设备安全：防火墙总结（1）

1、防火墙的定义

1. 路由交换总归到底是连通性设备【交换机同一个网络同，路由器不同网络通】
2. 防火墙设备是为了隔绝网络的访问
3. 早起网络在没有防火墙时期是联通的，any to any

防火墙是一种隔离（非授权用户）并过滤（对受保护网络有害流量或者数据包）的设备【在网络联通基础之上】

在路由交换的基础之上，还有隔离过滤的功能

• 授权用户，无需防御
• 非授权用户，隔离

如同一面墙的作用，隔离非授权用户，根据规则放行

在没有防火墙之前，防御方法：使用路由器作为防火墙，包过滤防火墙(访问控制列表ACL)

2、防火墙的区域划分

• 按照等级划分

Untrust(非受信区)、Local(本地区)、DMZ(非军事化区)、Trust(受信区)

3、 防火墙的类型

3.1 包过滤防火墙

包过滤防火墙：使用ACL访问控制列表技术【三层技术】
包过滤防火墙：主要检查五元组，缺陷，指定端口只能指定单向的端口，会将回包也阻断，颗粒度粗，管理越严，ACL越多

3.1.1 单使用ACL的特点

● 简单、速度快
● 检查的颗粒度粗

ACL与NAT联用是绝配
ACL+NAT：NAT表必须要出内网再回来才能生成，否则不予放行
绝配原因：因为nat的源地址转换功能

nat的源地址转换功能：
只有出去才能回来，出去才会有那个表记录。外面进来是没有表记录无法转换进入私（内）网

3.2 代理防火墙

代理使用socket实现，socket介于7-4层之间，完成对数据从7层到4层的封装和传递，且不同的应用需要使用不同的代理技术

代理防火墙（包过滤防火墙+代理）：可以做出只针对一台设备的细颗粒度ACL，降低包过滤防火墙的检查颗粒度，只能针对具体应用（因为代理技术的限制）
注意：代理防火墙区域之间通信因为使用固定设备，而通用设备只管应用不管流量

3.2.1 代理：中间人技术

代理防火墙：使用中间人技术【应用层，七层技术】

1、代理的中间人技术，只让这一台设备进行区域间通信，区域内所有设备需要和区域外进行通信，都需要这台设备作为中间人，代理技术需要在七层（应用层）上进行
2、代理技术只能针对特定的应用来实现，应用间不能通用

称为七层技术是因为在设置代理时我们平时在浏览器上设置代理，而浏览器为应用及是应用层设备为此我们不难理解代理防火墙技术七层技术。

3.2.2 特点

○ 缺点：技术复杂，速度慢
○ 优点：能防御应用层威胁，内容威胁

3.3 状态防火墙

状态防火墙：三层、四层防火墙，使用会话追踪技术（追踪TCP的状态），某个状态下收到的回包应该是确认的包，而不是任意的包，根据当前TCP状态检测收到的包是否是正确的包。

3.3.1 实现方式

状态防火墙除了可以使用软件（iptables等）实现，还可以使用硬件实现（hash算法），在包过滤（ACL）的基础上新增了一个会话表&