目录
- 什么叫双重宿主主机？
- 原理解释
- 如何提供服务？
- 注意事项
什么叫双重宿主主机？
双重宿主主机又称为堡垒主机，是一台至少配有两个网络接口的主机，它可以充当与这些接口相连的网络之间的路由器，在网络之间发送数据包。而一般情况下双宿主机的路由功能是被禁止的，因而能够隔离内部网络与外部网络之间的直接通信，从而起到保护内部网络的作用。
依然来个丑图：
原理解释
双宿主机结构采用主机替代路由器执行安全控制功能，故类似于包过滤防火墙。双宿主机即一台配有多个网络接口的主机，它可以用来在内部网络和外部网络之间进行寻径。如果在一台双宿主机中寻径功能被禁止了，则这个主机可以隔离与它相连的内部网络和外部网络之间的通信，而与它相连的内部和外部网络都可以执行由它所提供的网络应用，如果这个应用允许的话，它们就可以共享数据。这样就保证内部网络和外部网络的某些节点之间可以通过双宿主机上的共享数据传递信息，但内部网络与外部网络之间却不能传递信息，从而达到保护内部网络的作用。它是外部网络用户进入内部网络的唯一通道，因此双宿主机的安全至关重要，它的用户口令控制安全是一个关键。
如何提供服务？
双宿主机使用两种方式来提供服务，一种是用户直接登录到双宿主机上来提供服务，另一种是在双宿主机上运行代理服务器。
第一种方式需要在双宿主机上开很多账号，这会带来一些危险：
1、用户账号的存在给入侵者提供相对容易的入侵通道，每一个账号通常会有一个可重复使用的密码，这样很容易被入侵者破解。
2、由于用户的行为是不可预知的，这会给入侵检测带来很大的麻烦。
第二种方式的问题相对要少很多，并且有些服务（如HTTP、SMTP）本身的特点就是“存储转发”型的，很适合进行代理。在双宿主机上可以运行多种代理服务程序，当内网要访问外网时，必须先通过服务器认证，然后才可以通过代理服务程序访问外网。
注意事项
双宿主主机是唯一的隔开内部网络和internet之间的屏障，如果入侵者得到了双宿主主机的访问权，内部网络就会被入侵，所以，双宿主主机必须具有强大的身份认证系统。
它的一个致命的弱点是，一旦入侵者入侵了堡垒主机并开启路由功能，则任何外网用户均可以随便访问内网。（是不是很害怕0.0）
因此，设计时应遵循两条基本的原则:
- 堡垒主机要尽可能简单，保留最少的服务，关闭路由功能。
- 随时做好准备，修复受损害的堡垒主机。
