| |
隨著防火墻技術的發展，安全性高、操作簡便、界面友好的防火墻逐漸成為市場熱點。在這
種情況下，可以大大簡化防火墻設置、提高安全性能的透明模式和透明代理就成為衡量產品
性能的重要指標。于是在推薦產品的過程中，很多廠商往往會介紹自己的產品實現了透明模
式和透明代理。那么究竟什么是透明模式和透明代理呢？他們之間又有何關系呢？下面我們
將做具體分析。
透明模式，顧名思義，首要的特點就是對用戶是透明的（Transparent），即用戶意識不到防
火墻的存在。要想實現透明模式，防火墻必須在沒有IP地址的情況下工作，不需要對其設置
IP地址，用戶也不知道防火墻的IP地址。
防火墻作為實際存在的物理設備，其本身也起到路由的作用，所以在為用戶安裝防火墻時，
就需要考慮如何改動其原有的網絡拓撲結構或修改連接防火墻的路由表，以適應用戶的實際
需要，這樣就增加了工作的復雜程度和難度。但如果防火墻采用了透明模式，即采用無IP方
式運行，用戶將不必重新設定和修改路由，防火墻就可以直接安裝和放置到網絡中使用，如
交換機一樣不需要設置IP地址。
透明模式的防火墻就好象是一臺網橋(非透明的防火墻好象一臺路由器)，網絡設備(包括主機
、路由器、工作站等)和所有計算機的設置（包括IP地址和網關）無須改變，同時解析所有通
過它的數據包，既增加了網絡的安全性，又降低了用戶管理的復雜程度。
而與透明模式在稱呼上相似的透明代理，和傳統代理一樣，可以比包過濾更深層次地檢查數
據信息，比如FTP包的port命令等。同時它也是一個非常快的代理，從物理上分離了連接，這
可以提供更復雜的協議需要，例如帶動態端口分配的H.323，或者一個帶有不同命令端口和數
據端口的連接。這樣的通信是包過濾所無法完成的。
防火墻使用透明代理技術，這些代理服務對用戶也是透明的，用戶意識不到防火墻的存在，
便可完成內外網絡的通訊。當內部用戶需要使用透明代理訪問外部資源時，用戶不需要進行
設置，代理服務器會建立透明的通道，讓用戶直接與外界通信，這樣極大地方便了用戶的使
用。
一般使用代理服務器時，每個用戶需要在客戶端程序中指明要使用代理，自行設置Proxy參數
（如在瀏覽器中有專門的設置來指明HTTP或FTP等的代理）。而透明代理服務，用戶不需要任
何設置就可以使用代理服務器，簡化了網絡的設置過程。
透明代理的原理如下：假設A為內部網絡客戶機，B為外部網絡服務器，C為防火墻。當A對B有
連接請求時，TCP連接請求被防火墻截取并加以監控。截取后當發現連接需要使用代理服務器
時，A和C之間首先建立連接，然后防火墻建立相應的代理服務通道與目標B建立連接，由此通
過代理服務器建立A 和目標地址B的數據傳輸途徑。從用戶的角度看，A和B的連接是直接的，
而實際上A 是通過代理服務器C和B建立連接的。反之，當B對A有連接請求時原理相同。由于
這些連接過程是自動的，不需要客戶端手工配置代理服務器，甚至用戶根本不知道代理服務
器的存在，因而對用戶來說是透明的。
代理服務器可以做到內外地址的轉換，屏蔽內部網的細節，使非法分子無法探知內部結構。
代理服務器提供特殊的篩選命令，可以禁止用戶使用容易造成攻擊的不安全的命令，從根本
上抵御攻擊。
防火墻使用透明代理技術，還可以使防火墻的服務端口無法探測到，也就無法對防火墻進行
攻擊，大大提高了防火墻的安全性與抗攻擊性。透明代理避免了設置或使用中可能出現的錯
誤，降低了防火墻使用時固有的安全風險和出錯概率，方便用戶使用。
因此，透明代理與透明模式都可以簡化防火墻的設置，提高系統安全性。但兩者之間也有本
質的區別：工作于透明模式的防火墻使用了透明代理的技術，但透明代理并不是透明模式的
全部，防火墻在非透明模式中也可以使用透明代理。值得注意的是，雖然國內市場上很多防
火墻產品都可提供透明代理訪問機制，但真正實現透明模式的卻不多——有很多廠商都宣稱
自己的防火墻產品實現了透明模式，但在實際應用中，他們往往做不到這一點，而只是實現
了透明代理。
| |
