防火墻體系結(jié)構(gòu)課程

當(dāng)一個網(wǎng)絡(luò)接到Internet之后，保障網(wǎng)絡(luò)安全的措施除了要考慮網(wǎng)絡(luò)內(nèi)的計算機(jī)病毒、計算機(jī)系統(tǒng)本身的穩(wěn)定性外，更重要的是防止非法用戶的入侵，而目前防止入侵的主要技術(shù)手段是在內(nèi)部網(wǎng)絡(luò)與Internet的接口處架設(shè)防火墻。防火墻實際上是一種訪問控制技術(shù)，可以控制Internet用戶對內(nèi)部網(wǎng)絡(luò)的訪問，阻止對內(nèi)部網(wǎng)絡(luò)信息資源的非法訪問，也可以使用防火墻阻止重要信息從內(nèi)部網(wǎng)絡(luò)非法輸出，也就是說，防火墻可以控制進(jìn)出兩個方向的通信。但防火墻不是一個單獨的計算機(jī)程序或設(shè)備，理論上講，防火墻是由軟件和硬件兩部分組成，用來阻止所有網(wǎng)絡(luò)之間不受歡迎的信息的交換。
目前，實際的防火墻結(jié)構(gòu)通常包含一個DMZ（Demilitarized Zone）區(qū)，俗稱“停火區(qū)”。此外，針對內(nèi)部網(wǎng)絡(luò)的特殊需要，防火墻的結(jié)構(gòu)常常需要增加其他“組件”，例如，通常內(nèi)部網(wǎng)絡(luò)會有部分信息（WWW服務(wù)器、匿名FTP服務(wù)器等）需要提供給Internet用戶訪問。對此常常是在防火墻中建立兩個DMZ區(qū)來滿足網(wǎng)絡(luò)服務(wù)的需要，其中，外DMZ區(qū)的子網(wǎng)可以放置公共信息服務(wù)器，在這一配置中，外DMZ區(qū)上的路由應(yīng)該采用靜態(tài)方式，并且所有的外DMZ區(qū)的網(wǎng)絡(luò)系統(tǒng)均不應(yīng)被內(nèi)部網(wǎng)絡(luò)認(rèn)為是可靠的。