konstrukce firewallu

[Vlček Ludvík]

zdravím,

Okolnostmi jsem byl "donucen" pročíst něco o firewallech. Přitom jsem
narazil na jednu zajímavost. V poměrně značném procentu literatury je
firewall, postavený na linuxu, konstruován jako fyzicky dva kusy
počítačů. Propojení mezi nimi je zváno DMZ...

1.verze

             -----------                -----------
  Ext.net   |           |   DMZ.net    |           |  Int.net
------------+   PC 1    +--------------+   PC 2    +-----------
            |           |              |           |
             -----------                -----------

výhodu tohoto přístupu jsem našel (zatím) jedinou. Potenciální útočník
by musel překonávat dva stroje (předpokládejme, že budou zajištěny podle
pravidel, že admin není trouba).
Jinak samé "nevýhody", dvojnásobná pořizovací cena, složitější
nastavení, ...


2.verze


             -----------
  Ext.net   |           |  Int.net
------------+   PC 1    +----------
            |           |
             -----+-----
                  |
                  |   DMZ.net
                  |
                  |
                  |

výhody a nevýhody se jeví komplementární k verzi 1.

Nicméně,
když pomineme důvody finanční a složitější nastavení a tak, má cenu
řešit firewall dle verze 1 ??
Opravdu tím získám vyšší bezpečnost, jak tvrdí literatura ?? Stále si
netroufnu dát ruku do ohně za jedno nebo druhé řešení, tak kovaný se
necítím...

Co NATO "firewalloví specialisté" ??
:-)


BTW, díky za názory.

L.V.
jezevec