浅析防火墙配置技术
防火墙设置与维护措施
防火墙设置与维护措施防火墙是一种网络安全设备，用于保护计算机网络免受未经授权的访问和不良网络活动的侵害。
本文将介绍防火墙的设置和维护措施，以帮助读者确保网络安全。
1. 防火墙设置1.1 选择合适的防火墙类型根据实际需求和网络规模，选择合适的防火墙类型。
常见的类型包括网络层防火墙、应用层防火墙、主机防火墙等。
确保所选防火墙满足网络安全需求。
1.2 定义网络访问策略在设置防火墙时，需要定义网络访问策略。
访问策略包括允许或禁止的网络流量类型、源IP地址、目标IP地址、端口等信息。
精确定义访问策略可以有效地控制网络访问。
1.3 设置安全规则和访问控制列表为了确保网络的安全，设置安全规则和访问控制列表是必要的。
安全规则指定了允许或禁止网络流量通过防火墙的规则，而访问控制列表则用于控制特定用户或IP地址的访问权限。
1.4 进行端口和协议筛选端口和协议筛选是防火墙设置中的重要步骤。
通过筛选指定的端口和协议，防火墙可以限制特定类型的网络流量，提高网络的安全性。
2. 防火墙维护措施2.1 定期更新防火墙软件随着网络威胁的不断演变，防火墙软件需要进行定期更新以保持对最新威胁的防御能力。
及时安装厂商发布的安全补丁和更新，可以有效提升防火墙的功能和性能。
2.2 监控防火墙日志定期监控防火墙的日志记录，可以及时发现并应对网络攻击活动。
防火墙日志可以提供有关网络流量和攻击尝试的信息，帮助管理员及时采取相应的安全措施。
2.3 进行漏洞扫描定期进行漏洞扫描是防火墙维护的关键环节之一。
通过扫描网络设备和应用程序的漏洞，及时修复漏洞，可以有效增强网络的安全性，减少可能的攻击和入侵风险。
2.4 加强不断学习和培训网络安全技术不断发展，防火墙管理员需要不断学习和培训以跟上最新的安全趋势和技术。
通过参加安全培训和专业会议，管理员可以提升防火墙管理的能力，更好地应对不断变化的网络威胁。
结论防火墙的设置和维护对于保障网络安全至关重要。
合理选择防火墙类型、定义网络访问策略、设置安全规则和访问控制列表，以及定期更新防火墙软件、监控日志、进行漏洞扫描和加强培训，都是确保防火墙有效运作和网络安全的关键步骤。
网络安全中的防火墙配置原则
网络安全中的防火墙配置原则随着互联网的快速发展和普及，网络安全问题日益突出。
防火墙作为保障网络安全的关键组件，扮演着至关重要的角色。
本文将深入探讨网络安全中的防火墙配置原则，旨在帮助读者更好地理解和应用防火墙技术，以保护网络免受各种威胁。
一、安全策略在进行防火墙配置之前，我们首先需要明确网络的安全策略。
安全策略应基于实际需求，包括公司的安全政策、法规法律要求以及业务需求等。
要根据安全策略明确网络参数，如源IP、目的IP、端口号、协议等，以便准确配置防火墙规则，并充分考虑业务的可用性和安全性。
二、默认拒绝原则在防火墙配置中，一个重要的原则是默认拒绝。
这意味着只有明确允许的网络流量才能通过防火墙，而其他未匹配的流量将被拒绝。
通过这种方式，可以大大减少潜在的攻击面，并提高网络的安全性。
然而，在配置此项原则时，确保对合法流量进行精确的识别和允许非常必要。
三、实施最小权限原则实施最小权限原则是防火墙配置中的另一个重要原则。
根据最小权限原则，每个用户只能获得其正常工作所需的最低权限。
这意味着根据不同用户、角色或部门的需求，将网络访问权限进行适当的划分，并实施相应的访问控制策略。
这样可以最大限度地减少被非法人员利用的风险，并提高网络安全性。
四、安全更新与漏洞管理防火墙配置不是一次性任务，而是需要持续进行安全更新和漏洞管理。
定期检查、安装和升级防火墙软件和操作系统补丁是必要的，以确保防火墙的安全和稳定性。
