本文目录
防火墙的种类分几种都有哪些作用
防火墙总体上分为包过滤、应用级网关和代理服务器等三种类型：数据包过滤、应用级网关、代理服务。第一、数据包过滤：数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表(Access Control Table)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用，网络性能和透明性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。 数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能假冒。 第二、应用级网关 ：应用级网关(Application Level Gateways)是在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。 数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依*特定的逻辑判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。 第三、代理服务 ：代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Level Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的" 链接"，由两个终止代理服务器上的" 链接"来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。
防火墙的分类有哪几种
针对普通用户的个人防火墙，通常是在一部电脑上具有封包过滤功能的软体，如ZoneAlarm及Windows XP SP2後内建的防火墙程式。而专业的防火墙通常为网路装置，或是拥有2个以上网路介面的电脑。以作用的TCP/IP堆叠区分，主要分为网路层防火墙和应用层防火墙两种，但也有些防火墙是同时运作於网路层和应用层。网路层(封包过滤型)防火墙运作於TCP/IP协定堆叠上。管理者会先根据企业/组织的策略预先设定好封包通过的规则或采用内建规则，只允许符合规则的封包通过。一般而言，由於来源IP不易阻挡，通常藉由阻挡非80/443的埠，以阻挡来自非80/443的埠的不需要的流量。网路层防火墙可分为：状态感知(stateful)与无状态感知(stateless)。状态感知(stateful)状态感知防火墙会针对活动中的连线维护前後传输的脉络，并使用这些状态资讯来加速封包过滤处理。根据需求，现行的网路连线由各种性质描述，包括：来源端IP位置，目的端IP位置、UDP或TCP埠口号码，以及连线所处的状态阶段(连线初始化、交握中，资料传输中、或完成连线)。如果有封包与现存连线不符，防火墙会根据规则来评估此封包是否该属於另外一个新连线。如果封包符合现存连线，防火墙会根据自己所建立的状态表完成比对，该封包就不必额外处理，即可通过两端网路。无状态感知(stateless)无状态感知防火墙所需较少的记忆体，针对於通过的封包，作比较简易与快速的过滤。如此，相较於查询对话工作期间(session)，无状态感知防火墙所耗的时间也较少。这种防火墙可处理无状态网路通讯协定，这种协定并没有对话工作期间(session)的概念。反之，这种防火墙无法根据沟通的两端所处的状态阶段作出复杂的决策。我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项「否定规则」就予以放行。现在的作业系统及网路装置大多已内建防火墙功能。较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 位址、来源埠号、目的 IP 位址或埠号、服务类型(如 HTTP 或是 FTP)。也能经由通讯协定、TTL 值、来源的网域名称或网段...等属性来进行过滤。应用层防火墙防火墙的视察软体介面范例，纪录IP进出的情况与对应事件应用层防火墙是在TCP/IP堆叠的「应用层」上运作，使用浏览器时所产生的资料流或是使用 FTP 时的资料流都是属於这一层。应用层防火墙可以拦截进出某应用程式的所有封包，并且封锁其他的封包(通常是直接将封包丢弃)。理论上，这一类的防火墙可以完全阻绝外部的资料流进受保护的机器里。防火墙藉由监测所有的封包并找出不符规则的内容，可以防范电脑蠕虫或是木马程式的快速蔓延。实际上，这个方法繁复（因软体种类极多），所以大部份防火墙都不会考虑以这种方法设计。截至2012年，所谓的下一代防火墙（NGFW）都只是「拓宽」并「深化」了在套用栈检查的能力。例如，现有支援深度分组检测的现代防火墙均可延伸成入侵预防系统（IPS），使用者身分整合（使用者ID与IP或MAC位址系结），和Web套用防火墙（WAF）。
防火墙是如何分类 百度文库
如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。如果按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。
防火墙技术的基本分类有哪些
如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。 第一种：软件防火墙 软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称“个人防火墙”。软件防火墙就像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。第二种：硬件防火墙 这里说的硬件防火墙是指“所谓的硬件防火墙”。之所以加上"所谓"二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。 值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。 传统硬件防火墙一般至少应具备三个端口，分别接内网，外网和DMZ区（非军事化区），现在一些新的硬件防火墙往往扩展了端口，常见四端口防火墙一般将第四个端口做为配置口、管理端口。很多防火墙还可以进一步扩展端口数目。第三种：芯片级防火墙 芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统）,因此防火墙本身的漏洞比较少，不过价格相对比较高昂。防火墙技术虽然出现了许多，但总体来讲可分为“包过滤型”和“应用代理型”两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。
