26、网络安全与连接配置全解析

网络安全与连接配置全解析

1. 防火墙与DMZ网络架构

在网络安全防护体系中，防火墙起着至关重要的作用。外部防火墙是网络的第一道防线，它只允许被明确认为必要的流量通过，不过它允许外部与非军事区（DMZ）的主机建立连接。DMZ中的主机在一定程度上存在安全风险，它们的可信度不足以接入内部网络，像入侵检测系统或Web服务器等通常会部署在此。

内部防火墙同样只允许对组织有必要的流量通过，它一般不允许来自外部的连接，并且不信任DMZ中的主机。只有高度可信的主机才能接入内部网络，这里存放着组织最珍贵的数据，如财务记录、客户数据库和电影收藏等。

外部防火墙直接连接到DMZ网络，能够向DMZ中的主机发送数据包。为了与外部网络通信，它需要一个指向互联网的默认路由。若要访问内部网络的主机，外部防火墙必须将数据包发送到内部防火墙的外部接口。如果未在外部防火墙上进行此配置，数据将无法到达内部防火墙，进而导致内部网络与互联网断开连接，内部系统虽能发送数据包，但无法接收。因此，外部防火墙需要进行路由配置。

同理，也可以为DMZ内的每台主机配置路由。不过，依赖防火墙的ICMP重定向来为这些主机提供路由是不明智且复杂的，因为这要求DMZ中的每台主机和每个防火墙都能接受并发送ICMP重定向。如果使用OpenBSD系统，为确保服务器安全，建议在DMZ系统上手动配置路由。

2. 使用route(8)管理路由

route(8)命令可用于管理系统的所有路由。它和netstat类似，有多个子功能，可用于查看、编辑和监控系统路由表。虽然route(8)的手册页提供了完整的详细信息，但掌握查看、添加和删除路由的操作基本就能上手。

2.1 查看