Wykład 4 Sieci komputerowe Internet Zagadnienia szczegółowe: - sieci komputerowe i ich elementy - topologie i typy sieci - model ISO/OSI - Internet, protokół TCP/IP - adresowanie w sieci - sieci bezprzewodowe - zapora sieciowa - firewall Sieci komputerowe: Sieć komputerowa to zespół systemów komputerowych (sprzętu i oprogramowania), tzw. węzłów sieci, połączonych ze sobą wspólnym medium komunikacyjnym umożliwiającym wymianę informacji i korzystających ze wspólnych zasobów (sprzęt, programy, dane). Sieci zwiększają wydajność pracy, pomagają unormować sposoby działania, ułatwiają prezentowanie pomysłów na ogólnym forum, wspomagają rozprzestrzenianie się informacji. Celem budowy sieci jest zapewnienie każdemu użytkownikowi możliwości dostępu do wszystkich (wybranych) programów, danych i innych zasobów sieci, niezależnie od fizycznej lokalizacji danego zasobu i użytkownika; ogólnie mówiąc zapewnienie możliwości przesyłania, udostępniania i wymiany informacji. Drugim ważnym celem jest uzyskanie dużej niezawodności przez posiadanie alternatywnych zasobów mocy obliczeniowej. Typy sieci komputerowych: prywatne (PAN Private Area Network) - zazwyczaj o niewielkim zasięgu, używane w środowisku domowym lub biurowym do transferowania danych, najczęściej bezprzewodowe lokalne (LAN Local Area Network) - zajmują stosunkowo niewielki, ograniczony obszar (max. 1-3 km), np. biuro, zakład pracy, duża szybkość przesyłania informacji, korzystają z okablowania typu skrętka lub kabel koncentryczny kampusowe - sieci akademickie miejskie (MAN Metropolitan Area Network) - pośrednie między LAN i WAN sieć tego typu może tworzyć szereg sieci LAN na terenie danego miasta połączonych mostami i routerami, medium transmisji to zwykle światłowód rozległe (WAN Wide Area Network) - zajmują dowolnie duży obszar, tworzą je lokalne sieci komputerowe lub sieci MAN połączone ze sobą na duże odległości np. za pomocą łącz telefonicznych, światłowodów lub łącz satelitarnych. Największą i najpopularniejszą siecią rozległą jest Internet 1
Podstawowe elementy sieci: urządzenia komputerowe - serwery, stacje robocze systemy przewodów i złączy - skrętka miedziana (4 pary przewodów), kabel koncentryczny, światłowód karty sieciowe - służą do przekształcania pakietów danych w sygnały elektryczne, które są przesyłane w sieci, każda karta ma 48-bitowy unikalny adres fizyczny (MAC) i pracuje tylko w jednym standardzie np. Ethernet, łączy magistralę komputera z siecią zasoby sieci - drukarki, plotery, streamery, dyski aktywne urządzenia do połączeń sieciowych - wzmacniacze, koncentratory, mosty, przełączniki, rutery, bramy oprogramowanie sieciowe - sieciowe systemy operacyjne - rezydujące na serwerze np. Novell Netware, Windows Server 2003, Windows Server 2008 host - w pełni funkcjonalny komputer podłączony do sieci, posiadający własny adres i uczestniczący w wymianie danych przez sieć (udostępnia usługi użytkownikom łączącym się ze swoich komputerów, umożliwia przesyłanie plików itp.) koncentrator (hub) - retransmituje sygnał elektryczny odbierany w dowolnym z portów do wszystkich pozostałych portów, zapewnia odpowiedni poziom sygnału, działa w warstwie fizycznej most (bridge) - działa w warstwie łącza danych, umożliwia przesyłanie danych pomiędzy segmentami sieci LAN na podstawie adresu MAC nadawcy i odbiorcy przełącznik (switch) - pracuje w warstwie łącza danych, wieloportowy most, którego zadaniem jest szybkie przesyłanie sygnałów pomiędzy portami i segmentacja sieci ruter (router) - umożliwia wyznaczanie drogi pakietów pomiędzy sieciami LAN oraz WAN, na podstawie adresu IP odbiorcy, funkcjonuje w warstwie sieciowej, przekazuje dane z jednej sieci do drugiej brama (gateway) - pracuje w