此外，定期进行漏洞扫描和安全评估，并及时修复任何发现的漏洞，以防止黑客利用网络漏洞进行攻击。
五、日志和监控有效的日志记录和监控是提高网络安全的重要手段。
防火墙应配置为在网络活动发生时记录相关信息，如访问源IP、目的IP、端口、协议、时间等。
这些日志可以用于追踪攻击，分析安全事件并应对紧急情况。
此外，实时监控网络流量和防火墙性能，及时发现异常行为并采取必要的措施加以应对。
六、灵活的策略调整网络环境和威胁形势都在不断变化，因此应具备灵活的策略调整能力。
浅析防火墙技术
和代 理 型 防火 墙 … 。 ２１ 包 过 滤 型 防 火墙 ．
３ 基 本 功能
典 型的防火墙 应包含如 下模块 中的一 个或 多个 ：包 过滤 路 由器 、应用层 网关 以及代理 服务器 。
３１ 包 过 滤 路 由器 ．
包 过滤防火墙 设置 在 网络层 ，可 以在路 由器上 实现包 过 滤 ，具体 有 ３种类型 ： （）静 态包过滤 防火墙 ，依据 防火墙 １ 内事 先设定 的过滤 规则 ，通过 检查数据 流 中每个数 据包 的源
包过滤 路 由器将对 每一个 接收到 的包 进行允许对 绝 的决 巨 定 。包过滤 技术工作 的地方 就是各种基于 Ｔ Ｐ Ｐ协议 的数据 Ｃ￣ 报文进 出的通道 ，它把这 两层作为数 据监控 的对 象 ，依 据防
１ 概 述
防火墙是 位于两个 （ 或多个 ） 网络 之 间 ，实施访 问控 制
优化策略 ，其性能获得 大幅度 的提高 。
２２ 代 理 型 防火 墙 ．
策 略的一个或 一组组件 集合 ，通 过对流 经它 的网络通 信进行 扫描 ，过滤 掉恶意攻击 ，防止 未经授权 的通信 进 出 ，通过 边
题 ，同时 ，可以避免当一个 内部 网更换 ＩＰ时需 重新 编号的麻 Ｓ
烦 。防火墙不 但是 网络安 全 的检查 站 ，它还可 以是 向用 户发
它不允许用户建立 端到端 的 Ｔ Ｐ连接 ，所 以只在 传输层上 为 Ｃ 两 个通信 的端 点之 间转 换数据包 。 （） 自适 应代理 防火墙 ， ３
据 驱 动类型 的攻 击 。具 体有 ３种 类型 ： （） 应用 网关 防火 １
墙 ，它针对 特定 的网络应用 服务协议使 用指定 的数据 过滤逻 辑 ，并在过 滤 的同时具 有转 发功能 ，对 数据 包进行 必要 的分 析 、登 记和统计 ，形成报告 。 （） 电路级 网关 防火墙 ，因为 ２
浅析防火墙技术
和错误 。同时软件 内置 有 ４种 常 用 的单 位制 ， 在水 工 计算 中， 只要 把参 数的单位带上 ， 软件可 以 自动进 行量纲 计算 ， 则 并 以基本量纲 的形式输 出结 果 ， 不必 进行 单位 换算 ， 免 了 避 单位不统一 而引起 的结果错误 。 ３４ 加快水工计算及 整理计算 书速度 ． 根据具体情况 ， 常用 的计 算如 消力 池长 度计 算 、 把 深度 计算 、 挡土墙稳定 计算 等分别 建成 格式 化的模 块 （ 包含必 要 的文字说明 ， 算公式 及 系数等 ） 计 或模 板 ； 到设计 需要 时 ， 只 需 要拼模块 ， 改参数 ， 完 成 了结构计 算 书。如 遇到规 范 再 就 更新 或新产品出现 ， 以依 据要 求增加模 板或修 改模板 就能 可 重新 为我所 用。运用软件 的插入参 考功能 ， 以使 文件之 间 可 些相同数 据相互参 考 ， 这样可 以避免在 结构计算 中 出现 重 复定义 同一 参数 ， 有利 于提 高设 计计 算 的工作 效率 。 比如 ： 水工计算 中常要 用到各 种水 位 ， 这种 情况 下 ， 以把各 种水 可 位单独建立一个 文件 ， 进行 计算 时 ， 就可 以通 过插 入参 考把 系数引用过来 。可 以避 免水 位 的重复 输入 ， 少错 误 ， 减 并且 方 便 修 改
