防火墙介绍

在电脑运算领域中，防火墙（英文：Firewall）是一项协助确保信息安全的设备，会依照特定的规则，允许或是限制传输的数据通过。防火墙可能是一台专属的硬件或是架设在一般硬件上的一套软件。

功能[编辑]

防火墙最基本的功能就是隔离网络，通过将网络划分成不同的区域（通常情况下称为ZONE），制定出不同区域之间的访问控制策略来控制不同任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信。它有控制信息基本的任务在不同信任的区域。 典型信任的区域包括互联网(一个没有信任的区域) 和一个内部网络(一个高信任的区域) 。 最终目标是提供受控连通性在不同水平的信任区域通过安全政策的运行和连通性模型之间根据最少特权原则 例如：TCP/IP Port 135~139是 Microsoft Windows 的【网上邻居】所使用的。如果电脑有使用【网上邻居】的【共享文件夹】，又没使用任何防火墙相关的防护措施的话，就等于把自己的【共享文件夹】公开到Internet，供不特定的任何人有机会浏览目录内的文件。且早期版本的Windows有【网上邻居】系统溢出的无密码保护的漏洞（这里是指【共享文件夹】有设密码，但可经由此系统漏洞，达到无须密码便能浏览文件夹的需求）。

防火墙类型[编辑]

针对普通用户的个人防火墙，通常是在一部电脑上具有数据包过滤功能的软件，如ZoneAlarm及Windows XP SP2后内置的防火墙程序。而专业的防火墙通常为网络设备，或是拥有2个以上网络接口的电脑。以作用的TCP/IP堆栈区分，主要分为网络层防火墙和应用层防火墙两种，但也有些防火墙是同时运作于网络层和应用层。

网络层防火墙[编辑]

网络层防火墙可视为一种 IP 数据包过滤器，运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的数据包通过，其余的一概禁止穿越防火墙。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能应用内置的规则。

我们也能以另一种较宽松的角度来制定防火墙规则，只要数据包不符合任何一项“否定规则”就予以放行。现在的操作系统及网络设备大多已内置防火墙功能。

较新的防火墙能利用数据包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型(如 WWW 或是 FTP)。也能经由通信协议、TTL 值、来源的域名名称或网段...等属性来进行过滤。

应用层防火墙[编辑]

主条目： 应用层防火墙

防火墙的视察软件接口示例，纪录IP进出的情况与对应事件

应用层防火墙是在TCP/IP堆栈的“应用层”上运作，使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火墙可以拦截进出某应用程序的所有数据包，并且封锁其他的数据包(通常是直接将数据包丢弃)。理论上，这一类的防火墙可以完全阻绝外部的数据流进受保护的机器里。

防火墙借由监测所有的数据包并找出不符规则的属性，可以防范电脑蠕虫或是木马程序的快速蔓延。实际上，这个方法繁复（因软件种类极多），所以大部分防火墙都不会考虑以这种方法设计。

截至2012年，所谓的下一代防火墙（NGFW）都只是“拓宽”并“深化”了在应用栈检查的能力。例如，现有支持深度分组检测的现代防火墙均可扩展成入侵预防系统（IPS），用户身份集成（用户ID与IP或MAC地址绑定），和Web应用防火墙（WAF）。

代理服务[编辑]

主条目： 代理服务器

代理（Proxy）设备（可能是一台专属的硬件，或只是普通电脑上的一套软件）也能像应用程序一样回应输入数据包（例如连接要求），同时封锁其他的数据包，达到类似于防火墙的效果。

代理会使从外部网络窜改一个内部系统更加困难，且只要对于代理有良好的设置，即使内部系统出现问题也不一定会造成安全上的漏洞。相反地，入侵者也许劫持一个公开可及的系统和使用它作为代理人为他们自己的目的；代理人伪装作为那个系统对其它内部机器。当对内部地址空间的用途增加安全，破坏者也许仍然使用方法譬如IP欺骗（IP spoofing）试图通过小包对目标网络。

防火墙经常有网络地址转换(NAT) 的功能，并且主机被保护在防火墙之后共同地使用所谓的“私人地址空间”，定义在RFC 1918。

防火墙的适当的配置要求技巧和智慧，它要求管理员对网络协议和电脑安全有深入的了解，因小差错可使防火墙不能作为安全工具。

防火墙架构[编辑]

主机型防火墙[编辑]

此防火墙需有两张网卡，一张与互联网连接，另一张与内部网连接，如此互联网与内部网的通道无法直接接通，所有数据包都需要通过主机发送。

双闸型防火墙[编辑]

此防火墙除了主机型防火墙的两张网卡外，另安装应用服务转送器的软件，所有网络数据包都须经过此软件检查，此软件将过滤掉不被系统所允许的数据包。

屏障单机型防火墙[编辑]

此防火墙的硬件设备除需要主机外，还需要一个路由器，路由器需具有数据包过滤的功能，主机则负责过滤及处理网络服务要求的数据包，当互联网的数据包进入屏障单机型防火墙时，路由器会先检查此数据包是否满足过滤规则，再将过滤成功的数据包，转送到主机进行网络服务层的检查与发送。

屏障双闸型防火墙[编辑]

将屏障单机型防火墙的主机换成双闸型防火墙。

屏障子域名型防火墙[编辑]

此防火墙借由多台主机与两个路由器组成，电脑分成两个区块，屏障子域名与内部网，数据包经由以下路径，第一个路由器->屏障子域名->第二路由器->内部网，此设计因有阶段式的过滤功能，因此两个路由器可以有不同的过滤规则，让网络数据包更有效率。若一数据包通过第一过滤器数据包，会先在屏障子域名进行服务处理，若要进行更深入内部网的服务，则要通过第二路由器过滤。

缺点[编辑]

正常状况下，所有互联网的数据包软件都应经过防火墙的过滤，这将造成网络交通的瓶颈。例如在攻击性数据包出现时，攻击者会不时寄出数据包，让防火墙疲于过滤数据包，而使一些合法数据包软件亦无法正常进出防火墙。

防火墙虽然可以过滤互联网的数据包，但却无法过滤内部网络的数据包。因此若有人从内部网络攻击时，防火墙没有作用。

而电脑本身的操作系统亦可能因一些系统漏洞，使入侵者可以利用这些漏洞绕过防火墙过滤，从而入侵电脑。

防火墙无法有效阻挡病毒攻击，尤其是隐藏在数据中的病毒。