????????????? 通過檢查模塊，防火墻能攔截和檢查所有出站的數據。防火墻檢查模塊首先驗證這個包是否符合過濾規(guī)則，不管是否符合過濾規(guī)則，防火墻一般要記錄數據包情況，不符合規(guī)則的包要進行報警或通知管理員。對丟棄的數據包，防火墻可以給發(fā)方一個消息，也可以不給，這要取決于包過濾策略。包檢查模塊能檢查包中的所有信息，一般是網絡層的IP頭和傳輸層的頭。包過濾一般要檢查下面幾項：

IP源地址；
IP目標地址；
協議類型（TCP包、UDP包和ICMP包）；
TCP或UDP的源端口；
TCP或UDP的目標端口；
ICMP消息類型；
TCP報頭中的ACK位。

???????????? 包過濾在本地端接收數據包時，一般不保留上下文，只根據目前數據包的內容做決定。根據不同的防火墻的類型，包過濾可能在進入、輸出時或這兩個時刻都進行。可以擬定一個要接受的設備和服務的清單，一個不接受的設備和服務的清單，組成訪問控制表。
????? 1 . 設置步驟
????? 配置包過濾有三步：
?????????? （1）必須知道什么是應該和不應該被允許的，即必須制定一個安全策略。
?????????? （2）必須正式規(guī)定允許的包類型、包字段的邏輯表達。
?????????? （3）必須用防火墻支持的語法重寫表達式。
???? 2. 按地址過濾
??????????? 下面是一個最簡單的數據包過濾方式，它按照源地址進行過濾。比如說，認為網絡202.110.8.0是一個危險的網絡，那么就可以用源地址過濾禁止內部主機和該網絡進行通信。下表是根據上面的政策所制定的規(guī)則。
表：??? 過濾規(guī)則示例

規(guī)則?方向?源地址?目標地址?動作
A?出?內部網絡?202.110.8.0?拒絕
B?入?202.110.8.0?內部網絡?拒絕????????????

很容易看出這種方式沒有利用全部信息，所以是不科學的，下面將要講一種更為先進的過濾方式——按服務過濾。
???? 3. 按服務過濾
???????????? 假設安全策略是禁止外部主機訪問內部的E-mail服務器（SMTP，端口25），允許內部主機訪問外部主機，實現這種的過濾的訪問控制規(guī)則類似下表。
???????????? 規(guī)則按從前到后的順序匹配，字段中的“*”代表任意值，沒有被過濾器規(guī)則明確允許的包將被拒絕。就是說，每一條規(guī)則集都跟隨一條含蓄的規(guī)則，就像下表中的規(guī)則C。這與一般原則是一致的：沒有明確允許的就被禁止。

規(guī)則?方向?動作?源地址?源端口?目的地址?目的端口?注釋
A?進?拒絕?M?*?E-mail?25?不信任
B?出?允許?*?*?*?*?允許聯接
C?雙向?拒絕?*?*?*?*?缺省狀態(tài)

任何一種協議都是建立在雙方的基礎上的，信息流也是雙向的。規(guī)則總是成對出現的，而且在講解規(guī)則時也是成對講解的原因。
4.包過濾實例
?????????? 無疑按服務過濾的安全性要比單純按地址過濾高。
??????????? 下面，將通過一個例子來講解這種過濾方式。第一，假設處于一個類網絡116.111.4.0，認為站點202.208.5.6上有黃色的BBS，所以希望阻止網絡中的用戶訪問該點的BBS；再假設這個站點的BBS服務是通過Telnet方式提供的，那么需要阻止到那個站點的出站Telnet服務，對于Internet的其他站點，允許內部的網用戶通過Telnet方式訪問，但不允許其他站點以Telnet方式訪問網絡。第二，為了由發(fā)電子郵件，允許SMTP出站入站服務，郵件服務器是IP地址為116.111.4.1。第三，對于WWW服務，允許內部網用戶訪問Internet上任何網絡和站點，但只允許一個公司的網絡訪問內部WWW服務器，內部WWW服務器的IP地址為116.111.4.5，因為你們是合作伙伴關系，那個公司的網絡為98.120.7.0。