维普资讯
２０ ０ ７年 第 ２期 （ ３ ） 第 ５卷
黑
龙
江
水
利
科
技
Ｎｏ ２． ００ ． ２ ７
Ｈ ｉ ｎｊ ｎ ｃｅｃ ｎ ｅｌｏｏｙｏ ｔ ｏｓｒａｃ ｅ ｏｇ ａｇＳｉ ｅａｄＴ ｃ ｌ ｆ ｌ ｉ ｎ ｎ ｇ Ｗａ ｒＣ ｎｅｖｎｙ ｅ
２ １ 包 过 滤 型 ．
包过滤型产 品是 防火墙 的初 级产 品 ， 技术依 据是 网络 其 中的分包传输技术 。网络上 的数据 都是 以“ ” 包 为单 位进行 传输 的， 数据被分割成 为一 定大 小 的数据 包 ， 一个 数据包 每 中都会 包 含 一 些 特 定 信 息 ， 数 据 的 源 地 址 、目标 地址 、 如 Ｔ ＰＵ Ｐ Ｃ ／ Ｄ 源端 口和 目标 端 口等。防火 墙 通过读 取 数据 包 中 的地址信 息来判断这些“ ” 包 是否来 自可信任 的安全站 点 ， 一 旦发 现来 自危险站点的数据包 ， 防火墙便 会将这 些数 据拒之 门外 。系统管 理员 也可以根据实际情况灵活制定判 断规 则。 包过 滤技术 的优点 是 简单实 用 ， 现成 本较 低 ， 应用 实 在 环境 比较 简单 的情 况下 ， 能够 以较小 的代 价在一 定程度上 保 证系统 的安全 。但 包过 滤技 术 的缺 陷也 是 明显 的。包过 滤
浅析防火墙安全技术
的内部 网 ， 它使 内部 网络规划 清 晰 明了 ， 可 以识 别 它 并屏 蔽 非法 请 求 ， 效 防止 跨 越 权 限 的数 据 访 问 。 有
它 既可 以是 简单 的 过滤 器 ， 可 能 是精 心 配置 的 网 也
目前 ， 球 的计 算 机 通过 Ｉｔｍｅ 联 到 一 起 ， 全 ｎｅ ｔ 信
息安 全 的内涵 发生 了根本 的变 化 。它不仅 从一 般性
动 实现 有效 的管理 ； 允许 公 司 内部 员 工使 用 电子 邮 件 、 行 网页浏 览 以及 文 件 传 输 等 服务 。但 不 允 许 进 外界 随意访 问公 司 内部 的计 算 机 ， 同样 可 以 限制 公 司 中不 同部 门之间 互 相访 问 ， 局 域 网络 放 置 于 防 将
总 第 １６期 ５
ｄ ｉ１ ． ９ ９ ｊ ｉ ｎ １ ０ ２ ９ ． ０ ２ ０ ． ３ ｏ ：０ ３ ６ ／ ． ｓ ． ０ ５— ７ ８ ２ １ ． ８ ０ １ ｓ
浅 析 防火 墙 安 全 技 术
李 华
（ 安 环 能 股 份公 司 常村 煤 矿 ， 潞 山西 长 治 ０ ６０ ） ４ １２
一
１ 防 火 墙
网络 防火 墙技 术是 运行 在一 台计算 机 之用来 保 护 由许 多 台计 算 机 组 成
头 ， 据规 则 ， 定禁 止某 些报 文通 过或允 许某 些报 根 决 文通 过 ， 许通 过 的报 文 将 按 照路 由表 设 定 的路 径 允 进行 信 息转发 。包 过滤 防火墙 相 应 的防火墙 软件 工 作 在传输 层 与 网络 层 ， 常直 接转 发报 文 ， 通 它对用 户 完全 透 明 ， 度较 快 。 速
浅析网络安全及防火墙部署
基 于 应 刖 层 的 侵 入 和病 毒 都 十分 有 效 其 缺 点 是 对 系 统 的整 体 网络 防 火 墙 可 对 两 个 或 多 个 网络 之 问 传 输 的数 据 包 按 照 一 性 能 有 较 大 的 影 响 ．而 且 代 理 服 务 器 必 须 针 对 客 户 机 可 能 产 生 定 的 安 全策 略 实施 检查 ． 以决 定 网络 之 问 的 通 信 是 否 被 允 许 ． 井 的所 有 应 类 型 逐 一 进 行 设 置 ． 大 大 增 加 了 系 统 管 理 的 复 杂
