第七章 防火墙和网络地址转换
防火墙为网络管理员提供了一种机制,限制那些可能对终端系统有害的信息流动。主要有两种类型的防火墙:包过滤防火墙和代理防火墙。包过滤防火墙可进一步划分为有状态的和无状态的,它们通常作为 IP 路由器。有状态的防火墙更加复杂,能够支持更广泛的应用层协议。代理防火墙通常作为一种形式的应用层网关。对于这些防火墙,每个应用层服务在防火墙上必须有自己的代理处理程序,这些处理程序可以修改通过的流量,甚至是其中的数据部分。如 SOCKS 这类协议以标准化的方式支持代理防火墙。
NAT 是一种机制,使得大量的终端主机可以共享一个或多个全局路由的 IP 地址。NAT 被广泛应用于上述目的,但也可以和防火墙规则结合形成一个 NAT/防火墙组合。在这种流行的配置中,位于 NAT “背后” 的主机允许发送流量到全球互联网,但是仅允许针对传出流量的响应流量通过 NAT 返回。这为位于 NAT “背后” 采用端口转发处理的服务提出了一个小问题,如何允许目的地是 NAT 内开启了服务的主机的传入流量通过。通过在两个地址空间之间转换地址,NAT 也被提出用于协助从 IPv4 过渡到 IPv6。此外,NAT也正被考虑用于 ISP 内部,以进一步喊轻 IPv4地址耗尽的压力。如果这个大规模的发生,普通用户想在他们家庭网络中为 Internet 提供服务将变得更为困难。
防火墙和 NAT 可能需要配置。基本设置足够许多家庭用户使