浅谈防火墙配置中路由模式和透明模式的区别与应用
防火墙三种部署模式及基本配置
防⽕墙三种部署模式及基本配置防⽕墙三种部署模式及基本配置Juniper防⽕墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：①基于TCP/IP协议三层的NAT模式；②基于TCP/IP协议三层的路由模式；③基于⼆层协议的透明模式。
2.1、NAT模式当Juniper防⽕墙⼊⼝接⼝（“内⽹端⼝”）处于NAT模式时，防⽕墙将通往Untrust 区（外⽹或者公⽹）的IP 数据包包头中的两个组件进⾏转换：源 IP 地址和源端⼝号。
防⽕墙使⽤ Untrust 区（外⽹或者公⽹）接⼝的 IP 地址替换始发端主机的源IP 地址；同时使⽤由防⽕墙⽣成的任意端⼝号替换源端⼝号。
NAT模式应⽤的环境特征：①注册IP地址（公⽹IP地址）的数量不⾜；②内部⽹络使⽤⼤量的⾮注册IP地址（私⽹IP地址）需要合法访问Internet；③内部⽹络中有需要外显并对外提供服务的服务器。
2.2、Route-路由模式当Juniper防⽕墙接⼝配置为路由模式时，防⽕墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中的源地址和端⼝号保持不变。
①与NAT模式下不同，防⽕墙接⼝都处于路由模式时，不需要为了允许⼊站数据流到达某个主机⽽建⽴映射 IP (MIP) 和虚拟IP (VIP) 地址；②与透明模式下不同，当防⽕墙接⼝都处于路由模式时，其所有接⼝都处于不同的⼦⽹中。
路由模式应⽤的环境特征：①注册IP（公⽹IP地址）的数量较多；②⾮注册IP地址（私⽹IP地址）的数量与注册IP地址（公⽹IP地址）的数量相当；③防⽕墙完全在内⽹中部署应⽤。
2.3、透明模式当Juniper防⽕墙接⼝处于“透明”模式时，防⽕墙将过滤通过的IP数据包，但不会修改 IP数据包包头中的任何信息。
防⽕墙的作⽤更像是处于同⼀VLAN 的2 层交换机或者桥接器，防⽕墙对于⽤户来说是透明的。
透明模式是⼀种保护内部⽹络从不可信源接收信息流的⽅便⼿段。
防火墙的透明模式和透明代理服务器教程电脑资料
防火墙的透明模式和透明代理服务器教程电脑资料防火墙在计算机网络安全中扮演着非常重要的角色。
它可以帮助监控和管理网络流量，保护计算机网络免受恶意攻击和未经授权的访问。
而防火墙的透明模式和透明代理服务器是其中两个重要的概念。
本文将详细解释防火墙的透明模式和透明代理服务器的原理，并介绍它们的设置和配置。
一、透明模式防火墙的透明模式是指在网络中拦截和过滤数据包时，对网络用户和应用程序来说是不可察觉的。
换句话说，透明模式下的防火墙不会对数据包进行任何的修改或干预。
它像一个“隐形”的墙壁，无论数据包是进入还是离开网络，都会被透明模式的防火墙检查和过滤。
在透明模式下，防火墙通常被部署为一个网桥。
这意味着它有两个网络接口，一个连接到内部网络，一个连接到外部网络。
防火墙会监听通过它的数据包流量，并根据预设的策略来判断是否允许或拒绝数据包通过。
用户和应用程序在没有任何感知的情况下，可以自由地发送和接收数据。
透明模式的防火墙通常还具备一些高级功能，如入侵检测系统（Intrusion Detection System，IDS）和虚拟专用网（Virtual Private Network，VPN）功能等。
它们能够帮助检测和防范网络攻击、黑客入侵等安全威胁。
二、透明代理服务器透明代理服务器（Transparent Proxy Server）是一种在网络通信中起到中间人角色的服务器。
在用户和目标服务器之间建立连接时，所有的请求和响应都需要经过透明代理服务器。
用户认为它们直接与目标服务器通信，而不知道自己实际上是在与代理服务器通信。
透明代理服务器通常用于网络缓存、访问控制、流量管理等用途。
它可以帮助优化网络通信，并提高网络性能。
同时，透明代理服务器还可以过滤和检测网络流量，防止恶意攻击、病毒传播和未经授权的访问。
设置和配置透明代理服务器通常需要以下几个步骤：1. 选择和安装合适的代理服务器软件。
常见的透明代理服务器软件有Squid、Nginx和Apache等。
防火墙透明或路由模式的更改
防火墙透明或路由模式的更改
一、登陆防火墙 (1)