文 论 述 了 网络 防 火墙 技 术 的 分 类 、 署 及 选 择 标 准 。 部
【 关键词】 网络安全 防火墙 选择 标准 ：
１概 述 ．
隔 离 个 网络 传 输 层 上 的 数 据 转 发 器
网 络 安 全技 术有 以 下 特 点 ： 一 ． 络 安 全 来 源 于 安 全 策 略 的 功 能 代 理 服 务 器 是 ” 火墙 ” 术 中 颇 受 推崇 的一 种 ． 的 优 第 网 防 技 它 与 技术 的 多 样 化 ． 二 ． 第 网络 的 安 仝 机 制 与 技 术 不 断 地 变 化 ： 第 点 在 于 可 以将 被保 护 网 络 内 部 结 构 屏 蔽 起 来 ．显 著 增强 了 网 络
和 服 务 类 型 上 的 隔 离 来 加 强 网 络 安 全 ． 强 网 络 访 问控 制 ． 止 承担 ： 加 防 外 部 网络 用 户 以 非 法 手段 进 入 内部 网络 ．保 护 内 部 网 络 操 作 环
由 于 外 部 系 统 与 内部 服 务 器 之 间 没 有 直 接 的 数 据 通 道 ． 外
位 置 是 公 司 内部 网络 与外 部 Ｉｔｍｅ 的 接 口处 ． 阻挡 来 自外 部 在 对 这 些 数 据 加 以分 析 的基 础 上 ．监 测 型 防 火 墙 能 够 有 效 地 判 ｎ ｅ ｔ 以 这 网 络 的 人侵 如果 公 司 内部 网络 规模 较 大 ． 且设 置 有 虚 拟 局 域 断 出各 层 中的 非 法 侵 入 同时 ． 种 检 测 型 防 火墙 产 品一 般 还 带 并
电脑防火墙设置技巧增强网络安全防护
电脑防火墙设置技巧增强网络安全防护在当今数字化的时代，我们的生活和工作越来越依赖于网络。
然而，网络世界并非一片净土，存在着各种各样的安全威胁，如病毒、恶意软件、黑客攻击等。
为了保护我们的电脑和个人信息安全，设置电脑防火墙是一项至关重要的措施。
本文将为您详细介绍电脑防火墙的设置技巧，帮助您增强网络安全防护。
一、什么是电脑防火墙电脑防火墙是一种位于计算机和网络之间的安全屏障，它可以监控和控制进出计算机的网络流量，根据预先设定的规则来决定允许或阻止某些数据包的传输。
简单来说，防火墙就像是一个网络卫士，守护着您的电脑，防止未经授权的访问和潜在的威胁。
二、防火墙的作用1、阻止未经授权的访问防火墙可以阻止外部网络中的恶意用户或程序试图访问您的电脑，从而保护您的个人隐私和重要数据。
2、防止恶意软件传播许多恶意软件会试图通过网络连接来传播和获取更多信息。
防火墙可以检测和阻止这些恶意软件的网络活动，降低感染风险。
3、监控网络活动防火墙能够记录和监控进出电脑的网络流量，让您了解哪些程序正在与网络进行通信，及时发现异常活动。
4、增强系统安全性与其他安全措施（如杀毒软件、加密技术等）相结合，防火墙能够显著提高电脑的整体安全性，为您创造一个更安全的网络环境。
三、常见的电脑防火墙类型1、 Windows 自带防火墙Windows 操作系统自带了防火墙功能，对于大多数普通用户来说，这已经能够提供基本的安全保护。
您可以在控制面板中找到并进行设置。
2、第三方防火墙软件市面上有许多第三方防火墙软件可供选择，如诺顿防火墙、卡巴斯基防火墙等。
这些软件通常提供更强大的功能和更详细的设置选项，但可能需要付费购买。
四、电脑防火墙的设置技巧1、开启防火墙首先，确保您的电脑防火墙处于开启状态。
对于 Windows 自带防火墙，您可以在控制面板的“系统和安全”选项中找到“Windows Defender 防火墙”，然后点击“启用或关闭 Windows Defender 防火墙”，将“专用网络设置”和“公用网络设置”中的防火墙都设置为“启用”。
