防火墻作為內(nèi)部網(wǎng)絡(luò)與互聯(lián)網(wǎng)之間的屏障，允許經(jīng)用戶“同意”的人和數(shù)據(jù)進(jìn)入內(nèi)部網(wǎng)絡(luò)，同時將用戶“不同意”的人和數(shù)據(jù)拒之門外，Zui大限度地阻止網(wǎng)絡(luò)中的黑客訪問用戶網(wǎng)絡(luò)。

定義：

信息安全中所說的防火墻和建筑防火墻的作用類似，它部署在可信任的內(nèi)網(wǎng)和不可信的互聯(lián)網(wǎng)之間，來來往往的網(wǎng)絡(luò)流量都要接受它的檢查，相當(dāng)于在我們要保護(hù)的內(nèi)網(wǎng)周圍筑起了竹籬笆，為我們提供了一道安全的“邊界”。

防火墻是如何提供保護(hù)的：

網(wǎng)絡(luò)中的數(shù)據(jù)包就像一封封信件，網(wǎng)絡(luò)協(xié)議棧負(fù)責(zé)加裝和拆解信封，信封可能會有很多層，網(wǎng)絡(luò)層、傳輸層、數(shù)據(jù)鏈路層和物理層都要在原始內(nèi)容外面加上自己的信封。

黑名單：防火墻可以形成一份黑名單，凡在黑名單中的一概拒絕，凡不在黑名單中的都允許通過。這樣有利于可用性，但由于黑名單可能是不全面的，因此對安全性有一定影響。

白名單：防火墻也可以形成一份白名單，凡白名單中的都允許通過，否則拒絕通行。正所謂“一夫當(dāng)關(guān)，萬夫莫開”。這樣雖然有利于安全性，但如果白名單不全面，會對可用性產(chǎn)生影響。

防火墻的其他功能：

防火墻還可以提供代理服務(wù)（Proxy）和網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT,內(nèi)網(wǎng)計(jì)算機(jī)連接外網(wǎng)計(jì)算機(jī)時，可以使用內(nèi)網(wǎng)地址）功能。

防火墻的分類：

對于大型網(wǎng)絡(luò)需要高端硬件防火墻，依靠專用芯片實(shí)現(xiàn)對數(shù)據(jù)包的過濾處理，這樣可以保證較大的吞吐量，以及同時通過防火墻建立很多的并發(fā)連接。但硬件防火墻性能強(qiáng)，價格相對較貴，從幾萬元到幾十萬元都有。因此，購買和部署防火墻時一定要根據(jù)業(yè)務(wù)需要和預(yù)算合理選擇，千萬不要做任性的土豪，只買貴的，不選對的。

按層面：網(wǎng)絡(luò)層防火墻、應(yīng)用層防火墻、數(shù)據(jù)庫防火墻。

按形態(tài)：硬件防火墻、軟件防火墻。

—— E N D ——

文字來源：《漫畫信息安全保密》