Skip to main content

防火墙和 ArcGIS Server

防火墙是一种安全工具，它限制计算机上可与其他计算机发送和接收流量的端口数量。 当您使用防火墙将通信限制为少数几个端口时，可以限制计算机的访问方式，并确保组织以外的人员只能访问您希望其访问的程序。 例如，通常只允许 Web 流量进入 Web 服务器并阻止所有其他类型的流量。 可通过硬件、软件或者硬件和软件相结合的方式实现防火墙的功能。

防火墙有助于防止某些攻击，例如蠕虫和某些特洛伊木马。 这些攻击通过计算机上运行的程序所暴露的开放端口进入或离开您的系统，但这些端口本不应暴露在开放的互联网中。 但是，防火墙无法阻挡附加在电子邮件中的病毒或网络内部的威胁。 因此，尽管防火墙非常重要，但也不应成为整个安全策略的唯一组成部分。 除了防火墙之外，还应一同部署其他安全策略，如防病毒软件、安全可靠的身份验证和授权技术等。

注:

通过限制开放端口进行工作的防火墙不同于 Web 应用程序防火墙，后者可以主动分析传入的 Web 流量并可以阻止可疑内容。 Web 应用程序防火墙可能是您整体安全策略中的有益工具，但不是本主题中的重点内容。

实施外围网络（也称为隔离区 (DMZ) 或屏蔽子网）是一种安全性最佳实践，可防止外部用户直接访问您的 ArcGIS Server 站点。 外围网络可用作网络中外部用户可以访问的唯一暴露点。 它为组织的网络增加了一层安全保障。

本主题将讨论如何利用防火墙保护独立 ArcGIS Server 站点（未与 ArcGIS Enterprise 联合的站点）。 要了解有关 ArcGIS Enterprise 和联合 ArcGIS Server 站点的网络安全性的详细信息，请参阅关于保护您的门户。

利用防火墙保护 ArcGIS Server

您可采取多种适当的策略以使用防火墙保护独立 ArcGIS Server 站点。 以下策略使用防火墙将内部网络（安全性受到监管）与外部网络（安全性得不到保障）隔开。

外围网络中具有反向代理和 ArcGIS Web Adaptor 的多防火墙

如果您的组织尚未使用反向代理服务器，则可以在外围网络中配置反向代理服务器和 ArcGIS Web Adaptor。 在这种情况下，ArcGIS Web Adaptor 通过端口 443 接收传入的请求。 然后，它通过另一个防火墙，使用 6443 端口将请求发送至 ArcGIS Server。 ArcGIS Web Adaptor 使得该计算机充当反向代理。

外围网络中具有反向代理和 Web Adaptor 的多防火墙方案

以下详细介绍了此方案中的各个组成部分：

  • 外围网络包括 Internet 用户可通过防火墙访问，但不属于内部安全网络的计算机。 外围网络会阻止 Internet 客户端直接访问内部网络。

  • 外围网络中的 ArcGIS Web Adaptor 通过最常见的端口（例如端口 443）接收 Internet 请求。 防火墙将阻止经由其他任何端口的访问。 然后，ArcGIS Web Adaptor 通过另一个防火墙，使用 ArcGIS Server 的 6443 端口将请求发送到内部安全网络。

  • ArcGIS Server 和其他 ArcGIS Enterprise 组件位于安全的内部网络中。 进入安全网络的请求必须来自 ArcGIS Web Adaptor 并通过防火墙。 离开安全网络的响应返回到客户端的方式与请求到达的方式相同。 首先，响应通过防火墙返回到 ArcGIS Web Adaptor。 然后，ArcGIS Web Adaptor 通过另一个防火墙将响应发送到客户端。

如果外围网络中的计算机遭到破坏，则第二个防火墙会降低受影响计算机危害内部网络中计算机的概率。

集成现有反向代理

如果您的组织已经使用反向代理，则可以将其配置为将请求路由至安全的内部网络上的 ArcGIS Server。

为确保反向代理与您的安全内部网络之间的端口对外部用户不可见，请在安全内部网络中的另一台 web 服务器上安装 ArcGIS Web Adaptor。

外围网络中具有反向代理的多防火墙站点

有关如何将 ArcGIS Server 集成到您的反向代理服务器的详细信息，请参阅将反向代理服务器与 ArcGIS Server 配合使用。

单防火墙

一种安全性较低的方法是使用单个防火墙限制 web 服务器流量。 通常，只开放 443 端口。 Web 服务器、ArcGIS Web Adaptor、ArcGIS Server 和数据都位于防火墙后的安全内部网络中。

单防火墙配置

为了实现强大的网络安全性，应在外部客户端与内部网络之间部署多层防御。 如果单防火墙是唯一的防御层，则该层被攻破后，您的安全网络将面临潜在的恶意活动风险。 鉴于上述原因，不推荐使用此类型的安全配置。

ArcGIS Server 计算机之间的防火墙

通常无需在 ArcGIS Server 站点中的计算机之间或者多个 ArcGIS Server 站点之间部署防火墙。 但是，如果计算机之间确实存在防火墙，请开放 ArcGIS Server 使用的端口中所列端口。