防火墻的基本概念

所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾網(wǎng)絡(luò)（如Internet）分開(kāi)的方法，它實(shí)際上是一種隔離技術(shù)。防火墻是在兩個(gè)網(wǎng)絡(luò)通信時(shí)執(zhí)行的一種訪問(wèn)控制手段，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來(lái)訪問(wèn)你的網(wǎng)絡(luò)，防止他們更改、復(fù)制和毀壞你的重要信息。

防火墻的功能

1、過(guò)濾掉不安全服務(wù)和非法用戶
2、控制對(duì)特殊站點(diǎn)的訪問(wèn)
3、提供監(jiān)視Internet安全和預(yù)警的方便端點(diǎn)

防火墻的不足
1、防火墻不能防范不經(jīng)由防火墻的攻擊。例如，如果允許從受保護(hù)網(wǎng)內(nèi)部不受限制的向外撥號(hào)，一些用戶可以形成與Internet的直接的連接，從而繞過(guò)防火墻，造成一個(gè)潛在的后門攻擊渠道。
?2、防火墻不能防止感染了病毒的軟件或文件的傳輸。這只能在每臺(tái)主機(jī)上裝反病毒軟件。
3、防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊。當(dāng)有些表面看來(lái)無(wú)害的數(shù)據(jù)被郵寄或復(fù)制到Internet主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí)，就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊。

包過(guò)濾型防火墻
往往用一臺(tái)過(guò)濾路由器來(lái)實(shí)現(xiàn)，對(duì)所接收的每個(gè)數(shù)據(jù)包做允許或拒絕的決定。路由器審查每個(gè)數(shù)據(jù)包以便確定其是否與某一條包過(guò)濾規(guī)則匹配。過(guò)濾規(guī)則基于可以提供給IP轉(zhuǎn)發(fā)過(guò)程的包頭信息。
包頭信息中包括IP源地址、IP目標(biāo)地址、內(nèi)裝協(xié)議（ICP、UDP、ICMP或IP Tunnel）、TCP/UDP目標(biāo)端口、ICMP消息類型和TCP包頭中的ACK位。
包的進(jìn)入接口和出接口如果有匹配，并且規(guī)則允許該數(shù)據(jù)包通過(guò)，那么該數(shù)據(jù)包就會(huì)按照路由表中的信息被轉(zhuǎn)發(fā)。
如果有匹配并且規(guī)則拒絕該數(shù)據(jù)包，那么該數(shù)據(jù)包就會(huì)被丟棄。
如果沒(méi)有匹配規(guī)則，用戶配置的缺省參數(shù)會(huì)決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包。