Firewall

I de store åbne datanet som Internettet, som er et samarbejde mellem mange organisationer, kan det være et problem at opretholde et passende internt sikkerhedsniveau i en organisations lokale net, når dette samtidigt er en aktiv del af det større net. En løsning på dette kan være at adskille lokalnettet og det eksterne net ved at indskyde en firewall, en brandmur. Den danske oversættelse er lidt uheldig, da der snarere er tale om en bevogtet port i en fæstning eller en branddør.

En firewall består ofte af to dele: en router (eller flere), som filtrerer trafikken mellem det lokale net og det eksterne net, og en "bastion host". Routeren tillader kun trafik udefra at passere til og fra bastionen, og denne fungerer derfor som et relæ for trafikken mellem interne og eksterne maskiner. Dette er analogt til en proxy. For hver protokol, der benytter bastion maskinen som relæ, kontrolleres for hver datavej, om det er tilladt, at denne type tjeneste kan realiseres mellem den ønskede interne og eksterne maskine. Er det ikke tilladt, vil datavejen ikke kunne etableres.

For tilladte forbindelser virker bastion-maskinen som et (i princippet) usynligt relæ, der kan overvåge trafikken, og som dels kan logge, hvad der sendes frem og tilbage, dels kan gribe ind ved sikkerhedsbrud. En bastion kan også f.eks. betinge oprettelsen af en interaktiv session med, at der præsenteres et ekstra password. En firewall, der kun består i en filterrouter, kan højne sikkerhedsniveauet noget, men er sårbar over for trusler, der involverer protokoller på applikationsniveau.

Da al trafik mellem det interne sikkerhedsdomæne og omverdenen passerer gennem en firewall, skal denne dels have en tilstrækkelig kapacitet, dels have implementationer af høj kvalitet af samtlige protokoller, der er relevante. Derudover skal den driftsmæssigt have et højt sikkerhedsniveau. Ofte tillades det derfor ikke, at "almindelige" brugere benytter bastion-maskinen til login.

En firewall har kun berettigelse, hvis det interne sikkerhedsniveau i øvrigt kan garanteres at være tilstrækkeligt. Den udgør derfor kun en enkelt komponent i et komplet sikkerhedssystem.