网络安全防火墙是什么 简述防火墙的五个主要功能

网络安全防火墙是什么

今天为网友们详解网络安全防火墙是什么和简述防火墙的五个主要功能的相关知识，继续往下看吧！

何为防火墙

防火墙（Firewall），也称防护墙，它是一种位于内部网络与外部网络之间的网络安全系统。是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。主要用于保护一个网络区域免受来自另一个网络区域的网络攻击和网络入侵行为。因其隔离、防守的属性，灵活应用于网络边界、子网隔离等位置，具体如企业网络出口、大型网络内部子网隔离、数据中心边界等等。

在网络的世界里，要由防火墙过滤的就是承载通信数据的通信包。在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。

换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

简单地说，防火墙的主要起的作用：划分网络安全边界，实现关键系统与外部环境的安全隔离，保护内部网络免受外部攻击。与传统使用路由器做防护，是因为相比防火墙提供了更丰富的安全防御策略，提高了安全策略下数据报转发速率。由于防火墙用于安全边界，因此往往兼备NAT、VPN等功能，并且在这方面的相比路由器更加强劲。

总的来说，防火墙的五大基础的作用：

1) 过滤进出网络中的的各种数据

2) 管理和分析访问网络的进出流量中的行为

3) 禁止网络访问中的特定禁止业务或流量

4) 记录通过防火墙信息内容和活动

5) 对来自网络的各种攻击机检测和警告

防火墙的发展历程

防火墙从诞生开始，已经历了四个发展阶段：

◾ 基于路由器的防火墙

◾ 用户化的防火墙工具套

◾ 建立在通用操作系统上的防火墙

◾ 具有安全操作系统的防火墙

从实现原理角度，防火墙产品可划分为包过滤防火墙、应用代理防火墙、状态检测防火墙和多检测机制融合防火墙等；从保护对象和资产角度，防火墙产品可划分为主机型防火墙、网络型防火墙、Web应用防火墙和数据库防火墙等；从应用环境角度，防火墙产品可划分为虚拟化防火墙、工控防火墙和物联网防火墙等。新版防火墙国家标准创新性地将各类防火墙国家标准、技术特性进行了系统、全面梳理，将防火墙按照保护对象和资产角度划分为网络型防火墙、Web应用防火墙、数据库防火墙和主机型防火墙，形成了统一的技术框架。

防火墙的基本类型

从应用及结构层分为三种：

1) 网络层防火墙

网络层防火墙可视为一种 IP 封包过滤器，运作在底层的TCP/IP协议堆栈上。可以以枚举的方式只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。

2) 应用层防火墙

应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作，您使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用代理防火墙主要的工作范围就是在OIS的最高层，位于应用层之上。其主要的特征是可以完全隔离网络通信流，通过特定的代理程序就可以实现对应用层的监督与控制。应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包（通常是直接将封包丢弃）。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。

3) 数据库/应用防火墙

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计，也是面向应用的防火墙。

数据库防火墙通过SQL协议分析，根据预定义的禁止和许可策略让合法的SQL操作通过，阻断非法违规操作，形成数据库的外围防御圈，实现SQL危险操作的主动预防、实时审计。

数据库防火墙面对来自于外部的入侵行为，提供SQL注入禁止和数据库虚拟补丁包功能。

从工作机制上或按访问控制方式分类（最主流的划分方法），防火墙分类分为以下三种：

a) 包过滤防火墙 (Packet Filtering)

过滤型防火墙是在网络层与传输层中，可以基于数据源头的地址以及协议类型等标志特征进行分析，确定是否可以通过。包过滤利用定义的特定规则过滤数据包，防火墙直接获得数据包的IP源地址、目的地址、TCP/ UDP的源端口、和TCP/UDP的目的端口。在符合防火墙规定标准之下，满足安全性能以及类型才可以进行信息的传递，而一些不安全的因素则会被防火墙过滤、阻挡。包过滤防火墙简单，但是缺乏灵活性，对一些动态协商端口没有办法设置规则。另外包过滤防火墙每个包都需要进行策略检查，策略过多会导致性能急剧下降。

b) 代理型防火墙（Application Gateway）

代理型防火墙使得防火墙做为一个访问的中间节点，对客户端来说防火墙是一个服务器，对服务器来说防火墙是一个客户端。代理型防火墙安全性较高，但是开发代价很大。对每一种应用开发一个对应的代理服务是很难做到的，因此代理型防火墙不能支持很丰富的业务，只能针对某些应用提供代理支持。

c) 状态检测防火墙

状态检测是一种高级通信过滤，它检查应用层协议信息并且监控基于连接的应用层协议状态。对于所有连接，每一个连接状态信息都将被维护并用于动态地决定数据包是否被允许通过防火墙或丢弃。现在防火墙的主流产品都为状态检测防火墙。

防火墙工作原理

（1） 包过滤技术

包过滤作为一种网络安全保护机制，主要用于对网络中各种不同的流量是否转发做一个最基本的控制。

这其中最核心技术就是指定安全策略中的：访问控制表

传统的包过滤防火墙对于需要转发的报文，会先获取报文头信息，包括报文的源IP地址、目的IP地址、IP层所承载的上层协议的协议号、源端口号和目的端口号等，然后和预先设定的过滤规则进行匹配，并根据匹配结果对报文采取转发或丢弃处理。