什么是状态检测

简单介绍了目前防火墙领域中的状态检测技术的基本原理

什么是状态检测

本文档的Copyleft归yfydz所有，使用GPL发布，可以自由拷贝、转载，转载时请保持文档的完整性，严禁用于任何商业用途。
msn: yfydz_no1@hotmail.com
来源：http://yfydz.cublog.cn
状态检测(stateful inspection)是由CheckPoint公司最先提出的，可算是防火墙技术的一项突破性变革，把包过滤的快速性和代理的安全性很好地结合在一起，目前已经是防火墙最流行的检测方式。

状态检测的根本思想是对所有网络数据建立“连接”的概念，此“连接”是面向“连接”的协议之“连接”的扩展，对非连接协议数据也可以建立虚拟连接。既然是连接，必然是有一定的顺序的，通信两边的连接状态也是有一定顺序进行变化的，就象打电话，一定要先拨号对方电话才能振铃，不可能没人拨铃就响了，那样的话一定是哪出了故障。防火墙的状态检测就是事先确定好连接的合法过程模式，如果数据过程符合这个模式，则说明数据是合法正确的，否则就是非法数据，应该被丢
下面用面向连接的TCP协议来作具体说明：
TCP协议是一个标准的面向连接协议，在真正的通信前，必须按一定协议先建立连接，连接建立好后才能通信，通信结束后释放连接。连接建立过程称为三次握手，发起方先发送带有只SYN标志的数据包到目的方，目的方如果端口是打开允许连接的，就会回应一个带SYN和ACK标志的数据包到发起方，发起方收到后再发送一个只带ACK标志的数据包到目地方，目的方收到后就可认为连接已经正确建立；在正常断开时，一方会发送带