解读网络防火墙

核心提示： 8．什么是“单故障点”？应当如何避免出现这种故障？安全性取决于一种机制的结构具有单故障点，运行桥头堡主机的软件存在错误，解读网络防火墙(7)，应用程序存在错误，控制路由器的软件存在错误，你只需关注特定产品和服务存在的各种安全问题，在启动一项服务之前，使用所有这些组件

8．什么是“单故障点”？应当如何避免出现这种故障？

安全性取决于一种机制的结构具有单故障点。运行桥头堡主机的软件存在错误。应用程序存在错误。控制路由器的软件存在错误。使用所有这些组件建造设计安全的网络，并以冗余的方式使用它们才有意义。

如果你的防火墙结构是屏蔽子网，那么，你有两台包过滤路由器和一台桥头堡主机。（参见本节的问题2）Internet访问路由器不允许传输流从Internet进入你的专用网络。然而，如果你不在桥头堡主机以及（或）阻塞（choke）路由器上与其它任何机制一道执行这个规则（rule）的话，那么只要这种结构中的一个组件出现故障或遭到破坏就会使攻击者进入防火墙内部。另一方面，如果你在桥头堡主机上具有冗余规则，并在阻塞路由器上也有冗余规则，那么攻击者必须对付三种机制。

此外，如果这台桥头堡主机或阻塞路由器使用规则来拦阻外部访问进入内部网络的话，你可能需要让它触发某种报警，因为你知道有人进入了你的访问路由器。

9．如何才能将所有的恶意的传输拦在外面？

对于重点在于安全而非连接性的防火墙来说，你应当考虑缺省拦阻所有的传输，并且只特别地根据具体情况允许你所需要的服务通过。

如果你将除特定的服务集之外的所有东西都挡在外面，那么你已经使你的任务变得很容易了。你无需再为周围的每样产品和每件服务的各种安全问题担心了，你只需关注特定产品和服务存在的各种安全问题。

在启动一项服务之前，你应当考虑下列问题：

这个产品的协议是人们熟知的公开协议吗？

为这个协议提供服务的应用程序的应用情况是否可供公开检查？

这项服务和产品是否为人们熟知？

使用这项服务会怎样改变防火墙的结构？攻击者会从不同的角度看待这些吗？攻击者能利用这点进入我的内部网络，或者会改变我的DMZ中主机上的东西吗？