Lars Kim Lund <lkl@fabel.dk> wrote:
>Firewall er et slidt begreb og adresse/port translationer er ikke det
>ringeste jeg har set det sat i forbindelse med. Men i forhold til hvad
>man "oprindeligt" opfattede som firewalls så er der ikke så meget til
>fælles. Andet end at translationer ofte (men ikke nødvendigvis) er en
>delmængde af hvad en firewall kan.
Oprindeligt var der jo ikke nogen der brugte NAT.
Derfor havde rutere normalt kun simple tilstandsløse pakkefiltre, og
de var derfor noget helt andet end en firewall med stateful
inspection.
Men en ruter der udfører N:1-NAT (PAT) må nødvendigvis indeholde noget
der til forveksling minder om den stateful inspection man finder i de
traditionelle firewalls. Så er der ikke noget underligt i at
begreberne til en vis grad flyder sammen.
Jeg mener ikke ordet "firewall" mere kan siges at have en veldefineret
mening. Ordet bruges vel om (mindst) to forskellige ting:
(a) Noget som en forbindelse går igennem og som blokerer for visse
pakker på en sådan måde at man opnår den beskyttelse mod angreb via
pakker udefra som man i en helt konkret situation ønsker. Dvs. "den
dims der beskytter mig mod den onde verden".
(b) Et generelt produkt som kan konfigureres til at fungere som (a) i
en lang række forskellige sammenhænge og situationer, normalt såvel
med som uden NAT.
En almindelig billig NAT-ruter opfylder behovet (a) fint i mange især
mindre netværk. Den har derfor firewallfunktionalitet nok til de
formål. Men den er ikke et produkt der fortjener betegnelsen
"firewall" i den traditionelle og mere generelle betydning (b). Hvis
nogen sælger et produkt med navnet "firewall" ville jeg forvente at
det var i betydningen (b).
--
Jesper Dybdal, Denmark.
http://www.dybdal.dk (in Danish).