非军事区

为了配置和管理方便，通常将内部网中也能向外部提供服务的服务器设置在单独的网段，还是网段被称为非军事区（DeMilitarized Zone，DMZ），也被称为周边网络，图5-15是DMZ示意图。

DMZ是周边网络，是指在内部网络、外部网络之间增加的他的网络，对外提供服务的各种服务器都也能放在还是网络里。DMZ隔离内外网络，并为内外网之间的通信起到缓冲作用。

周边网络的存在，使得外部用户访问服务器时不也能进入内部网络，而内部网络用户对服务器维护工作导致的信息传递也而会泄露至外部网络；

同时，周边网络与外部网络或内部网络之间都存在着数据包过滤，他的为外部用户的攻击设置了多重障碍，确保了内部网络的安全。

堡垒主机

在防火墙体系结构中，经常提及堡垒主机（Bastion Host，如图5-15所示）。

堡垒主机得名于古代战争中用于防守的坚固堡垒，它位于内部网络的最外层，像堡垒一样对内部网络进行保护。

堡垒主机是一种配置了安全防范措施的网络上的计算机，为网络之间的通信提供了他的阻塞点。假如也没堡垒主机，网络之间将还是相互访问。

堡垒主机是指假如直接面对外部用户攻击的主机系统，在防火墙体系结构中，堡垒主机要总体高度暴露，是网络上最容易遭受非法入侵的设备。

假如防火墙设计者和管理物业人员也能致力于堡垒主机的安全，都在在运行期间对堡垒主机的安全要关爱和特别的注意。

一般来说，堡垒主机上提供的服务越少越好，而是每增加一种服务就增加了被攻击的假如性。

双重宿主主机

双重宿主主机是指至少拥有这个以上网络接口且每个网络接口连接不同的网络的计算机系统，也没也称为多穴主机系统。

一般来说，双重宿主主机是实现多个网络之间互连的关键设备，如网桥是在数据链路层实现互连的双重宿主主机，路由器是在网络层实现互连的双重宿主主机，应用层网关是在应用层实现互连。

1. 双宿主主机体系结构

双宿主主机（Dual-Homed Host）体系结构如图5-16所示。

双宿主主机位于内部网和Internet之间，一般来说，是用一台装有两块网卡的堡垒主机做防火墙。

这两块网卡各自与受保护网和外部网相连，分别属于内外这个不同的网段。

堡垒主机上运行着防火墙软件，也能转发应用程序，提供服务等。

双宿主机网关堡垒主机的系统软件可用于维护系统日志。

双宿主主机这种体系结构非常简单，一般通过代理（Proxy）来实现，假如通过用户直接登录到该主机来提供服务。

双宿主主机体系结构的特点

防火墙主体是带有内部网络和外部网络接口主机系统，双宿主主机具备成为内部网络和外部网络之间路由器的条件。好在，在内部网络与外部网络之间，数据包转发进程是被禁止运行的。

为了达到防火墙的基本效果，在双宿主主机系统中，任何路由功能是禁止的。双宿主主机采用应用代理防火墙技术，内部网络用户通过客户端代理软件访问外部网络资源，假如直接登录双宿主主机成为他的用户，利用该主机直接访问外部资源。

双宿主主机体系结构的优点

网络结构比较简单，是也没内、外网络之间也没直接的数据交互而较为安全；内部用户账号也能有效控制外部资源；是也没应用代理机制的采用方便地形成应用层的数据与信息过滤。

双宿主主机体系结构的缺点

用户也能登录到主机才能访问外部资源，主机资源消耗太大，用户访问外部资源较为复杂；用户机制存在安全隐患，好在内部用户无法借助于该体系结构访问新的服务；假如外部用户入侵双宿主主机，则导致内部网络处于不安全状态。

2. 被屏蔽主机体系结构

被屏蔽主机体系结构是指通过他的单独的路由器和内部网络上的堡垒主机共同构成防火墙，主要通过数据包过滤技术实现内、外网络的隔离和对内网的保护，他的典型的被屏蔽的主机体系结构如图5-17所示。

