3、防火墙架构与配置指南

防火墙架构与配置指南

1. 防火墙架构概述

网络设计的合理性对防火墙的保护效果至关重要。即使防火墙配置得极为安全，如果网络存在绕过防火墙的替代路径，那么防火墙也只是提供了一种虚假的安全感，这属于架构错误，会使防火墙失去作用。因此，防火墙的部署位置与配置方式同样重要。以下将介绍几种常见的防火墙架构，按安全性从低到高排列。

1.1 屏蔽子网（Screened Subnet）

屏蔽子网是最简单且最常见的防火墙实现方式，许多小型企业和家庭都采用这种类型的防火墙。它将防火墙置于网络边缘，从防火墙的角度将网络划分为内部和外部两部分。

• 优点 ：
  • 配置简单，仅需两个接口，访问控制列表（ACLs）的配置相对容易。
  • 成本效益高，实施起来较为便捷。
• 缺点 ：
  • 黑客有较多机会渗透网络。若发现防火墙的安全漏洞或配置不当，可能进入内部网络。
  • 即便防火墙运行完美，黑客若能攻破可用的基于Web的服务并控制服务器，就可利用内部系统发起更多攻击。
  • 若服务器对业务功能至关重要，允许内部用户直接访问而不通过防火墙，可能会失去防火墙提供的部分审计功能。
  • 若暴露基于Web的服务，托管这些服务的服务器将频繁遭受攻击，其中一台服务器被攻破可能会使整个网络暴露。

1.2 单臂隔离区（One - Legged DMZ）