warstwie sesji, umożliwia przesyłanie danych w sieciach LAN lub WAN oraz komunikację pomiędzy sieciami wykorzystującymi rożne protokoły Topologia sieci: Zbiór reguł fizycznego łączenia i komunikacji poprzez dany nośnik sieci (medium transmisyjne): gwiazda (star) - jeden centralny komputer zarządzający, do którego osobną magistralą są połączone inne. W dużych sieciach topologia gwiazdy rozbudowuje się do topologii płatka śniegu (wiele elementów dystrybucyjnych) pierścień (ring) - każdy węzeł ma połączenie z dwoma sąsiednimi (może nie mieć centralnego zarządzania) 2
magistrala (bus) - wszystkie komputery podłączone są do jednej magistrali, nie ma elementów uprzywilejowanych drzewo (tree) - struktura hierarchiczna siatka (mesh) - każdy komputer znajdujący się w sieci jest połączony z każdym innym (rozwiązanie niezwykle kosztowne ale niezawodne) mieszane (hybrid) - łączy cechy różnych topologii sieć szkieletowa (backbone network) - łączy zwykle mniejsze sieci Model klient-serwer: klient-serwer - serwer udostępnia usługi systemowe; pliki i programy przechowywane są na serwerze, programy wykonywane są w całości lub częściowo na stacjach roboczych aplikacje składają się z dwóch części: back-end - uruchamiana na serwerze, obsługuje (po stronie serwera) żądania od komputera-klienta front-end - działa u klienta, wysyła żądania (ze strony klienta), udostępnia wyniki (interfejs użytkownika) Model peer-to-peer: sieci peer-to-peer (P2P) - sieci partnerskie, pozwalają na udostępnienie innym użytkownikom zasobów własnego komputera roboczego oraz same korzystają z komputerów innych użytkowników każdy komputer może pełnić rolę serwera (i udostępniać zasoby) lub stacji roboczej korzystającej z zasobów innych komputerów Standardy technologii sieciowych: Standardy technologii sieciowych obejmują specyfikację przewodów oraz przesyłanych nimi sygnałów, opisują również formaty ramek i protokoły przesyłania informacji. Najpopularniejsze technologie to: Ethernet - wykorzystywana w sieciach LAN, prędkości przesyłania danych: 10 Mb/s, 100 Mb/s (Fast Ethernet), 1 Gb/s (Gigabit Ethernet), 10 Gb/s Token Ring - implementowana w sieciach o topologii pierścienia, wykorzystuje technikę przekazywania żetonu, prędkości przesyłania danych: 4 Mb/s lub 16 Mb/s FDDI (Fiber Distributed Data Interface) - standard oparty na technologii 3
światłowodowej, sieć zbudowana z dwóch pierścieni, wykorzystywana przede wszystkim w sieciach szkieletowych lub kampusowych, transfer danych: 100 Mb/s ATM (Asynchronous Transfer Mode) - szerokopasmowa technologia komunikacyjna, w której możliwe jest przesyłanie danych multimedialnych, standard stosowany w sieciach MAN i WAN, transfer: od 155 do 622 Mb/s Frame Relay (FR) - technologia używana do łączenia sieci LAN lub WAN, pozwala na przesyłanie danych multimedialnych Protokoły sieciowe: Protokoły sieciowe to zbiory reguł określających sposób komunikacji (reguły transmisji, formaty komunikatów) między komputerami i innymi urządzeniami w sieci (np. IPX/SPX, TCP/IP). Określają one sposób, w jaki przesyłane są bloki danych zwane pakietami. Zasady przesyłania informacji, budowę sieci i połączeń ich z komputerami określają standardy. Od 1984 r standardem jest model ISO/OSI (International Standards Organization/ Open Systems Interconnection). W modelu ISO/OSI zaproponowano siedmiowarstwową budowę protokołu. Każda warstwa posiada obiekty (elementy aktywne) i usługi na rzecz warstwy wyższej. Model ISO/OSI: 1. warstwa fizyczna (najniższa) odpowiada za media fizyczne łączące hosty w sieci, specyfikuje medium fizyczne oraz definiuje sygnały użyte w przesyle informacji (elektryczne, optyczne, radiowe), podstawowy obiekt to bity, odpowiada za fizyczną