【正文】 print Net、MCI、UUNet、AGIS和EUNet之類的國家級ISP向長途通信公司用線路，用來連接各個pop（Points of Presence）上的路由器。然后，本地ISP向國家級ISP購買連接。國家級ISP擁有到NAP（Network Access Points ）的連接，在NAP上，他們對路徑和通信量進行交換。正如你所見到的，事實上，Internet主干正是由各國家級的ISP擁有的主干在各NAP上匯集而成的。2．Intranet連入Internet的主要方式。⑴ DDN專線DDN是數(shù)字數(shù)據(jù)網(wǎng)的簡稱（Digital Data Network）它是利用光纖、數(shù)字微波或衛(wèi)星數(shù)字傳輸通道和數(shù)字交叉復(fù)用設(shè)備組成的，為用戶提供高質(zhì)量的數(shù)據(jù)傳輸通道．傳輸各種的數(shù)據(jù)業(yè)務(wù)。DDN方式入網(wǎng)是指用戶與Internet接入服務(wù)提供者之間的物理實踐相連接傳輸數(shù)字數(shù)據(jù)，其傳輸率可達64K/S至2M，通過租用電信或ISP的DDN高速專線通路由器與Internet接入網(wǎng)相連，將局域網(wǎng)整體接入Internet，成為其結(jié)點之一。主要優(yōu)點是：靈活性強，信息量不受限制，可構(gòu)建E—mail、new、FIP等其他服務(wù)。但費用較高，根據(jù)所租用專線的帶寬，相關(guān)設(shè)備選型從幾萬元到幾百萬元不等。特點：．傳輸質(zhì)量高，時延小，通信速率可根據(jù)用戶需要任意選擇。．路在自動迂回，保證電路的高可用率．全透明傳輸，可支持數(shù)據(jù)、圖像、話音等多媒體業(yè)務(wù)．方便組建虛擬網(wǎng)（VAP），建立網(wǎng)管中心．可根據(jù)需要選擇不同的業(yè)務(wù)功能。⑵ 主機托管主機托管需要自己購買一臺服務(wù)器，置于ISP代理機房中，通過電信局的通信線路對外發(fā)布信息。優(yōu)點是投資小于專線上網(wǎng)，空間同樣不受限制，亦可建立E－mall、news、ISP等應(yīng)用，但對于需要大量修改內(nèi)容的站點來說比較麻煩。除了購置服務(wù)器外，還需要交納一定的代繼費和數(shù)據(jù)流量費，該費用根據(jù)ISP的不同有所浮動。⑶ 虛擬主機。虛擬主機是目前應(yīng)用最為廣泛的一項業(yè)務(wù)，它運用了以一個服務(wù)器對應(yīng)多個域名的技術(shù)因此若干個公司的同站內(nèi)容放置在一臺服務(wù)器上，而對于訪問者來說，只需要輸入公司的城名即和訪問該公司的網(wǎng)頁，就象一臺獨立的主機。故稱為“虛擬主機”。到這里，我們己建立了完善的企業(yè)內(nèi)部網(wǎng)并實現(xiàn)了與Internet的連接，已為建立一個好的電子商務(wù)系統(tǒng)打下了良好的基礎(chǔ)。在這個基礎(chǔ)上，再增加電子商務(wù)應(yīng)用系統(tǒng)，就可以實現(xiàn)電子商務(wù)的功能。 防火墻構(gòu)成概述 防火墻簡介為了實現(xiàn)企業(yè)與企業(yè)之間、企業(yè)與用戶之間的連接，企業(yè)內(nèi)部網(wǎng)（Intranet）必須與互聯(lián)網(wǎng)進行連接，但連接后，會產(chǎn)生安全性問題。所以在企業(yè)內(nèi)部網(wǎng)（Intranet）與互聯(lián)網(wǎng)連接時，必須采用一些全安全措施或具有安全功能的設(shè)備，這就是所謂的防火墻。防火墻是在Intranet和Internet之間構(gòu)筑的一道屏障，它是在內(nèi)外有別、需要在區(qū)分處置的條件隔離設(shè)備，用以保護Intranet和Internet之間的所有數(shù)據(jù)流量，控制和防止Intranet中的有價值數(shù)據(jù)流入Internet，也控制和防止Internet中的無用及有害數(shù)據(jù)流入Intranet。在與Internet一類網(wǎng)連接時，防火墻是保護區(qū)網(wǎng)或Intranet中信息系統(tǒng)安全保密的重要技術(shù)。防火墻是在專用網(wǎng)（如Intranet）和Intranet設(shè)置的安全系統(tǒng)，可以提供接入控制，它可以干預(yù)這兩個網(wǎng)之間的任何信息傳遞。根據(jù)防火墻的結(jié)構(gòu)它可以決定一個數(shù)據(jù)組或一種連接是否通過它。