什么是防火墙？防火墙的类型和注意事项

提到防火墙，大家都知道与安全有关，最近我们经常接到客户电话咨询防火墙的相关问题，接下来小编带你深入的了解防火墙，让你对防火墙有一个清晰的认知。
防火墙的作用是保护本地系统或网络系统免受基于网络的安全威胁的有效手段，同时可以通过广域网和因特网提供对外界网络的访问。

防火墙的名称来源于一种常见的建筑实践，即将砖墙放置在两个结构之间，以防止一个火灾蔓延到另一个结构。这是一种安全防火墙的有效方法：它提供了一个屏障来控制进出组织的互联网连接网络，或者可能在内部网络的不同段之间的网络流量。
防火墙可以采取多种形式，从专用设备，到运行在通用服务器上的软件，或作为多功能安全设备的一部分。通常防火墙有两个网络接口：一个用于网络的外部，一个用于内部。其目的是控制允许从一个侧面通行到另一个的交通。
作为最基本的级别，防火墙可以阻止针对特定IP地址或服务器端口的流量。通常，公司设置防火墙允许传入连接到端口80，端口是Web服务器使用的标准端口。例如，这允许访问者访问一个CopPress网站，但不允许访问其他端口的“不可信”流量。不信任意味着交通的起源是未知的。具有适当凭证的公司雇员，例如用户名和密码，将允许通过安全连接（通常是虚拟专用网络）访问。
来自网络内部可信的流量将被允许穿越防火墙并连接到互联网，允许用户使用诸如电子邮件和FTP之类的服务。
当配置正确时，防火墙还提供对包括拒绝服务（DoS）攻击在内的威胁的保护。DoS攻击发生时，入侵者试图阻塞一个公司网站与大量的流量，因此，它使Web服务器下降，并可能允许入侵者闯入。入侵者可能通过Web服务器能够访问其他网络资源。
更复杂的防火墙支持“状态检查”技术，其中防火墙查看流量中的模式，以识别出现某种形式攻击的异常，例如DoS攻击或欺骗攻击，其中入侵者试图伪装成可信资源。
防火墙提供四种类型的控制：
服务控制：确定可访问的因特网服务的类型、入站（正在进入网络内的分组）或出站（网络之外的分组）。
例如：在许多公司中，如果使用公司的WiFi网络，QQ和外部应用等服务是不可访问的，因为防火墙正在检查出站网络（这可能因公司而异）。
方向控制：确定特定服务请求可以被启动并允许通过防火墙流动的方向。
用户控制：根据用户试图访问的服务来控制对该服务的访问。该功能通常应用于防火墙周界（本地用户）内的用户，也可应用于来自外部用户的传入流量。
例如：许多公司根据雇员或某个部门的位置，制定了网页内容过滤的内置策略。经理可能有权访问QuoRA，但一个实习生可能不具备同样的能力。
行为控制：控制特定服务的使用方式。例如，防火墙可以过滤电子邮件以消除垃圾邮件，或者它可以对本地Web服务器上的部分信息进行外部访问。
根据国家标准与技术研究所（NIST）800—10防火墙可分为三种类型：
过滤
状态检查
代理
注意：这三类防火墙可能是互斥的，也可能不是互斥的。在现实世界场景中，我们使用防火墙时都是混合使用。
一、包过滤防火墙
在包过滤防火墙中，每一个包（传入或传出）在转发之前被与特定的规则集（如管理员定义的）相比较。
如果数据包似乎遵循规则/标准，则转发数据包，如果数据包不存在，则数据包被丢弃。
规则可以包括：
源IP地址或目的IP地址
源端口和目的端口
允许的协议或服务
这些规则在公司和公司之间是不同的，没有固定的标准或理想的模式。
包过滤防火墙通常受到攻击，它利用TCP IP规范中的漏洞。
例如：如果入侵者欺骗源IP地址，大多数包层防火墙无法检测到它。包层防火墙无法检查数据包头是否被欺骗，此后许多攻击者使用绕过组织的安全性。因此，许多防火墙维护通过防火墙遍历的每个数据包的状态信息。
二、状态检查
它是一种包过滤防火墙，具有维护连接状态（对于每个分组）和阻止偏离其理想状态的分组的附加功能。
TCP业务存在三种主要状态
1.连接建立
2.用法
3.终止
例如，攻击者可以生成一个报头，该报头指示它是已建立的连接的一部分（假设攻击者欺骗了内部连接的IP），希望它会通过防火墙。如果防火墙使用状态检查，它将首先验证包是状态表中列出的已建立连接的一部分。
如果它已经是已建立连接的一部分，意味着有人试图获得未经授权的访问，并且包将被丢弃。
三、应用级代理
这些防火墙包含代理，它们充当两个希望相互通信的主机之间的中介，并且从不允许它们之间的直接连接。每个成功的连接尝试实际上导致在客户端和代理服务器之间创建两个单独的连接，另一个在代理服务器和真实目的地之间创建连接。