As três principais arquiteturas de firewall mencionadas – Dual-Homed Host, Screened
Host, e Screened Subnet – têm diferentes características de segurança e complexidade,
adequadas a diferentes cenários de redes. Abaixo está um comparativo dessas
arquiteturas, enfatizando seus pontos positivos e negativos:
1. Dual-Homed Host
Descrição:
Essa arquitetura utiliza um host com duas interfaces de rede, uma conectada à rede interna
e outra à rede externa (internet). O host serve como firewall e ponto de controle, sem
permitir que o tráfego flua diretamente entre as interfaces.
Pontos Positivos:
● Simples de implementar: É relativamente fácil de configurar em comparação com
outras arquiteturas mais complexas.
● Custo baixo: Como envolve menos dispositivos, os custos de hardware e
manutenção podem ser menores.
● Isolamento direto: O tráfego entre as redes internas e externas deve passar pelo
host dual-homed, garantindo um nível de isolamento rígido.
Pontos Negativos:
● Ponto único de falha: Se o host falhar ou for comprometido, a segurança da rede
pode ser facilmente quebrada, já que todo o controle passa por ele.
● Baixa escalabilidade: Não é ideal para redes maiores ou com alto volume de
tráfego, pois pode sobrecarregar o host.
● Menor flexibilidade: As políticas de segurança são limitadas pelas capacidades do
host firewall, e pode ser difícil implementar regras complexas.
2. Screened Host
Descrição:
Nesta arquitetura, um roteador de filtro de pacotes (roteador de triagem) está entre a rede
externa e um bastion host (um host fortemente protegido). O roteador filtra o tráfego de
acordo com as regras definidas e redireciona o tráfego legítimo para o bastion host.
Pontos Positivos:
● Maior segurança: O roteador de filtro de pacotes oferece uma camada adicional de
defesa, bloqueando tráfego indesejado antes que chegue ao bastion host.
● Separação de funções: O roteador se encarrega do roteamento e filtragem de
pacotes, enquanto o bastion host lida com autenticação e monitoramento de tráfego.
● Flexibilidade: Permite regras de firewall mais granulares, ajustando tanto as
políticas de filtragem no roteador quanto as políticas no bastion host.
Pontos Negativos:
● Configuração mais complexa: Implementar e gerenciar a filtragem de pacotes no
roteador e configurar corretamente o bastion host exige mais esforço técnico.
● Custo mais alto: Inclui mais componentes (roteador + bastion host), aumentando o
custo de implantação e manutenção.
● Dependência do roteador: Se o roteador não for devidamente configurado ou
falhar, o bastion host pode se tornar vulnerável.
3. Screened Subnet (ou DMZ - Demilitarized Zone)
Descrição:
Aqui, dois roteadores de filtragem são usados para criar uma sub-rede isolada (DMZ), onde
servidores publicamente acessíveis (como servidores web ou FTP) ficam posicionados. Um
roteador controla o tráfego entre a internet e a DMZ, enquanto o outro controla o tráfego
entre a DMZ e a rede interna.
Pontos Positivos:
● Alta segurança: Oferece isolamento completo entre a rede interna e a externa,
criando uma zona intermediária (DMZ) onde servidores públicos ficam expostos sem
comprometer a rede interna.
● Controle detalhado: Regras diferentes podem ser aplicadas em cada roteador para
controlar precisamente o fluxo de tráfego entre as três redes (externa, DMZ e
interna).
● Proteção da rede interna: Mesmo que um servidor na DMZ seja comprometido, o
acesso à rede interna é minimizado, oferecendo uma camada extra de proteção.
Pontos Negativos:
● Complexidade e custo: Exige mais dispositivos e uma configuração mais
complexa, o que pode aumentar os custos de hardware e administração.
● Manutenção contínua: Devido à sua complexidade, a DMZ exige monitoramento e
ajustes frequentes para manter a segurança e eficiência.
Conclusão:
● A Dual-Homed Host é adequada para pequenas redes ou implementações com
baixo tráfego e necessidades de segurança moderadas.
● A Screened Host oferece um bom equilíbrio entre segurança e complexidade,
sendo apropriada para redes médias.
● A Screened Subnet é ideal para grandes redes empresariais ou ambientes onde
servidores públicos precisam de alta exposição, mas com forte proteção da rede
interna.
