1．防火墻的概念和特征
防火墻概念
所謂“防火墻”是指一種計算機硬件和軟件的結合，將內部網(wǎng)和公眾訪問網(wǎng)（如Internet）分開的方法，它實際上是一種隔離技術。防火墻主要由服務訪問規(guī)則、驗證工具、包過濾和應用網(wǎng)關4個部分組成。它采用由系統(tǒng)管理員定義的規(guī)則，對一個安全網(wǎng)絡和一個不安全網(wǎng)絡之間的數(shù)據(jù)流加以控制。
設置防火墻目的
保護內部網(wǎng)絡資源不被外部非授權用戶使用，防止內部受到外部非法用戶的攻擊。防火墻通過檢查所有進出內部網(wǎng)絡的數(shù)據(jù)包，檢查數(shù)據(jù)包的合法性，判斷是否會對網(wǎng)絡安全構成威脅，為內部網(wǎng)絡建立安全邊界（security perimeter）。
防火墻特征
防火墻置于兩個網(wǎng)絡之間，具有以下特征：
● 所有進出網(wǎng)絡的數(shù)據(jù)流，都必須經過防火墻。
● 只有授權的數(shù)據(jù)流才允許通過。
2．防火墻的作用
1)、網(wǎng)絡的安全屏障：防火墻能極大地提高內部網(wǎng)絡的安全性，并通過過濾不安全的服務而降低風險。只有經過授權的通信才能通過防火墻，所以網(wǎng)絡環(huán)境變得更安全。同時防火墻可以保護網(wǎng)絡免受基于路由的攻擊。
2)、強化網(wǎng)絡安全策略：通過以防火墻為中心的安全策略方案配置，能將很多安全控制如：口令、加密、身份認證等配置在防火墻上。同很多網(wǎng)絡安全策略相比，這種防火墻的集中安全管理更為經濟有效。
3)、對網(wǎng)絡存取和訪問進行監(jiān)控審計：當所有的訪問都經過防火墻時，防火墻就能夠記錄下這些訪問。同時，提供網(wǎng)絡應用的統(tǒng)計數(shù)據(jù)。當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶⑻峁┚W(wǎng)絡是否受到監(jiān)測和攻擊的詳細信息。
4)、防止內部信息的外泄：利用防火墻對內部網(wǎng)絡的劃分，可實現(xiàn)內部網(wǎng)中重點網(wǎng)段的隔離，從而縮小了局部網(wǎng)絡安全問題對全局網(wǎng)絡造成的影響。另外，一個內部網(wǎng)絡中不引人注意的細節(jié)可能包含了有關安全的線索，從而引起外部攻擊者的興趣，甚至因此暴露了內部網(wǎng)絡的某些安全漏洞，使用防火墻就可以隱蔽那些內部細節(jié)。
3．防火墻的缺點
實際應用中，防火墻還是有缺點的，主要表現(xiàn)在：不能防范惡意的知情者，不能防范不通過它的連接，不能防備全部的威脅，不能防范病毒。
4．防火墻系統(tǒng)的組成
構成防火墻系統(tǒng)的兩個基本部件是包過濾路由器（Packet Filtering Router）應用級網(wǎng)關（Application Gateway）。最簡單的防火墻由一個包過濾路由器組成，而復雜的防火墻系統(tǒng)由包過濾路由器和應用級網(wǎng)關組合而成。
包過濾防火墻實際上基于路由器，因此它也稱為篩選路由器。包過濾防火墻工作在網(wǎng)絡層，有選擇地讓數(shù)據(jù)包在內部網(wǎng)和外部網(wǎng)之間進行交換。只有滿足過濾邏輯的數(shù)據(jù)包才被轉發(fā)到相應的目的出口端，其余數(shù)據(jù)包則從數(shù)據(jù)流中丟棄。
應用級網(wǎng)關是基于代理服務的防火墻，是運行在代理服務器上的一些特定的應用程序或服務器程序。應用級網(wǎng)關工作在應用層，掌握著應用系統(tǒng)中可用做安全決策的全部信息。通過對每種應用服務編制專門的代理程序來監(jiān)視和控制應用層通信流。
防火墻技術根據(jù)其防范的方式和側重點的不同而分為多種類型，但總體可分為兩大類：一類基于包過濾（Pack Filter），另一類基于代理服務（Proxy Service）。它們的區(qū)別是基于包過濾的防火墻可以直接轉發(fā)報文，對用戶完全透明，因此速度較快；而基于代理的防火墻需要通過代理服務器（Proxy Server）建立連接，因此有更強的身份驗證和日志功能。
代理服務（Proxy Service）即防火墻內外的計算機系統(tǒng)應用層的鏈接是在兩個終止于代理服務的鏈接來實現(xiàn)的，這樣便成功地實現(xiàn)了防火墻內外計算機系統(tǒng)的隔離。當代理服務器代表用戶與建立連接時，可以用自己的IP地址代替內部網(wǎng)絡的IP地址，所有內部網(wǎng)絡中的站點對外部是不可見的。
應用級網(wǎng)關是防火墻技術中使用得較多的技術，也是一種安全性能較高的技術。在使用中，外部用戶只能看到代理服務器，內部網(wǎng)絡只接收代理服務器的服務請求。與包過濾防火墻相比，它更安全，還可加速訪問。
