內(nèi)部DMZ”。外部DMZ放置的是內(nèi)部網(wǎng)絡(luò)和互聯(lián)網(wǎng)用戶(hù)都可以寬松訪問(wèn)的系統(tǒng)和資源，如以上所說(shuō)的Web服務(wù)器、E-mail(郵件)服務(wù)器、VPN網(wǎng)關(guān)、DNS服務(wù)器、撥號(hào)所用的Modem池等等。這部分網(wǎng)絡(luò)需單獨(dú)連在主防火墻的一個(gè)LAN端口；內(nèi)部DMZ所放置是內(nèi)部網(wǎng)絡(luò)中用防火墻所保護(hù)的內(nèi)部網(wǎng)絡(luò)中需要供內(nèi)部網(wǎng)絡(luò)用戶(hù)共享的系統(tǒng)和資源(如內(nèi)部郵件服務(wù)器、內(nèi)部Web服務(wù)器、內(nèi)部FTP服務(wù)器等)，當(dāng)然外部網(wǎng)絡(luò)用戶(hù)是不能訪問(wèn)此DMZ區(qū)資源的。內(nèi)部DMZ放置在主防火墻與內(nèi)部防火墻之間。它的典型網(wǎng)絡(luò)結(jié)構(gòu)如圖9所示。
![請(qǐng)?zhí)砑用枋?src="/Files/BeyondPic/2008-6/12/1082558918862.jpg"]()
如果企業(yè)沒(méi)有邊界路由器，則外部DMZ區(qū)就要單獨(dú)放置在主防火墻的一個(gè)LAN端口上，這也就要求主防火墻具有2個(gè)以上LAN接口，因?yàn)閮?nèi)部DMZ區(qū)也需與主防火墻的一個(gè)LAN接口單獨(dú)連接，以此來(lái)配置多宿主機(jī)模式。其它連接如圖9一樣。
本新聞共 7頁(yè),當(dāng)前在第 5頁(yè) 1 2 3 4 5 6 7 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