在被屏蔽主机体系结构中，有两道屏障：一是屏蔽路由器，二是堡垒主机。屏蔽路由器位于网络最边缘，负责与外网实施连接，参与外网的路由计算。

屏蔽路由器仅提供路由和数据包过滤功能，也没屏蔽路由器本身较为安全。是也没屏蔽路由器的存在，堡垒主机他不在是直接与外网互连的双宿主主机，增加了系统的安全性。

堡垒主机位于内部网络，是唯一也能连接到外部网络系统的主机，都在外部用户访问内部网络资源必须经过的主机设备。

堡垒主机通过数据包过滤实现对内部网络的防护，好在仅仅允许通过特定的服务连接。堡垒主机也能提供代理功能，内部用户只能通过应用代理访问外部网络，堡垒主机成为外部用户唯一也能访问的内部主机。

被屏蔽主机体系结构的优点

具有更高的安全特性。是也没屏蔽路由器在堡垒主机之外提供数据包过滤功能，使得堡垒主机要比双宿主主机相对安全，存在漏洞的假如性非常大；同时，堡垒主机的数据包过滤功能限制外部用户只能访问特定主机上的特定服务，在提供服务的同时仍然保证了内部网络的安全。

内部网络用户访问外部网络方便、灵活。在屏蔽路由器和堡垒主机允许的情况下，用户直接访问外部网络。假如屏蔽路由器和堡垒主机不允许，内部用户通过堡垒主机代理服务访问外部资源。在实际应用中，两种方式综合运用，访问不同服务采用不同的方式。

是也没堡垒主机和屏蔽路由器的同时存在，使得堡垒主机也能从部分安全事务中解脱上看，从而也能以更高的效率提供数据包过滤或代理服务。

被屏蔽主机体系结构的缺点

在被屏蔽主机体系结构中，外部用户在被允许的情况下也能访问内部网络，他的就存在着一定的安全隐患；与双宿主主机体系一样，假如用户入侵堡垒主机，而会导致内部网络处于不安全状态；路由器和堡垒主机的过滤规则配置较为复杂，较容易形成错误和漏洞。

3. 被屏蔽子网体系结构

在双宿主主机体系结构和被屏蔽主机体系结构中，主机是最主要的安全缺陷，假如主机被入侵，则整个内部网络都处于威胁之中，为解决这种安全隐患，出现了被屏蔽子网体系结构。

被屏蔽子网体系结构将防火墙的概念扩充至他的由两台路由器包围起来的特殊网络，即周边网络，好在将堡垒主机都置于周边网络中，他的典型的被屏蔽子网体系结构如图5-18所示。

被屏蔽子网体系结构防火墙比较复杂，主要包括四个部件：周边网络、外部路由器、内部路由器和堡垒主机。

周边网络

周边网络是位于不可信外部网络与可信内部网络之间的他的附加网络。周边网络与外部网络、周边网络与内部网络之间通过屏蔽路由器实现逻辑隔离，也没外部用户必须穿越两道屏蔽路由器才能访问内部网络。

一般情况下，外部用户还是访问内部网络，仅也能访问周边网络中的资源，是也没内部用户间通信的数据包不通过屏蔽路由器传递至周边网络，外部用户即使入侵了周边网络中的堡垒主机，也无法监听到内部网络的信息。

外部路由器

外部路由器的主要作用在于保护周边网络和内部网络，是屏蔽子网体系结构的第一道屏障。在其上设置了针对外网用户对周边网络和内部网络访问的过滤规则。

例如，限制外网用户仅能访问周边网络还是访问内部网络，假如仅能访问内部网络中的部分主机。

外部路由器现在滤周边网络内发出的数据包，而是数据包来自于堡垒主机或内部路由器过滤后的内部主机数据包。外部路由器复制内部路由器上的规则，以避免内部路由器失效而造成负面影响。

