防火墙的基本原理
对应下图的字节传输流程，可以分为以下几层：

包过滤（Packet filtering）：工作在网络层，仅根据数据包头中的IP地址、端口号、协议类型等标志确定是否允许数据包通过。
 
应用代理（Application Proxy）：工作在应用层，通过编写不同的应用代理程序，实现对应用层数据的检测和分析。
 
状态检测（Stateful Inspection）：工作在2~4层，访问控制方式与1同，但处理的对象不是单个数据包，而是整个连接，通过规则表和连接状态表，综合判断是否允许数据包通过。
 
完全内容检测（Compelete Content Inspection）：工作在2~7层，不仅分析数据包头信息、状态信息，而且对应用层协议进行还原和内容分析，有效防范混合型安全威胁。
 
 
防火墙区域划分：
1.trust 可信区域；内部用户
2.DMZ 军事管理区域；服务器，提供外部访问
3.untrust 不信任区；外网
 
不同区域之间默认时不能访问的，需要配置策略；
相同区域之间默认时可以访问的；
高优先级-->低优先级 outband
低优先级-->高优先级 inbond
参考链接