1. 查看防火墙端口IP: show system interface (1)
2. 登陆防火墙的计算机的IP地址要和防火墙网口的IP地址在同一网段 (2)
二、更改防火墙模式 (3)
一、登陆防火墙
1. 查看防火墙端口IP: show system interface
2. 登陆防火墙的计算机的IP地址要和防火墙网口的IP地址在同一网段例：防火墙网口的IP地址为：192.168.30.1
计算机的IP地址可设为：192.168.30.100
登陆防火墙在IE里输入：https://192.168.30.1
用户名：administrator
密码：administrator
二、更改防火墙模式
Transparent为透明模式
注:UTM目前只支持透明和路由模式,不支持混合模式
UTM的透明模式为纯透明模式,不能做NA T,不做路由
切换到透明模式后,防火墙将恢复出厂配置,重启
防火墙的默认管理地址更改为:10.10.10.1/24,管理主机ip配置为同一网段即可。
透明网桥模式防火墙配置
透明网桥模式防火墙配置透明网桥模式是一种常用于防火墙配置的网络架构。
它能够提供更高的灵活性和可配置性，并且可以无缝地集成到现有的网络环境中。
在这种模式下，防火墙实际上是一个透明的设备，不需要对网络中的其他设备进行任何的配置更改。
下面是一个基于透明网桥模式的防火墙配置的示例，重点介绍了一些重要的配置步骤和注意事项。
1.网络拓扑规划：首先需要规划网络拓扑，确定防火墙的位置和连接方式。
在透明网桥模式下，防火墙通常被放置在内部网络和外部网络之间的物理链路上，作为网络流量的桥接点。
2.配置防火墙：根据网络拓扑规划，为防火墙配置IP地址和其他必要的网络参数。
确保防火墙的固件和软件是最新的，并配置相关的安全策略。
3.物理连接：将防火墙的内部接口和外部接口分别连接到内部网络和外部网络上的交换机或路由器。
确保连接线路正常并且连接稳定。
4.IP地址分配：为防火墙的内部接口和外部接口分别分配独立的IP地址。
确保内部和外部接口的IP地址是在不同的网络段中，并且与已有设备的IP地址不冲突。
5.配置透明网桥：在防火墙上配置透明网桥，并指定内部接口和外部接口。
透明网桥将内部网络和外部网络桥接起来，实现数据的透明传输。
配置透明网桥时需要注意避免造成网络环路。
6.安全策略配置：配置防火墙的安全策略，包括访问控制列表（ACL）、入侵检测和防御系统（IDS/IPS）等。
根据实际需求和网络环境，制定和实施相应的安全策略，确保网络安全。
7.流量监控和日志记录：配置防火墙的流量监控和日志记录功能，可以实时和事后审计网络流量，并及时发现和处理潜在的安全威胁。
8.测试和优化：在配置完成后，进行测试验证防火墙的功能和性能。
通过对网络流量和安全策略的实际测试，发现和解决可能存在的问题，并进行必要的优化。
透明网桥模式的防火墙配置需要在网络规划、物理连接、IP地址分配、透明网桥配置、安全策略配置、流量监控、日志记录以及测试和优化等方面进行细致的配置和调整。
防火墙的工作模式
防火墙工作模式简介工作模式介绍目前，secpath防火墙能够工作在三种模式下：路由模式、透明模式、混合模式。
如果防火墙以第三层对外连接（接口具有ip地址），则认为防火墙工作在路由模式下；若防火墙通过第二层对外连接（接口无ip地址），则防火墙工作在透明模式下；若防火墙同时具有工作在路由模式和透明模式的接口（某些接口具有ip地址，某些接口无ip地址），则防火墙工作在混合模式下。
下面分别进行介绍：1. 路由模式当secpath防火墙位于内部网络和外部网络之间时，需要将防火墙与内部网络、外部网络以及dmz三个区域相连的接口分别配置成不同网段的ip地址，重新规划原有的网络拓扑，此时相当于一台路由器。
如下图所示，secpath防火墙的trust区域接口与公司内部网络相连，untrust区域接口与外部网络相连。
值得注意的是，trust区域接口和untrust区域接口分别处于两个不同的子网中。
采用路由模式时，可以完成acl包过滤、aspf动态过滤、nat转换等功能。
然而，路由模式需要对网络拓扑进行修改（内部网络用户需要更改网关、路由器需要更改路由配置等），这是一件相当费事的工作，因此在使用该模式时需权衡利弊。
2. 透明模式如果secpath防火墙采用透明模式进行工作，则可以避免改变拓扑结构造成的麻烦，此时防火墙对于子网用户和路由器来说是完全透明的。