防火墙的作用与设置
防火墙的作用与设置防火墙是一种网络安全设备，用于保护计算机和网络免受未经授权的访问和恶意攻击。
它通过监控和过滤网络流量，确保只有合法和可信的数据可以进入或离开受保护的网络。
本文将介绍防火墙的作用、不同类型的防火墙以及如何正确设置防火墙。
一、防火墙的作用1. 过滤网络流量：防火墙的主要作用之一是过滤网络流量，它可以根据预设的规则，阻止未经授权的数据包通过网络。
这有助于防止恶意软件、病毒、蠕虫等网络攻击进入受保护的网络。
2. 网络访问控制：防火墙可以控制对受保护网络的访问权限。
通过设置访问规则和策略，防火墙可以限制特定用户、设备或IP地址的访问权限，确保只有授权的用户可以访问网络资源。
3. NAT转换：防火墙还可以实现网络地址转换（Network Address Translation，NAT），将内部网络中的私有IP地址转换为合法的公共IP地址，以提高网络安全性和网络资源利用率。
4. 日志记录和审计：防火墙可以记录所有进出网络的数据包，并生成详细的日志文件。
这些日志文件可以用于安全审计、追踪攻击来源、检测网络异常等用途，有助于及时发现并应对安全威胁。
二、不同类型的防火墙1. 基于网络层的防火墙：这种类型的防火墙工作在网络层（OSI模型的第三层），它根据源IP地址、目标IP地址、端口号等信息来过滤和控制网络流量。
常见的网络层防火墙有路由器防火墙、软件防火墙等。
2. 基于应用层的防火墙：这种类型的防火墙工作在应用层（OSI模型的第七层），可以深入分析和检测网络传输中的应用数据。
它可以根据应用协议、报文内容等特征进行精确的流量过滤。
常见的应用层防火墙有代理防火墙、应用程序防火墙等。
三、设置防火墙的步骤1. 定义安全策略：首先，需要明确受保护网络的安全需求，并定义相应的防火墙策略。
这包括允许的访问规则、禁止的访问规则、阻止恶意攻击的规则等。
2. 选择合适的防火墙设备：根据安全策略的要求，选择适合的防火墙设备。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
浅析防火墙配置技术
作者：郑伟
来源：《电脑知识与技术·学术交流》2008年第15期
摘要：文章介绍了防火墙的配置结构的类型和特点，重点阐述了屏蔽子网防火墙和双宿主机防火墙配置技术和应用，最后，针对不同情况，提出了防火墙配置方案。
关键词：防火墙；配置技术
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)15-20ppp-0c
Brief Analysis Firewall Disposition Technology
ZHENG Wei
(Fire in Huaibei City Public Security Detachment,Huaibei 235000,China)
Abstract:The article introduced the firewall disposition structure type and the characteristic, elaborated with emphasis the shield subnet firewall and the double host machine firewall disposition technology and the application, finally, in view of the different situation, proposed the firewall disposition plan.
