防火墻體系結(jié)構(gòu)課程

當(dāng)一個(gè)網(wǎng)絡(luò)接到Internet之后，保障網(wǎng)絡(luò)安全的措施除了要考慮網(wǎng)絡(luò)內(nèi)的計(jì)算機(jī)病毒、計(jì)算機(jī)系統(tǒng)本身的穩(wěn)定性外，更重要的是防止非法用戶的入侵，而目前防止入侵的主要技術(shù)手段是在內(nèi)部網(wǎng)絡(luò)與Internet的接口處架設(shè)防火墻。防火墻實(shí)際上是一種訪問(wèn)控制技術(shù)，可以控制Internet用戶對(duì)內(nèi)部網(wǎng)絡(luò)的訪問(wèn)，阻止對(duì)內(nèi)部網(wǎng)絡(luò)信息資源的非法訪問(wèn)，也可以使用防火墻阻止重要信息從內(nèi)部網(wǎng)絡(luò)非法輸出，也就是說(shuō)，防火墻可以控制進(jìn)出兩個(gè)方向的通信。但防火墻不是一個(gè)單獨(dú)的計(jì)算機(jī)程序或設(shè)備，理論上講，防火墻是由軟件和硬件兩部分組成，用來(lái)阻止所有網(wǎng)絡(luò)之間不受歡迎的信息的交換。
目前，實(shí)際的防火墻結(jié)構(gòu)通常包含一個(gè)DMZ（Demilitarized Zone）區(qū)，俗稱“停火區(qū)”。此外，針對(duì)內(nèi)部網(wǎng)絡(luò)的特殊需要，防火墻的結(jié)構(gòu)常常需要增加其他“組件”，例如，通常內(nèi)部網(wǎng)絡(luò)會(huì)有部分信息（WWW服務(wù)器、匿名FTP服務(wù)器等）需要提供給Internet用戶訪問(wèn)。對(duì)此常常是在防火墻中建立兩個(gè)DMZ區(qū)來(lái)滿足網(wǎng)絡(luò)服務(wù)的需要，其中，外DMZ區(qū)的子網(wǎng)可以放置公共信息服務(wù)器，在這一配置中，外DMZ區(qū)上的路由應(yīng)該采用靜態(tài)方式，并且所有的外DMZ區(qū)的網(wǎng)絡(luò)系統(tǒng)均不應(yīng)被內(nèi)部網(wǎng)絡(luò)認(rèn)為是可靠的。