EEPW论坛

防火墙的基本概念

所谓“防火墙”，是指一种将内部网和公众网络（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通信时执行的一种访问控制手段，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、复制和毁坏你的重要信息。

防火墙的功能

1、过滤掉不安全服务和非法用户
2、控制对特殊站点的访问
3、提供监视Internet安全和预警的方便端点

防火墙的不足
1、防火墙不能防范不经由防火墙的攻击。例如，如果允许从受保护网内部不受限制的向外拨号，一些用户可以形成与Internet的直接的连接，从而绕过防火墙，造成一个潜在的后门攻击渠道。
2、防火墙不能防止感染了病毒的软件或文件的传输。这只能在每台主机上装反病毒软件。
3、防火墙不能防止数据驱动式攻击。当有些表面看来无害的数据被邮寄或复制到Internet主机上并被执行而发起攻击时，就会发生数据驱动攻击。

包过滤型防火墙
往往用一台过滤路由器来实现，对所接收的每个数据包做允许或拒绝的决定。路由器审查每个数据包以便确定其是否与某一条包过滤规则匹配。过滤规则基于可以提供给IP转发过程的包头信息。
包头信息中包括IP源地址、IP目标地址、内装协议（ICP、UDP、ICMP或IP Tunnel）、TCP/UDP目标端口、ICMP消息类型和TCP包头中的ACK位。
包的进入接口和出接口如果有匹配，并且规则允许该数据包通过，那么该数据包就会按照路由表中的信息被转发。
如果有匹配并且规则拒绝该数据包，那么该数据包就会被丢弃。
如果没有匹配规则，用户配置的缺省参数会决定是转发还是丢弃数据包。