FreeBSD构建防火墙

来源：作者：出处：巧巧读书 2007-10-09 进入讨论组

　　然而，也能设计这样一种代理服务器，它接收Internet上任意（或受限）主机的访问，而将代理这些访问请求访问内部的服务器，这种代理服务器称为反向代理服务器。

　　在不同类型的防火墙之间进行选择主要依赖于不同的需要，一般的情况下，内部网络的使用希望防御外部网络上的入侵者，但又希望能够最大可能的使用各种网络应用程序来访问Internet，而同时也希望系统配置比较简单，这样直接利用FreeBSD提供的ipfw/natd或ipfilter均能满足这种要求，网络地址转换类型的防火墙配置简洁、性能更高，并且对应用程序的支持相当强。

　　有些网络内部计算机的使用比较混乱，因此希望针对用户进行认证控制，此后才允许用户能访问Internet，并还希望能限制用户使用访问Internet的应用种类，进行更复杂的日志记录，这些情况下就应该选用应用层代理服务器fwtk。极端的情况下，只打算对内部用户提供有限种类的Internet服务，那么设置一个专用的应用代理服务器也就满足要求了，例如设置squid代理WWW访问。

　　然而，在FreeBSD上构建防火墙系统是通过系统提供的各种组件进行组合得到的，采取多种组件进行组合，就能构建更复杂的系统。可以根据不同需要，同时利用包过滤、网络地址转换及各种不同应用层代理等多种形式，设置不同复杂程度的防火墙系统，这就是FreeBSD系统的优势。但在这些情况下，由于FreeBSD提供的这些组件并不是单一软件，而是相互独立的多个软件，因此要设置一个完整的防火墙系统，还需要使用者进行复杂的设置。或者还需要管理员使用一些简单的脚本程序以辅助分析系统日志，发送警报，甚至对网络状态进行实时监控，通过迅速改变防火墙设置来保护内部网络系统。

　　通过分析防火墙的日志记录，甚至监控通过防火墙的数据流模式，就可以寻找发生过或正在进行的系统入侵行为（通常可能是服务阻塞、暴力攻击甚至更复杂的特定攻击模式），进而反馈回防火墙系统，以重新调整设置，增强系统安全性。