Text 9011, 75 rader
Skriven 2000-01-19 18:37:49 av Eddy L O Jansson (2:206/233.0)
   Kommentar till text 8994 av Sigvard Lingh (2:206/224.31)
Ärende: Proxy
=============

SL> jobbet, varför han bet sig i tungan så att inte kunde prata mer på
SL> ett tag.

 Låter som en smart person. Det är dock en risk jag inte lider.

SL> 1. Vad är enklast att sätta upp - en brandvägg eller en proxy?

 Umm.. måste jag välja så tror jag en paketfiltrerande brandvägg är
 svårast att sätta upp, på ett bra sätt. Men att sätta upp någotdera är
 egentligen ingenting för amatörer. Jag litar inte ens på att jag själv
 kan göra det ordentligt. Det krävs att man först plitar ned reglerna på
 papper (i verkligheten är det slipsarna som sätt policy, som styr
 reglerna. Well, så går teorin iaf), tittar över dem så att de är logiskt
 korrekta. Sedan skall de översättas till det språk som brandväggen
 förstår, och därefter skall de testas i praktiken -- av olika personer.

 Men, det beror ju på hur seriös man vill vara, och hur självsäker man är.

SL> 2. Vad är enklast att sedan driva (för en halvamatör som jag)?

 När det är uppsatt skall det inte behövas några större ingrepp. Viss
 administration kan ju uppstå om du vill lägga till tjänster i proxyn
 ("Okay, jag vill tillåta Real Audio iallafall"), eller om du vill
 förändra reglerna i brandväggen av någon anledning, kanske vill du kunna
 FTP'a in från din arbetsstation på jobbet, då kan du modifiera
 paketfiltret att släppa igenom trafik på port 21, men bara tillåta
 paket stämplade med det IP-nr som din arbetsstation har.

SL> 3. Kan man öht jämföra brandvägg och proxy när man talar om
SL> datorsäkerhet;

 Det var nog lite fel av mig att så tvärsäkert dela på begreppen. Som
 vanligt är det ont om klara definitioner (oftast lutar man sig mot
 definitionen i en bok av en "auktoritet" eller liknande). Man kan prata
 om 'brandväggen' som en hel lösning som utgörs av ett antal komponenter,
 däribland en paketfiltrerande brandvägg.

SL> nu talar jag ffa om det fall då jag inte har egen server på fast
SL> lina.

 Tror inte jag förstår frågan. På en hög nivå har de samma mål, att göra
 burkarna på din sida om DMZ (den DeMilitariserade Zonen) säkrare. På
 en lägre nivå är de inte direkt jämförbara eftersom de arbetar på olika
 sätt. En paketfiltrerande brandvägg ger den mest finkorniga
 kontrollmöjligheten, men en proxy förstå de högre protokollen och kan
 således dirigera och domdera över en viss typ av trafik på ett annat
 sätt. En stor anledning till att man vill ha en proxy är att man vill ha
 någon slags cache, oftast då en HTTP-cache, men även DNS-uppslag och
 liknande kan cache'as av en proxy.

 En annan skillnad ligger i informationen du kan få från de olika
 lösningarna. Där en paketfiltrerande brandvägg kan säga
 "datorn med IP x.x.x.x har skickat y paket a' z bytes", kan en proxy
 även dela in statistiken i vilka högre protokoll du använt, och då en
 proxy känner till de högre protokollen kan den även ta fram och agera på
 data i dem, dvs, den kan se _vilken_ URL du försöker öppna, den kan se
 vilken fil du försöker ladda ned. Med en proxy kan du se till så att
 "användare Y inte får ladda hem filer med FTP om de slutar med ändelsen
 .exe"

 Så om de är jämförbara.. tja, du kan ju dra dina egna slutsatser.

 Som jag ser det är en proxy mycket mer ett sätt att styra användarna
 _inom_ nätet än en paketfiltrerande brandvägg är, vars främsta uppgift
 är att hålla de stygga pojkarna på andra sidan.

 <lämplig dos av IMHO här>

 Att du inte är fast uppkopplad är av mindre konsekvens.

 /%/)+Eddy

---
 * Origin:  (2:206/233)