网关曾经是很容易理解的概念。在早期的因特网中，术语网关即指器。路由器是网
络中超越本地网络的标记，这个走向未知的“大门”曾经、现在仍然用于计算路由并把
分组数据转发到源始网络之外的部分，因此，它被认为是通向因特网的大门。随着时间
的推移，路由器不再神奇，公共的基于IP的广域网的出现和成熟促进了路由器的成长。
现在路由功能也能由主机和集线器来行使，网关不再是神秘的概念。现在，路由器
变成了多功能的，它能将局域网分割成若干网段、互连私有广域网中相关的局
域网以及将各广域网互连而形成了因特网，这样路由器就失去了原有的网关概念。然而
术语网关仍然沿用了下来，它不断地应用到多种不同的功能中，定义网关已经不再是件
容易的事。目前，主要有三种网关：
网关
应用网关
网关
唯一保留的通用意义是作为两个不同的域或系统间中介的网关，要克服的差异本质决定
了需要的网关类型。
一、网关 网关通常在使用不同协议的网络区域间做协议转换。这一转换过程可以发生在OSI
参考模型的第2层、第3层或2、3层之间。但是有两种协议网关不提供转换的功能：
网关和管道。由于两个互连的网络区域的逻辑差异，安全网关是两个技术上相似的网络
区域间的必要中介。如私有广域网和公有的因特网。这一特例在后续的“组合过滤网关
”中讨论，此部分中集中于实行物理的协议转换的协议网关。
1、管道网关
管道是通过不兼容的网络区域传输数据的比较通用的技术。数据分组被封装在可以被传
输网络识别的帧中，到达目的地时，接收主机解开封装，把封装信息丢弃，这样分组就
被恢复到了原先的格式。例如在下图中，IPv4数据由路由器A封装在IPv6分组中，通过I
Pv6网络传递给一个IPv4主机，路由器解开IPv6的封装，把还原的IPv4数据传递给目的主
机。
管道技术只能用于3层协议，从SNA到IPv6。虽然管道技术有能够克服特定网络拓扑限制
的优点，它也有缺点。管道的本质可以隐藏不该接受的分组，简单来说，管道可以通过
封装来攻破，把本该过滤掉的数据传给私有的网络区域。
2、专用网关
很多的专用网关能够在传统的大型机系统和迅速发展的分布式处理系统间建立桥梁。典
型的专用网关用于把基于PC的客户端连到局域网边缘的转换器。该转换器通过X.25网络
提供对大型机系统的访问。下图演示了从PC客户端到网关的过程，网关将IP数据通过X.
25广域网传送给大型机。
这些网关通常是需要安装在连接到局域网的计算机上的便宜、单功能的电路板，这使其
价格很低且很容易升级。在上图的例子中，该单功能的网关将大型机时代的硬连线的终
端和终端升级为PC机和局域网。
3、2层协议网关
2层协议网关提供局域网到局域网的转换，它们通常被称为翻译网桥而不是协议网关。
在使用不同帧类型或时钟频率的局域网间互连可能就需要这种转换。
(1)帧格式差异
IEEE802兼容的局域网共享公共的介质访问层，但是它们的帧结构和介质访问机制使它
们不能直接互通。：
翻译网桥利用了2层的共同点，如MAC地址，提供帧结构不同部分的动态翻译，使它们的
互通成为了可能。第一代局域网需要独立的设备来提供翻译网桥，如今的多协议集
线器通常提供高带宽主干，在不同帧类型间可作为翻译网桥，所示：
现在翻译网桥的幕后性质使这种协议转换变得模糊，独立的翻译设备不再需要，多功能
交换集线器天生就具有2层协议转换网关的功能。
替代使用仅涉及2层的设备如翻译网桥或多协议交换集线器的另一种选择是使用3层设备
：路由器。长期以来路由器就是局域网主干的重要组成部分，见下图。如果路由器用于
互连局域网和广域网，它们通常都支持标准的局域网接口，经过适当的配置，路由器很
容易提供不同帧类型的翻译。这种方案的缺点是如果使用3层设备路由器需要表查询，这
是软件功能，而象交换机和集线器等2层设备的功能由硬件来实现，从而可以运行得更快
。
(2)传输率差异
很多过去的局域网技术已经提升了传输速率，例如，IEEE 802.3以太网现在有10Mbps、
100Mbps和1bps的版本，它们的帧结构是相同的，主要的区别在于物理层以及介质访问机
制，在各种区别中，传输速率是最明显的差异。令牌环网也提升了传输速率，早期版本
工作在4Mbps速率下，现在的版本速率为16Mbps，100Mbps的FDDI是直接从令牌环发展来
的，通常用作令牌环网的主干。这些仅有时钟频率不同的局域网技术需要一种机制在两
个其它方面都兼容的局域网间提供缓冲的接口，现今的多协议、高带宽的交换集线器提
