防火墻技術(shù)的功能主要在于及時(shí)發(fā)現(xiàn)并處理計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行時(shí)可能存在的安全風(fēng)險(xiǎn)、數(shù)據(jù)傳輸等問題，其中處理措施包括隔離與保護(hù)，同時(shí)可對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全當(dāng)中的各項(xiàng)操作實(shí)施記錄與檢測(cè)，以確保計(jì)算機(jī)網(wǎng)絡(luò)運(yùn)行的安全性，保障用戶資料與信息的完整性，為用戶提供更好、更安全的計(jì)算機(jī)網(wǎng)絡(luò)使用體驗(yàn)。

1993年

目錄

• 1基本定義
• 2防火墻功能
• 3重要性
• 4意義與特征

• 5主要類型
• 6關(guān)鍵技術(shù)
• 7部署方式
• 8具體應(yīng)用

• 9未來趨勢(shì)

所謂“防火墻”是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)（如Internet）分開的方法，它實(shí)際上是一種建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，隔離技術(shù)。越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中，尤其以接入Internet網(wǎng)絡(luò)為最甚。

防火墻主要是借助硬件和軟件的作用于內(nèi)部和外部網(wǎng)絡(luò)的環(huán)境間產(chǎn)生一種保護(hù)的屏障，從而實(shí)現(xiàn)對(duì)計(jì)算機(jī)不安全網(wǎng)絡(luò)因素的阻斷。只有在防火墻同意情況下，用戶才能夠進(jìn)入計(jì)算機(jī)內(nèi)，如果不同意就會(huì)被阻擋于外，防火墻技術(shù)的警報(bào)功能十分強(qiáng)大，在外部的用戶要進(jìn)入到計(jì)算機(jī)內(nèi)時(shí)，防火墻就會(huì)迅速的發(fā)出相應(yīng)的警報(bào)，并提醒用戶的行為，并進(jìn)行自我的判斷來決定是否允許外部的用戶進(jìn)入到內(nèi)部，只要是在網(wǎng)絡(luò)環(huán)境內(nèi)的用戶，這種防火墻都能夠進(jìn)行有效的查詢，同時(shí)把查到信息朝用戶進(jìn)行顯示，然后用戶需要按照自身需要對(duì)防火墻實(shí)施相應(yīng)設(shè)置，對(duì)不允許的用戶行為進(jìn)行阻斷。通過防火墻還能夠?qū)π畔?shù)據(jù)的流量實(shí)施有效查看，并且還能夠?qū)?shù)據(jù)信息的上傳和下載速度進(jìn)行掌握，便于用戶對(duì)計(jì)算機(jī)使用的情況具有良好的控制判斷，計(jì)算機(jī)的內(nèi)部情況也可以通過這種防火墻進(jìn)行查看，還具有啟動(dòng)與關(guān)閉程序的功能，而計(jì)算機(jī)系統(tǒng)的內(nèi)部中具有的日志功能，其實(shí)也是防火墻對(duì)計(jì)算機(jī)的內(nèi)部系統(tǒng)實(shí)時(shí)安全情況與每日流量情況進(jìn)行的總結(jié)和整理。

防火墻是在兩個(gè)網(wǎng)絡(luò)通訊時(shí)執(zhí)行的一種訪問控制尺度，能最大限度阻止網(wǎng)絡(luò)中的黑客訪問你的網(wǎng)絡(luò)。是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個(gè)分離器，一個(gè)限制器，也是一個(gè)分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的安全。

防火墻對(duì)流經(jīng)它的網(wǎng)絡(luò)通信進(jìn)行掃描，這樣能夠過濾掉一些攻擊，以免其在目標(biāo)計(jì)算機(jī)上被執(zhí)行。防火墻還可以關(guān)閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最后，它可以禁止來自特殊站點(diǎn)的訪問，從而防止來自不明入侵者的所有通信。

網(wǎng)絡(luò)安全的屏障

一個(gè)防火墻（作為阻塞點(diǎn)、控制點(diǎn)）能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險(xiǎn)。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的NFS協(xié)議進(jìn)出受保護(hù)網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時(shí)可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項(xiàng)中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻應(yīng)該可以拒絕所有以上類型攻擊的報(bào)文并通知防火墻管理員。

強(qiáng)化網(wǎng)絡(luò)安全策略

通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計(jì)等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個(gè)主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問時(shí)，一次一密口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完全可以不必分散在各個(gè)主機(jī)上，而集中在防火墻一身上。

監(jiān)控審計(jì)

如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。另外，收集一個(gè)網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測(cè)和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計(jì)對(duì)網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。

