总结：TCP／IP 详解（卷1: 协议）－－第七章 防火墙和网络地址转换

第七章  防火墙和网络地址转换

        防火墙为网络管理员提供了一种机制，限制那些可能对终端系统有害的信息流动。主要有两种类型的防火墙：包过滤防火墙和代理防火墙。包过滤防火墙可进一步划分为有状态的和无状态的，它们通常作为 IP 路由器。有状态的防火墙更加复杂，能够支持更广泛的应用层协议。代理防火墙通常作为一种形式的应用层网关。对于这些防火墙，每个应用层服务在防火墙上必须有自己的代理处理程序，这些处理程序可以修改通过的流量，甚至是其中的数据部分。如 SOCKS 这类协议以标准化的方式支持代理防火墙。

        NAT 是一种机制，使得大量的终端主机可以共享一个或多个全局路由的 IP 地址。NAT 被广泛应用于上述目的，但也可以和防火墙规则结合形成一个 NAT／防火墙组合。在这种流行的配置中，位于 NAT “背后” 的主机允许发送流量到全球互联网，但是仅允许针对传出流量的响应流量通过 NAT 返回。这为位于 NAT “背后” 采用端口转发处理的服务提出了一个小问题，如何允许目的地是 NAT 内开启了服务的主机的传入流量通过。通过在两个地址空间之间转换地址，NAT 也被提出用于协助从 IPv4 过渡到 IPv6。此外，NAT也正被考虑用于 ISP 内部，以进一步喊轻 IPv4地址耗尽的压力。如果这个大规模的发生，普通用户想在他们家庭网络中为 Internet 提供服务将变得更为困难。

        防火墙和 NAT 可能需要配置。基本设置足够许多家庭用户使