防火墻的透明模式和透明代理

隨著(zhù)防火墻技術(shù)的發(fā)展，安全性高、操作簡(jiǎn)便、界面友好的防火墻逐漸成為市場(chǎng)熱點(diǎn)。在這種情況下，可以大大簡(jiǎn)化防火墻設置、提高安全性能的透明模式和透明代理就成為衡量產(chǎn)品性能的重要指標。于是在推薦產(chǎn)品的過(guò)程中，很多廠(chǎng)商往往會(huì )介紹自己的產(chǎn)品實(shí)現了透明模式和透明代理。那么究竟什么是透明模式和透明代理呢?他們之間又有何關(guān)系呢?下面我們將做具體分析。

　　透明模式，顧名思義，首要的特點(diǎn)就是對用戶(hù)是透明的(Transparent)，即用戶(hù)意識不到防火墻的存在。要想實(shí)現透明模式，防火墻必須在沒(méi)有IP地址的情況下工作，不需要對其設置IP地址，用戶(hù)也不知道防火墻的IP地址。防火墻作為實(shí)際存在的物理設備，其本身也起到路由的作用，所以在為用戶(hù)安裝防火墻時(shí)，就需要考慮如何改動(dòng)其原有的網(wǎng)絡(luò )拓撲結構或修改連接防火墻的路由表，以適應用戶(hù)的實(shí)際需要，這樣就增加了工作的復雜程度和難度。但如果防火墻采用了透明模式，即采用無(wú)IP方式運行，用戶(hù)將不必重新設定和修改路由，防火墻就可以直接安裝和放置到網(wǎng)絡(luò )中使用，如交換機一樣不需要設置IP地址。

　　透明模式的防火墻就好象是一臺網(wǎng)橋(非透明的防火墻好象一臺路由器)，網(wǎng)絡(luò )設備(包括主機、路由器、工作站等)和所有計算機的設置(包括IP地址和網(wǎng)關(guān))無(wú)須改變，同時(shí)解析所有通過(guò)它的數據包，既增加了網(wǎng)絡(luò )的安全性，又降低了用戶(hù)管理的復雜程度。

　　而與透明模式在稱(chēng)呼上相似的透明代理，和傳統代理一樣，可以比包過(guò)濾更深層次地檢查數據信息，比如FTP包的port命令等。同時(shí)它也是一個(gè)非?？斓拇?，從物理上分離了連接，這可以提供更復雜的協(xié)議需要，例如帶動(dòng)態(tài)端口分配的H.323，或者一個(gè)帶有不同命令端口和數據端口的連接。這樣的通信是包過(guò)濾所無(wú)法完成的。

　　防火墻使用透明代理技術(shù)，這些代理服務(wù)對用戶(hù)也是透明的，用戶(hù)意識不到防火墻的存在，便可完成內外網(wǎng)絡(luò )的通訊。當內部用戶(hù)需要使用透明代理訪(fǎng)問(wèn)外部資源時(shí)，用戶(hù)不需要進(jìn)行設置，代理服務(wù)器會(huì )建立透明的通道，讓用戶(hù)直接與外界通信，這樣極大地方便了用戶(hù)的使用。

　　一般使用代理服務(wù)器時(shí)，每個(gè)用戶(hù)需要在客戶(hù)端程序中指明要使用代理，自行設置Proxy參數(如在瀏覽器中有專(zhuān)門(mén)的設置來(lái)指明HTTP或FTP等的代理)。而透明代理服務(wù)，用戶(hù)不需要任何設置就可以使用代理服務(wù)器，簡(jiǎn)化了網(wǎng)絡(luò )的設置過(guò)程。

　　透明代理的原理如下:假設A為內部網(wǎng)絡(luò )客戶(hù)機，B為外部網(wǎng)絡(luò )服務(wù)器，C為防火墻。當A對B有連接請求時(shí)，TCP連接請求被防火墻截取并加以監控。截取后當發(fā)現連接需要使用代理服務(wù)器時(shí)，A和C之間首先建立連接，然后防火墻建立相應的代理服務(wù)通道與目標B建立連接，由此通過(guò)代理服務(wù)器建立A 和目標地址B的數據傳輸途徑。從用戶(hù)的角度看，A和B的連接是直接的，而實(shí)際上A 是通過(guò)代理服務(wù)器C和B建立連接的。反之，當B對A有連接請求時(shí)原理相同。由于這些連接過(guò)程是自動(dòng)的，不需要客戶(hù)端手工配置代理服務(wù)器，甚至用戶(hù)根本不知道代理服務(wù)器的存在，因而對用戶(hù)來(lái)說(shuō)是透明的。

　　代理服務(wù)器可以做到內外地址的轉換，屏蔽內部網(wǎng)的細節，使非法分子無(wú)法探知內部結構。代理服務(wù)器提供特殊的篩選命令，可以禁止用戶(hù)使用容易造成攻擊的不安全的命令，從根本上抵御攻擊。

　　防火墻使用透明代理技術(shù)，還可以使防火墻的服務(wù)端口無(wú)法探測到，也就無(wú)法對防火墻進(jìn)行攻擊，大大提高了防火墻的安全性與抗攻擊性。透明代理避免了設置或使用中可能出現的錯誤，降低了防火墻使用時(shí)固有的安全風(fēng)險和出錯概率，方便用戶(hù)使用。

　　因此，透明代理與透明模式都可以簡(jiǎn)化防火墻的設置，提高系統安全性。但兩者之間也有本質(zhì)的區別:工作于透明模式的防火墻使用了透明代理的技術(shù)，但透明代理并不是透明模式的全部，防火墻在非透明模式中也可以使用透明代理。值得注意的是，雖然國內市場(chǎng)上很多防火墻產(chǎn)品都可提供透明代理訪(fǎng)問(wèn)機制，但真正實(shí)現透明模式的卻不多——有很多廠(chǎng)商都宣稱(chēng)自己的防火墻產(chǎn)品實(shí)現了透明模式，但在實(shí)際應用中，他們往往做不到這一點(diǎn)，而只是實(shí)現了透明代理。