防火牆系列第二篇解析防火牆架構演進邏輯：為何從單一屏蔽主機進化到屏蔽子網 (雙路由器 + 周邊網路) 架構，並詳細說明周邊網路的隔離價值與通訊流控制。
架構演進動機：單點故障風險
| 架構 | 結構 | 核心弱點 |
|---|
| 屏蔽主機 | 單一堡壘主機 + 單一篩選路由器 | 堡壘主機被攻破 → 內部網路零防護 |
| 屏蔽子網 | 雙篩選路由器 + 周邊網路 (DMZ) | 需連續突破三道防線，單點失效不致全盤崩潰 |
核心邏輯：堡壘主機本質上「可被入侵」 (運行服務、開放埠口、程式碼複雜)。將其隔離於周邊網路，限制滲透半徑。
屏蔽子網架構詳細拓撲
[Internet] ←→ [外部篩選路由器] ←→ [周邊網路/Perimeter Net] ←→ [內部篩選路由器] ←→ [內部網路]
↑ ↑
防禦外部掃描/攻擊 防禦內部滲透/資料外洩
│ │
堡壘主機群 (Web/Proxy/VPN) 內部堡壘主機 (Mail/DNS/Proxy轉發)
關鍵元件角色
| 元件 | 職責 | 預設策略 |
|---|
| 外部篩選路由器 | 邊界粗略過濾、阻擋明顯惡意流量、隱藏內部拓撲 | 預設拒絕入站，僅開放必要服務至 DMZ |
| 周邊網路 (DMZ) | 緩衝區、隔離層、堡壘主機部署區 | 無內部敏感資訊流通過 |
| 堡壘主機 | 應用層代理、認證、內容檢查、日誌稽核 | 最小服務、強化配置 |
| 內部篩選路由器 | 核心防線、控制 DMZ→內部流量、防資料外洩 | 預設拒絕 DMZ 入站，僅允許特定堡壘主機轉發 |
周邊網路 (DMZ) 的三大隔離價值
1. 竊聽風險隔離
乙太網/Token Ring/FDDI 介面皆支援混雜模式 → 同網段可竊聽所有封包 (FTP/Telnet/rlogin 帳密、機密郵件、NFS 操作)。
- 堡壘主機在內部網段 → 可竊聽內部所有敏感流量
- 堡壘主機在 DMZ → 僅能看見 DMZ↔Internet 與 DMZ↔堡壘主機流量
2. 滲透半徑限制
若堡壘主機被攻破：
- 無 DMZ：攻擊者直接進入內部網路核心
- 有 DMZ：攻擊者僅能存取 DMZ 與堡壘主機通訊的內部主機 (通常為特定代理轉發對象)，內部核心網路仍受內部路由器保護
3. 內部通訊機密性保護
- 內部主機間通訊 (通常為敏感/專有資訊) 不經過 DMZ
- 即使堡壘主機全盤失陷，內部橫向通訊仍安全
入侵者視角：攻擊難度指數級上升
屏蔽主機架構：突破 1 個路由器 + 1 個堡壘主機 = 內網淪陷
屏蔽子網架構：突破 外部路由器 → 堡壘主機 → 內部路由器 = 內網淪陷
(三個獨立防禦層，技術棧不同，單一漏洞不足以貫穿)
最小化屏蔽子網部署 (資源受限版)
- 單一路由器雙介面 (三腳貓架構) ：WAN、LAN、DMZ 三介面於同一實體路由器，邏輯隔離但共享硬體風險
- 雲端環境：Security Group + NACL 實現邏輯屏蔽子網，無實體路由器
架構選擇建議