Key words:Firewall;disposition;technology
1 引言
今天我们所处的信息时代，也可以说也是病毒与黑客大行其道的时代，从Internet到企业内网、从个人电脑到可上网的手机平台，没有地方是安全的。
每一次网络病毒的攻击，都会让家庭用户、企业用户甚至是运营商头痛脑热。
不过经历过了一次又一次的病毒危机后，人们已经开始思考网络的安全了。
现在任何一个企业组建网络都会考虑到购买防火墙，且有越来越多的家庭用户在自己的电脑上甚至宽带接入端也加上了防火墙。
但是防火墙不是一道用于心理安慰的屏障，只有会用防火墙才能够真正将威胁挡在门外，如果对防火墙的防护执行设置没有结合企业内部的需求而进行认真充分的定义，添加到防火墙上的安全过滤规则就有可能允许不安全的服务和通信通过，从而给企业网络带来不必要的危险
与麻烦。
防火墙可以比做一道数据的过滤网，如果事先制定了合理的过滤规则，它将可以截住不合规则的数据报文，从而起到过滤的作用。
相反，如果规则不正确，将适得其反。
2 防火墙配置技术
一般来说，防火墙由包过滤（静态的或动态的）和应用网关（或者是电路级网关或者应用级网关）组成，当前主要有：过滤路由器防火墙；主机过滤防火墙；屏蔽子网防火墙；双宿主机防火墙。
2.1 过滤路由器防火墙配置结构
在传统的路由器中增加分组过滤功能就能形成这种最简单的防火墙。
这种防火墙的好处是完全透明，但由于是在单机上实现，形成了网络中的“单失效点”。
路由器的基本功能是转发分组，一旦过滤机能失效，被入侵后就会形成网络直通状态，任何非法访问都可以进入内部网络。
因此这种防火墙的失效模式不是“失效—安全”型，也违反了阻塞点原理。
因此，我们认为这种防火墙尚不能提供有效的安全功能，仅在早期的因特网中应用。
2.2 主机过滤防火墙配置结构
这种防火墙由过滤路由器和运行网关软件的堡垒主机（指一个计算机系统，它是防火墙配置的一部分，并且是一个或数个应用网关的主机，它暴露于来自外部网络的直接攻击之中）构成。
该结构提供安全保护的堡垒主机仅与内部网络相连，而过滤路由器位于内部网络和外部网络之间。
该主机可完成多种代理，如FTP、Telnet和WWW，还可以完成认证和交互作用，能提供完善的因特网访问控制。
这种防火墙中的堡垒主机是网络的“单失效点”，也是网络黑客集中攻击的目标，安全保障仍不理想。
但是该结构防火墙具有可操作性强、投资少，安全功能容易实现和扩充，因而目前也有比较广泛的应用。
2.3 屏蔽子网防火墙配置结构
该防火墙是在主机过滤结构中再增加一层参数网络的安全机制，使得内部网络和外部网络之间有两层隔断。
简而言之，一个屏蔽子网防火墙就是由两个屏蔽路由器构成，它们是用来创建一个称为屏蔽子网或非军事化区域（DMZ）的外部网络段。
DMZ把堡垒主机看成是应用层网关，在堡垒主机上可以运行各种各样的代理服务器。
除了外部服务器，也还有一个被屏蔽路由器所分开的内部网络段，内部服务器可以运行在连接到内部网络段的机器上。
如图1所示。
在这种结构下，入侵者要攻击到内部网络就必须通过两台路由器的安全控制。
即使入侵者通过了堡垒主机，它还必须通过内部网络路由器才能抵达内部网。
这样，整个网络安全机制就不会因一点被攻击而全部瘫痪。
这种防火墙把主机的通信功能分散到多个主机组成的网络中，有的作为FTP服务器，有的作为E-mail服务器，有的作为WWW服务器，有的作为Telnet服务器，而堡垒主机则作为代理服务器和认证服务器置于周边网络中，以维护因特网与内部网络的连接，代理服务器和认证服务器是内部网络的第一道防线，内部路由器是内部网络的第二道防线，而把因特网的公共服务(如FTP服务器、Telnet服务器和WWW服务器及E-mail服务器等)置于周边网络中，也减少了内部网络的安全风险。
