防火墙

迈不过友情╰ 2022-12-26 11:11 311阅读 0赞

## 一、什么是防火墙 ##

防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障，是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关(Security Gateway)，从而保护内部网免受非法用户的侵入。

梳理这句话，得到：防火墙由软件和硬件组合，用于构筑内部网络保护屏障（其实也可以指构筑计算机保护屏障）。

防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。

## 二、防火墙的用途 ##

用途其实上面已经说了，就是起保护作用。防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。我们可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是我们自己的保护选择。  
![在这里插入图片描述][20201207224944395.png_pic_center]

## 三、防火墙的分类 ##

防火墙的分类方法，主要有以下6种：

1、按软、硬件形式分类：软件防火墙、硬件防火墙、芯片级防火墙。

2、按防火墙技术分类：包过滤型防火墙、应用代理型防火墙 。

3、按防火墙结构分类：单一主机防火墙、路由器集成式防火墙、分布式防火墙。

4、按防火墙的应用部署位置分类：边界防火墙、个人防火墙、混合防火墙。

*边界防火墙* 是最为传统的那种，它们于内、外部网络的边界，所起的作用的对内、外部网络实施隔离，保护边界内部网络。这类防火墙一般都是硬件类型的，价格较贵，性能较好。

*个人防火墙* 安装于单台主机中，防护的也只是单台主机。这类防火墙应用于广大的个人用户，通常为软件防火墙，价格最便宜，性能也最差。

*混合式防火墙* 可以说就是“分布式防火墙”或者“嵌入式防火墙”，它是一整套防火墙系统，由若干个软、硬件组件组成，分布于内、外部网络边界和内部各主机之间，既对内、外部网络之间通信进行过滤，又对网络内部各主机间的通信进行过滤。它属于最新的防火墙技术之一，性能最好，价格也最贵。

5、按防火墙性能分类：百兆级防火墙、千兆级防火墙。

6、按防火墙使用方法分类：网络层防火墙、物理层防火墙、链路层防火墙。

## 四、防火墙的配置方式 ##

防火墙配置方式主要有3种：

1、Dual-homed方式（双宿）

Dual-homed方式最简单。 Dual-homed Gateway(双宿主网关)放置在两个网络之间，这个双宿主网关也称为bastionhost（堡垒机）。这种结构成本低，不过它有单点失败的问题。

这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。

2、Screened-host方式（屏蔽主机）

Screened-host方式中的Screeningrouter(筛选路由器)为保护Bastionhost（堡垒机）的安全建立了一道屏障。它将所有进入的信息先送往Bastionhost，并且只接受来自Bastionhost的数据作为出去的数据。

这种结构依赖Screeningrouter和Bastionhost，只要有一个失败，整个网络就暴露了。

3、Screened-subnet方式（屏蔽子网）

Screened-subnet包含两个Screeningrouter和两个Bastionhost。在公共网络和私有网络之间构成了一个隔离网，称之为”停火区”（DMZ，即Demilitarized Zone），Bastionhost放置在“停火区”内。

这种结构安全性好，只有当两个安全单元被破坏后，网络才被暴露，但是成本也很昂贵。

## 五、防火墙的工作模式 ##

防火墙是为加强网络安全防护能力在网络中部署的硬件设备，有多种部署方式，常见的主要有以下几种方式。

1、桥模式  
桥模式也可叫作透明模式。客户端和服务器处于同一网段，为了安全方面的考虑，在客户端和服务器之间增加防火墙设备，对经过的流量进行安全控制。正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、VPN等功能。

2、网关模式  
网关模式适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。

3、NAT模式  
NAT(Network Address Translation)地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据;当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题。

4、高可靠性设计  
防火墙都部署在网络的出入口，是网络通信的大门，这就要求防火墙的部署必须具备高可靠性。一般IT设备的使用寿命被设计为3至5年，当单点设备发生故障时，要通过冗余技术实现可靠性，可以通过如虚拟路由冗余协议(VRRP)等技术实现主备冗余。目前，主流的网络设备都支持高可靠性设计。

参考文章  
[防火墙是如何分类的][Link 1]  
[按防火墙的应用部署位置分类][Link 2]  
[防火墙配置模式][Link 3]  
[防火墙的常见部署方式有哪几种][Link 4]

[20201207224944395.png_pic_center]: /images/20221120/9a71ad6f02074ea28b224a1376627ed1.png
[Link 1]: https://zhidao.baidu.com/question/202701695.html
[Link 2]: https://blog.csdn.net/wsswss1123/article/details/83978438
[Link 3]: https://wenku.baidu.com/view/0a57e1c8aef8941ea76e0587.html
[Link 4]: http://www.fangyuba.com/news/dynamic/720.htm