transmisję bitów 2. warstwa łącza danych - odpowiada za sterowanie przepływem przesyłanych informacji oraz synchronizację transmisji, określa dostęp do mediów oraz adresuje porty z wykorzystaniem adresów MAC, na tym poziomie tworzona jest i przesyłana ramka, czyli sekwencja bitów zawierających dane i elementy kontrolne 3. warstwa sieciowa - odpowiada za wybór drogi w sieci (routing) na podstawie warunków sieciowych, priorytetu usługi i wielu innych czynników, tworzy podstawowy obiekt - pakiet (pakiet ma adres nadawcy i odbiorcy) 4. warstwa transportowa - po ustaleniu połączenia (dokładnego adresu) nadzoruje transmisję między dwoma użytkownikami, odpowiada za segmentowanie danych (dane trafiają do odpowiednich aplikacji w postaci komunikatów segmentów) oraz zarządzanie niezawodną komunikacją 5. warstwa sesji - odpowiada za rozpoczęcie i zakończenie, a także sterowanie konwersacją między dwoma aplikacjami poprzez sieć, zapewnia bezpieczeństwo, rozpoznawanie nazw, haseł i logowanie się (realizuje procedury login i logout) 6. warstwa prezentacji - interpretuje i formatuje dane do wyświetlenia i drukowania, przekazuje informacje użytkownikowi, dokonuje konwersji formatów, szyfrowania, kompresji, obsługuje kody sterujące, znaki specjale itp. 7. warstwa zastosowań - warstwa aplikacji, obsługuje polecenia systemowe systemu operacyjnego oraz programy użytkowe Internet: Internet jest zespołem sieci połączonych logicznie w strukturze hierarchicznej w jednorodną sieć adresową, korzystającą z protokołu TCP/IP. Sieci połączone są za pomocą bram. 4
Internet to rozległa i rozproszona ogólnoświatowa sieć komputerowa. Rozległa ponieważ łączy ze sobą wiele odległych systemów komputerowych. Rozproszona bo nie można w niej wyróżnić punktu centralnego, który nadzoruje pracę całej sieci. Każdy fragment sieci jest zdolny do samodzielnego działania. Internet wywodzi się z sieci ARPANET (koniec lat sześćdziesiątych XX w.) Inne znane standardy sieci rozległych o zasięgu światowym to: X.25, BITNET, DECnet. Protokoły TCP i IP: Protokół TCP (Transmission (Transport) Control Protocol) steruje ruchem pakietów (porcji danych) w sieci, umożliwia sprawdzenie, czy dane dotarły do adresata nieuszkodzone, porządkuje i scala pakiety w takiej kolejności, w jakiej zostały wysłane. Wymaga nawiązania połączenia nadawca odbiorca i zapewnia niezawodność transmisji. Protokół IP (Internet Protocol) jest protokołem bezpołączeniowym, nie zapewnia niezawodności transmisji, odpowiada za prawidłowe adresowanie oraz dostarczenie do miejsca przeznaczenia datagramów (pakietów zaopatrzonych w adres nadawcy i odbiorcy). Dane wysyłane są w pakietach (ok. 1500 bajtów). Protokoły TCP i IP łącznie zarządzają przepływem danych przez sieć w obu kierunkach. IP przesyła pakiety bez ich rozróżniania, natomiast zadaniem TCP jest gwarancja ich dotarcia. Wybrane protokoły pomocnicze: UDP (User Datagram Protocol) identyfikuje aplikację docelową, oferuje bezpołączeniową usługę transportową umożliwiającą szybką, lecz zawodną metodą dostarczania danych, nie wymaga potwierdzenia odebrania danych i nie ponawia wysłania danych, w przypadku ich utraty lub uszkodzenia, jest używany przez aplikacje wysyłające dane do wielu komputerów ARP (Address Resolution Protocol) jest odpowiedzialny za rozwiązanie adresów dla wychodzących pakietów (adresy IP są mapowane do adresów MAC) IGMP (Internet Group Management Protocol) zarządza członkostwem na listach multiemisji IP (multiemisja IP jest procesem, w którym informacje są przesyłane do określonej grupy odbiorców) ICMP (Internet Control Messager Protocol) oferuje możliwość wysłania komunikatów o błędach, w przypadku niedostarczenia pakietów, komputery i routery mogą informować