也就是说，用户完全感觉不到防火墙的存在。
采用透明模式时，只需在网络中像放置网桥（bridge）一样插入该secpath防火墙设备即可，无需修改任何已有的配置。
与路由模式相同，ip报文同样经过相关的过滤检查（但是ip报文中的源或目的地址不会改变），内部网络用户依旧受到防火墙的保护。
防火墙透明模式的典型组网方式如下：如上图所示，secpath防火墙的trust区域接口与公司内部网络相连，untrust区域接口与外部网络相连，需要注意的是内部网络和外部网络必须处于同一个子网。
juniper screen 防火墙三种部署模式及基本配置
Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：① 基于TCP/IP协议三层的NAT模式；② 基于TCP/IP协议三层的路由模式；③ 基于二层协议的透明模式。
2.1、NAT模式当Juniper防火墙入口接口（内网端口）处于NAT模式时，防火墙Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：① 基于TCP/IP协议三层的NAT模式；② 基于TCP/IP协议三层的路由模式；③ 基于二层协议的透明模式。
2.1、NAT模式当Juniper防火墙入口接口（“内网端口”）处于NAT模式时，防火墙将通往Untrust 区（外网或者公网）的IP 数据包包头中的两个组件进行转换：源IP 地址和源端口号。
防火墙使用Untrust 区（外网或者公网）接口的IP 地址替换始发端主机的源IP 地址；同时使用由防火墙生成的任意端口号替换源端口号。
NAT模式应用的环境特征：① 注册IP地址（公网IP地址）的数量不足；2.2、Route-路由模式当Juniper防火墙接口配置为路由模式时，防火墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中的源地址和端口号保持不变。
① 与NAT模式下不同，防火墙接口都处于路由模式时，不需要为了允许入站数据流到达某个主机而建立映射IP (MIP)和虚拟IP (VIP)地址；② 与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处于不同的子网中。
路由模式应用的环境特征：① 注册IP（公网IP地址）的数量较多；② 非注册IP地址（私网IP地址）的数量与注册IP地址（公网IP地址）的数量相当；③ 防火墙完全在内网中部署应用。
2.3、透明模式当Juniper防火墙接口处于“透明”模式时，防火墙将过滤通过的IP数据包，但不会修改IP数据包包头中的任何信息。
防火墙的作用更像是处于同一VLAN 的2层交换机或者桥接器，防火墙对于用户来说是透明的。
防火墙
在linux2.4内核下配置网桥透明模式防火墙如需转载请注明出处：Linux技术中坚站 冷风一、透明模式防火墙与透明代理的概念一般而言，防火墙的两个网络接口应分属两个不同的网络，根据系统管理员定义的访问规则在两个接口之间转发数据包，或者拒绝、丢弃数据包。
实际上，防火墙不单单是访问控制的功能，而且还充当了路由器的角色。
当然，这并非有什么不妥当的地方，但是当你企图把你配置好的防火墙放入运行网络，来保护现有系统安全的时候，你不得不重新考虑和更改你的网络架构。
另外一个可能的麻烦是，当防火墙发生意外时，如果没有防火墙的硬件备份的话，那么你将面临巨大的心理压力，因为防火墙的故障，整个网络瘫痪了。
假如你把防火墙配置成透明模式（可称为伪网桥），就无需更改网络架构，即使是防火墙不能工作了，要做的仅仅是拔出网线，把网线直接插在路由器的内部接口就可以让网络正常工作，然后你就有时间慢慢恢复发生故障的防火墙。
在防火墙厂商推荐产品的过程中，很多厂商往往会介绍自己的产品实现了透明模式和透明代理。
那么究竟什么是透明模式和透明代理呢？他们之间又有何关系呢？下面我们将做具体分析。
透明模式，顾名思义，首要的特点就是对用户是透明的（Transparent），即用户意识不到防火墙的存在。
要想实现透明模式，防火墙必须在没有IP地址的情况下工作，不需要对其设置IP地址，用户也不知道防火墙的IP地址。
