FreeBSD构建防火墙(4)

　　为了避免在向外提供服务的服务器被侵入之后，影响内部网络的安全性，就需要将对外提供服务的服务器和只访问外部网络的客户计算机分隔到不同的网络上。可以采用上面的方式，防火墙使用三个网络界面，分别用于外部网络、内部网络和提供服务的服务器。

　　使用单个防火墙的网络，网络安全被一台防火墙的安全所限制，更复杂的情况是同时使用多个防火墙系统。例如使用两个防火墙，第一层防火墙与第二层防火墙之间可以放置允许外部访问的服务器，这个区域被称为停火区，即使入侵者进入这个区域，还需要近一步攻击内部防火墙才能接触内部网络。

　　如果这两个防火墙使用不同的技术，如外部防火墙为网络地址转换方式，而内部防火墙为代理服务器方式，这样即使入侵者侵入一个防火墙，但另一个防火墙使用的是完全不同的技术，就给入侵者带来更大的阻碍，提高整个网络的安全性。

　　利用这些工具，网络可以设置的非常安全。事实上当前大部分安全问题仍然来源于人的因素，如管理不善造成的口令泄露等。这就使得正常的安全措施无法正常应用，而带来不可避免的安全问题。

PicoBSD

　　软件方式的防火墙系统的一大问题就是由于系统本身能够安装丰富的软件，因此常常同时被用作其他用途，当用作其他用途时就有可能对本身的安全性造成影响。而硬件防火墙使用专有操作系统，只用作网络服务，这保证了它不会受到其他方面的影响。对于用作防火墙的计算机，通常应该专用而不要兼作其他用途。因为防火墙的安全性非常重要，内部网络安全要依赖防火墙的安全来保障，一旦防火墙被入侵，网络安全也就无法保证了。