静态包过滤防火墙、动态（状态检测）包过滤防火墙、应用层（代理）防火墙这三类防火墙适用情况

//ok，我改
//包过滤的防火墙最简单，你可以指定让某个IP或某个端口或某个网段的数据包通过[或不通过]，它不支持应用层的过滤，不支持数据包内容的过滤。
//状态防火墙更复杂一点，按照TCP基于状态的特点，在防火墙上记录各个连接的状态，这可以弥补包过滤防火墙的缺点，比如你允许了ip为1111的数据包通过防火墙，但是恶意的人伪造ip的话，没有通过tcp的三次握手也可以闯过包过滤防火墙。
//应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的 TCP 连接，应用层的协议会话过程必须符合代理的安全策略要求。
应用代理网关的优点是可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强。
//
一、当前防火墙技术分类
防火墙技术经历了包过滤、应用代理网关、再到状态检测三个阶段。
11 包过滤技术
包过滤防火墙工作在网络层，对数据包的源及目地 IP 具有识别和控制作用，对于传输层，也只能识别数据包是 TCP 还是 UDP 及所用的端口信息，如下图所示。现在的路由器、 Switch Router 以及某些 *** 作系统已经具有用 Packet Filter 控制的能力。
由于只对数据包的 IP 地址、 TCP/UDP 协议和端口进行分析，包过滤防火墙的处理速度较快，并且易于配置。
包过滤防火墙具有根本的缺陷：
1 ．不能防范黑客攻击。包过滤防火墙的工作基于一个前提，就是网管知道哪些 IP 是可信网络，哪些是不可信网络的 IP 地址。但是随着远程办公等新应用的出现，网管不可能区分出可信网络与不可信网络的界限，对于黑客来说，只需将源 IP 包改成合法 IP 即可轻松通过包过滤防火墙，进入内网，而任何一个初级水平的黑客都能进行 IP 地址欺骗。
2 ．不支持应用层协议。假如内网用户提出这样一个需求，只允许内网员工访问外网的网页（使用 >010年6月10日“防火墙”工程以来，针对社会单位“这4个单位分别为上饶国际家具城、上饶柳桥羽绒制品有限公司、上饶艾芬达卫浴有限公司、上饶县龙翔私立学校，它们各自代 计算机网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络 *** 作环境的特殊网络互联设备 9条回复 - 发帖时间: 2009年1月5日防火墙从形式上可分为软件防火墙和硬件防火墙。此次，我们主要介绍硬件防火墙。防火墙一般是通过网线连接于外部网络接口与内部服务器或企业网络之间的设备。它又分为普通 本文讨论了当前常见的各种防火墙技术的特点，及其适用范围；然后讨论了防火墙设置网络上的用户们必须了解这种类型的连接对于一个有全面的安全保护系统来说是绝对不 随着网络规模不断扩大、各种应用业务日益增多，特别是政府、电信、金融、电力等关键行业的数据中心、电信网络等的数据流量巨大，技术含量不断提高，都要求有一个 外文翻译--防火墙地址入侵计算机的特点和破坏安全的类型机械毕业设计论文 模具毕业设计论文 论文下载中心 毕业论文，各专业论文 论文联盟-论文网,论文,论文下载,论文 2006年6月21日 为了满足用户的更高要求，防火墙体系架构经历了从低性能的x86、PPC软件防火墙向高性能硬件防火墙的过渡，并逐渐向不但能够满足高性能，也需要支持更多业 软件测试面试题笔试题:1、描述软件产生内存泄露的原因以及检查方式。（可以结合一种开发语言进行描述）参考答案：内存泄露的原因，主要是由于开发过程当中申请了计算机 要描述一个典型的黑客的攻击是很，因为入侵者们的在确定了防火墙的姿态、安全策略、以及预算问题之后这种类型的攻击的特点是入侵者使用了ip分段的特性，创建极小的文件格式:PPT/Microsoft Powerpoint - HTML版

