Internet代理服務的特性
- 編輯：admin -互聯(lián)網(wǎng)上的主要服務功能有電子郵件(E-mail)、簡單部件傳輸協(xié)議(SMTP)、局協(xié)議(POP)、文件傳輸協(xié)議(FTP)、遠程登錄錄(Telnet)、存儲轉發(fā)協(xié)議(NNTP)、萬維網(wǎng)(HTTP)和域名服務(DNS)等。
互聯(lián)網(wǎng)上的主要服務功能有電子郵件(E-mail)、簡單部件傳輸協(xié)議(SMTP)、局協(xié)議(POP)、文件傳輸協(xié)議(FTP)、遠程登錄錄(Telnet)、存儲轉發(fā)協(xié)議(NNTP)、萬維網(wǎng)(HTTP)和域名服務(DNS)等。(1)電子郵件(E-mail)
從用戶觀點來看，電子郵件是最基本的互聯(lián)網(wǎng)服務。然而，它同時也是一種最弱的服務。郵件服務器成為被攻擊的目標，是因為它們可以從任意外部主機上接任何數(shù)據(jù)。電子郵件系統(tǒng)由以下三部分組成:
①一個服務器，用來向外部主機發(fā)送郵件或從外部主機接收郵件；
②發(fā)信代理，用于將郵件正確地放入本地主機郵箱中；
③用戶代理，用于讓收信人閱讀郵件并編輯出站郵件。這三部分可以由不同程序、同一程序或其組合來實現(xiàn)。
電子郵件由于各種不同的原因，每一部分都是脆弱且易于被侵入的。
①服務器由于直接接受外部主機的命令(與發(fā)信有關)，如果服務器存在安全它將為侵襲者提供訪問權；
②發(fā)信代理，因為有對郵箱的寫權力，盡管它不必與外界對話，但如果被攻破，入侵者仍可得到非常廣泛的存取權；
③用戶代理以用戶方式運行，它不與外界通話，這限制了它的能力和訪問權。但是，它能經(jīng)常運行與接收到的數(shù)據(jù)相對應的其他任意程序。
因為要與外部通話，所以服務器抵抗外界命令侵襲的能力很弱，這樣的侵襲稱為命令通道侵襲。發(fā)信代理和用戶代理不直接接受命令，但無力抵制郵件信息內容的危害，這樣的侵襲稱為數(shù)據(jù)驅動侵襲。另外，某些人通過命令行缺陷知道如何控制程序運行(使用什么變量，哪個用戶正在運行某個程序，它的數(shù)據(jù)文件是什么)，使程序對于誤用顯得非常弱。
(2)簡單郵件傳輸協(xié)議(SMTP)的代理特點
因為SMTP是一個存儲轉發(fā)協(xié)議，所以它特別適合于進行代理。任何一個SMTP服務器都有可能為其他站點進行郵件轉發(fā)，因而很少將它設置成一個單獨的代理。大多數(shù)站點將輸入的SMTP連接到一臺安全運行SMTP服務的堡全主機上，該堡全主機就是一個代理。現(xiàn)有提供代理服務的防火墻產品都能夠進行SMTP服務的代理，因為SMTP采用單個連接，所以其配置相當簡單。在防火墻中，不要讓一個外部主機直接連接到一個標準的非安全的SMTP服務器上，即使它通過一個代理系統(tǒng)，也不要這樣做。
(3)郵局協(xié)議(POP)的代理特點
郵局協(xié)議(POP)對于代理系統(tǒng)來說非常簡單，因為它采用單個連接，內置的支持代理的POP客戶程序還很少，主要原因是POP多用于局域網(wǎng)，而很少用于互聯(lián)網(wǎng)，沒有一個簡單的方法為內部客戶程序和外部服務器的連接進行配置，除非所有的客戶程序連接到同一臺服務器。如果是這樣，可以在自己的堡全主機的POP3端口上運行一個公用的TCP代理程序，將所有的POP請求連接到一個單獨的POP服務器，然后再配置自己的客戶程序，以訪問在堡全主機上的“POP服務器”(實際上是一個代理程序)。
如果不提供訪問多個POP服務器，而且能夠確定所有的客戶程序是從一個給定的P越址或域名來的，并連接到一個特定的服務器，那么可以用程序來設置較復雜的規(guī)則，根據(jù)連接請求的來源，將它連接到合適的服務器上。如果在同一個客戶機或多個客戶機上有多個用戶需要通過防火墻訪間不同的POP服務器，目前還沒有簡單的方法能做到這一點。但可以通過編寫一個特殊的POP代理服務程序運行在堡壘主機上來認證用戶，決定用戶所要連接的服務器，并提供連接。可由POP服務器認證用戶，然后扮演傳統(tǒng)代理服務器的角色進行數(shù)據(jù)傳輸，但必須使用密鑰來完成此項服務
(4)文件傳輸協(xié)議(FTP)FTP將文件從一臺機器傳送到另一臺機器上。
