网络防御（持续更新）

防火墙

什么是防火墙

所谓“防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入Internet网络为最甚。

防火墙主要是借助硬件和软件的作用于内部和外部网络的环境间产生一种保护的屏障，从而实现对计算机不安全网络因素的阻断。只有在防火墙同意情况下，用户才能够进入计算机内，如果不同意就会被阻挡于外，防火墙技术的警报功能十分强大，在外部的用户要进入到计算机内时，防火墙就会迅速的发出相应的警报，并提醒用户的行为，并进行自我的判断来决定是否允许外部的用户进入到内部，只要是在网络环境内的用户，这种防火墙都能够进行有效的查询，同时把查到信息朝用户进行显示，然后用户需要按照自身需要对防火墙实施相应设置，对不允许的用户行为进行阻断。通过防火墙还能够对信息数据的流量实施有效查看，并且还能够对数据信息的上传和下载速度进行掌握，便于用户对计算机使用的情况具有良好的控制判断，计算机的内部情况也可以通过这种防火墙进行查看，还具有启动与关闭程序的功能，而计算机系统的内部中具有的日志功能，其实也是防火墙对计算机的内部系统实时安全情况与每日流量情况进行的总结和整理。

防火墙是在两个网络通讯时执行的一种访问控制尺度，能最大限度阻止网络中的黑客访问你的网络。是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。

状态检测防火墙的工作原理

基本运作模式简述
状态检测"机制，是以流量为单位 来对报文进行检测和转发，即：对一条流量的第一个报文(首包)进行包过滤规则检查，第一次来的包（防火墙可以区分是去的，还是回的），并将判断结果作为该条流量的"状态"记录进会话表项，建立两个缓存的session(一个去包缓存、一个回包缓存)，后续属于同一数据流的数据包匹配缓存表后放行

基于状态检测防火墙组成

在基于状态检测的防火墙中，有两张表：规则表 和 状态表(会话表)

规则表
规则表表示了防火墙的过滤规则
状态表
状态表表示了数据包连接的属性

三大模块：

协议处理模块	针对数据链路层和网络层进行过滤
规则匹配模块	根据事先配置的规则对数据包进行过滤
状态检测模块	分析协议的工作原理和流程

具体匹配流程

分析协议的工作原理和流程

1：数据包首先会到达状态检查模块，通过对数据包分析、提取数据包报文头文件信息，检查数据包是否符合在状态表中某个已经建立的有效的会话连接记录，如符合记录则根据报文头信息更新状态表并放行。

2：若与状态表中无匹配表项，则检测其与规则表是否匹配，不匹配直接丢弃

3：若匹配进一步判断是否允许建立新连接，这时根据 IP 协议承载的上层不同协议类型建立新表项，最终报文加载状态信息进行处理。