不同环境的网络，对于防火墙的要求各不一样。比如说IDS功能、功能，对于一些小型的公司来说就不需要这些功能。再比如说流量和性能、处理能力之间的关系，究竟多大规模的网络，多大的流量需要多大的性能和多强的处理能力才算是合适呢那么就需要选购者对于防火墙的选型方面仔细考虑了。 首先大概说一下防火墙的分类。就防火墙的组成结构而言，可分为以下三种： 第一种：软件防火墙 这里指的是网络版的软件防火墙而不是个人防火墙。个人防火墙在网上有很多可以免费下载的，不需要花钱买。软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机 *** 作系统的支持，一般来说这台计算机就是整个网络的网关。软件防火墙就象其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。 第二种：硬件防火墙 这里说的硬件防火墙是指所谓的硬件防火墙。之所以加上"所谓"二字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的 *** 作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。 第三种：芯片级防火墙 它们基于专门的硬件平台，没有 *** 作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商莫过于NetScreen其他的品牌还有FortiNet,算是后起之秀了。 对防火墙的分类有了初步的了解之后，选购者比较关心的就是下面所说的――这三种防火墙各自的优缺点以及这几种防火墙对于不同的网络环境的应用有何不同。弄清楚这些才能对防火墙本身有个比较好的了解，对于选购也是及其有帮助的。 在防火墙的应用上，除了防火墙的基本功能之外，还根据企业用户的需要添加了许多其他的扩展功能。 通常有NAT、DNS、、IDS等。由于软件防火墙和硬件防火墙是运行于一定 *** 作系统上的特定软件，所以一些防火墙所需要实现的功能就可以像大家普遍使用的软件一样，分成许多个模块。一些防火墙的厂商也是这样做的，他们将一些扩展的功能划分出来，如果需要使用则另行购买安装。例如IDS功能，有些公司已经购买了专业的IDS产品，那么防火墙上单加了一个IDS的功能则显得有些多余。那么就可以不再购买防火墙中IDS的部分。 芯片级防火墙的核心部分就是ASIC芯片，所有的功能都集成做在这一块小小的芯片上，可以选择这些功能是否被启用。由于有专用硬件的支持，在性能和处理速度上高出前两种防火墙很多，在拥有全部功能后处理速度还是比较令人满意的。 大多数人在选购防火墙的时候会着重于这个防火墙相对于其他防火墙都多出什么功能，性能高多少之类的问题。但对于防火墙来说，自身的安全性决定着全网的安全性。 由于软件防火墙和硬件防火墙的结构是软件运行于一定的 *** 作系统之上，就决定了它的功能是可以随着客户的实际需要而做相应调整的，这一点比较灵活。当然了，在性能上来说，多添加一个扩展功能就会对防火墙处理数据的性能产生影响，添加的扩展功能越多，防火墙的性能就越下降。 由于前两种防火墙运行于 *** 作系统之后，所以它的安全性很大程度上决定于 *** 作系统自身的安全性。无论是UNIX、Linux、还是FreeBSD系统，它们都会有或多或少的漏洞，一旦被人取得了控制权，整个内网的安全性也就无从谈起了，黑客可以随意修改防火墙上的策略和访问权限，进入内网进行任意破坏。由于芯片级防火墙不存在这个问题，自身有很好的安全保护，所以较其他类型的防火墙安全性高一些。 芯片级防火墙专有的ASIC芯片，促使它们比其他种类的防火墙速度更快，处理能力更强。专用硬件和软件强大的结合提供了线速处理深层次信息包检查、坚固的加密、复杂内容和行为扫描功能的优化。不会在网络流量的处理上出现瓶颈。 防毒对于一个企业来说也是必不可少的。芯片级防火墙的后起之秀Fortinet就可以在网关处结合FortiContent技术为各种网络数据交易和企业网络进行高级别的病毒安全防护,保护内部网络的安全。大部分防火墙都可以与防病毒软件搭配实现扫毒功能，而扫毒功能通常是由其他的server来实现处理的。如此互动，与在防火墙在进行流量处理的同时就完成的扫毒功能相比自然是差了许多。 在小型且不需要其他特殊功能的网络来说，硬件防火墙无非是比较好的选择。由于不需要扩展功能，或者扩展功能用的比较少，另行购买的模块就少，在价格上和使用方面就比芯片级要合算。

