防火墻是一個基本但必不可少的安全層，充當(dāng)您的專用網(wǎng)絡(luò)和外部世界之間的屏障。從第一代無狀態(tài)防火墻到下一代防火墻，防火墻架構(gòu)在過去的四年里發(fā)生了巨大的變化。今天，組織可以在多種類型的防火墻之間進(jìn)行選擇——包括應(yīng)用程序級網(wǎng)關(guān)（代理防火墻）、狀態(tài)檢測防火墻和電路級網(wǎng)關(guān)——甚至可以同時(shí)使用多種類型的防火墻，以獲得更深層、全面的安全解決方案。了解有關(guān)各種類型防火墻的基礎(chǔ)知識、它們之間的差異以及每種類型如何以不同方式保護(hù)您的網(wǎng)絡(luò)。

什么是防火墻，它的用途是什么？

防火墻是一種安全工具，可監(jiān)控傳入和/或傳出的網(wǎng)絡(luò)流量，以根據(jù)預(yù)定義的規(guī)則檢測和阻止惡意數(shù)據(jù)包，只允許合法流量進(jìn)入您的專用網(wǎng)絡(luò)。作為硬件、軟件或兩者兼而有之，防火墻通常是您抵御惡意軟件、病毒和試圖進(jìn)入組織內(nèi)部網(wǎng)絡(luò)和系統(tǒng)的攻擊者的第一道防線。

就像建筑物主入口處的穿行式金屬探測器門一樣，物理或硬件防火墻會在讓每個數(shù)據(jù)包進(jìn)入之前對其進(jìn)行檢查。它會檢查源地址和目標(biāo)地址，并根據(jù)預(yù)定義的規(guī)則確定數(shù)據(jù)包是否應(yīng)該通過與否。一旦數(shù)據(jù)包進(jìn)入組織的 Intranet，軟件防火墻可以進(jìn)一步過濾流量，以允許或阻止訪問計(jì)算機(jī)系統(tǒng)上的特定端口和應(yīng)用程序，從而更好地控制和安全抵御內(nèi)部威脅。

訪問控制列表可以定義無法信任的特定 Internet 協(xié)議 (IP) 地址。防火墻將丟棄來自這些 IP 的任何數(shù)據(jù)包。或者，訪問控制列表可以指定可信源 IP，防火墻將只允許來自這些列出的 IP 的流量。有幾種設(shè)置防火墻的技術(shù)。它們提供的安全范圍通常還取決于防火墻的類型及其配置方式。

軟件和硬件防火墻

在結(jié)構(gòu)上，防火墻可以是軟件、硬件或軟件和硬件的組合。

軟件防火墻

軟件防火墻單獨(dú)安裝在各個設(shè)備上。它們提供更精細(xì)的控制，因?yàn)樗鼈兛梢栽试S訪問一個應(yīng)用程序或功能，同時(shí)阻止其他應(yīng)用程序或功能。但是它們在資源方面可能很昂貴，因?yàn)樗鼈兪褂冒惭b它們的設(shè)備的 CPU 和 RAM，并且管理員必須為每個設(shè)備單獨(dú)配置和管理它們。此外，Intranet 中的所有設(shè)備可能無法與單個軟件防火墻兼容，并且可能需要多個不同的防火墻。

硬件防火墻

另一方面，硬件防火墻是物理設(shè)備，每個設(shè)備都有自己的計(jì)算資源。它們充當(dāng)內(nèi)部網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間的網(wǎng)關(guān)，將來自私有網(wǎng)絡(luò)之外的不受信任來源的數(shù)據(jù)包和流量請求保留下來。物理防火墻對于在同一網(wǎng)絡(luò)上擁有許多設(shè)備的組織來說很方便。雖然它們在惡意流量到達(dá)任何端點(diǎn)之前就阻止了它，但它們不能提供針對內(nèi)部攻擊的安全性。因此，軟件和硬件防火墻的組合可為您組織的網(wǎng)絡(luò)提供最佳安全性。

四種類型的防火墻

防火墻還根據(jù)其運(yùn)行方式進(jìn)行分類，每種類型都可以設(shè)置為軟件或物理設(shè)備。根據(jù)它們的操作方法，有四種不同類型的防火墻。

1.包過濾防火墻

包過濾防火墻是最古老、最基本的防火墻類型。在網(wǎng)絡(luò)層操作，他們只是根據(jù)預(yù)定義的規(guī)則檢查數(shù)據(jù)包的源 IP 和目標(biāo) IP、協(xié)議、源端口和目標(biāo)端口，以確定是通過還是丟棄數(shù)據(jù)包。數(shù)據(jù)包過濾防火墻本質(zhì)上是無狀態(tài)的，獨(dú)立監(jiān)控每個數(shù)據(jù)包，而不會跟蹤已建立的連接或之前通過該連接的數(shù)據(jù)包。這使得這些防火墻在防御高級威脅和攻擊方面的能力非常有限。

