【正文】 如果一旦黑客侵入堡壘主機(jī)并使其具有路由功能，防火墻將變得無用。 應(yīng)用層網(wǎng)關(guān)的協(xié)議棧結(jié)構(gòu) HTTP FTP Tel Smtp 傳輸層 網(wǎng)絡(luò)層 鏈路層 應(yīng)用層網(wǎng)關(guān)的優(yōu)缺點(diǎn) ? 優(yōu)點(diǎn) ? 允許用戶“直接”訪問 Inter； ? 易于記錄日志； ? 缺點(diǎn) ? 新的服務(wù)不能及時(shí)地被代理 ? 每個(gè)被代理的服務(wù)都要求專門的代理軟件 ? 客戶軟件需要修改，重新編譯或者配置 ? 有些服務(wù)要求建立直接連接，無法使用代理 ?比如聊天服務(wù)、或者即時(shí)消息服務(wù) ? 代理服務(wù)不能避免協(xié)議本身的缺陷或者限制 應(yīng)用層網(wǎng)關(guān)實(shí)現(xiàn) ? 編寫代理軟件 ? 代理軟件一方面是服務(wù)器軟件 ? 但是它所提供的服務(wù)可以是簡單的轉(zhuǎn)發(fā)功能 ? 另一方面也是客戶軟件 ? 對于外面真正的服務(wù)器來說，是客戶軟件 ? 針對每一個(gè)服務(wù)都需要編寫模塊或者單獨(dú)的程序 ? 實(shí)現(xiàn)一個(gè)標(biāo)準(zhǔn)的框架，以容納各種不同類型的服務(wù) ? 軟件實(shí)現(xiàn)的可擴(kuò)展性和可重用性 ? 客戶軟件 ? 軟件需要定制或者改寫 ? 對于最終用戶的透明性？ ? 協(xié)議對于應(yīng)用層網(wǎng)關(guān)的處理 ? 協(xié)議設(shè)計(jì)時(shí)考慮到中間代理的存在，特別是在考慮安全性，比如數(shù)據(jù)完整性的時(shí)候 電路層網(wǎng)關(guān) ? 電路層網(wǎng)關(guān)是一個(gè)通用代理服務(wù)器，工作 TCP/IP協(xié)議的 TCP層 ? 將所有跨越防火墻的網(wǎng)絡(luò)通信分為兩段 ? 建立兩個(gè) TCP連接，一個(gè)是內(nèi)主機(jī)與防火墻，另一個(gè)是防火墻與外主機(jī) ? 電路層網(wǎng)關(guān)只是在內(nèi)部連接和外部連接之間來回拷貝字節(jié)，并不進(jìn)行任何附加的包處理或過濾 ? 通過電路層網(wǎng)關(guān)傳遞的數(shù)據(jù)似乎起源于網(wǎng)關(guān)，隱藏了被保護(hù)網(wǎng)絡(luò)的信息 ? 電路層網(wǎng)關(guān)常用于向外連接，對于要訪問互聯(lián)網(wǎng)服務(wù)的內(nèi)部用戶來說使用起來很方便 電路層網(wǎng)關(guān)示意圖 ?不允許外部網(wǎng)與內(nèi)部網(wǎng)的直接通信 ?在網(wǎng)絡(luò)的傳輸層上實(shí)施訪問策略：防火墻建立兩個(gè) TCP連接，一個(gè)是內(nèi)主機(jī)與防火墻，另一個(gè)是防火墻與外主機(jī) ?連接似乎是起源于防火墻，從而隱藏了受保護(hù)網(wǎng)絡(luò)的有關(guān)信息 電路層網(wǎng)關(guān)的特點(diǎn) ? 拓?fù)浣Y(jié)構(gòu)同應(yīng)用程序網(wǎng)關(guān)相同 ? 接收客戶端連接請求代理客戶端完成網(wǎng)絡(luò)連接 ? 在客戶和服務(wù)器間 中轉(zhuǎn) 數(shù)據(jù) ? 通用性強(qiáng) 電路層網(wǎng)關(guān)實(shí)現(xiàn)方式 ? 簡單重定向 ? 根據(jù)客戶的地址及所請求端口將該連接重定向到指定的服務(wù)器地址及端口上 ? 對客戶端應(yīng)用完全透明 ? 在轉(zhuǎn)發(fā)前同客戶端交換連接信息 ? 需對客戶端應(yīng)用作適當(dāng)修改 電路層網(wǎng)關(guān)的優(yōu)缺點(diǎn) ? 優(yōu)點(diǎn) ? 效率高 ? 精細(xì)控制，可以在應(yīng)用層上授權(quán) ? 為一