防止內(nèi)部信息的外泄

通過利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問題對(duì)全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個(gè)內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如Finger，DNS等服務(wù)。Finger顯示了主機(jī)的所有用戶的注冊(cè)名、真名，最后登錄時(shí)間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個(gè)系統(tǒng)使用的頻繁程度，這個(gè)系統(tǒng)是否有用戶正在連線上網(wǎng)，這個(gè)系統(tǒng)是否在被攻擊時(shí)引起注意等等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣一臺(tái)主機(jī)的域名和IP地址就不會(huì)被外界所了解。除了安全作用，防火墻還支持具有Internet服務(wù)性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN（虛擬專用網(wǎng)）。

日志記錄與事件通知

進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)都必須經(jīng)過防火墻，防火墻通過日志對(duì)其進(jìn)行記錄，能提供網(wǎng)絡(luò)使用的詳細(xì)統(tǒng)計(jì)信息。當(dāng)發(fā)生可疑事件時(shí)，防火墻更能根據(jù)機(jī)制進(jìn)行報(bào)警和通知，提供網(wǎng)絡(luò)是否受到威脅的信息。

1、記錄計(jì)算機(jī)網(wǎng)絡(luò)之中的數(shù)據(jù)信息

數(shù)據(jù)信息對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)建設(shè)工作有著積極的促進(jìn)作用，同時(shí)其對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)安全也有著一定程度上的影響。通過防火墻技術(shù)能夠收集計(jì)算機(jī)網(wǎng)絡(luò)在運(yùn)行的過程當(dāng)中的數(shù)據(jù)傳輸、信息訪問等多方面的內(nèi)容，同時(shí)對(duì)收集的信息進(jìn)行分類分組，借此找出其中存在安全隱患的數(shù)據(jù)信息，采取針對(duì)性的措施進(jìn)行解決，有效防止這些數(shù)據(jù)信息影響到計(jì)算機(jī)網(wǎng)絡(luò)的安全。除此之外，工作人員在對(duì)防火墻之中記錄的數(shù)據(jù)信息進(jìn)行總結(jié)之后，能夠明確不同類型的異常數(shù)據(jù)信息的特點(diǎn)，借此能夠有效提高計(jì)算機(jī)網(wǎng)絡(luò)風(fēng)險(xiǎn)防控工作的效率和質(zhì)量。

2、防止工作人員訪問存在安全隱患的網(wǎng)站

計(jì)算機(jī)網(wǎng)絡(luò)安全問題之中有相當(dāng)一部分是由工作人員進(jìn)入了存在安全隱患的網(wǎng)站所導(dǎo)致的。通過應(yīng)用防火墻技術(shù)能夠?qū)ぷ魅藛T的操作進(jìn)行實(shí)時(shí)監(jiān)控，一旦發(fā)現(xiàn)工作人員即將進(jìn)入存在安全隱患的網(wǎng)站，防火墻就會(huì)立刻發(fā)出警報(bào)，借此有效防止工作人員誤入存在安全隱患的網(wǎng)站，有效提高訪問工作的安全性。

3、控制不安全服務(wù)

計(jì)算機(jī)網(wǎng)絡(luò)在運(yùn)行的過程當(dāng)中會(huì)出現(xiàn)許多不安全服務(wù)，這些不安全服務(wù)會(huì)嚴(yán)重影響到計(jì)算機(jī)網(wǎng)絡(luò)的安全。通過應(yīng)用防火墻技術(shù)能夠有效降低工作人員的實(shí)際操作風(fēng)險(xiǎn)，其能夠?qū)⒉话踩?wù)有效攔截下來，有效防止非法攻擊對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全造成影響。此外，通過防火墻技術(shù)還能夠?qū)崿F(xiàn)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)之中的各項(xiàng)工作進(jìn)行實(shí)施監(jiān)控，借此使得計(jì)算機(jī)用戶的各項(xiàng)工作能夠在一個(gè)安全可靠的環(huán)境之下進(jìn)行，有效防止因?yàn)橛?jì)算機(jī)網(wǎng)絡(luò)問題給用戶帶來經(jīng)濟(jì)損失。

防火墻的英文名為“FireWall”，它是一種最重要的網(wǎng)絡(luò)防護(hù)設(shè)備。從專業(yè)角度講，防火墻是位于兩個(gè)(或多個(gè))網(wǎng)絡(luò)間，實(shí)施網(wǎng)絡(luò)之間訪問控制的一組組件集合。防火墻的本義是指古代構(gòu)筑和使用木制結(jié)構(gòu)房屋的時(shí)候，為防止火災(zāi)的發(fā)生和蔓延，人們將堅(jiān)固的石塊堆砌在房屋周圍作為屏障，這種防護(hù)構(gòu)筑物就被稱之為“防火墻”。其實(shí)與防火墻一起起作用的就是“門”。如果沒有門，各房間的人如何溝通呢，這些房間的人又如何進(jìn)去呢？當(dāng)火災(zāi)發(fā)生時(shí)，這些人又如何逃離現(xiàn)場(chǎng)呢？這個(gè)門就相當(dāng)于我們這里所講的防火墻的“安全策略”，所以在此我們所說的防火墻實(shí)際并不是一堵實(shí)心墻，而是帶有一些小孔的墻。這些小孔就是用來留給那些允許進(jìn)行的通信，在這些小孔中安裝了過濾機(jī)制，也就是上面所介紹的“單向?qū)ㄐ浴薄?/span>

