Узел-бастион, таким образом, имеет возможность контролировать проходящий в обе стороны трафик в желательной степени.

Защищенных серверов может быть (и часто бывает) несколько. Сетевой периметр объединяет такие серверы, а также связывает внешний и внутренний маршрутизаторы. Системы сетевого периметра гораздо более подвержены атакам, чем системы внутренней сети. Так оно и должно быть. В конце концов, защищенные серверы нужны, чтобы предоставлять доступ к службам как для внешних, так и для внутренних клиентов. Изоляция систем, которые должны быть доступны внешнему миру, в отдельной сети сокращает возможность того, что нарушение безопасности одной из систем этой сети приведет к нарушению безопасности системы из внутренней сети.

Архитектура многосетевого узла - это попытка сочетать все описанные функции брандмауэра на одном компьютере. Маршрутизатор IP заменяется многосетевым узлом, который не выполняет пересылку пакетов на уровне IP. Многосетевой узел, по существу, разрывает связь между внутренней и внешней сетями. Чтобы дать внутренней сети определенный уровень подключения, такой узел выполняет функции, сходные с функциями узла бастиона. На рис. 12.5 представлены различия IP-маршрутизатора и брандмауэра на базе многосетевого узла. Маршрутизатор передает пакеты через уровень IP. Передача для каждого пакета основывается на конечном адресе, а также маршруте к этому конечному адресу, существующем в таблице маршрутизации. Узел же не просто пересылает пакеты. Многосетевой узел способен обрабатывать пакеты на прикладном уровне, что дает ему полный контроль над тем, как именно обрабатываются пакеты.

Рис. 12.5. Брандмауэры против маршрутизаторов

Такое определение брандмауэра - устройство, не имеющее ничего общего с маршрутизатором IP, - не является повсеместно принятым. Некоторые склонны называть брандмауэрами маршрутизаторы с функциями экранирования, но по большому счету это все - вопрос семантики. В настоящей книге маршрутизаторы с функциональностью для обеспечения безопасности называются «защищенными маршрутизаторами» или «защищенными шлюзами». Брандмауэры, хоть и могут сочетаться с маршрутизаторами, не просто фильтруют пакеты.