计算机防火墙的用途以及四种类型

防火墙是一个基本但必不可少的安全层，充当您的专用网络和外部世界之间的屏障。从第一代无状态防火墙到下一代防火墙，防火墙架构在过去的四年里发生了巨大的变化。今天，组织可以在多种类型的防火墙之间进行选择——包括应用程序级网关（代理防火墙）、状态检测防火墙和电路级网关——甚至可以同时使用多种类型的防火墙，以获得更深层、全面的安全解决方案。了解有关各种类型防火墙的基础知识、它们之间的差异以及每种类型如何以不同方式保护您的网络。

什么是防火墙，它的用途是什么？

防火墙是一种安全工具，可监控传入和/或传出的网络流量，以根据预定义的规则检测和阻止恶意数据包，只允许合法流量进入您的专用网络。作为硬件、软件或两者兼而有之，防火墙通常是您抵御恶意软件、病毒和试图进入组织内部网络和系统的攻击者的第一道防线。

就像建筑物主入口处的穿行式金属探测器门一样，物理或硬件防火墙会在让每个数据包进入之前对其进行检查。它会检查源地址和目标地址，并根据预定义的规则确定数据包是否应该通过与否。一旦数据包进入组织的 Intranet，软件防火墙可以进一步过滤流量，以允许或阻止访问计算机系统上的特定端口和应用程序，从而更好地控制和安全抵御内部威胁。

访问控制列表可以定义无法信任的特定 Internet 协议 (IP) 地址。防火墙将丢弃来自这些 IP 的任何数据包。或者，访问控制列表可以指定可信源 IP，防火墙将只允许来自这些列出的 IP 的流量。有几种设置防火墙的技术。它们提供的安全范围通常还取决于防火墙的类型及其配置方式。

软件和硬件防火墙

在结构上，防火墙可以是软件、硬件或软件和硬件的组合。

软件防火墙

软件防火墙单独安装在各个设备上。它们提供更精细的控制，因为它们可以允许访问一个应用程序或功能，同时阻止其他应用程序或功能。但是它们在资源方面可能很昂贵，因为它们使用安装它们的设备的 CPU 和 RAM，并且管理员必须为每个设备单独配置和管理它们。此外，Intranet 中的所有设备可能无法与单个软件防火墙兼容，并且可能需要多个不同的防火墙。

硬件防火墙

另一方面，硬件防火墙是物理设备，每个设备都有自己的计算资源。它们充当内部网络和互联网之间的网关，将来自私有网络之外的不受信任来源的数据包和流量请求保留下来。物理防火墙对于在同一网络上拥有许多设备的组织来说很方便。虽然它们在恶意流量到达任何端点之前就阻止了它，但它们不能提供针对内部攻击的安全性。因此，软件和硬件防火墙的组合可为您组织的网络提供最佳安全性。

四种类型的防火墙

防火墙还根据其运行方式进行分类，每种类型都可以设置为软件或物理设备。根据它们的操作方法，有四种不同类型的防火墙。

1.包过滤防火墙

包过滤防火墙是最古老、最基本的防火墙类型。在网络层操作，他们只是根据预定义的规则检查数据包的源 IP 和目标 IP、协议、源端口和目标端口，以确定是通过还是丢弃数据包。数据包过滤防火墙本质上是无状态的，独立监控每个数据包，而不会跟踪已建立的连接或之前通过该连接的数据包。这使得这些防火墙在防御高级威胁和攻击方面的能力非常有限。

数据包过滤防火墙快速、廉价且有效。但是它们提供的安全性是非常基本的。由于这些防火墙无法检查数据包的内容，因此它们无法防范来自受信任源 IP 的恶意数据包。由于是无状态的，它们也容易受到源路由攻击和小片段攻击。但是，尽管它们的功能最少，包过滤防火墙为提供更强大和更深入安全性的现代防火墙铺平了道路。

2. 电路级网关

在会话层工作，电路级网关验证已建立的传输控制协议 (TCP) 连接并跟踪活动会话。它们与包过滤防火墙非常相似，因为它们执行单一检查并使用最少的资源。但是，它们在开放系统互连 (OSI) 模型的更高层起作用。首先，它们确定已建立连接的安全性。当内部设备发起与远程主机的连接时，电路级网关代表内部设备建立虚拟连接，以隐藏内部用户的身份和IP地址。

电路级网关经济高效、简单并且对网络性能几乎没有任何影响。然而，它们无法检查数据包的内容，这使它们本身成为一个不完整的安全解决方案。如果包含合法的 TCP 握手，包含恶意软件的数据包可以轻松绕过电路级网关。这就是为什么通常在电路级网关之上配置另一种类型的防火墙以增加保护的原因。

3. 状态检测防火墙

领先于电路级网关的状态检测防火墙除了验证和跟踪已建立的连接外，还执行数据包检测以提供更好、更全面的安全性。一旦建立连接，它们通过创建包含源 IP、目标 IP、源端口和目标端口的状态表来工作。他们动态创建自己的规则以允许预期的传入网络流量，而不是依赖基于此信息的硬编码规则集。它们可以方便地丢弃不属于经过验证的活动连接的数据包。

状态检查防火墙检查合法连接以及源和目标 IP，以确定哪些数据包可以通过。尽管这些额外检查提供了高级安全性，但它们会消耗大量系统资源并且会显着降低流量。因此，它们容易受到 DDoS（分布式拒绝服务攻击）的影响。

4. 应用层网关（代理防火墙）

应用层网关，也称为代理防火墙，是通过代理设备在应用层实现的。连接是通过代理防火墙建立的，而不是外部人员直接访问您的内部网络。外部客户端向代理防火墙发送请求。在验证请求的真实性后，代理防火墙代表客户端将其转发到内部设备或服务器之一。或者，内部设备可以请求访问网页，代理设备将转发请求，同时隐藏内部设备和网络的身份和位置。

与包过滤防火墙不同，代理防火墙执行状态和深度包检查，以根据一组用户定义的规则分析数据包的上下文和内容。根据结果​​，他们要么允许，要么丢弃数据包。它们通过阻止内部系统和外部网络之间的直接连接来保护敏感资源的身份和位置。但是，配置它们以实现最佳网络保护可能有点困难。您还必须牢记权衡——代理防火墙本质上是主机和客户端之间的额外屏障，会导致相当大的速度减慢。