使用FTP可以傳送任何類型的文件，包括可執(zhí)行的二進制文件、圖形文件、 ASCII文本文件和音頻及視頻文件等。有兩種類型的FIP訪問:有名FTP和匿名FTP。有名FTP要求用戶在服務器上有賬號，當?shù)卿汧TP服務器后，用戶訪問能訪問的全部文件。匿名FTP是為那些在FTP服務器上沒有賬號的人提供的，主要使用戶能訪問一些公用文件。目前，匿名FTP主要應用在互聯(lián)網(wǎng)上。匿名FTP服務器是散發(fā)程序、信息和其他文件的標準機構。如果一個站點提供匿名FTP服務器，那么在互聯(lián)網(wǎng)上的任何人都可以使用FIP連接到該站點，然后在一個被控制區(qū)域內訪問服務器管理者提供的文件。
FTP使用兩個獨立的FTP連接，一個在服務器和客戶程序之間傳遞命令和結果(通常稱為命令通道):另一個用來傳遞真實的文件和目錄列表(通常稱為數(shù)據(jù)通道)。在服務器上，命令通道使用眾所知的端口號21，而數(shù)據(jù)通道使用端口號20。客戶程序則在命令和數(shù)據(jù)通道上分別使用大于1023的端國號。在開始使用一個FTP連接時，客戶程序首先為自己分配兩個大于1023的TCP端口。
它使用第一個端口作為命令通道端口與服務器連接，然后發(fā)出端口命令，告訴服務器它的第二個作為數(shù)據(jù)通道的端口號，這樣服務器就能打開數(shù)據(jù)通道了。大多數(shù)FTP服務器(特別是那些用在互聯(lián)網(wǎng)上的匿名FTP站點)和許多FTP客戶程序都支持一種允許客戶程序打開命令通道和數(shù)據(jù)通道來連接到FIP服務器的方式，這種方式稱為“反向方式”。
在使用反向方式時，一個FTP客戶程序需要分配兩個TCP端口供其使用。它使用第一個TCP端口與FTP服務器連接，但客戶程序通過反向方式命令代替原來的端端口命令來告訴服務器客戶程序的第二個TCP端口。這樣就能使服務器為本身的數(shù)據(jù)通道分配第二個TCP口；并通知客戶程序所分配的那個端口號(由于系統(tǒng)設計的原因，服務器將使用任意一個大于1023的端口來代替原來正常方式時的端口20)，這時，客戶程序就從它的數(shù)據(jù)通道的連接到服務器剛才通知它的那個端口上。不是所有的FTP客戶程序都支持反向方式。
如果一個客戶程序支持反向方式，它通常會在文件或描述中提到這點。有一些客戶程序同時支持正常方式和反向方式，并給用戶提供一些方法來決定采用哪種方式?，F(xiàn)在，許多瀏覽器內置的FTP客戶程序就采用反向方式。如果FTP客戶程序(或連接的FTP服務器)不支持反向方式，同時又要求允許通過包過濾來使用FTP(而不是通過代理)，那么就不得不對包過濾規(guī)則作一個特殊的擴充，即允許將FTP服務器所打開的數(shù)據(jù)通道返回給客戶程序。如果這樣做，系統(tǒng)就很容易被入侵了。因此要盡可能地限制這種情況的發(fā)生。
由于存在FTP的反向方式問題，對外部FTP進行代理是一個較好的解決方案。采用正常方式的代理，客戶程序允許與外部服務器相連接，但只允許數(shù)據(jù)通道的TCP連接到進行代理的堡壘主機而不允許連接到其他主機。
(5)遠程登錄( Telnet)代理系統(tǒng)能夠很好地支持Telnet。
幾乎所有的商用代理軟件包都包含對 Telnet服務代理的支持，因為 Telnet是互聯(lián)網(wǎng)上一個使用非常廣泛的協(xié)議。
(6)存儲轉發(fā)協(xié)議(NNTP)
NNTP是一個存儲轉發(fā)協(xié)議，它作為一個簡單的單個連接協(xié)議很容易實現(xiàn)代理，并有能力進行自己的代理。另外，NNTP也可以通過 Socks實現(xiàn)代理。
(7)萬維網(wǎng)(HTTP)
各種HTTP客戶程序都支持代理方案。也有一些支持Socks代理，另一些通過特殊的HTTP服務器支持對用戶透明的代理，還有一些則對兩者都支持。
使用HTTP代理服務器的另一個好處是:服務器能夠把從互聯(lián)網(wǎng)上得到的信息存儲在緩存中，它將改善客戶程序的執(zhí)行效率并降低網(wǎng)絡帶寬。這樣做將保證一些流行的Www頁面在自己的站點中只需連接一次，今后各次請求將從本地緩存中得到該頁面，而不用再到互聯(lián)網(wǎng)服務器中獲取了。
(8)域名服務(DNS)
DNS具有這樣的結構:網(wǎng)站建設服務器充當客戶程序的代理。利用DNS能夠轉發(fā)自身的特點，可以使一個DNS服務器成為另一個DNS服務器的代理。在真正實現(xiàn)時，絕大多數(shù)情況下，可以修改DNS庫來使用修改的客戶程序代理。在不支持動態(tài)鏈接的機器上，使用DNS修改客戶程序的代理需要重新編譯網(wǎng)絡中使用的每個程序。因為用戶不直接為DNS指定服務器信息，修改過程的代理幾乎是不可能的。