供了能够缓冲速率差异的健壮的背板。
如今的多协议局域网可以为同一局域网技术的不同速率版本提供内部速率缓冲，还可以
为不同的802兼容的局域网提供2层帧转换。路由器也可以做速率差异的缓冲工作，它们
相对于交换集线器的长处是它们的内存是可扩展的。其内存缓存进入和流出分组到一定
程度以决定是否有相应的访问列表（过滤）要应用，以及决定下一跳，该内存还可以用
于缓存可能存在于各种网络拓扑间的速率差异。
二、应用网关 应用网关是在使用不同数据格式间翻译数据的系统。典型的应用网关接收一种格式的输
入，将之翻译，然后以新的格式发送，。输入和输出接口可以是分立的也可以使
用同一网络连接。
一种应用可以有多种应用网关。如Email可以以多种格式实现，提供Email的可能
需要与各种格式的邮件服务器交互，实现此功能唯一的方法是支持多个网关接口。
应用网关也可以用于将局域网客户机与外部数据源相连，这种网关为本地主机提供了与
远程交互式应用的连接。将应用的逻辑和执行代码置于局域网中客户端避免了低带宽、
高延迟的广域网的缺点，这就使得客户端的响应时间更短。应用网关将请求发送给相应
的计算机，获取数据，如果需要就把数据格式转换成客户机所要求的格式。
本文不对所有的应用网关配置作详尽的描述，这些例子应该概括了应用网关的各种分支
。它们通常位于网络数据的交汇点，为了充分地支持这样的交汇点，需要包括局域网、
广域网在内的多种网络技术的结合。
三、安全网关 安全网关是各种技术有趣的融合，具有重要且独特的保护作用，其范围从协议级过滤到
十分复杂的应用级过滤。主要有三类：
分组过滤
电路网关
应用网关
注意：三种中只有一种是过滤器，其余都是网关。
这三种机制通常结合使用。过滤器是映射机制，可区分合法的和欺骗包。每种方法都有
各自的能力和限制，要根据安全的需要仔细评价。
1、包过滤器
包过滤是安全映射最基本的形式，路由软件可根据包的源地址、目的地址或端口号建立
许可权，对众所周知的端口号的过滤可以阻止或允许网际协议如FTP、rlogin等。过滤器
可对进入和/或流出的数据操作，在网络层实现过滤意味着路由器可以为所有应用提供安
全映射功能。作为（逻辑意义上的）路由器的常驻部分，这种过滤可在任何可路由的网
络中自由使用，但不要把它误解为万能的，包过滤有很多弱点，但总比没有好。
包过滤很难做好，尤其当安全需求定义得不好且不细致的时候更是如此。这种过滤也很
容易被攻破。包过滤比较每个数据包，基于包头信息与路由器的访问列表的比较来做出
通过/不通过的决定，这种技术存在许多潜在的弱点。首先，它直接依赖路由器管理员正
确地编制权限集，这种情况下，拼写的错误是致命的，可以在防线中造成不需要任何特
殊技术就可以攻破的漏洞。即使管理员准确地设计了权限，其逻辑也必须毫无破绽才行
。虽然设计路由似乎很简单，但开发和维护一长套复杂的权限也是很麻烦的，必须根据
防火墙的权限集理解和评估每天的变化，新添加的服务器如果没有明确地被保护，可能
就会成为攻破点。
随着时间的推移，访问权限的查找会降低路由器的转发速度。每当路由器收到一个分组
，它必须识别该分组要到达目的地需经由的下一跳地址，这必将伴随着另一个很耗费CP
U的工作：检查访问列表以确定其是否被允许到达该目的地。访问列表越长，此过程要花
的时间就越多。
包过滤的第二个缺陷是它认为包头信息是有效的，无法验证该包的源头。头信息很容易
被精通网络的人篡改，这种篡改通常称为“欺骗”。
包过滤的种种弱点使它不足以保护你的网络资源，最好与其它更复杂的过滤机制联合使
用，而不要单独使用。
2、链路网关
链路级网关对于保护源自私有、安全的网络环境的请求是很理想的。这种网关拦截TCP
请求，甚至某些UDP请求，然后代表数据源来获取所请求的信息。该代理服务器接收对万
维网上的信息的请求，并代表数据源完成请求，如下图。实际上，此网关就象一条将源
与目的连在一起的线，但使源避免了穿过不安全的网络区域所带来的风险。
这种方式的请求代理简化了边缘网关的安全管理，如果做好了访问控制，除了代理服务
器外所有出去的数据流都被阻塞。理想情况下，此服务器有唯一的地址，不属于任何内
部使用的网段。这绝对使无意中微妙地暴露给不安全区域的信息量最小化，只有代理服
务器的网
【责编:admin】
--------------------next---------------------