參看圖8–4圖84防火墻設(shè)計需要滿足的以下基本原則（1）由內(nèi)到外或由外到內(nèi)的業(yè)務(wù)流均經(jīng)過防火墻；（2）只允許本地安全政策認可的業(yè)務(wù)流通過防火墻，對于任何一個數(shù)據(jù)組。當不能明確是否允許通過時就拒絕通過，只讓真正合法的數(shù)據(jù)通過。（3）盡可能控制外部用戶訪問內(nèi)域網(wǎng)，應(yīng)當嚴格限制外部人進入內(nèi)域網(wǎng)中。如果有些文件要向Internet同用戶開放則最好將這些放在防火墻之外；（4）具有足夠的透明性，保證正常流通（5）具有機穿透攻擊能力、強化記錄、審計和告警。 防火墻組成防火墻主要包括安全操作系統(tǒng)、過濾器、同關(guān)、域名服務(wù)和處理5部分，如圖85所示。有的防火墻可能在網(wǎng)關(guān)兩側(cè)設(shè)置兩個內(nèi)外過濾器器保護網(wǎng)關(guān)不受攻擊，網(wǎng)關(guān)提供中繼服務(wù)，輔助過濾器控制業(yè)務(wù)流。而內(nèi)過濾器在網(wǎng)關(guān)被攻破后提供內(nèi)部網(wǎng)絡(luò)的保護。防火墻本身必須建立在安全操作系統(tǒng)所提供的安全環(huán)境中、安全操作系統(tǒng)可以保護防火墻的代碼和文件免遭入侵者攻擊。這些防火場的代碼只允許在給定主機系統(tǒng)上執(zhí)行。這種限制可以減少非法穿越防火場的可能性。具有防火墻的主機在Internet界面稱之為堡壘式計算機，它可暴露在Internet中，抗擊來自黑客的直接攻擊。圖85 防火墻組成防火墻的主要目的是控制數(shù)據(jù)組，只允許合法流通過。它內(nèi)域網(wǎng)和Internet之間傳遞的每一數(shù)據(jù)組進行干預(yù)。過濾器則執(zhí)行由防火墻管理機構(gòu)制訂的一組規(guī)則，檢驗各種數(shù)據(jù)組決定是否允許放行。這些規(guī)則按IP地址、端口號碼和各類應(yīng)用等參數(shù)確定。單純靠IP地址的過濾規(guī)則是不安全的，因為一個主機可以用改變IP原地址來蒙混過關(guān)。應(yīng)用網(wǎng)關(guān)可以在TCP/IP應(yīng)用級上控制信息流和認證用戶。應(yīng)用網(wǎng)關(guān)的功能常常由代理服務(wù)器提供。在內(nèi)域網(wǎng)中的一個用戶聯(lián)機到一個代理服務(wù)器，代理服務(wù)器對用戶認證。而后使用戶和Internet中遠端服務(wù)器聯(lián)機。類似地，所有Internet到內(nèi)域網(wǎng)的通信數(shù)據(jù)先由代理服務(wù)器接收、分析并適當?shù)剡f送給用戶。由于代理服務(wù)器在應(yīng)用級上運行，因此，對每一種應(yīng)用都要求一個分離的代理服務(wù)器，網(wǎng)內(nèi)外代理服務(wù)器都要彼此相互認證，以防止未授權(quán)用戶進出內(nèi)域網(wǎng)。為了進一步提高安全性，企業(yè)往往還會在防火墻外建立獨立的WEB服務(wù)器和郵件服務(wù)器供企業(yè)外部訪問用，同時在防火墻與企業(yè)內(nèi)部網(wǎng)（Intranet）之間一般會有一臺代理服務(wù)器，代理服務(wù)器的功能有兩個，一是安全功能，即通過代理服務(wù)器，可以屏蔽企業(yè)內(nèi)部網(wǎng)內(nèi)服務(wù)器或PC，當一臺PC訪問互聯(lián)網(wǎng)，它先訪問代理服務(wù)器，然后代理服務(wù)器再訪問互聯(lián)網(wǎng)；二是緩沖功能，代理服務(wù)器可以設(shè)在經(jīng)常訪問的互聯(lián)網(wǎng)上的信息，當PC即訪問互聯(lián)網(wǎng)時，如果被訪問的信息存放在代理服務(wù)器中，那么代理服務(wù)器將把信息直接送到PC機上；省去對互聯(lián)網(wǎng)的再一次訪問，可以節(jié)省費用。防火墻分布如圖86所示圖86 防火墻分布結(jié)構(gòu)習題88．18．28．38．48．58．68．78．88．9參考文獻1．《商業(yè)網(wǎng)站設(shè)計指南》（美 Kim and Bard Hampton 著），劉征宇、蓋利民、程琰譯，浙江科學技術(shù)出版社，1999年第一版。2．《internet/intranet網(wǎng)絡(luò)安全結(jié)構(gòu)設(shè)計》啟明星辰公司，許錦波、嚴望佳編著，清華大學出版社，1999年2月第一版。14 /