如果从防火墙的软,硬件来分的话,防火墙可以分为软件防火墙,硬件防火墙以及芯片级防火墙
1软件防火墙
软件防火墙运行于特定的计算机上,它需要客户预告安装好 *** 作系统,一般来说这台计算机就是整个网络的网关,俗称个人防火墙,软件防火墙就像其他的软件产品一样需要先在计算机上安装并做好配置才可以使用,使用这类防火墙需要网管对所工作的 *** 作系统平台比较熟悉;
2硬件防火墙
很容易集成反病毒,内容的过滤,计费,流量控制,对服务器远程的监控等功能,不过x86架构的CPU为了支持复杂的运算并容易开发新的功能,采用了通用体系结构的指令集,所以其处理速度相对较慢,单个芯片的可扩展性较差,因而很难满足千M网络对于高的需求
3芯片级防火墙
芯片级防火墙基于专门的硬件平台,没有 *** 作系统,采用专有的ASIC,NP芯片,比其他各类的防火墙速度更快,处理能力更强,性能更高,如国内议政信息安全公司研发的NP+ASIC防火墙突破了性能瓶颈,这类防火墙由于是专用OS( *** 作系统),因此防火墙本身的漏洞比较少,不过价格相对较高

防火墙处于5层网络安全体系中的最底层，属于网络层安全技术范畴。在这一层上，企业对安全系统提出的问题是：所有的IP是否都能访问到企业的内部网络系统？如果答案是 “是”，则说明企业内部网还没有在网络层采取相应的防范措施。
----作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看，防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。
----根据防火墙所采用的技术不同，我们可以将它分为三种基本类型：包过滤型、代理型和监测型。
----1．包过滤型
----包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、 TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包” 是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。
----包过滤技术的优点是简单实用，实现成本较低，在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全。
----但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术，只能根据数据包的来源、目标和端口等网络信息进行判断，无法识别基于应用层的恶意侵入，如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址，骗过包过滤型防火墙。
----2．代理型
----代理型防火墙也可以被称为代理服务器，它的安全性要高于包过滤型产品，并已经开始向应用层发展。代理服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。从客户机来看，代理服务器相当于一台真正的服务器；而从服务器来看，代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后再由代理服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道，外部的恶意侵害也就很难伤害到企业内部网络系统。
----代理型防火墙的优点是安全性较高，可以针对应用层进行侦测和扫描，对付基于应用层的侵入和病毒都十分有效。其缺点是对系统的整体性能有较大的影响，而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置，大大增加了系统管理的复杂性。
----3．监测型
----监测型防火墙是新一代的产品，这一技术实际已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动的、实时的监测，在对这些数据加以分析的基础上，监测型防火墙能够有效地判断出各层中的非法侵入。同时，这种检测型防火墙产品一般还带有分布式探测器，这些探测器安置在各种应用服务器和其他网络的节点之中，不仅能够检测来自网络外部的攻击，同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计，在针对网络系统的攻击中，有相当比例的攻击来自网络内部。因此，监测型防火墙不仅超越了传统防火墙的定义，而且在安全性上也超越了前两代产品。

网络防火墙从实现手段分硬件防火墙、软件防火墙；
硬件防火墙又分交换架构与服务器架构，其中交换机架构适合流量大的网络，服务器式的适合个性化强的设置放案。
单纯的服务器不属于哪一类。

---