o błędach oraz wymieniać informacje kontrolne Datagram (pakiet) TCP/IP: Datagramem określa się samodzielny pakiet - zawierający w nagłówku ilość informacji wystarczającą do przesłania go przez sieć od nadawcy do odbiorcy niezależnie od innych pakietów. Datagram lub pakiet TCP/IP jest blokiem informacji zawierającym adres pochodzenia + adres przeznaczenia + dane. Datagram może podlegać podziałowi na fragmenty o długości mniejszej lub równej wartości MTU (Maximum Transfer Unit). Każdy fragment też jest datagramem. Datagramy można kierować bezpośrednio, gdy komputer wysyłający i odbierający znajdują się w tej samej sieci lub podsieci. 5
Datagram jest rutowany pośrednio, gdy adres pochodzenia i przeznaczenia znajdują się w różnych sieciach. Datagram przechodzi najpierw przez lokalną bramę (gateway), która określa, gdzie następnie przesłać datagram. Datagram wędruje od jednej bramy do następnej, aż trafi do miejsca przeznaczenia (możliwych jest wiele dróg). Przepływ danych w TCP/IP: Budowa datagramu IPv4: Budowa datagramu: - wersja protokołu IP (4 b) - długość nagłówka (bez danych) (4 b) - typ usługi (wyznacza priorytet datagramu) (8 b) - długość pakietu (nagłówek + dane) w bajtach (16 b) - nr identyfikacyjny do zestawienia fragmentów datagramu (16 b) - flagi używane razem z nr identyfikacyjnym (3 b) - przesunięcie fragmentacji (pomocne we fragmentacji) (13 b) - czas życia datagramu (przejście przez router zmniejsza go o 1) (8 b) - protokół warstwy wyższej (8 b) - suma kontrolna nagłówka (16 b) - adres IP nadawcy (32 b) - adres IP odbiorcy (32 b) - opcje + uzupełnienie (32 b) - dane Adresowanie w sieci IPv4: Adres (liczbowy) IP każdy komputer - host, tj. węzeł w sieci, ma przypisany (statycznie lub dynamicznie) unikalny w sieci 32 bitowy identyfikator, który stanowi numer internetowy (według IPv4). Zapisany jest on jako sekwencja czterech liczb 8 bitowych oddzielonych kropkami, zwanych oktetami, np. 223.255.123.234. Każdy oktet reprezentuje liczbę z zakresu 0 255. 6
Adres IP jest zatem 32-bitową liczbą całkowitą zawierającą informacje o tym, do jakiej sieci włączony jest dany host oraz jednoznaczny jego adres w tej sieci. Jest on nadawany przez właściciela z puli adresów, która jest przydzielana z kolei przez dostawcę usług internetowych (ISP - Internet Service Provider), który otrzymuje je z regionalnych rejestrów internetowych ustalanych przez IANA (Internet Assigned Numbers Authority), będącej częścią korporacji Internet Corporation for Assigned Names and Numbers (ICANN). Klasy adresów: Pierwszy oktet w adresie IP wskazuje klasę adresu: Adres klasy A (duże sieci): 1 bit (równy 0) określa typ sieci, 7 następnych bitów (od 1 do 126) określa adres sieci, (0 określa tzw. domyślną drogę trasowania, 127 określa komputer lokalny), 24 pozostałe to numer komputera (hosta) w tej sieci. Adres klasy B (średnie sieci): 2 bity (równe 10) określają typ sieci, 14 następnych bitów określa adres sieci, 16 pozostałych to numer komputera (hosta) w tej sieci. Adres klasy C (małe sieci): 3 bity (równe 110) określają typ sieci, 21 następnych bitów określa adres sieci, 8 pozostałych to numer komputera (hosta) w tej sieci. Adres klasy D (adresy rozgłaszania grupowego): 4 pierwsze bity (równe 1110) określają typ sieci, 28 pozostałych to identyfikator grupy. Adres klasy E (adresy zarezerwowane dla celów eksperymentalnych): 4 pierwsze bity równe 1111. Maska sieci i podsieci: Maska sieci określa, do której sieci (klasy adresów) należy adres hosta: maska 11111111.0.0.0 klasa A (duże sieci) maska 11111111.11111111.0.0 klasa B (średnie sieci) maska 11111111.11111111.11111111.0 - klasa C (małe sieci) Maska podsieci pozwala wskazać dodatkowy podział sieci na podsieci