我們通常所說的網(wǎng)絡(luò)防火墻是借鑒了古代真正用于防火的防火墻的喻義，它指的是隔離在本地網(wǎng)絡(luò)與外界網(wǎng)絡(luò)之間的一道防御系統(tǒng)。防火可以使企業(yè)內(nèi)部局域網(wǎng)（LAN）網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用來保護(hù)內(nèi)部網(wǎng)絡(luò)。

典型的防火墻具有以下基本特性。

數(shù)據(jù)必經(jīng)之地

內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過防火墻。這是防火墻所處網(wǎng)絡(luò)位置特性，同時(shí)也是一個(gè)前提。因?yàn)橹挥挟?dāng)防火墻是內(nèi)、外部網(wǎng)絡(luò)之間通信的通道，才可以全面、有效地保護(hù)企業(yè)網(wǎng)部網(wǎng)絡(luò)不受侵害。根據(jù)美國(guó)國(guó)家安全局制定的《信息保障技術(shù)框架》，防火墻適用于用戶網(wǎng)絡(luò)系統(tǒng)的邊界，屬于用戶網(wǎng)絡(luò)邊界的安全保護(hù)設(shè)備。所謂網(wǎng)絡(luò)邊界即是采用不同安全策略的兩個(gè)網(wǎng)絡(luò)連接處，比如用戶網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間連接、和其它業(yè)務(wù)往來單位的網(wǎng)絡(luò)連接、用戶內(nèi)部網(wǎng)絡(luò)不同部門之間的連接等。防火墻的目的就是在網(wǎng)絡(luò)連接之間建立一個(gè)安全控制點(diǎn)，通過允許、拒絕或重新定向經(jīng)過防火墻的數(shù)據(jù)流，實(shí)現(xiàn)對(duì)進(jìn)、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問的審計(jì)和控制。

典型的防火墻體系網(wǎng)絡(luò)結(jié)構(gòu)一端連接企事業(yè)單位內(nèi)部的局域網(wǎng)，而另一端則連接著互聯(lián)網(wǎng)。所有的內(nèi)、外部網(wǎng)絡(luò)之間的通信都要經(jīng)過防火墻，只有符合安全策略的數(shù)據(jù)流才能通過防火墻。

網(wǎng)絡(luò)流量的合法性

防火墻最基本的功能是確保網(wǎng)絡(luò)流量的合法性，并在此前提下將網(wǎng)絡(luò)的流量快速的從一條鏈路轉(zhuǎn)發(fā)到另外的鏈路上去。從最早的防火墻模型開始談起，原始的防火墻是一臺(tái)“雙穴主機(jī)”，即具備兩個(gè)網(wǎng)絡(luò)接口，同時(shí)擁有兩個(gè)網(wǎng)絡(luò)層地址。防火墻將網(wǎng)絡(luò)上的流量通過相應(yīng)的網(wǎng)絡(luò)接口接收上來，按照OSI協(xié)議棧的七層結(jié)構(gòu)順序上傳，在適當(dāng)?shù)膮f(xié)議層進(jìn)行訪問規(guī)則和安全審查，然后將符合通過條件的報(bào)文從相應(yīng)的網(wǎng)絡(luò)接口送出，而對(duì)于那些不符合通過條件的報(bào)文則予以阻斷。因此，從這個(gè)角度上來說，防火墻是一個(gè)類似于橋接或路由器的、多端口的（網(wǎng)絡(luò)接口≥2）轉(zhuǎn)發(fā)設(shè)備，它跨接于多個(gè)分離的物理網(wǎng)段之間，并在報(bào)文轉(zhuǎn)發(fā)過程之中完成對(duì)報(bào)文的審查工作。

