（文章來源：網(wǎng)絡(luò)整理）

防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它可以通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運行狀況，以此來實現(xiàn)網(wǎng)絡(luò)的安全保護(hù)。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全。

防火墻（Firewall），是一種硬件設(shè)備或軟件系統(tǒng)，主要架設(shè)在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)間，為了防止外界惡意程式對內(nèi)部系統(tǒng)的破壞，或者阻止內(nèi)部重要信息向外流出，有雙向監(jiān)督功能。藉由防火墻管理員的設(shè)定，可以彈性的調(diào)整安全性的等級。

防火墻總體上分為包過濾、應(yīng)用級網(wǎng)關(guān)和代理服務(wù)器等幾大類型。包含如下幾種核心技術(shù)：

1、包過濾技術(shù)，包過濾技術(shù)是一種簡單、有效的安全控制技術(shù)，它工作在網(wǎng)絡(luò)層，通過在網(wǎng)絡(luò)間相互連接的設(shè)備上加載允許、禁止來自某些特定的源地址、目的地址、TCP端口號等規(guī)則，對通過設(shè)備的數(shù)據(jù)包進(jìn)行檢查，限制數(shù)據(jù)包進(jìn)出內(nèi)部網(wǎng)絡(luò)。

包過濾的最大優(yōu)點是對用戶透明，傳輸性能高。但由于安全控制層次在網(wǎng)絡(luò)層、傳輸層，安全控制的力度也只限于源地址、目的地址和端口號，因而只能進(jìn)行較為初步的安全控制，對于惡意的擁塞攻擊、內(nèi)存覆蓋攻擊或病毒等高層次的攻擊手段，則無能為力。

2、應(yīng)用代理技術(shù)，應(yīng)用代理防火墻工作在OSI的第七層，它通過檢查所有應(yīng)用層的信息包，并將檢查的內(nèi)容信息放入決策過程，從而提高網(wǎng)絡(luò)的安全性。

應(yīng)用網(wǎng)關(guān)防火墻是通過打破客戶機(jī)／服務(wù)器模式實現(xiàn)的。每個客戶機(jī)／服務(wù)器通信需要兩個連接：一個是從客戶端到防火墻，另一個是從防火墻到服務(wù)器。另外，每個代理需要一個不同的應(yīng)用進(jìn)程，或一個后臺運行的服務(wù)程序，對每個新的應(yīng)用必須添加針對此應(yīng)用的服務(wù)程序，否則不能使用該服務(wù)。所以，應(yīng)用網(wǎng)關(guān)防火墻具有可伸縮性差的缺點。

3、狀態(tài)檢測技術(shù)，狀態(tài)檢測防火墻工作在OSI的第二至四層，采用狀態(tài)檢測包過濾的技術(shù)，是傳統(tǒng)包過濾功能擴(kuò)展而來。狀態(tài)檢測防火墻在網(wǎng)絡(luò)層有一個檢查引擎截獲數(shù)據(jù)包并抽取出與應(yīng)用層狀態(tài)有關(guān)的信息，并以此為依據(jù)決定對該連接是接受還是拒絕。這種技術(shù)提供了高度安全的解決方案，同時具有較好的適應(yīng)性和擴(kuò)展性。狀態(tài)檢測防火墻一般也包括一些代理級的服務(wù)，它們提供附加的對特定應(yīng)用程序數(shù)據(jù)內(nèi)容的支持。

狀態(tài)檢測防火墻基本保持了簡單包過濾防火墻的優(yōu)點，性能比較好，同時對應(yīng)用是透明的，在此基礎(chǔ)上，對于安全性有了大幅提升。這種防火墻摒棄了簡單包過濾防火墻僅僅考察進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包，不關(guān)心數(shù)據(jù)包狀態(tài)的缺點，在防火墻的核心部分建立狀態(tài)連接表，維護(hù)了連接，將進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)當(dāng)成一個個的事件來處理。主要特點是由于缺乏對應(yīng)用層協(xié)議的深度檢測功能，無法徹底的識別數(shù)據(jù)包中大量的垃圾郵件、廣告以及木馬程序等等。

4、完全內(nèi)容檢測技術(shù)，完全內(nèi)容檢測技術(shù)防火墻綜合狀態(tài)檢測與應(yīng)用代理技術(shù)，并在此基礎(chǔ)上進(jìn)一步基于多層檢測架構(gòu)，把防病毒、內(nèi)容過濾、應(yīng)用識別等功能整合到防火墻里，其中還包括IPS功能，多單元融為一體，在網(wǎng)絡(luò)界面對應(yīng)用層掃描，把防病毒、內(nèi)容過濾與防火墻結(jié)合起來，這體現(xiàn)了網(wǎng)絡(luò)與信息安全的新思路，(因此也被稱為“下一代防火墻技術(shù)”)。

它在網(wǎng)絡(luò)邊界實施OSI第七層的內(nèi)容掃描，實現(xiàn)了實時在網(wǎng)絡(luò)邊緣布署病毒防護(hù)、內(nèi)容過濾等應(yīng)用層服務(wù)措施。完全內(nèi)容檢測技術(shù)防火墻可以檢查整個數(shù)據(jù)包內(nèi)容，根據(jù)需要建立連接狀態(tài)表，網(wǎng)絡(luò)層保護(hù)強(qiáng)，應(yīng)用層控制細(xì)等優(yōu)點，但由于功能集成度高，對產(chǎn)品硬件的要求比較高。

防火墻作用，保護(hù)脆弱的服務(wù)，通過過濾不安全的服務(wù)，F(xiàn)irewall可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險。例如，F(xiàn)irewall可以禁止NIS、NFS服務(wù)通過，F(xiàn)irewall同時可以拒絕源路由和ICMP重定向封包?？刂茖ο到y(tǒng)的訪問，F(xiàn)irewall可以提供對系統(tǒng)的訪問控制。如允許從外部訪問某些主機(jī)，同時禁止訪問另外的主機(jī)。例如，F(xiàn)irewall允許外部訪問特定的Mail Server和Web Server。

集中的安全管理，F(xiàn)irewall對企業(yè)內(nèi)部網(wǎng)實現(xiàn)集中的安全管理，在Firewall定義的安全規(guī)則可以運行于整個內(nèi)部網(wǎng)絡(luò)系統(tǒng)，而無須在內(nèi)部網(wǎng)每臺機(jī)器上分別設(shè)立安全策略。Firewall可以定義不同的認(rèn)證方法，而不需要在每臺機(jī)器上分別安裝特定的認(rèn)證軟件。外部用戶也只需要經(jīng)過一次認(rèn)證即可訪問內(nèi)部網(wǎng)。

增強(qiáng)的保密性，使用Firewall可以阻止攻擊者獲取攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，如Figer和DNS。記錄和統(tǒng)計網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)，F(xiàn)irewall可以記錄和統(tǒng)計通過Firewall的網(wǎng)絡(luò)通訊，提供關(guān)于網(wǎng)絡(luò)使用的統(tǒng)計數(shù)據(jù)，并且，F(xiàn)irewall可以提供統(tǒng)計數(shù)據(jù)，來判斷可能的攻擊和探測。Firewall提供了制定和執(zhí)行網(wǎng)絡(luò)安全策略的手段。未設(shè)置Firewall時，網(wǎng)絡(luò)安全取決于每臺主機(jī)的用戶。
? ? ? （責(zé)任編輯：fqj）