企业Web安全防御：防火墙概述

防火墙概念：

• 网络安全设备（系统）
• 用于加强网络间的访问控制
• 防止外部用户非法使用内部网的资源
• 保护内部用户的设备不被破坏
• 防止内部网络的敏感数据被窃取
• 能根据网络安全策略控制（允许、拒绝、检测）出入网络的信息流，且本身具有较强的抗攻击能力。

防火墙是用于将信任网络和非信任网络隔离的一种技术，它通过制定相应的安全策略，可检测、限制、更改跨越防火墙的数据流，来保护信任网络以防止发生不可预测的、具有潜在破坏性的侵入。

• 防火墙一般位于网络数据流的必经节点
• 一般位于路由器的后面，交换机前面
• 防火墙与网络是串联关系

防火墙的三种工作模式：

• 路由模式

当防火墙位于内部网络和外部网络之间时，需要将防火墙和内部网络、外部网络以及DMZ（两个防火墙之间的空间）三个区域相连的接口分别配置成不同网段的IP地址，重新规划原有的网络拓扑，此时相当于一台路由器。

采用路由模式时，可以完成ACL 包（用来控制端口进出的数据包）过滤、ASPF （aspf能够检测试图通过防火墙的应用层协议会话信息，阻止不符合规则的数据报文穿过。针对应用层的包过滤）动态过滤、NAT 转换等功能。然而，路由模式需要对网络拓扑进行修改（内部网络用户需要更改网关、路由器需要更改路由配置等）

• 透明模式（桥接）

如果防火墙采用透明模式进行工作，则可以避免改变拓扑结构造成的麻烦，此时防火墙对于子网用户和路由器来说是完全透明的。也就是说，用户完全感觉不到防火墙的存在。

采用透明模式时，只需要在网络中像放置网桥（交换机）一样插入该防火墙设备即可，无需修改任何已有的配置。与路由模式相同，IP 报文同样经过相关的过滤检查（但是IP 报文中的源或目的地址不会改变），内部网络用户依旧受到防火墙的保护。

• 混合模式

如果防火墙既存在工作在路由模式的接口（接口具有IP 地址），又存在工作在透明模式的接口（接口无IP 地址），则防火墙工作在混合模式下。混合模式主要用于透明模式作双机备份的情况，此时启动VRRP（Virtual Router Redundancy Protocol，虚拟路由冗余协议）功能的接口需要配置IP 地址，其它接口不配置IP地址。