作为流量守门人的防火墙

防火墙是一种设备或软件，用于控制哪些流量可以进出网络，充当网络安全的守门员。它根据一组规则检查数据包，并据此允许或阻止这些数据包。防火墙是网络防御的基石，通常部署在内部网络与互联网之间等边界位置，以阻止不需要的流量进入。

防火墙执行一组规则（也称为访问控制列表）。每条规则都会根据源和目标 IP 地址、端口号及协议等条件，决定是允许还是拒绝流量。防火墙按顺序将流量与规则进行匹配，并按照第一条匹配的规则执行操作。这样，管理员就能精确规定允许哪些通信。

防火墙的一项核心原则是隐式拒绝：任何未被明确允许的内容默认都会被阻止。因此，如果没有规则允许某类流量，防火墙就会拒绝它。这种默认拒绝的做法比允许所有流量再阻止例外情况安全得多，因为即使忘记添加规则，结果也是安全地关闭，而不是开放并暴露风险。

最简单的防火墙执行无状态数据包过滤：它根据 IP 和端口等标头字段，独立判断每个数据包，不记忆过去的流量。无状态过滤速度快但功能有限，因为它无法判断某个数据包是现有合法通信的一部分，还是未经请求、试图偷偷进入网络的流量。

更完善的防火墙会使用有状态检查，在表中跟踪活动连接的状态。当您的计算机发起通信时，防火墙会记住这次通信，并自动允许相应的回复，同时阻止不属于已知会话的未经请求的入站流量。有状态防火墙如今已成为标准，因为它们比无状态防火墙更智能，也更安全。

下一代防火墙（NGFW）更进一步，可以在应用层检查流量。它能够识别具体应用、根据用户进行过滤、阻止恶意软件，并包含入侵防御功能。NGFW 不仅能看到端口和 IP，还能识别流量的实际内容，从而实现细粒度控制，例如允许浏览网页，同时阻止同一端口上的高风险应用。

防火墙有两种部署位置：

• 网络防火墙——在网络边界保护整个网络，通常是专用设备。
• 主机防火墙——安装在单台设备上的软件，例如 Windows 或 Linux 内置的防火墙。

同时使用两者可以提供分层保护：网络防火墙守护网络边界，而主机防火墙分别保护每台设备。

防火墙部署在信任边界上，最重要的位置是内部网络与互联网之间。常见设计会使用DMZ（非军事区），为面向公众的 Web 或邮件等服务器提供缓冲网络，并通过防火墙规则将其与内部 LAN 分隔开来。这样，即使公共服务器遭到入侵，内部网络仍能由另一层防护加以保护。

防火墙可以执行许多安全任务：

• 阻止来自互联网的未经请求的入站连接。
• 限制出站流量，只允许访问获批准的服务。
• 隔离内部不同区域。
• 记录流量，以便监控和响应安全事件。

这些用途共同使防火墙成为执行组织安全策略的核心。

防火墙通常会与检测系统搭配使用。IDS（入侵检测系统）监视流量，并对可疑活动发出警报，但不会阻止流量。IPS（入侵防御系统）以串联方式部署，可以主动阻止检测到的威胁。防火墙负责执行允许或拒绝规则，而 IDS/IPS 则在允许的流量中寻找攻击模式。现代 NGFW 通常集成 IPS 功能，将网络守门与威胁阻止结合起来。

针对考试，请了解：防火墙根据 IP、端口和协议等条件，通过规则允许或拒绝流量；它遵循隐式拒绝原则，并且可以是无状态或有状态的，NGFW还会增加应用感知能力。请理解网络防火墙与主机防火墙的区别，以及DMZ在保护公共服务器方面的作用。防火墙是网络边界的守门员，负责执行哪些流量可以通过边界。

您已经了解到，防火墙根据 IP、端口和协议等条件，通过规则集允许或拒绝流量；隐式拒绝会阻止所有未被允许的内容。无状态过滤器独立判断每个数据包；有状态防火墙跟踪连接并允许合法回复，因此成为当前的标准。NGFW增加了应用层感知和入侵防御功能。防火墙可以是网络设备或主机软件，部署在信任边界上，并使用DMZ隔离面向公众的服务器。