za pomocą ciągu bitów ustawionych na 1 zaczynając od skrajnego lewego bitu. Bity adresu odpowiadające bitom ustawionym na 1 pokazują adres sieci i numer podsieci, bity adresu odpowiadające bitom ustawionym na 0 pokazują numer hosta w tej podsieci, np. adres IP: 10101100 00010001 10011111 00101101 (172.17.159.45) maska: 11111111 11111111 11111000 00000000 (255.255.248.0) adres sieci: 10101100 00010001 (172.17.0.0) numer podsieci: 10011 19 numer hosta: 111 00101101 1837 skrócony zapis adresu z podaniem maski 172.17.159.45/21 IPv6: IPv6 to nowy 128-bitowy rodzaj adresów IP, ma zwiększyć pulę adresów i umożliwić podłączenie do Internetu wszystkich urządzeń elektronicznych. 128-bitowa przestrzeń adresowa umożliwia utworzenie 2 128, czyli 340 282 366 920 938 463 374 607 431 768 211 456 ( 3.4 10 38 ) adresów (ta przestrzeń adresowa dostarcza 655 570 793 348 866 943 898 599 6.5 10 23 adresów na każdy metr kwadratowy powierzchni Ziemi). Adres IPv6 zapisuje się jako osiem liczb szesnastkowych rozdzielonych dwukropkami, np.: 21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A. Reprezentacja adresu IPv6 może być dodatkowo uproszczona przez usunięcie z każdego 16-7
bitowego bloku początkowych zer. Jednak każdy blok musi zawierać przynajmniej jedną cyfrę. Po usunięciu początkowych zer adres przyjmuje postać: 21DA:D3:0:2F3B:2AA:FF:FE28:9C5A Adres domenowy: Adresy IP są bardzo niewygodne dla użytkownika. Dlatego zamienia się je na adresy domenowe (symboliczne). Adres domenowy zapisywany jest w postaci ciągu nazw, tzw. domen, które rozdzielone są kropkami podobnie, jak w przypadku adresu IP. O ile adres IP składa się zawsze a czterech części, o tyle adres domenowy może ich mieć różną liczbę - od dwóch do siedmiu, np. inf.wsp.krakow.pl, microsoft.com. Odwrotnie niż adres IP, adres domenowy czyta się od tyłu. Ostatni jego fragment, tzw. domena najwyższego poziomu, jest z reguły dwuliterowym oznaczeniem kraju. Przykład: wmid.amu.edu.pl pl nazwa kraju (domena główna), edu globalna domena określająca rodzaj użytkownika, amu domena, do której należy komputer, wmid - nazwa komputera. Obsługą domen zajmuje się DNS (Domain Name Service) pozwalający na konwersję adresu symbolicznego (domenowego) na liczbowy IP. Sieci bezprzewodowe: Bezprzewodowa sieć lokalna (WLAN - Wireless LAN) jest elastycznym systemem komunikacji zaimplementowanym jako uzupełnienie lub jako rozwiązanie alternatywne dla tradycyjnej sieci kablowej. Wykorzystuje się: - transmisję za pomocą wiązki podczerwieni - między urządzeniami nadawczymi a urządzeniami odbiorczymi musi być wolna przestrzeń - fale radiowe (częstotliwości od 1.8 do 6 GHz, zwykle 2.4 GHz), możliwość zakłócania przez silne pola elektromagnetyczne, transfer: do 108 Mb/s, technologie: Bluetooth, WiFi Zalety: szybka i prosta instalacja (sieć można tworzyć w miejscach, gdzie nie ma możliwości ułożenia kabli, mobilność komputerów sieciowych (możliwość przeniesienia stanowisk pracy), mobilność całej sieci (zmiana lokalizacji np. firmy), łatwość integracji z istniejącą siecią przewodową Wady: często ograniczony zasięg, podatność na zakłócenia zewnętrzne, możliwości włamań i podsłuchu (konieczność szyfrowania transmisji). Access Point: Integrację z siecią kablową realizuje się z pomocą punktu dostępowego (Access Point); jest to urządzenie nadawczo-odbiorcze, które łączy się z siecią kablową z użyciem standardowego okablowania. Technologie sieci bezprzewodowych: WPAN (Wireless Personal Area Network) Sieć o zasięgu kilku metrów służąca do wymiany informacji pomiędzy urządzeniami przenośnymi typu notebook, palmtop, telefon GSM (obecnie wykorzystuje się technologię Blutooth) WLAN (Wireless Local Area Network) Sieć lokalna oparta o technologię bezprzewodową, zlokalizowana w stosunkowo niewielkim obszarze i obejmująca niewielką liczbę komputerów, zwykle kilka, kilkanaście (technologia Wi-Fi) 8
