|
|
Ci sono due classi di architettura di firewall: singolo strato e multi strato.
In un'architettura a singolo strato, vedi figura 7.2, un host della rete diviene il firewall ed è connesso a qualunque rete per le quali controlla gli accessi. Questo approccio è generalmente scelto quando il costo è un fattore primario e quando si devono connettere solo due reti. Il vantaggio di questa scelta è che tutto quello che c'è da sapere e da fare per un firewall sta tutto su una singola macchina; nel caso in cui la politica da implementare sia semplice e ci siano poche reti connessi questa scelta nel tempo è valida sotto il profilo dei costi. Il grandissimo svantaggio di questa architettura è la sua sucettibilità a difetti nell'implementazione o ad errori di configurazione. Un solo errore o difetto può permettere di penetrare il firewall
In un architettura multi strato, vedi figura 7.3, le funzioni del firewall sono distribuite su un piccolo numero di host, generalmente connessi in serie, con una Zona Demilitarizzata (DMZ) tra loro. Questo approccio è più difficile da implementare e da operare ma fornisce un sostanziale maggior grado di sicurezza diversificando le difese. Sebbene sia più costoso è bene usare differenti tecnologie in ciascun degli host del firewall perchè permette di ridurre sensibilmente gli stessi difetti di implementazione ed errori di configurazione che saranno presenti in ogni strato.
