备案域名出售

内部防火墙

但有时为了某些原因，我们还需要对内部网的部分站点再加以保护以免受其它站点的侵袭。因此，有时我们需要在同一结构的两个部分之间，或者在同一内部网的两个不同组织结构之间再建立防火墙（也被称为内部防火墙）。
因为网络中每一个用户所需要的服务和信息经常是不一样的，它们对安全保障的要求也不一样，所以我们可以将网络组织结构的一部分与其余站点隔离（比如，财务部分要与其它部分分开）。
1．试验网络
在大多数情况下，应该在内部防火墙中设置这样的包过滤：允许内部网的其它站点主动地连接试验网络，而对试验网络，只允许建立与被认为是安全内部网的其它站点的连接。
在有些情况下，我们也可能要防止内部网其它站点的某些类型的信息流干扰试验网络，因此要设置允许所有的外向连接（对试验网络而言）而控制内向连接的包过滤。
如果有几个试验网络，最好的方法是设置一个参数网络，并给每个试验网络配置一台路由器并连接到参数网络。而主要的包过滤工作在连接参数网络与内部主网的路由器上完成。
2．低保密网络
试验网络比较危险，但它对整个内部网的安全构成的威胁还不是最大的。而许多内部网组织结构里面的资源本身就固有一些非安全因素。比如，校园网中那些包含学生公寓网点的部分就被认为是不安全的，单位企业网中的那些演示网部分、客户培训网部分和开放实验室网部分都被认为是安全性比较差的。但这些网又比纯粹的外部网与内部网其它部分的交互要多得多。这些网络称为低保密网。
3．高保密网络
内部网的某些站点可能需要很高的安全保障。比如校园网中的教务网、招生信息网，商业网中的财务网、新品开发网都应具有相当高的保密度。
当高保密网的信息流通过内部网的其它部分时，可以用对信息进行加密的方法对它们加以保护。也可将高保密网与内部网的其它部分完全隔离。比如，有一个新品开发网，这个网的用户只有在注册到某台机器上时方可使用该网络，这样就可用防火墙（一般是一台带有包过滤的路由器）将这个网与内部网完全分离。这个防火墙对待内部网的其它用户就像对待外部网一样。一般情况下，这类高保密网需要的外部服务并不太多，因此在防火墙内不一定要有堡垒主机，而只有在防火墙保护极为机密的内部子网上，才用参数网络。
4．联合防火墙
若干企业集团为了合作开发项目而需在一定的时间内共享某些机器、数据和其它资源。在建立内部防火墙时，应根据以下原则来限定哪些资源需共享；哪些信息需保护；又如何来实现保护：
（l）为何要与其它企业网络相连。这将决定内部防火墙允许哪些服务通过、阻断哪些服务。
（2）是否希望与对方在不使用因特网的前提下互传电子邮件和文件。
（3）是否试图为两个不同企业项目开发组的成员创立一个共同的软件平台。如有此要求则需要两个防火墙来隔离该软件平台与各企业的本地网。
（4）支持哪类信息互传，又需要加何种安全保护。
5．共享参数网络
共享参数网络结构是解决联合网安全问题的一个好办法。每个参与联合体的网在参数网络上都有各自能控制的路由器。在有些结构中，参数网络上没有堡垒主机，而这些路由器是参数网络上仅有的设备。
6．内部防火墙的堡垒主机选择
如果联合网的各合作单位间有足够的信任度，那在防火墙中可仅使用包过滤，以便其它单位的用户与本单位的内部网服务可直接建立连接（如DNS、SMTP）。相反，如果各单位间缺乏足够的信任度，他们可建立各自的参数网络，建立他们可单独控制的堡垒主机。这样从一个内部网流出的信息流须经过两台堡垒主机方可抵达另一内部网。
 

