Экранированный шлюз.

Информационный сервер

Фильтрующий маршрутизатор

Прикладной шлюз

Firewallна основе экранированного шлюза является более гибким решением, чем просто шлюз, однако эта гибкость достигается за счет некоторого понижения уровня безопасности. Firewallна основе экранированного шлюза объединяет фильтрующий маршрутизатор и прикладной шлюз, размещенный со стороны защищаемой подсети. Прикладной шлюз можно также разместить до маршрутизатора со стороны Internetбез ущерба для безопасности. Размещение прикладного шлюза на внешней стороне будет способствовать тому, что именно он будет подвергаться атакам и может служить для их исследования в качестве ложной цели.

Для прикладного шлюза необходим только один сетевой интерфейс. Полномочные службы прикладного шлюза должны обеспечивать сервис TELNET, FTPи других полномочных служб для систем защищаемой сети. Маршрутизатор фильтрует остальные протоколы, не позволяя им достигнуть прикладного шлюза и систем сети. Он запрещает (или разрешает) трафик согласно следующим правилам:

трафик из Internetк прикладному шлюзу разрешен,

весь остальной трафик из Internetзапрещен,

маршрутизатор запрещает любой трафик из сети, кроме исходящего от прикладного шлюза.

В отличие от Firewall,основанного на обычном шлюзе, для прикладного шлюза требуется только один сетевой интерфейс и не требуется отдельной подсети между прикладным шлюзом и маршрутизатором. Это позволяет сделать Firewallболее гибким, но менее безопасным, поскольку существует потенциальная возможность передачи трафика в обход прикладного шлюза непосредственно к системам сети. Службы, не имеющие соответствующих полномочий, можно считать надежными в том смысле, что риск использования этих служб считается допустимым. Например, можно разрешить передавать через маршрутизатор к системам сети службы, подвергающиеся меньшему риску, например NTP.Если системы сети требуют доступа DNSк Internet,то его можно разрешить. В этом случае Firewallможет реализовать обе политики безопасности одновременно, в зависимости от того, какие типы служб доступны системам сети.

При использовании Firewallс экранированным шлюзом возникают две проблемы.

Во-первых, теперь имеются две системы, маршрутизатор и прикладной шлюз, которые нужно тщательно конфигурировать. Как уже отмечалось, правила, которым подчиняется фильтрующий маршрутизатор, могут быть слишком сложными для осуществления конфигурации, трудными для проверки и могут приводить к появлению ошибок и "дыр" в системе защиты. Тем не менее, поскольку маршрутизатор требует разрешения прикладного трафика только для прикладного шлюза, набор правил может быть менее сложным, чем для сети, использующей Firewallтолько с фильтрующим маршрутизатором.

Вторая проблема заключается в том, что гибкость конфигурации допускает возможность нарушения политики безопасности (как это было указано для Firewallс фильтрующим маршрутизатором). Эта проблема более серьезна, чем в случае Firewallс простым шлюзом, поскольку имеется техническая возможность осуществлять трафик в обход шлюза.