抗攻擊免疫力

防火墻自身應(yīng)具有非常強(qiáng)的抗攻擊免疫力：這是防火墻之所以能擔(dān)當(dāng)企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護(hù)重任的先決條件。防火墻處于網(wǎng)絡(luò)邊緣，它就像一個(gè)邊界衛(wèi)士一樣，每時(shí)每刻都要面對(duì)黑客的入侵，這樣就要求防火墻自身要具有非常強(qiáng)的抗擊入侵本領(lǐng)。它之所以具有這么強(qiáng)的本領(lǐng)防火墻操作系統(tǒng)本身是關(guān)鍵，只有自身具有完整信任關(guān)系的操作系統(tǒng)才可以談?wù)撓到y(tǒng)的安全性。其次就是防火墻自身具有非常低的服務(wù)功能，除了專門的防火墻嵌入系統(tǒng)外，再?zèng)]有其它應(yīng)用程序在防火墻上運(yùn)行。當(dāng)然這些安全性也只能說是相對(duì)的。國(guó)內(nèi)的防火墻幾乎被國(guó)外的品牌占據(jù)了一半的市場(chǎng)，國(guó)外品牌的優(yōu)勢(shì)主要是在技術(shù)和知名度上比國(guó)內(nèi)產(chǎn)品高。而國(guó)內(nèi)防火墻廠商對(duì)國(guó)內(nèi)用戶了解更加透徹，價(jià)格上也更具有優(yōu)勢(shì)。防火墻產(chǎn)品中，國(guó)外主流廠商為思科（Cisco）、CheckPoint、NetScreen等，國(guó)內(nèi)主流廠商為東軟、天融信、聯(lián)想、方正等，它們都提供不同級(jí)別的防火墻產(chǎn)品。

防火墻的硬件體系結(jié)構(gòu)曾經(jīng)歷過通用CPU架構(gòu)、ASIC架構(gòu)和網(wǎng)絡(luò)處理器架構(gòu)，他們各自的特點(diǎn)分別如下：通用CPU架構(gòu)：通用CPU架構(gòu)最常見的是基于Intel?X86架構(gòu)的防火墻，在百兆防火墻中Intel X86架構(gòu)的硬件以其高靈活性和擴(kuò)展性一直受到防火墻廠商的喜愛；由于采用了PCI總線接口，Intel X86架構(gòu)的硬件雖然理論上能達(dá)到2Gbps的吞吐量甚至更高，但是在實(shí)際應(yīng)用中，尤其是在小包情況下，遠(yuǎn)遠(yuǎn)達(dá)不到標(biāo)稱性能，通用CPU的處理能力也很有限。國(guó)內(nèi)安全設(shè)備主要采用的就是基于X86的通用CPU架構(gòu)。ASIC架構(gòu)：ASIC（Application Specific Integrated Circuit，專用集成電路）技術(shù)是國(guó)外高端網(wǎng)絡(luò)設(shè)備幾年前廣泛采用的技術(shù)。由于采用了硬件轉(zhuǎn)發(fā)模式、多總線技術(shù)、數(shù)據(jù)層面與控制層面分離等技術(shù)，?ASIC架構(gòu)防火墻解決了帶寬容量和性能不足的問題，穩(wěn)定性也得到了很好的保證。

ASIC技術(shù)的性能優(yōu)勢(shì)主要體現(xiàn)網(wǎng)絡(luò)層轉(zhuǎn)發(fā)上，而對(duì)于需要強(qiáng)大計(jì)算能力的應(yīng)用層數(shù)據(jù)的處理則不占優(yōu)勢(shì)，而且面對(duì)頻繁變異的應(yīng)用安全問題，其靈活性和擴(kuò)展性也難以滿足要求。由于該技術(shù)有較高的技術(shù)和資金門檻，主要是國(guó)內(nèi)外知名廠商在采用，國(guó)外主要代表廠商是Netscreen，國(guó)內(nèi)主要代表廠商為天融信。網(wǎng)絡(luò)處理器架構(gòu)：由于網(wǎng)絡(luò)處理器所使用的微碼編寫有一定技術(shù)難度，難以實(shí)現(xiàn)產(chǎn)品的最優(yōu)性能，因此網(wǎng)絡(luò)處理器架構(gòu)的防火墻產(chǎn)品難以占有大量的市場(chǎng)份額。隨著網(wǎng)絡(luò)處理器的主要供應(yīng)商Intel、Broadcom、IBM等相繼出售其網(wǎng)絡(luò)處理器業(yè)務(wù)，該技術(shù)在網(wǎng)絡(luò)安全產(chǎn)品中的應(yīng)用已經(jīng)走到了盡頭。

防火墻是現(xiàn)代網(wǎng)絡(luò)安全防護(hù)技術(shù)中的重要構(gòu)成內(nèi)容，可以有效地防護(hù)外部的侵?jǐn)_與影響。隨著網(wǎng)絡(luò)技術(shù)手段的完善，防火墻技術(shù)的功能也在不斷地完善，可以實(shí)現(xiàn)對(duì)信息的過濾，保障信息的安全性。防火墻就是一種在內(nèi)部與外部網(wǎng)絡(luò)的中間過程中發(fā)揮作用的防御系統(tǒng)，具有安全防護(hù)的價(jià)值與作用，通過防火墻可以實(shí)現(xiàn)內(nèi)部與外部資源的有效流通，及時(shí)處理各種安全隱患問題，進(jìn)而提升了信息數(shù)據(jù)資料的安全性。防火墻技術(shù)具有一定的抗攻擊能力，對(duì)于外部攻擊具有自我保護(hù)的作用，隨著計(jì)算機(jī)技術(shù)的進(jìn)步防火墻技術(shù)也在不斷發(fā)展。