WWAN (Wireless Wide Area Network) Rozległa sieć komputerowa oparta o technologię bezprzewodową, która obejmuje dużą liczbę komputerów na dużej przestrzeni i o dużym zasięgu Typy sieci WLAN: Zasięgowe sieci WLAN - zaprojektowane w taki sposób, aby zapewnić jak największe pokrycie przy jak najmniejszej liczbie punktów dostępu - niska prędkość transmisji pakietów - niższe prędkości transmisji: 1 Mb/s i 2 Mb/s - łatwość konserwacji z uwagi na niewielką ilość urządzeń Pojemnościowe sieci WLAN - sieć ma zapewnić maksymalną przepustowość i prędkość transmisji pakietów każdemu klientowi, większa gęstość punktów dostępowych - aplikacje wymagają dużej prędkości transmisji - aplikacje wrażliwe na opóźnienia - duże zagęszczenie klientów Zagrożenia bezpieczeństwa w sieci: Podstawowe zagrożenia bezpieczeństwa w sieci: - uzyskanie przez osoby nieuprawnione dostępu do danych transmitowanych przez sieć lub przechowywanych na dołączonych do sieci komputerach - uzyskanie dostępu do takich zasobów jak: moc obliczeniowa, pamięć itp. - utrata danych na skutek zewnętrznej ingerencji - fałszerstwo danych. Zagrożenia te są spowodowane: - wadami stosowanych protokołów, w szczególności TCP/IP - błędami w oprogramowaniu systemowym - błędami administratora sieci lub użytkownika systemu Zapora sieciowa - firewall: Zapora sieciowa (firewall ) to system ochrony sprzętowej i programowej sieci wewnętrznej LAN przed nieuprawnionym dostępem z zewnątrz, z sieci publicznych, Internetu; chroni również przed niepożądanym wypływem danych z sieci lokalnej na zewnątrz. Funkcję zapory sieciowej może pełnić dedykowany sprzęt komputerowy (router filtrujący) wraz ze specjalnym oprogramowaniem, jak i samo oprogramowanie blokujące niepowołany dostęp. Do jej podstawowych zadań należy filtrowanie połączeń wchodzących i wychodzących oraz tym samym odmawianie żądań dostępu uznanych za niebezpieczne. Najczęściej stosowane techniki obrony: - filtrowanie pakietów wchodzących do i wychodzących z sieci, sprawdzanie pochodzenia pakietów i akceptowanie tylko pożądanych - stosowanie algorytmów identyfikacji użytkownika (hasła, certyfikaty itp.) - zabezpieczanie programów obsługujących wybrane protokoły usług sieciowych - określanie dopuszczalnego rozmiaru strumienia wejściowego atak DoS - kontrola fragmentacji pakietów wejściowych 9
Bardzo ważną funkcją zapory sieciowej jest monitorowanie ruchu sieciowego i zapisywanie najważniejszych zdarzeń do dziennika (tzw. logu). Na zaporze można zdefiniować strefę ograniczonego zaufania (tzw. strefa zdemilitaryzowana) podsieć, która izoluje od wewnętrznej sieci lokalne serwery udostępniające usługi na zewnątrz (np. serwer WWW serwujący informacje o przedsiębiorstwie). Typy zapór sieciowych: Zapory filtrujące: monitorują przepływające przez nie pakiety sieciowe przepuszczają tylko pakiety zgodne z regułami ustawionymi na danej zaporze. Stosowane rozwiązania pozwalają na analizę i filtrowanie pakietów IP, sprawdzanie poprawności pakietów z punktu widzenia wyższych warstw modelu ISO/OSI, a także na prowadzenie ochrony antywirusowej. Translacja adresów sieciowych (NAT): polega na dokonywaniu zmiany adresu IP hosta wewnętrznego (źródłowego lub docelowego) w celu ukrycia go przed zewnętrznym monitorowaniem (maskowanie adresu IP). Zapory pośredniczące (proxy): wykonują połączenie z serwerem w imieniu użytkownika, co pozwala filtrować ruch w sieci. Możliwe jest przykładowo blokowanie wybranych treści, aby nie dotarła one do klienta (np. strony ze słowami wulgarnymi, o treści pornograficznej itp.). 10