Internet代理服務(wù)的特性
- 編輯：admin -互聯(lián)網(wǎng)上的主要服務(wù)功能有電子郵件(E-mail)、簡單部件傳輸協(xié)議(SMTP)、局協(xié)議(POP)、文件傳輸協(xié)議(FTP)、遠(yuǎn)程登錄錄(Telnet)、存儲轉(zhuǎn)發(fā)協(xié)議(NNTP)、萬維網(wǎng)(HTTP)和域名服務(wù)(DNS)等。
互聯(lián)網(wǎng)上的主要服務(wù)功能有電子郵件(E-mail)、簡單部件傳輸協(xié)議(SMTP)、局協(xié)議(POP)、文件傳輸協(xié)議(FTP)、遠(yuǎn)程登錄錄(Telnet)、存儲轉(zhuǎn)發(fā)協(xié)議(NNTP)、萬維網(wǎng)(HTTP)和域名服務(wù)(DNS)等。(1)電子郵件(E-mail)
從用戶觀點(diǎn)來看，電子郵件是最基本的互聯(lián)網(wǎng)服務(wù)。然而，它同時也是一種最弱的服務(wù)。郵件服務(wù)器成為被攻擊的目標(biāo)，是因?yàn)樗鼈兛梢詮娜我馔獠恐鳈C(jī)上接任何數(shù)據(jù)。電子郵件系統(tǒng)由以下三部分組成:
①一個服務(wù)器，用來向外部主機(jī)發(fā)送郵件或從外部主機(jī)接收郵件；
②發(fā)信代理，用于將郵件正確地放入本地主機(jī)郵箱中；
③用戶代理，用于讓收信人閱讀郵件并編輯出站郵件。這三部分可以由不同程序、同一程序或其組合來實(shí)現(xiàn)。
電子郵件由于各種不同的原因，每一部分都是脆弱且易于被侵入的。
①服務(wù)器由于直接接受外部主機(jī)的命令(與發(fā)信有關(guān))，如果服務(wù)器存在安全它將為侵襲者提供訪問權(quán)；
②發(fā)信代理，因?yàn)橛袑︵]箱的寫權(quán)力，盡管它不必與外界對話，但如果被攻破，入侵者仍可得到非常廣泛的存取權(quán)；
③用戶代理以用戶方式運(yùn)行，它不與外界通話，這限制了它的能力和訪問權(quán)。但是，它能經(jīng)常運(yùn)行與接收到的數(shù)據(jù)相對應(yīng)的其他任意程序。
因?yàn)橐c外部通話，所以服務(wù)器抵抗外界命令侵襲的能力很弱，這樣的侵襲稱為命令通道侵襲。發(fā)信代理和用戶代理不直接接受命令，但無力抵制郵件信息內(nèi)容的危害，這樣的侵襲稱為數(shù)據(jù)驅(qū)動侵襲。另外，某些人通過命令行缺陷知道如何控制程序運(yùn)行(使用什么變量，哪個用戶正在運(yùn)行某個程序，它的數(shù)據(jù)文件是什么)，使程序?qū)τ谡`用顯得非常弱。
(2)簡單郵件傳輸協(xié)議(SMTP)的代理特點(diǎn)
因?yàn)镾MTP是一個存儲轉(zhuǎn)發(fā)協(xié)議，所以它特別適合于進(jìn)行代理。任何一個SMTP服務(wù)器都有可能為其他站點(diǎn)進(jìn)行郵件轉(zhuǎn)發(fā)，因而很少將它設(shè)置成一個單獨(dú)的代理。大多數(shù)站點(diǎn)將輸入的SMTP連接到一臺安全運(yùn)行SMTP服務(wù)的堡全主機(jī)上，該堡全主機(jī)就是一個代理?，F(xiàn)有提供代理服務(wù)的防火墻產(chǎn)品都能夠進(jìn)行SMTP服務(wù)的代理，因?yàn)镾MTP采用單個連接，所以其配置相當(dāng)簡單。在防火墻中，不要讓一個外部主機(jī)直接連接到一個標(biāo)準(zhǔn)的非安全的SMTP服務(wù)器上，即使它通過一個代理系統(tǒng)，也不要這樣做。