（1）過濾型防火墻

過濾型防火墻是在網(wǎng)絡(luò)層與傳輸層中，可以基于數(shù)據(jù)源頭的地址以及協(xié)議類型等標(biāo)志特征進(jìn)行分析，確定是否可以通過。在符合防火墻規(guī)定標(biāo)準(zhǔn)之下，滿足安全性能以及類型才可以進(jìn)行信息的傳遞，而一些不安全的因素則會(huì)被防火墻過濾、阻擋。

（2）應(yīng)用代理類型防火墻

應(yīng)用代理防火墻主要的工作范圍就是在OSI的最高層，位于應(yīng)用層之上。其主要的特征是可以完全隔離網(wǎng)絡(luò)通信流，通過特定的代理程序就可以實(shí)現(xiàn)對(duì)應(yīng)用層的監(jiān)督與控制。這兩種防火墻是應(yīng)用較為普遍的防火墻，其他一些防火墻應(yīng)用效果也較為顯著，在實(shí)際應(yīng)用中要綜合具體的需求以及狀況合理的選擇防火墻的類型，這樣才可以有效地避免防火墻的外部侵?jǐn)_等問題的出現(xiàn)。

（3）復(fù)合型

截至2018年應(yīng)用較為廣泛的防火墻技術(shù)當(dāng)屬?gòu)?fù)合型防火墻技術(shù)，綜合了包過濾防火墻技術(shù)以及應(yīng)用代理防火墻技術(shù)的優(yōu)點(diǎn)，譬如發(fā)過來的安全策略是包過濾策略，那么可以針對(duì)報(bào)文的報(bào)頭部分進(jìn)行訪問控制；如果安全策略是代理策略，就可以針對(duì)報(bào)文的內(nèi)容數(shù)據(jù)進(jìn)行訪問控制，因此復(fù)合型防火墻技術(shù)綜合了其組成部分的優(yōu)點(diǎn)，同時(shí)摒棄了兩種防火墻的原有缺點(diǎn)，大大提高了防火墻技術(shù)在應(yīng)用實(shí)踐中的靈活性和安全性。

1、包過濾技術(shù)

防火墻的包過濾技術(shù)一般只應(yīng)用于OSI7層的模型網(wǎng)絡(luò)層的數(shù)據(jù)中，其能夠完成對(duì)防火墻的狀態(tài)檢測(cè)，從而預(yù)先可以把邏輯策略進(jìn)行確定。邏輯策略主要針對(duì)地址、端口與源地址，通過防火墻所有的數(shù)據(jù)都需要進(jìn)行分析，如果數(shù)據(jù)包內(nèi)具有的信息和策略要求是不相符的，則其數(shù)據(jù)包就能夠順利通過，如果是完全相符的，則其數(shù)據(jù)包就被迅速攔截。計(jì)算機(jī)數(shù)據(jù)包傳輸?shù)倪^程中，一般都會(huì)分解成為很多由目的地址等組成的一種小型數(shù)據(jù)包，當(dāng)它們通過防火墻的時(shí)候，盡管其能夠通過很多傳輸路徑進(jìn)行傳輸，而最終都會(huì)匯合于同一地方，在這個(gè)目地點(diǎn)位置，所有的數(shù)據(jù)包都需要進(jìn)行防火墻的檢測(cè)，在檢測(cè)合格后，才會(huì)允許通過，如果傳輸?shù)倪^程中，出現(xiàn)數(shù)據(jù)包的丟失以及地址的變化等情況，則就會(huì)被拋棄。

2、加密技術(shù)

計(jì)算機(jī)信息傳輸的過程中，借助防火墻還能夠有效的實(shí)現(xiàn)信息的加密，通過這種加密技術(shù)，相關(guān)人員就能夠?qū)鬏數(shù)男畔⑦M(jìn)行有效的加密，其中信息密碼是信息交流的雙方進(jìn)行掌握，對(duì)信息進(jìn)行接受的人員需要對(duì)加密的信息實(shí)施解密處理后，才能獲取所傳輸?shù)男畔?shù)據(jù)，在防火墻加密技術(shù)應(yīng)用中，要時(shí)刻注意信息加密處理安全性的保障。在防火墻技術(shù)應(yīng)用中，想要實(shí)現(xiàn)信息的安全傳輸，還需要做好用戶身份的驗(yàn)證，在進(jìn)行加密處理后，信息的傳輸需要對(duì)用戶授權(quán)，然后對(duì)信息接收方以及發(fā)送方要進(jìn)行身份的驗(yàn)證，從而建立信息安全傳遞的通道，保證計(jì)算機(jī)的網(wǎng)絡(luò)信息在傳遞中具有良好的安全性，非法分子不擁有正確的身份驗(yàn)證條件，因此，其就不能對(duì)計(jì)算機(jī)的網(wǎng)絡(luò)信息實(shí)施入侵。

