使用反向代理技术保护Web服务器

核心提示： 这种方式对内部网络的保护能力，要小于双层防火墙软件，使用反向代理技术保护Web服务器(4)，等于普通的单层防火墙软件，而其对Web服务器的保护却大于双层防火墙系统中对位于对停火区内的Web服务器的保护，反向代理方式是一种对外提供Web发布时使用的有效的防 火墙技术，使用它和传统防火墙技术相

这种方式对内部网络的保护能力，要小于双层防火墙软件，等于普通的单层防火墙软件，而其对Web服务器的保护却大于双层防火墙系统中对位于对停火区内的Web服务器的保护。然而其本身为单层系统，因此比双层系统配置起来更方便，是一种简单有效的方案。其中反向代理功能能够提供丰富的连接记录，可以用来提供预防和捕获攻击的能力，而包过滤和网络地址翻译可以让内部网络的主机可以使用多种协议访问外部网络，不需要考虑防火墙对应用协议的支持问题。这种方式适用于大多数Intranet系统。

三、讨论

当需要对内部网络提供更进一步的保护时，仍然可以使用双层防火墙模式，这样兼具反向代理对Web服务器的保护能力，和双层防火墙对内部数据的更大的保护能力。当组织向外提供信息发布的时候，并不仅仅要提供一些静态的网页，更大的可能是要根据实际的数据动态发布信息。因此发布的网页便需要通过访问数据库动态生成，通常使用的动态生成技术有CGI或服务器端文档解析等方式生成的。然而无论那种方式，都需要使得Web服务器能够和数据库服务器进行连接、通信。然而系统数据库应该是内部网络中应该首要保护的系统，因此要求安全性要求不高的对外发布信息的Web服务器和内部数据库服务器放置在同一个 网段，就会造成相应的安全问题。

为了提高访问数据库服务器的安全性，就需要对能够访问数据库的CGI程序进行限制，这就要求对启动CGI的URL请求比对普通url进行更严格的限制。与普通包过滤型防火墙不同，反向代理能够理解http协议，能区分出不同的url请求，从而能够实现对cgi请求比普通http请求更严格的控制，甚至可以将cgi请求发送到一台专用的CGI服务器进行处理，从而分别处理普通url请求和cgi请求。这台cgi服务器可以具有访问数据库的能力，保证数据库的安全。总结本文中的论述，可以看出，反向代理方式是一种对外提供Web发布时使用的有效的防 火墙技术，使用它和传统防火墙技术相结合，就能实现简单有效的防火墙系统。