防火墙作为实际存在的物理设备，其本身也起到路由的作用，所以在为用户安装防火墙时，就需要考虑如何改动其原有的网络拓扑结构或修改连接防火墙的路由表，以适应用户的实际需要，这样就增加了工作的复杂程度和难度。
但如果防火墙采用了透明模式，即采用无IP方式运行，用户将不必重新设定和修改路由，防火墙就可以直接安装和放置到网络中使用，如交换机一样不需要设置IP地址。
透明模式的防火墙就好象是一台网桥(非透明的防火墙好象一台路由器)，网络设备(包括主机、路由器、工作站等)和所有计算机的设置（包括IP地址和网关）无须改变，同时解析所有通过它的数据包，既增加了网络的安全性，又降低了用户管理的复杂程度。
Juniper防火墙三种部署模式及基本配置
Juniper防火墙三种部署模式及基本配置Juniper防火墙在实际的部署过程中主要有三种模式可供选择，这三种模式分别是：①基于TCP/IP协议三层的NAT模式；②基于TCP/IP协议三层的路由模式；③基于二层协议的透明模式。
2.1、NAT模式当Juniper防火墙入口接口（“内网端口”）处于NAT模式时，防火墙将通往Untrust 区（外网或者公网）的IP 数据包包头中的两个组件进行转换：源IP 地址和源端口号。
防火墙使用Untrust 区（外网或者公网）接口的IP 地址替换始发端主机的源IP 地址；同时使用由防火墙生成的任意端口号替换源端口号。
NAT模式应用的环境特征：①注册IP地址（公网IP地址）的数量不足；②内部网络使用大量的非注册IP地址（私网IP地址）需要合法访问Internet；③内部网络中有需要外显并对外提供服务的服务器。
2.2、Route-路由模式当Juniper防火墙接口配置为路由模式时，防火墙在不同安全区间（例如：Trust/Utrust/DMZ）转发信息流时IP 数据包包头中的源地址和端口号保持不变。
①与NAT模式下不同，防火墙接口都处于路由模式时，不需要为了允许入站数据流到达某个主机而建立映射IP (MIP) 和虚拟IP (VIP) 地址；②与透明模式下不同，当防火墙接口都处于路由模式时，其所有接口都处于不同的子网中。
路由模式应用的环境特征：①注册IP（公网IP地址）的数量较多；②非注册IP地址（私网IP地址）的数量与注册IP地址（公网IP地址）的数量相当；③防火墙完全在内网中部署应用。
2.3、透明模式当Juniper防火墙接口处于“透明”模式时，防火墙将过滤通过的IP数据包，但不会修改IP 数据包包头中的任何信息。
防火墙的作用更像是处于同一VLAN的2 层交换机或者桥接器，防火墙对于用户来说是透明的。
透明模式是一种保护内部网络从不可信源接收信息流的方便手段。
使用透明模式有以下优点：①不需要修改现有网络规划及配置；②不需要为到达受保护服务器创建映射或虚拟IP 地址；③在防火墙的部署过程中，对防火墙的系统资源消耗最低。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
浅谈防火墙配置中路由模式和透明模式的区别与应用
作者：黄安祥
来源：《消费导刊》2018年第17期
所谓防火墙，指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。
是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入。
防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。
该计算机流入流出的所有网络通信和数据包均要经过此防火墙。
在网络中，“防火墙”，是指一种将内部网和公众访问网分开的方法，它实际上是一种隔离技术。
防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。
路由器和防火墙和相比，都属于网关设备，可以支持网络的各种应用，在差异性上有设计思路和实现方式的不同。
Router是作为一种“网络连通手段”，保证网络互连互通为主；Firewall 是作为一种“网络隔离手段”，隔离网络异常数据为主。
Router：能正确转发包的设备是路由器：Firewall：能正确丢包的设备是防火墙。
一、防火墙配置里的工作模式