數(shù)據(jù)包過濾防火墻快速、廉價(jià)且有效。但是它們提供的安全性是非常基本的。由于這些防火墻無法檢查數(shù)據(jù)包的內(nèi)容，因此它們無法防范來自受信任源 IP 的惡意數(shù)據(jù)包。由于是無狀態(tài)的，它們也容易受到源路由攻擊和小片段攻擊。但是，盡管它們的功能最少，包過濾防火墻為提供更強(qiáng)大和更深入安全性的現(xiàn)代防火墻鋪平了道路。

2. 電路級網(wǎng)關(guān)

在會話層工作，電路級網(wǎng)關(guān)驗(yàn)證已建立的傳輸控制協(xié)議 (TCP) 連接并跟蹤活動會話。它們與包過濾防火墻非常相似，因?yàn)樗鼈儓?zhí)行單一檢查并使用最少的資源。但是，它們在開放系統(tǒng)互連 (OSI) 模型的更高層起作用。首先，它們確定已建立連接的安全性。當(dāng)內(nèi)部設(shè)備發(fā)起與遠(yuǎn)程主機(jī)的連接時(shí)，電路級網(wǎng)關(guān)代表內(nèi)部設(shè)備建立虛擬連接，以隱藏內(nèi)部用戶的身份和IP地址。

電路級網(wǎng)關(guān)經(jīng)濟(jì)高效、簡單并且對網(wǎng)絡(luò)性能幾乎沒有任何影響。然而，它們無法檢查數(shù)據(jù)包的內(nèi)容，這使它們本身成為一個不完整的安全解決方案。如果包含合法的 TCP 握手，包含惡意軟件的數(shù)據(jù)包可以輕松繞過電路級網(wǎng)關(guān)。這就是為什么通常在電路級網(wǎng)關(guān)之上配置另一種類型的防火墻以增加保護(hù)的原因。

3. 狀態(tài)檢測防火墻

領(lǐng)先于電路級網(wǎng)關(guān)的狀態(tài)檢測防火墻除了驗(yàn)證和跟蹤已建立的連接外，還執(zhí)行數(shù)據(jù)包檢測以提供更好、更全面的安全性。一旦建立連接，它們通過創(chuàng)建包含源 IP、目標(biāo) IP、源端口和目標(biāo)端口的狀態(tài)表來工作。他們動態(tài)創(chuàng)建自己的規(guī)則以允許預(yù)期的傳入網(wǎng)絡(luò)流量，而不是依賴基于此信息的硬編碼規(guī)則集。它們可以方便地丟棄不屬于經(jīng)過驗(yàn)證的活動連接的數(shù)據(jù)包。

狀態(tài)檢查防火墻檢查合法連接以及源和目標(biāo) IP，以確定哪些數(shù)據(jù)包可以通過。盡管這些額外檢查提供了高級安全性，但它們會消耗大量系統(tǒng)資源并且會顯著降低流量。因此，它們?nèi)菀资艿?DDoS（分布式拒絕服務(wù)攻擊）的影響。

4. 應(yīng)用層網(wǎng)關(guān)（代理防火墻）

應(yīng)用層網(wǎng)關(guān)，也稱為代理防火墻，是通過代理設(shè)備在應(yīng)用層實(shí)現(xiàn)的。連接是通過代理防火墻建立的，而不是外部人員直接訪問您的內(nèi)部網(wǎng)絡(luò)。外部客戶端向代理防火墻發(fā)送請求。在驗(yàn)證請求的真實(shí)性后，代理防火墻代表客戶端將其轉(zhuǎn)發(fā)到內(nèi)部設(shè)備或服務(wù)器之一。或者，內(nèi)部設(shè)備可以請求訪問網(wǎng)頁，代理設(shè)備將轉(zhuǎn)發(fā)請求，同時(shí)隱藏內(nèi)部設(shè)備和網(wǎng)絡(luò)的身份和位置。

與包過濾防火墻不同，代理防火墻執(zhí)行狀態(tài)和深度包檢查，以根據(jù)一組用戶定義的規(guī)則分析數(shù)據(jù)包的上下文和內(nèi)容。根據(jù)結(jié)果??，他們要么允許，要么丟棄數(shù)據(jù)包。它們通過阻止內(nèi)部系統(tǒng)和外部網(wǎng)絡(luò)之間的直接連接來保護(hù)敏感資源的身份和位置。但是，配置它們以實(shí)現(xiàn)最佳網(wǎng)絡(luò)保護(hù)可能有點(diǎn)困難。您還必須牢記權(quán)衡——代理防火墻本質(zhì)上是主機(jī)和客戶端之間的額外屏障，會導(dǎo)致相當(dāng)大的速度減慢。