【正文】 屏蔽主機(jī)結(jié)構(gòu)需要配備一臺(tái)堡壘主機(jī)和一個(gè)有過濾功能的屏蔽路由器，如圖 53所示，屏蔽路由器連接外部網(wǎng)絡(luò)，堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上。 它適用于多個(gè)協(xié)議 ， 但無法解釋應(yīng)用協(xié)議 ， 需要通過其他方式來獲得信息 。 代理服務(wù)器的基本工作過程是：當(dāng)客戶機(jī)需要使用外網(wǎng)服務(wù)器上的數(shù)據(jù)時(shí) ， 首先將請(qǐng)求發(fā)給代理服務(wù)器 ， 代理服務(wù)器再根據(jù)這一請(qǐng)求向服務(wù)器索取數(shù)據(jù) ， 然后再由代理服務(wù)器將數(shù)據(jù)傳輸給客戶機(jī) 。 包過濾防火墻一般由屏蔽路由器 （ Screening Router， 也稱為過濾路由器 ） 來實(shí)現(xiàn) ， 這種路由器是在普通路由器基礎(chǔ)上加入 IP過濾功能而實(shí)現(xiàn)的 ，這是防火墻最基本的構(gòu)件 。 因此 ， 每一個(gè)不信任或有潛在危害的服務(wù)和應(yīng)用程序都應(yīng)該逐個(gè)拒絕 。 防火墻及相關(guān)概念 216。 這是一個(gè)最安全的方法 ， 但從用戶的角度來看 ，這樣可能會(huì)有很多限制 ， 不是很方便 。 同樣的道理 ， 代理服務(wù)器在外網(wǎng)向內(nèi)網(wǎng)申請(qǐng)服務(wù)時(shí)也發(fā)揮了中間轉(zhuǎn)接的作用 。 此外 ， 單純由屏蔽路由器構(gòu)成的防火墻并不十分安全 ，危險(xiǎn)地帶包括路由器本身及路由器允許訪問的主機(jī) ，一旦屏蔽路由器被攻陷就會(huì)對(duì)整個(gè)網(wǎng)絡(luò)產(chǎn)生威脅 。 （ 2） 電路層代理 （ Circuit Proxy） 也稱為電路級(jí)代理服務(wù)器 。 2．集成化管理 3．分布式體系結(jié)構(gòu) 防火墻體系結(jié)構(gòu) （ 1） 雙重宿主主機(jī)結(jié)構(gòu)； （ 2） 被屏蔽主機(jī)結(jié)構(gòu)； （ 3） 被屏蔽子網(wǎng)結(jié)構(gòu) 。 內(nèi)部網(wǎng)堡壘主機(jī)工作站 工作站 工作站Int erne t. . . . . .路由器防火墻 屏蔽子網(wǎng)結(jié)構(gòu) 屏蔽子網(wǎng)結(jié)構(gòu)它是在屏蔽主機(jī)結(jié)構(gòu)的基礎(chǔ)上添加額外的安全層 ， 即通過添加周邊網(wǎng)絡(luò) （ 即屏蔽子網(wǎng) ） 更進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔離開 。 對(duì)用戶來說 ， 內(nèi)網(wǎng)與外網(wǎng)的信息交換是透明的 ， 感覺不到防火墻的存在 ， 那是因?yàn)橐蛱鼐W(wǎng)絡(luò)用戶不需要登錄到防火墻上 。 如果代理實(shí)現(xiàn)得好 ， 可以對(duì)配置協(xié)議要求較低 ， 從而避免了配置錯(cuò)誤 。 2. 包過濾防火墻的優(yōu)點(diǎn) 包過濾防火墻具有明顯的優(yōu)點(diǎn)： （ 1） 一個(gè)屏蔽路由器能保護(hù)整個(gè)網(wǎng)絡(luò) 一個(gè)恰當(dāng)配置的屏蔽路由器連接內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò) ，進(jìn)行數(shù)據(jù)包過濾 ， 就可以取得較好的網(wǎng)絡(luò)安全效果 。 防火墻的優(yōu)、缺點(diǎn) 1． 優(yōu)點(diǎn) 防火墻是加強(qiáng)網(wǎng)絡(luò)安全的一種有效手段 ，它有以下優(yōu)點(diǎn)： （ 1） 防火墻能強(qiáng)化安全策略 （ 2） 防火墻能有效地記錄 Inter上的活動(dòng) （ 3） 防火墻是一個(gè)安全策略的檢查站 2． 缺點(diǎn) （ 1） 不能防范惡意的內(nèi)部用戶 防火墻可以禁止