3、防病毒技術(shù)

防火墻具有著防病毒的功能，在防病毒技術(shù)的應(yīng)用中，其主要包括病毒的預(yù)防、清除和檢測(cè)等方面。防火墻的防病毒預(yù)防功能來說，在網(wǎng)絡(luò)的建設(shè)過程中，通過安裝相應(yīng)的防火墻來對(duì)計(jì)算機(jī)和互聯(lián)網(wǎng)間的信息數(shù)據(jù)進(jìn)行嚴(yán)格的控制，從而形成一種安全的屏障來對(duì)計(jì)算機(jī)外網(wǎng)以及內(nèi)網(wǎng)數(shù)據(jù)實(shí)施保護(hù)。計(jì)算機(jī)網(wǎng)絡(luò)要想進(jìn)行連接，一般都是通過互聯(lián)網(wǎng)和路由器連接實(shí)現(xiàn)的，則對(duì)網(wǎng)絡(luò)保護(hù)就需要從主干網(wǎng)的部分開始，在主干網(wǎng)的中心資源實(shí)施控制，防止服務(wù)器出現(xiàn)非法的訪問，為了杜絕外來非法的入侵對(duì)信息進(jìn)行盜用，在計(jì)算機(jī)連接的端口所接入的數(shù)據(jù)，還要進(jìn)行以太網(wǎng)和IP地址的嚴(yán)格檢查，被盜用IP地址會(huì)被丟棄，同時(shí)還會(huì)對(duì)重要信息資源進(jìn)行全面記錄，保障其計(jì)算機(jī)的信息網(wǎng)絡(luò)具有良好安全性。

4、代理服務(wù)器

代理服務(wù)器是防火墻技術(shù)引用比較廣泛的功能，根據(jù)其計(jì)算機(jī)的網(wǎng)絡(luò)運(yùn)行方法可以通過防火墻技術(shù)設(shè)置相應(yīng)的代理服務(wù)器，從而借助代理服務(wù)器來進(jìn)行信息的交互。在信息數(shù)據(jù)從內(nèi)網(wǎng)向外網(wǎng)發(fā)送時(shí)，其信息數(shù)據(jù)就會(huì)攜帶著正確IP，非法攻擊者能夠分局信息數(shù)據(jù)IP作為追蹤的對(duì)象，來讓病毒進(jìn)入到內(nèi)網(wǎng)中，如果使用代理服務(wù)器，則就能夠?qū)崿F(xiàn)信息數(shù)據(jù)IP的虛擬化，非法攻擊者在進(jìn)行虛擬IP的跟蹤中，就不能夠獲取真實(shí)的解析信息，從而代理服務(wù)器實(shí)現(xiàn)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的安全防護(hù)。另外，代理服務(wù)器還能夠進(jìn)行信息數(shù)據(jù)的中轉(zhuǎn)，對(duì)計(jì)算機(jī)內(nèi)網(wǎng)以及外網(wǎng)信息的交互進(jìn)行控制，對(duì)計(jì)算機(jī)的網(wǎng)絡(luò)安全起到保護(hù)。

防火墻是為加強(qiáng)網(wǎng)絡(luò)安全防護(hù)能力在網(wǎng)絡(luò)中部署的硬件設(shè)備，有多種部署方式，常見的有橋模式、網(wǎng)關(guān)模式和NAT模式等。

1、橋模式

橋模式也可叫作透明模式。最簡(jiǎn)單的網(wǎng)絡(luò)由客戶端和服務(wù)器組成，客戶端和服務(wù)器處于同一網(wǎng)段。為了安全方面的考慮，在客戶端和服務(wù)器之間增加了防火墻設(shè)備，對(duì)經(jīng)過的流量進(jìn)行安全控制。正常的客戶端請(qǐng)求通過防火墻送達(dá)服務(wù)器，服務(wù)器將響應(yīng)返回給客戶端，用戶不會(huì)感覺到中間設(shè)備的存在。工作在橋模式下的防火墻沒有IP地址，當(dāng)對(duì)網(wǎng)絡(luò)進(jìn)行擴(kuò)容時(shí)無需對(duì)網(wǎng)絡(luò)地址進(jìn)行重新規(guī)劃，但犧牲了路由、VPN等功能。

