防火墙主要有哪几类体系结构，分别说明其优缺点

防火墙主要的体系结构：
1、包过滤型防火墙
2、双宿/多宿主机防火墙
3、被屏蔽主机防火墙
4、被屏蔽子网防火墙
5、其他防火墙体系结构
优缺点：
1、包过滤型防火墙
优点：
（1）处理数据包的速度较快（与代理服务器相比）；（2）实现包过滤几乎不再需要费用；（3）包过滤路由器对用户和应用来说是透明的。
缺点：
（1）包过滤防火墙的维护较困难；（2）只能阻止一种类型的IP欺骗；（3）任何直接经过路由器的数据包都有被用作数据驱动式攻击的潜在危险，一些包过滤路由器不支持有效的用户认证，仅通过IP地址来判断是不安全的；（4）不能提供有用的日者或者根本不能提供日志；（5）随着过滤器数目的增加，路由器的吞吐量会下降；（6）IP包过滤器可能无法对网络上流动的信息提供全面的控制。
2、双宿/多宿主机防火墙
优点：
（1）可以将被保护的网络内部结构屏蔽起来，增强网络的安全性；（2）可用于实施较强的数据流监控、过滤、记录和报告等。
缺点：
（1）使访问速度变慢；（2）提供服务相对滞后或者无法提供。
3、被屏蔽主机防火墙
优点：
（1）其提供的安全等级比包过滤防火墙系统要高，实现了网络层安全（包过滤）和应用层安全（代理服务）；（2）入侵者在破坏内部网络的安全性之前，必须首先渗透两种不同的安全系统；（3）安全性更高。
缺点：路由器不被正常路由。
4、被屏蔽子网防火墙
优点：
安全性高，若入侵者试图破坏防火墙，他必须重新配置连接三个网的路由，既不切断连接，同时又不使自己被发现，难度系数高。
缺点：
（1）不能防御内部攻击者，来自内部的攻击者是从网络内部发起攻击的，他们的所有攻击行为都不通过防火墙；（2）不能防御绕过防火墙的攻击；（3）不能防御完全新的威胁：防火墙被用来防备已知的威胁；（4）不能防御数据驱动的攻击：防火墙不能防御基于数据驱动的攻击。

包过滤防火墙与代理型防火墙的区别为：工作原理不同、处理层不同、网关不同。

一、工作原理不同

1、包过滤防火墙：包过滤防火墙过滤系统是一台路由器或是一台主机，可以根据过滤规则阻塞内部主机和外部主机或另外一个网络之间的连接。

2、代理型防火墙：代理型防火墙当代理服务器收到一个客户的连接请求时，先核实该请求，然后将处理后的请求转发给真实服务器，在接受真实服务器应答并做进一步处理后，再将回复交给发出请求的客户。

二、处理层不同

1、包过滤防火墙：包过滤防火墙只检查当前所在层数据包的目标地址，并选择一个达到目的地址的最佳路径。

2、代理型防火墙：代理型防火墙可对网络上任一层的数据包进行检查并经过身份认证，让符合安全规则的包通过，并丢弃其余的包。

三、网关不同

1、包过滤防火墙：包过滤防火墙内部网络的主机，需要设置防火墙为网关，才可以获取Internet资源。

2、代理型防火墙：代理型防火墙内部网络的主机，无需设置防火墙为网关，只需直接将需要服务的IP地址指向代理服务器主机，就可以获取Internet资源。

参考资料来源：

百度百科——包过滤防火墙

百度百科——代理服务型防火墙

---