(3)郵局協(xié)議(POP)的代理特點(diǎn)
郵局協(xié)議(POP)對于代理系統(tǒng)來說非常簡單，因?yàn)樗捎脝蝹€連接，內(nèi)置的支持代理的POP客戶程序還很少，主要原因是POP多用于局域網(wǎng)，而很少用于互聯(lián)網(wǎng)，沒有一個簡單的方法為內(nèi)部客戶程序和外部服務(wù)器的連接進(jìn)行配置，除非所有的客戶程序連接到同一臺服務(wù)器。如果是這樣，可以在自己的堡全主機(jī)的POP3端口上運(yùn)行一個公用的TCP代理程序，將所有的POP請求連接到一個單獨(dú)的POP服務(wù)器，然后再配置自己的客戶程序，以訪問在堡全主機(jī)上的“POP服務(wù)器”(實(shí)際上是一個代理程序)。
如果不提供訪問多個POP服務(wù)器，而且能夠確定所有的客戶程序是從一個給定的P越址或域名來的，并連接到一個特定的服務(wù)器，那么可以用程序來設(shè)置較復(fù)雜的規(guī)則，根據(jù)連接請求的來源，將它連接到合適的服務(wù)器上。如果在同一個客戶機(jī)或多個客戶機(jī)上有多個用戶需要通過防火墻訪間不同的POP服務(wù)器，目前還沒有簡單的方法能做到這一點(diǎn)。但可以通過編寫一個特殊的POP代理服務(wù)程序運(yùn)行在堡壘主機(jī)上來認(rèn)證用戶，決定用戶所要連接的服務(wù)器，并提供連接?？捎蒔OP服務(wù)器認(rèn)證用戶，然后扮演傳統(tǒng)代理服務(wù)器的角色進(jìn)行數(shù)據(jù)傳輸，但必須使用密鑰來完成此項(xiàng)服務(wù)
(4)文件傳輸協(xié)議(FTP)FTP將文件從一臺機(jī)器傳送到另一臺機(jī)器上。
使用FTP可以傳送任何類型的文件，包括可執(zhí)行的二進(jìn)制文件、圖形文件、 ASCII文本文件和音頻及視頻文件等。有兩種類型的FIP訪問:有名FTP和匿名FTP。有名FTP要求用戶在服務(wù)器上有賬號，當(dāng)?shù)卿汧TP服務(wù)器后，用戶訪問能訪問的全部文件。匿名FTP是為那些在FTP服務(wù)器上沒有賬號的人提供的，主要使用戶能訪問一些公用文件。目前，匿名FTP主要應(yīng)用在互聯(lián)網(wǎng)上。匿名FTP服務(wù)器是散發(fā)程序、信息和其他文件的標(biāo)準(zhǔn)機(jī)構(gòu)。如果一個站點(diǎn)提供匿名FTP服務(wù)器，那么在互聯(lián)網(wǎng)上的任何人都可以使用FIP連接到該站點(diǎn)，然后在一個被控制區(qū)域內(nèi)訪問服務(wù)器管理者提供的文件。
FTP使用兩個獨(dú)立的FTP連接，一個在服務(wù)器和客戶程序之間傳遞命令和結(jié)果(通常稱為命令通道):另一個用來傳遞真實(shí)的文件和目錄列表(通常稱為數(shù)據(jù)通道)。在服務(wù)器上，命令通道使用眾所知的端口號21，而數(shù)據(jù)通道使用端口號20?？蛻舫绦騽t在命令和數(shù)據(jù)通道上分別使用大于1023的端國號。在開始使用一個FTP連接時，客戶程序首先為自己分配兩個大于1023的TCP端口。
它使用第一個端口作為命令通道端口與服務(wù)器連接，然后發(fā)出端口命令，告訴服務(wù)器它的第二個作為數(shù)據(jù)通道的端口號，這樣服務(wù)器就能打開數(shù)據(jù)通道了。大多數(shù)FTP服務(wù)器(特別是那些用在互聯(lián)網(wǎng)上的匿名FTP站點(diǎn))和許多FTP客戶程序都支持一種允許客戶程序打開命令通道和數(shù)據(jù)通道來連接到FIP服務(wù)器的方式，這種方式稱為“反向方式”。