2、網(wǎng)關(guān)模式

網(wǎng)關(guān)模式適用于內(nèi)外網(wǎng)不在同一網(wǎng)段的情況，防火墻設(shè)置網(wǎng)關(guān)地址實(shí)現(xiàn)路由器的功能，為不同網(wǎng)段進(jìn)行路由轉(zhuǎn)發(fā)。網(wǎng)關(guān)模式相比橋模式具備更高的安全性，在進(jìn)行訪問控制的同時(shí)實(shí)現(xiàn)了安全隔離，具備了一定的私密性。

3、NAT模式

NAT（Network Address Translation）地址翻譯技術(shù)由防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的IP地址進(jìn)行地址翻譯，使用防火墻的IP地址替換內(nèi)部網(wǎng)絡(luò)的源地址向外部網(wǎng)絡(luò)發(fā)送數(shù)據(jù)；當(dāng)外部網(wǎng)絡(luò)的響應(yīng)數(shù)據(jù)流量返回到防火墻后，防火墻再將目的地址替換為內(nèi)部網(wǎng)絡(luò)的源地址。NAT模式能夠?qū)崿F(xiàn)外部網(wǎng)絡(luò)不能直接看到內(nèi)部網(wǎng)絡(luò)的IP地址，進(jìn)一步增強(qiáng)了對(duì)內(nèi)部網(wǎng)絡(luò)的安全防護(hù)。同時(shí)，在NAT模式的網(wǎng)絡(luò)中，內(nèi)部網(wǎng)絡(luò)可以使用私網(wǎng)地址，可以解決IP地址數(shù)量受限的問題。

如果在NAT模式的基礎(chǔ)上需要實(shí)現(xiàn)外部網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)服務(wù)的需求時(shí)，還可以使用地址/端口映射（MAP）技術(shù)，在防火墻上進(jìn)行地址/端口映射配置，當(dāng)外部網(wǎng)絡(luò)用戶需要訪問內(nèi)部服務(wù)時(shí)，防火墻將請(qǐng)求映射到內(nèi)部服務(wù)器上；當(dāng)內(nèi)部服務(wù)器返回相應(yīng)數(shù)據(jù)時(shí)，防火墻再將數(shù)據(jù)轉(zhuǎn)發(fā)給外部網(wǎng)絡(luò)。使用地址/端口映射技術(shù)實(shí)現(xiàn)了外部用戶能夠訪問內(nèi)部服務(wù)，但是外部用戶無法看到內(nèi)部服務(wù)器的真實(shí)地址，只能看到防火墻的地址，增強(qiáng)了內(nèi)部服務(wù)器的安全性。

4、高可靠性設(shè)計(jì)

防火墻都部署在網(wǎng)絡(luò)的出入口，是網(wǎng)絡(luò)通信的大門，這就要求防火墻的部署必須具備高可靠性。一般IT設(shè)備的使用壽命被設(shè)計(jì)為3至5年，當(dāng)單點(diǎn)設(shè)備發(fā)生故障時(shí)，要通過冗余技術(shù)實(shí)現(xiàn)可靠性，可以通過如虛擬路由冗余協(xié)議（VRRP）等技術(shù)實(shí)現(xiàn)主備冗余。到2019年為止，主流的網(wǎng)絡(luò)設(shè)備都支持高可靠性設(shè)計(jì)。

1、內(nèi)網(wǎng)中的防火墻技術(shù)

防火墻在內(nèi)網(wǎng)中的設(shè)定位置是比較固定的，一般將其設(shè)置在服務(wù)器的入口處，通過對(duì)外部的訪問者進(jìn)行控制，從而達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)的作用，而處于內(nèi)部網(wǎng)絡(luò)的用戶，可以根據(jù)自己的需求明確權(quán)限規(guī)劃，使用戶可以訪問規(guī)劃內(nèi)的路徑?？偟膩碚f，內(nèi)網(wǎng)中的防火墻主要起到以下兩個(gè)作用：一是認(rèn)證應(yīng)用，內(nèi)網(wǎng)中的多項(xiàng)行為具有遠(yuǎn)程的特點(diǎn)，只有在約束的情況下，通過相關(guān)認(rèn)證才能進(jìn)行；二是記錄訪問記錄，避免自身的攻擊，形成安全策略。

2、外網(wǎng)中的防火墻技術(shù)

