为了增加网络的安全和保护内部网络上的重要数据，需要将内部网与Internet相隔离，当前主要通过防火墙技术来完成这个目的。然而为了保护内部主机，防火墙软件就必须限制外部网络中的主机对内部网络的访问。因此普通防火墙软件的设置中，外部网络无法访问内部主机。然而，为了向外发布自己的信息，就需要允许外部网络访问自己的Web服务器。最简单的处理方法是将Web服务器放在防火墙之外，这样就将Web服务器和内部网络区分开，Web服务器暴露在网络外部，就有可能招受攻击而导致服务器瘫痪或网页被更改等潜在的问题。而当前，Web服务器上面的信息越来越丰富和重要，Web服务器的重要性也非常明显。因此就需要使用防火墙来保护它，如果要将Web服务器放在防火墙之内，则需要防火墙的支持。

当前防火墙主要有两种类型，一种为包过滤型防火墙，这种防火墙针对每个IP包识别它是否符合管理员设定的过滤规则，符合一定要求的才被正确转发。可以使用的过滤规则包括源和目的主机的名字和IP地址，端口地址，使用的网络界面，以及IP包的类型。通常包过滤型的防火墙软件根据IP包的类型屏蔽所有的由外部发起的连接请求，从而保护内部网络。如果要将Web服务器放在放火墙之内，就需要允许对这个Web服务器和它使用的TCP端口的访问。

另一种类型的防火墙为应用代理型的防火墙，这种防火墙针对每种应用协议提供相应的代理服务，由代理服务器访问网络，并将结果返回给客户机。标准的http协议的代理服务，客户端的浏览器必须配置代理服务器的IP地址，不可能要求其他外部主机为访问这个内部网络上的主机而重新设置代理服务器的地址。代理服务器并不区分外部网络和内部网络，但是代理服务器使用Internet上的名字解析来确定Web服务器的位置，而通常防火墙内使用内部地址，这也决定了普通代理型防火墙不支持外部网络对内部Web服务器的http访问请求。因此普通代理服务器简单的屏蔽外部地址的访问，因此最简单的保护对外发布信息的Web服务器的方式是使用包过滤型的防火墙。

一旦允许外部网络中的主机可以向内部网络发起连接请求，攻击者就可以在网络外部尝试进行连接，这增加了攻击者攻击内部网络的方式，降低了整个网络的安全系数。如果不允许外部主机向内部网络发起连接请求，攻击者就只好在外部发起攻击，使用特洛伊木马或者IP spoof等技术，这些方式与发起主动连接的攻击方式相比，没有现成的工具供利用，因此使得攻击的复杂性大大增加，因此网络被攻击的可能性大为减少，几乎成为不可能。一旦攻击者进入内部网络中的Web服务器，整个内部网络就暴露在攻击者的面前，防火墙就不能起到应有的作用了。因此通过重新定义包过滤型防火墙的过滤规则，并将Web服务器放在内部网络内，只是一种简单的保护Web服务器的方法，然而不利于保护整个内部网络的安全。

因此，为了在保护Web服务器和内部网络的安全，当前使用的更安全的做法是实现双层防火墙。外层防火墙实现包过滤功能，然而却允许外部网络访问其中的Web服务器，内部防火墙允许最中间的内部网络可以访问外部网络。在外部防火墙和内部防火墙之间称为停火区，提供外部网络访问的服务器就位于这个区域，表明即使攻击者通过外部防火墙进入这个区域，也无法攻入内部网络。双层防火墙通过设置了两层防火墙，使得内部网络更为安全。然而，它在保护Web服务器方面的作用，与单层防火墙相似。因为此时Web服务器仍然只受到一层防火墙的保护，同样也无法对外部隐藏防火墙内主机的各种信息，例如服务器的ip等。而且这层防火墙是对应用协议一无所知的包过滤防火墙，由于包过滤的方式不识别应用协议，通常为http协议，那么就无法正确识别外部的连接请求是否属于正常连接，通常也无法进行详尽的连接记录。为了更好的保护Web服务器不被外部攻击者破坏，就应该屏蔽内部服务器的IP地址等信息，并且防火墙能够识别连接协议，显然这是代理型防火墙的任务。

出处：
责任编辑：ImHow

上一页 下一页 反向代理方式