防火墙的各种变化和组合

（l） 使用多堡垒主机；
（2）合并内部路由器与外部路由器；
（3）合并堡垒主机与外部路由器；
（4）合并堡垒主机与内部路由器；
（5）使用多台内部路由器；
（6）使用多台外部路由器；
（7）使用多个参数网络；
（8）使用双重宿主主机与子网过滤。
 

防火墙体系结构

1．双重宿主主机体系结构
双重宿主主机体系结构是围绕具有双重宿主的主体计算机而构筑的。该计算机至少有两个网络接口，这样的主机可以充当与这些接口相连的网络之间的路由器，并能够从一个网络到另一个网络发送IP数据包。
防火墙内部的网络系统能与双重宿主主机通信，同时防火墙外部的网络系统（在因特网上）也能与双重宿主主机通信。通过双重宿主主机，防火墙内外的计算机便可进行通信了，但是这些系统不能直接互相通信，它们之间的IP通信被完全阻止。
双重宿主主机的防火墙体系结构是相当简单的，双重宿主主机位于两者之间，并且被连接到因特网和内部的网络。右图显示这种体系结构。
2．主机过滤体系结构
在主机过滤体系结构中提供安全保护的主机仅仅与内部网相连。另外，主机过滤结构还有一台单独的路由器（过滤路由器）。在这种体系结构中，主要的安全由数据包过滤提供，其结构如右图所示。
3．子网过滤体系结构
子网过滤体系结构添加了额外的安全层到主机过滤体系结构中，即通过添加参数网络，更进一步地把内部网络与因特网隔离开。
子网过滤体系结构的最简单的形式为两个过滤路由器，每一个都连接到参数网，一个位于参数网与内部的网络之间，另一个位于参数网与外部网络之间。
（1）参数网络
参数网络是在内外部网之间另加的一层安全保护网络层。如果入侵者成功地闯过外层保护网到达防火墙，参数网络就能在入侵者与内部网之间再提供一层保护。
如果入侵者仅仅侵入到参数网络的堡垒主机，他只能偷看到这层网络（参数网络）的信息流（看不到内部网的信息），而这层网络的信息流仅从参数网络往来于外部网或者从参数网络往来于堡垒主机。因为没有纯粹的内部信息流（内部主机间互传的重要和敏感的信息）在参数网络中流动，所以即使堡垒主机受到损害也不会让入侵者破坏内部网的信息流。
（2）堡垒主机
在子网过滤结构中，我们将堡垒主机与参数网络相连，而这台主机是外部网服务于内部网的主节点。它为内部网服务的主要功能有：
①它接收外来的电子邮件再分发给相应的站点；
②它接收外来的FTP，并连到内部网的匿名FTP服务器；
③它接收外来的有关内部网站点的域名服务。
向外的服务功能可用以下方法来实施：
①在内、外部路由器上建立包过滤，以便内部网的用户可直接操作外部服务器；
②在主机上建立代理服务，在内部网的用户与外部的服务器之间建立间接的连接。
（3）内部路由器
内部路由器的主要功能是保护内部网免受来自外部网与参数网络的侵扰。
内部路由器完成防火墙的大部分包过滤工作，它允许某些站点的包过滤系统认为符合安全规则的服务在内外部网之间互传。根据各站点的需要和安全规则，可允许的服务是以下这些外向服务中的若干种，如：Telnet、FTP、WAIS、Archie、Gopher或者其它服务。
内部路由器可以设定，使参数网络上的堡垒主机与内部网之间传递的各种服务和内部网与外部网之间传递的各种服务不完全相同。
（4）外部路由器
外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤，它几乎让所有参数网络的外向请求通过，而外部路由器与内部路由器的包过滤规则是基本上相同的。
外部路由器的包过滤主要是对参数网络上的主机提供保护。然而，一般情况下，因为参数网络上主机的安全主要通过主机安全机制加以保障，所以由外部路由器提供的很多保护并非必要。
外部路由器真正有效的任务就是阻断来自外部网上伪造源地址进来的任何数据包。这些数据包自称是来自内部网，而其实它是来自外部网。