防火墙定义

　　防火墙是一个或一组系统，它在网络之间执行访问控制策略。实现防火墙的实际方式各不相同，但是在原则上，防火墙可以被认为是这样一对机制：一种机制是拦阻传输流通行，另一种机制是允许传输流通过。

　　一些防火墙偏重拦阻传输流的通行，而另一些防火墙则偏重允许传输流通过。了解有关防火墙的最重要的概念可能就是它实现了一种访问控制策略。如果你不太清楚你需要允许或否决那类访问，你可以让其他人或某些产品根据他（它）们认为应当做的事来配置防火墙，然后他（它）们会为你的机构全面地制定访问策略。

防火墙功能

　一般来说，防火墙具有以下几种功能：

　　1．允许网络管理员定义一个中心点来防止非法用户进入内部网络。

　　2．可以很方便地监视网络的安全性，并报警。

　　3．可以作为部署NAT（Network Address Translation，网络地址变换）的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题。

　　4．是审计和记录Internet使用费用的一个最佳地点。网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈位置，并能够依据本机构的核算模式提供部门级的计费。

　　5．可以连接到一个单独的网段上，从物理上和内部网段隔开，并在此部署WWW服务器和FTP服务器，将其作为向外部发布内部信息的地点。从技术角度来讲，就是所谓的停火区（DMZ）。

防火墙分类

       按照防火墙对内外来往数据的处理方法，大致可以将防火墙分为两大体系：包过滤防火墙和代理防火墙（应用层网关防火墙）。前者以以色列的Checkpoint防火墙和Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。

防火墙对比

　　包过滤防火墙

　　优点

　　价格较低

　　性能开销小，处理速度较快 

　　缺点

　　定义复杂，容易出现因配置不当带来问题

　　允许数据包直接通过，容易造成数据驱动式攻击的潜在危险  

　　代理防火墙

　　优点

　　内置了专门为了提高安全性而编制的Proxy应用程序，能够透彻地理解相关服务的命令，对来往的数据包进行安全化处理

　　缺点

　　速度较慢，不太适用于高速网（ATM或千兆位以太网等）之间的应用

　　复合型以及其他类型（双宿主主机、主机过滤以及加密路由器）防火墙

(责任编辑：admin)