一般硬件防火墙有路由模式、网桥模式、混合模式，路由模式连接不同网段，防火墙有实际的地址，网桥模式即透明模式，连接相同网段，防火墙没有地址，内网用户看不到防火墙的存在，隐蔽性较好，混合模式即在网络拓扑里同时用到了路由和网桥模式，网桥模式也叫透明模式，是指防火墙的功能类型于交换机，进行二层转发，英文有transparent（透明）和bridge 两种叫法，但transparent的说法更加贴切，因为上面有多个端口，而网桥则是典型的只有2个端口。
路由模式是指防火墙的功能类型于路由器，提供路由转发功能，大多时候也会使用NAT功能，进行报文的三层转发。
透明模式相对于路由模式的一个最主要的特点是，它可以在不改变现有网络拓扑的情况下路署到现有网络，适用于已建好的网络中，但是提供的功能要稍弱于路由模式。
二、防火墙透明模式做规则和路由模式做规则的区别
（一）防火墙透明模式做规则的特点及实际应用
首要的特点就是对用户是透明的，即用户意识不到防火墙的存在。
要想实现透明模式，防火墙必须在没有IP地址的情况下工作，不需要对其设置IP地址，用户也不知道防火墙的IP地址。
透明模式的防火墙就好像是一台网桥（非透明的防火墙好像一台路由器），网络设备（包括主机、路由器、工作站等）和所有计算机的设置（包括IP地址和网关）无须改变，同时解析所有通过它的数据包，既增加了网络的安全性，又降低了用户管理的复杂程度。
而透明代理，和传统代理一样，可以比包过滤更深层次地检查数据信息。
同时它也是一个非常快的代理，从物理上分离了连接，这可以提供更复杂的协议需要。
（二）防火墙路由模式做规则的特点及实际应用
地址路由指路由器为数据包选择路由时不根据IP包的目的地址（通常情况根据目的地址），而根据IP包的源地址选路。
源地址路由是策略路由的一种。
一般路由器应当支持。
透明桥接是指路由器端口以透明网桥的方式工作，执行网桥的功能。
不对数据包作路由检查转发，只作MAC帧桥接。
三、防火墙使用路由模式还是透明模式的选择
技术上分析，透明模式好处：减少工作量，不必重新规划ip地址；不做nat，数据包直接通过；同时对防火墙本身减压。
防火墙桥模式，可能会存在防火墙对桥的支持以及桥接口自身对防火墙的影响。
1.启用桥模式，那么所有流经桥接口的网络流量就没有防地址欺骗防护，因为在防火墙看来流量是从一个三层接口进来又出去，不存在地址欺骗；2.防火墙现在都是状态检测，过滤机制，桥接口可能会影响部分防火墙产品的状态检测功能；3.二层的桥在网络拓扑连接方式上可能会引入关于二层的因素，诸如ARP转发、VLAN Trunk、STP等；一般来说，如果是能用路由模式建议还是用路由模式，毕竟防火墙做的安全过滤从一开始就是做三层以上的工作的。
透明模式：优：不用重新进行IP划分，缺：损失一些功能，如路由、VPN等路由模式：优：功能相对全面，缺：需要对现有网络进行一定调整。
从网络可靠性的角度上分析：透明模式要比路由模式要好。
透明模式目的在于网络安全的防护，路由模式是承载了部分基础通信上建立安全防护，加大了网络的复杂度。
当网络出了故障后，透明模式部署的防火墙能够轻易定位出是否故障出在防火墙上，只要物理上短暂的跳过防火墙进行业务测试，效果立竿见影。
就算防火墙设备不幸坏掉，短时间内暂时没有防火墙也不会影响业务。
而路由模式部署，这对网络管理员的技术需要达到一定的深度，具有丰富的经验才能进行排错定位，无遗在处理故障的效率和恢复上大大增加了时间，影响了业务的正常运行。
从设备性能的角度分析：路由模式的性能消耗远比透明模式要大。
或许静态路由的影响还算是较小的，有的用户把防火墙作为边界网关，启用OSPF等动态路由协议，路由越多，越消耗防火墙的性能。
假设防火墙还启用了一些例如病毒过滤、入侵防御的功能模块，毫无疑问这对网络的稳定可靠性的风险值大大增加。
四、结论
在安装防火墙前必须弄清楚的几个问题：1.路由走向（包括防火墙及其相关设备的路由调整）确定防火墙的工作模式：路由、透明、综合。
2.IP地址的分配（包括防火墙及其相关设备的IP地址分配）根据确定好的防火墙的工作模式给防火墙分配合理的IP地址3.数据应用和数据流向（各种应用的数据流向及其需要开放的端口号或者协议类型）。
4.要达到的安全目的（即要做什么样的访问控制）。
综上所述，防火墙采用何种通讯方式是由用户的网络环境决定的，用户需要根据自己的网络情况，合理的确定防火墙的通讯模式；并且防火墙采用何种通讯方式都不会影响防火墙的访问控制功能。