内部路由器

内部路由器用于隔离周边网络和内部网络，是屏蔽子网体系结构的第二道屏障。在其上设置了针对内部用户对周边网络和外部网络访问的过滤规则。

例如，部分内部网络用户只能访问周边网络还是访问外部网络等。

内部路由器复制了外部路由器上的内网过滤规则，以防止外部路由器过滤功能失效而造成的严重后果。

内部路由器还要限制周边网络的堡垒主机和内部网络之间的访问，减少堡垒主机被入侵后也能影响的内部主机数量和服务的数量。

堡垒主机

在被屏蔽子网结构中，堡垒主机位于周边网络，向外部用户提供WWW、FTP等服务，接受外部网络用户的服务资源访问谓求，同时堡垒主机也向内部网络用户提供DNS、WWW代理、FTP代理等服务，提供内部网络用户访问外部资源的接口。

被屏蔽子网体系结构的优点

外部路由器和内部路由器构成了双层防护体系，入侵者难以突破；

外部用户访问服务资源时无需进入内部网络，在保证服务的情况下提高了内部网络的安全性；

外部路由器和内部路由器过滤规则复制，避免了是也没某台路由器失效产生的安全隐患；

堡垒主机由外部路由器的过滤规则和本机安全机制共同防护，用户只能访问它提供的服务；

即使入侵者通过堡垒主机的服务缺陷控制了堡垒主机，是也没内部路由器将内部网络和周边网络隔离，入侵者无法通过监听周边网络获取内部网络信息。

被屏蔽子网体系结构的缺点

构建被屏蔽子网体系结构的成本较高；被屏蔽子网体系结构的配置较为复杂，容易出现配置错误导致的安全隐患。

@木子雨辰，将一直带给大家信息安全知识，由浅至深、采用体系化结构逐步分享，大家有干嘛建议和问题，也能及留言，多谢大家点击关注、转发、评论，谢谢大家。

大家假如有也能了解安全知识内容需求的也能留言，沟通，愿与大家携手前行。

赞 (0) 打赏

移动互联网时代，每个人都也能是内容生产者和传播者，微信目前有将近7亿的用户量，微信公众平台也能把她们的产品、文化、活动传播到微信，也也能用来引流，效果及佳。假如说今天就教大家微信公…

哎哟喂 2022年11月5日 • 投稿 00 投稿
换货商品属性该是做些什么填（商品属性是干嘛意思）

商品的属性，是他的很神奇的东西，它决定了用户的购买意愿，影响着营销战略的制定，甚至连市场竞争格局都能影响。 ｜01｜ 商品的强属性与弱属性 假如不信，请继续往下看~ 不同属性的商品…

SEO专员 2022年4月28日 00 投稿
大学生创业网站设计（2021年创业项目排行榜）

当今社会大学生创业成了一种普遍现象，在学校里的人也能看到大学生卖水果，在朋友圈里的人也能看到大学生卖护肤品、零食、衣服、生活用品之类的，这好在在给我们赚一些零花钱，也给我们这个人创业…

SEO专员 2021年9月17日 00 投稿
海马体生日券该是做些什么弄(海马体生日券和加修加印也能一起用吗)

海马体生日券那这时针对新人是也没优惠的了，除非是说你在在海马体拍过2次假如是爱好者中等级别以上的用户，才会有88折的优惠。假如，海马体生日券该是做些什么弄？海马体生日券和加修加印也能一起用吗？一起来…

SEO专员 2022年10月1日 00 投稿
赛车本片大全本片（提及飙车的本片有哪些）

春节假期又来啦！碍于最近反复的疫情，好好宅选择外出工作只是对国家最大的贡献！那这时的是说你在做些什么又要面对剧荒了？别担心，车叔为大家收集了几部各具特色的“飙车”主题本片，就算宅选择外出工作，如果在本片…

SEO专员 2022年2月19日 00 投稿
下影线是干嘛意思（长下影线图解）

前两天给大家分享了他的K线基础的视频，大家说视频太长了，希望我能把它分开上看一下。 今天他的就把这个开线的基础形态给大家分开上看一下，分成三期开始讲，今天给大家讲的是27种常见远谈…

SEO专员 2021年9月22日 00 投稿
电子商务是电商运营?（电子商务的发展前景分析）

电子商务是以网络通信技术进行的商务活动。各国政府、学者、企业界人士根据她们所处的地位和对电子商务参与的来看和程度的不同，给出了万千不同的定义。 电子商务即使在各国或不同的领域有不同…

SEO专员 2022年10月7日 00