2.4双宿主机防火墙配置结构
在TCP/IP中，多宿主机拥有多个网络接口，每一个接口都连接在物理和逻辑上分离的不同网段上，而且可以在不同的网络段之间转发或路由IP宝，如果在多宿主机中不能转发或路由IP包，则不同的网络段间被隔绝，因此可以用来配置防火墙，使IP路由无效是相对简单和直截了当的任务。
双宿主机是多宿主机中最常见的一个例子，双宿主机是一种拥有两个连接到不同网络上的网络接口的防火墙，一个网络接口连接到外部的不可信任的网络上，另一个网络接口连接到内部的可信任的网络上，如图2所示
这种防火墙的最大的特点在于其IP转发和路由能够被取消，所以IP包不再可能在两个网段之间被路由，应用网关运行在堡垒主机（双宿主机）上，此外，一个屏蔽路由器被特别地放置在堡垒主机和外部网络之间，在这个配置中，堡垒主机的外部网络接口连接到一个外部网段
（通过一个屏蔽路由器），屏蔽路由器的目的是保证来自外部网络的任何IP包准确地到达堡垒主机（双宿主机），如果一个包来自其他目标地址，则舍弃这个包。
同时在堡垒主机（双宿主机）和内联网之间配置了另外一个屏蔽路由器，是堡垒主机的内部网络接口连接到以另一个屏蔽路由器为宿主的内部网段。
由于双宿主防火墙配置的堡垒主机也可以因为效率原因被复制，因此而得的配置优势叫做并行双宿主防火墙，它可以由几个同时连接到内部或外部网段的堡垒主机构成，在这种情况下，可以在不同的主机上运行各种代理和SOCKS服务器。
总之，双宿主机防火墙是一种简单而安全的配置，在互联网中被广泛使用，但是对于非标准TCP/IP应用协议没有代理服务器，双宿主机防火墙配置显得很不灵活了，这对许多WEB站点来说是一个缺点。
3 典型的防火墙结构
建造防火墙时，一般很少采用单一的技术，通常是使用多种解决不同问题的技术组合。
这种组合取决于网络管理中心向用户提供什么样的服务，以及网管中心能接受什么等级的风险。
采用哪种技术主要取决于经费，制冷的大小或技术人员的技术、时间因素。
一般有以下几种形式。
(1)使用多堡垒主机。
(2)合并内部路由器与外部路由器。
(3)合并堡垒主机与外部路由器。
(4)合并堡垒主机与内部路由器。
(5)使用多台内部路由器。
(6)使用多台外部路由器。
(7)使用多个周边网络。
(8)使用双重宿主主机与屏蔽子网。
4 结束语
随着1995年以来多个上网工程的全面启动，我国各级政府、企事业单位、网络公司等陆续设立自己的网站，电子商务也正以前所未有的速度迅速发展，但许多应用系统却处于不设防状态，存在着极大的信息安全风险和隐患。
防火墙系统作为一个有效的防范手段，已经得到了广泛的认可和应用，它们为企业部门提供有效的访问控制服务，并且根据不同的组成和配置，形成不同安全等级的网络系统，但是防火墙决不是任何意义上的灵丹妙药，也不是解决所有与网络有关的安全问题的仙丹，其最大的缺点就是不能保护站点或者内联网用户免受来自内部的攻击，因此它们决不能替代企业部门内联网的安全管理。
如何进一步从软件和硬件的实现上加强网络安全防范工作已成为一项刻不容缓的亟需解决的现实问题，建立较为完善的网络安全体系，防止各类网络安全事件的发生，正是今后进一步开展研究工作的方向。
参考文献：
[1]Rolf Oppliger,著.杨义先,冯运波,李忠献,译.WWW安全技术.人民邮电出版社,2001.
[2]Wes Noonan,Ido Dubrawsky,防火墙基础.人民邮电出版社.
[3]付爱英.防火墙技术标准教程.北京理工大学出版社,2007.
收稿日期：2008年2月28日
作者简介：郑伟（1975-），男，安徽砀山人，工学学士，助理工程师，研究方向：计算机通信。