1.橋接模式
橋接模式也可以稱為透明模式。最簡單的網(wǎng)絡(luò)由位于同一網(wǎng)段的客戶端和服務(wù)器組成。為了安全起見，在客戶端和服務(wù)器之間添加了一個防火墻設(shè)備來控制通過的流量的安全性。正常的客戶端請求通過防火墻傳遞給服務(wù)器，服務(wù)器將響應(yīng)返回給客戶端，用戶不會感覺到中間設(shè)備的存在。在橋接模式下工作的防火墻沒有IP地址。在擴(kuò)展網(wǎng)絡(luò)時，不需要重新規(guī)劃網(wǎng)絡(luò)地址，而是犧牲了路由、VPN等功能。
2.網(wǎng)關(guān)模式
網(wǎng)關(guān)模式適用于內(nèi)外網(wǎng)不在同一個網(wǎng)段的情況。防火墻設(shè)置網(wǎng)關(guān)地址，實現(xiàn)路由器的功能，對不同網(wǎng)段進(jìn)行路由轉(zhuǎn)發(fā)。與橋接模式相比，網(wǎng)關(guān)模式具有更高的安全性，在執(zhí)行訪問控制的同時實現(xiàn)安全隔離，并具有一定的私密性。
3.NAT模式
NAT(Network Address Translation)地址轉(zhuǎn)換技術(shù)利用防火墻對內(nèi)網(wǎng)的IP地址進(jìn)行轉(zhuǎn)換，利用防火墻的IP地址代替內(nèi)網(wǎng)的源地址向外網(wǎng)發(fā)送數(shù)據(jù)。當(dāng)外部網(wǎng)絡(luò)的響應(yīng)數(shù)據(jù)流量返回防火墻時，防火墻會用內(nèi)部網(wǎng)絡(luò)的源地址替換目的地址。NAT模式可以實現(xiàn)內(nèi)網(wǎng)的IP地址不能被外網(wǎng)直接看到，進(jìn)一步增強(qiáng)了內(nèi)網(wǎng)的安全防護(hù)。同時，在NAT模式網(wǎng)絡(luò)中，內(nèi)部網(wǎng)絡(luò)可以使用私有網(wǎng)絡(luò)地址，可以解決IP地址數(shù)量有限的問題。
如果外部網(wǎng)絡(luò)需要基于NAT模式訪問內(nèi)部網(wǎng)絡(luò)服務(wù)，也可以使用地址/端口映射技術(shù)在防火墻上配置地址/端口映射。當(dāng)外部網(wǎng)絡(luò)用戶需要訪問內(nèi)部服務(wù)時，防火墻會將請求映射到內(nèi)部服務(wù)器。當(dāng)內(nèi)部服務(wù)器返回相應(yīng)的數(shù)據(jù)時，防火墻將數(shù)據(jù)轉(zhuǎn)發(fā)到外部網(wǎng)絡(luò)。使用地址/端口映射技術(shù)，外部用戶可以訪問內(nèi)部服務(wù)，但是外部用戶看不到內(nèi)部服務(wù)器的真實地址，只能看到防火墻的地址，增強(qiáng)了內(nèi)部服務(wù)器的安全性。
防火墻部署在網(wǎng)絡(luò)的入口和出口，是網(wǎng)絡(luò)通信的網(wǎng)關(guān)，這就要求防火墻的部署必須具有很高的可靠性。一般IT設(shè)備的使用壽命設(shè)計為3-5年。當(dāng)單點設(shè)備發(fā)生故障時，為了通過冗余技術(shù)實現(xiàn)可靠性，可以通過虛擬路由冗余協(xié)議(VRRP)等技術(shù)實現(xiàn)主動和備用冗余。目前主流網(wǎng)絡(luò)設(shè)備支持高可靠性設(shè)計。有不懂的請咨詢夢飛服務(wù)器了解。