應(yīng)用于外網(wǎng)中的防火墻，主要發(fā)揮其防范作用，外網(wǎng)在防火墻授權(quán)的情況下，才可以進(jìn)入內(nèi)網(wǎng)。針對(duì)外網(wǎng)布設(shè)防火墻時(shí)，必須保障全面性，促使外網(wǎng)的所有網(wǎng)絡(luò)活動(dòng)均可在防火墻的監(jiān)視下，如果外網(wǎng)出現(xiàn)非法入侵，防火墻則可主動(dòng)拒絕為外網(wǎng)提供服務(wù)?；诜阑饓Φ淖饔孟?#xff0c;內(nèi)網(wǎng)對(duì)于外網(wǎng)而言，處于完全封閉的狀態(tài)，外網(wǎng)無法解析到內(nèi)網(wǎng)的任何信息。防火墻成為外網(wǎng)進(jìn)入內(nèi)網(wǎng)的唯一途徑，所以防火墻能夠詳細(xì)記錄外網(wǎng)活動(dòng)，匯總成日志，防火墻通過分析日常日志，判斷外網(wǎng)行為是否具有攻擊特性。

隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，防火墻相關(guān)產(chǎn)品和技術(shù)也在不斷進(jìn)步。

（1）防火墻的產(chǎn)品發(fā)展趨勢(shì)

截至2018年，就防火墻產(chǎn)品而言，新的產(chǎn)品有：智能防火墻、分布式防火墻和網(wǎng)絡(luò)產(chǎn)品的系統(tǒng)化應(yīng)用等。

智能防火墻：在防火墻產(chǎn)品中加入人工智能識(shí)別技術(shù)，不但提高防火墻的安全防范能力，而且由于防火墻具有自學(xué)習(xí)功能，可以防范來自網(wǎng)絡(luò)的最新型攻擊。

分布式防火墻：一種全新的防火墻體系結(jié)構(gòu)。網(wǎng)絡(luò)防火墻、主機(jī)防火墻和管理中心是分布式防火墻的構(gòu)成組件。傳統(tǒng)防火墻實(shí)際上是在網(wǎng)絡(luò)邊緣上實(shí)現(xiàn)防護(hù)的防火墻，而分布式防火墻則在網(wǎng)絡(luò)內(nèi)部增加了另外一層安全防護(hù)。分布式防火墻的優(yōu)點(diǎn)有：支持移動(dòng)計(jì)算；支持加密和認(rèn)證功能，與網(wǎng)絡(luò)拓?fù)?/span>無關(guān)等。

網(wǎng)絡(luò)產(chǎn)品的系統(tǒng)化應(yīng)用：主要是指某些廠商的安全產(chǎn)品直接與防火墻進(jìn)行融合，打包銷售。另外，有些廠商的產(chǎn)品之間雖然各自獨(dú)立，當(dāng)各個(gè)產(chǎn)品之間可以進(jìn)行通信。

（2）防火墻的技術(shù)發(fā)展趨勢(shì)

包過濾技術(shù)作為防火墻技術(shù)中最核心的技術(shù)之一，自身具有比較明顯的缺點(diǎn)：不具備身份驗(yàn)證機(jī)制和用戶角色配置功能。因此，一些產(chǎn)品開發(fā)商就將AAA認(rèn)證系統(tǒng)集成到防火墻中，確保防火墻具備支持基于用戶角色的安全策略功能。多級(jí)過濾技術(shù)就是在防火墻中設(shè)置多層過濾規(guī)則。在網(wǎng)絡(luò)層，利用分組過濾技術(shù)攔截所有假冒的IP源地址和源路由分組；根據(jù)過濾規(guī)則，傳輸層攔截所有禁止出/入的協(xié)議和數(shù)據(jù)包；在應(yīng)用層，利用FTP、SMTP等網(wǎng)關(guān)對(duì)各種Internet的服務(wù)進(jìn)行監(jiān)測(cè)和控制。

綜合來講，上述技術(shù)都是對(duì)已有防火墻技術(shù)的有效補(bǔ)充，是提升已有防火墻技術(shù)的彌補(bǔ)措施。

（3）防火墻的體系結(jié)構(gòu)發(fā)展趨勢(shì)

隨著軟硬件處理能力、網(wǎng)絡(luò)帶寬的不斷提升，防火墻的數(shù)據(jù)處理能力也在得到提升。尤其近幾年多媒體流技術(shù)（在線視頻）的發(fā)展，要求防火墻的處理時(shí)延必須越來越小?；谝陨蠘I(yè)務(wù)需求，防火墻制造商開發(fā)了基于網(wǎng)絡(luò)處理器和基于ASIC(ApplicationSpecificIntegratedCircuits,專用集成電路)的防火墻產(chǎn)品?；诰W(wǎng)絡(luò)處理器的防火墻本質(zhì)上還是依賴于軟件系統(tǒng)的解決方案，因此軟件性能的好壞直接影響防火墻的性能。而基于ASIC的防火墻產(chǎn)品具有定制化、可編程的硬件芯片以及與之相匹配的軟件系統(tǒng)，因此性能的優(yōu)越性不言而喻，可以很好地滿足客戶對(duì)系統(tǒng)靈活性和高性能的要求。