屏蔽可以由廠(chǎng)家專(zhuān)門(mén)生產(chǎn)的路由器實(shí)現(xiàn)，也可以用主機(jī)來(lái)實(shí)現(xiàn)。屏蔽路由器作為內(nèi)外連接的惟一通道……
1、屏蔽路由器(ScreeningRouter)
屏蔽路由器可以由廠(chǎng)家專(zhuān)門(mén)生產(chǎn)的路由器實(shí)現(xiàn)，也可以用主機(jī)來(lái)實(shí)現(xiàn)。屏蔽路由器作為內(nèi)外連接的惟一通道，要求所有的報(bào)文都必須在此通過(guò)檢查。路由器上可以安裝基于IP層的報(bào)文，實(shí)現(xiàn)報(bào)文過(guò)濾功能。許多路由器本身帶有報(bào)文過(guò)濾配置選項(xiàng)，但一般比較簡(jiǎn)單。單純由屏蔽路由器構(gòu)成的的危險(xiǎn)包括路由器本身及路由器允許訪(fǎng)問(wèn)的主機(jī)。屏蔽路由器的缺點(diǎn)是一旦被攻隱后很難發(fā)現(xiàn)，而且不能識(shí)別不同的用戶(hù)。
2、雙穴主機(jī)(DualHomedGateway)
雙穴主機(jī)網(wǎng)關(guān)是用一臺(tái)裝有兩塊網(wǎng)卡的堡壘主機(jī)的做防火墻。兩塊網(wǎng)卡各自與受保護(hù)網(wǎng)和外部網(wǎng)相連。堡壘主機(jī)上運(yùn)行著防火墻軟件，可以轉(zhuǎn)發(fā)應(yīng)用程序，提供服務(wù)等。與屏蔽路由器相比，雙穴主機(jī)網(wǎng)關(guān)堡壘主機(jī)的系統(tǒng)軟件可用于維護(hù)護(hù)系統(tǒng)日志、硬件拷貝日志或遠(yuǎn)程日志。但弱點(diǎn)也比較突出，一旦侵入堡壘主機(jī)并使其只具有路由功能，任何網(wǎng)上用戶(hù)均可以隨便訪(fǎng)問(wèn)內(nèi)部網(wǎng)。
3、被屏蔽主機(jī)網(wǎng)關(guān)(ScreenedGatewy)
屏蔽主機(jī)網(wǎng)關(guān)易于實(shí)現(xiàn)也最為安全。一個(gè)堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上，通常在路由器上設(shè)立過(guò)濾規(guī)則，并使這個(gè)堡壘主機(jī)成為從外部網(wǎng)絡(luò)惟一可直接到達(dá)的主機(jī)，這確保了內(nèi)部網(wǎng)絡(luò)不受未被授權(quán)的外部用戶(hù)的攻擊。如果受保護(hù)網(wǎng)是一個(gè)虛擬擴(kuò)展的本地網(wǎng)，即沒(méi)有子網(wǎng)和路由器，那么內(nèi)部網(wǎng)的變化不影響堡壘主機(jī)和屏蔽路由器的配置。危險(xiǎn)帶限制在堡壘主機(jī)和屏蔽路由器。網(wǎng)關(guān)的基本控制策略由安裝在上面的軟件決定。如果攻擊者沒(méi)法登錄到它上面，內(nèi)網(wǎng)中的其余主機(jī)就會(huì)受到很大威脅。這與雙穴主機(jī)網(wǎng)關(guān)受攻擊時(shí)的情形差不多。
4、被屏蔽子網(wǎng)(ScreenedSubnet)
被屏蔽子網(wǎng)就是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個(gè)被隔離的子網(wǎng)，用兩臺(tái)分組過(guò)濾路由器將這一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開(kāi)。在很多實(shí)現(xiàn)中，兩個(gè)分組過(guò)濾路由器放在子網(wǎng)的兩端，在子網(wǎng)內(nèi)構(gòu)成一個(gè)DNS，內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪(fǎng)問(wèn)被屏蔽子網(wǎng)，但禁止它們穿過(guò)被屏蔽子網(wǎng)通信。有的屏蔽子網(wǎng)中還設(shè)有一堡壘主機(jī)作為惟一可訪(fǎng)問(wèn)點(diǎn)，支持終端交互或作為應(yīng)用網(wǎng)關(guān)代理。這種配置的危險(xiǎn)僅包括堡壘主機(jī)、子網(wǎng)主機(jī)及所有連接內(nèi)網(wǎng)、外網(wǎng)和屏蔽子網(wǎng)的路由器。如果攻擊者試圖完全破壞防火墻，他必須重新配置連接三個(gè)網(wǎng)的路由器，既不切斷連接又不要把自己鎖在外面，同時(shí)又不使自己被發(fā)現(xiàn)，這樣也還是可能的。但若禁止網(wǎng)絡(luò)訪(fǎng)問(wèn)路由器或只允許內(nèi)網(wǎng)中的某些主機(jī)訪(fǎng)問(wèn)它，則攻擊會(huì)變得很困難。在這種情況下，攻擊者得先侵入堡壘主機(jī)，然后進(jìn)入內(nèi)網(wǎng)主機(jī)，再返回來(lái)破壞屏蔽路由器，并且整個(gè)過(guò)程中不能引發(fā)警報(bào)。