在使用反向方式時，一個FTP客戶程序需要分配兩個TCP端口供其使用。它使用第一個TCP端口與FTP服務(wù)器連接，但客戶程序通過反向方式命令代替原來的端端口命令來告訴服務(wù)器客戶程序的第二個TCP端口。這樣就能使服務(wù)器為本身的數(shù)據(jù)通道分配第二個TCP口；并通知客戶程序所分配的那個端口號(由于系統(tǒng)設(shè)計(jì)的原因，服務(wù)器將使用任意一個大于1023的端口來代替原來正常方式時的端口20)，這時，客戶程序就從它的數(shù)據(jù)通道的連接到服務(wù)器剛才通知它的那個端口上。不是所有的FTP客戶程序都支持反向方式。
如果一個客戶程序支持反向方式，它通常會在文件或描述中提到這點(diǎn)。有一些客戶程序同時支持正常方式和反向方式，并給用戶提供一些方法來決定采用哪種方式。現(xiàn)在，許多瀏覽器內(nèi)置的FTP客戶程序就采用反向方式。如果FTP客戶程序(或連接的FTP服務(wù)器)不支持反向方式，同時又要求允許通過包過濾來使用FTP(而不是通過代理)，那么就不得不對包過濾規(guī)則作一個特殊的擴(kuò)充，即允許將FTP服務(wù)器所打開的數(shù)據(jù)通道返回給客戶程序。如果這樣做，系統(tǒng)就很容易被入侵了。因此要盡可能地限制這種情況的發(fā)生。
由于存在FTP的反向方式問題，對外部FTP進(jìn)行代理是一個較好的解決方案。采用正常方式的代理，客戶程序允許與外部服務(wù)器相連接，但只允許數(shù)據(jù)通道的TCP連接到進(jìn)行代理的堡壘主機(jī)而不允許連接到其他主機(jī)。
(5)遠(yuǎn)程登錄( Telnet)代理系統(tǒng)能夠很好地支持Telnet。
幾乎所有的商用代理軟件包都包含對 Telnet服務(wù)代理的支持，因?yàn)?nbsp;Telnet是互聯(lián)網(wǎng)上一個使用非常廣泛的協(xié)議。
(6)存儲轉(zhuǎn)發(fā)協(xié)議(NNTP)
NNTP是一個存儲轉(zhuǎn)發(fā)協(xié)議，它作為一個簡單的單個連接協(xié)議很容易實(shí)現(xiàn)代理，并有能力進(jìn)行自己的代理。另外，NNTP也可以通過 Socks實(shí)現(xiàn)代理。
(7)萬維網(wǎng)(HTTP)
各種HTTP客戶程序都支持代理方案。也有一些支持Socks代理，另一些通過特殊的HTTP服務(wù)器支持對用戶透明的代理，還有一些則對兩者都支持。
使用HTTP代理服務(wù)器的另一個好處是:服務(wù)器能夠把從互聯(lián)網(wǎng)上得到的信息存儲在緩存中，它將改善客戶程序的執(zhí)行效率并降低網(wǎng)絡(luò)帶寬。這樣做將保證一些流行的Www頁面在自己的站點(diǎn)中只需連接一次，今后各次請求將從本地緩存中得到該頁面，而不用再到互聯(lián)網(wǎng)服務(wù)器中獲取了。
(8)域名服務(wù)(DNS)
DNS具有這樣的結(jié)構(gòu):網(wǎng)站建設(shè)服務(wù)器充當(dāng)客戶程序的代理。利用DNS能夠轉(zhuǎn)發(fā)自身的特點(diǎn)，可以使一個DNS服務(wù)器成為另一個DNS服務(wù)器的代理。在真正實(shí)現(xiàn)時，絕大多數(shù)情況下，可以修改DNS庫來使用修改的客戶程序代理。在不支持動態(tài)鏈接的機(jī)器上，使用DNS修改客戶程序的代理需要重新編譯網(wǎng)絡(luò)中使用的每個程序。因?yàn)橛脩舨恢苯訛镈NS指定服務(wù)器信息，修改過程的代理幾乎是不可能的。