提到防火墻，大家都知道與安全有關(guān)，最近我們經(jīng)常接到客戶電話咨詢防火墻的相關(guān)問題，接下來億恩科技小編帶你深入的了解防火墻，讓你對防火墻有一個(gè)清晰的認(rèn)知。
提到防火墻，大家都知道與安全有關(guān)，最近我們經(jīng)常接到客戶電話咨詢防火墻的相關(guān)問題，接下來億恩科技小編帶你深入的了解防火墻，讓你對防火墻有一個(gè)清晰的認(rèn)知。
防火墻的作用是保護(hù)本地系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)免受基于網(wǎng)絡(luò)的安全威脅的有效手段，同時(shí)可以通過廣域網(wǎng)和因特網(wǎng)提供對外界網(wǎng)絡(luò)的訪問。
防火墻的名稱來源于一種常見的建筑實(shí)踐，即將磚墻放置在兩個(gè)結(jié)構(gòu)之間，以防止一個(gè)火災(zāi)蔓延到另一個(gè)結(jié)構(gòu)。這是一種安全防火墻的有效方法：它提供了一個(gè)屏障來控制進(jìn)出組織的互聯(lián)網(wǎng)連接網(wǎng)絡(luò)，或者可能在內(nèi)部網(wǎng)絡(luò)的不同段之間的網(wǎng)絡(luò)流量。
防火墻可以采取多種形式，從專用設(shè)備，到運(yùn)行在通用服務(wù)器上的軟件，或作為多功能安全設(shè)備的一部分。通常防火墻有兩個(gè)網(wǎng)絡(luò)接口：一個(gè)用于網(wǎng)絡(luò)的外部，一個(gè)用于內(nèi)部。其目的是控制允許從一個(gè)側(cè)面通行到另一個(gè)的交通。
作為最基本的級別，防火墻可以阻止針對特定IP地址或服務(wù)器端口的流量。通常，公司設(shè)置防火墻允許傳入連接到端口80，端口是Web服務(wù)器使用的標(biāo)準(zhǔn)端口。例如，這允許訪問者訪問一個(gè)CopPress網(wǎng)站，但不允許訪問其他端口的“不可信”流量。不信任意味著交通的起源是未知的。具有適當(dāng)憑證的公司雇員，例如用戶名和密碼，將允許通過安全連接（通常是虛擬專用網(wǎng)絡(luò)）訪問。
來自網(wǎng)絡(luò)內(nèi)部可信的流量將被允許穿越防火墻并連接到互聯(lián)網(wǎng)，允許用戶使用諸如電子郵件和FTP之類的服務(wù)。
當(dāng)配置正確時(shí)，防火墻還提供對包括拒絕服務(wù)（DoS）攻擊在內(nèi)的威脅的保護(hù)。DoS攻擊發(fā)生時(shí)，入侵者試圖阻塞一個(gè)公司網(wǎng)站與大量的流量，因此，它使Web服務(wù)器下降，并可能允許入侵者闖入。入侵者可能通過Web服務(wù)器能夠訪問其他網(wǎng)絡(luò)資源。
更復(fù)雜的防火墻支持“狀態(tài)檢查”技術(shù)，其中防火墻查看流量中的模式，以識別出現(xiàn)某種形式攻擊的異常，例如DoS攻擊或欺騙攻擊，其中入侵者試圖偽裝成可信資源。
防火墻提供四種類型的控制：
服務(wù)控制：確定可訪問的因特網(wǎng)服務(wù)的類型、入站（正在進(jìn)入網(wǎng)絡(luò)內(nèi)的分組）或出站（網(wǎng)絡(luò)之外的分組）。
例如：在許多公司中，如果使用公司的WiFi網(wǎng)絡(luò)，QQ和外部應(yīng)用等服務(wù)是不可訪問的，因?yàn)榉阑饓φ跈z查出站網(wǎng)絡(luò)（這可能因公司而異）。
方向控制：確定特定服務(wù)請求可以被啟動并允許通過防火墻流動的方向。
用戶控制：根據(jù)用戶試圖訪問的服務(wù)來控制對該服務(wù)的訪問。該功能通常應(yīng)用于防火墻周界（本地用戶）內(nèi)的用戶，也可應(yīng)用于來自外部用戶的傳入流量。
例如：許多公司根據(jù)雇員或某個(gè)部門的位置，制定了網(wǎng)頁內(nèi)容過濾的內(nèi)置策略。經(jīng)理可能有權(quán)訪問QuoRA，但一個(gè)實(shí)習(xí)生可能不具備同樣的能力。
行為控制：控制特定服務(wù)的使用方式。例如，防火墻可以過濾電子郵件以消除垃圾郵件，或者它可以對本地Web服務(wù)器上的部分信息進(jìn)行外部訪問。
根據(jù)國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）800—10防火墻可分為三種類型：
過濾
狀態(tài)檢查
代理
注意：這三類防火墻可能是互斥的，也可能不是互斥的。在現(xiàn)實(shí)世界場景中，我們使用防火墻時(shí)都是混合使用。
一、包過濾防火墻
在包過濾防火墻中，每一個(gè)包（傳入或傳出）在轉(zhuǎn)發(fā)之前被與特定的規(guī)則集（如管理員定義的）相比較。
如果數(shù)據(jù)包似乎遵循規(guī)則/標(biāo)準(zhǔn)，則轉(zhuǎn)發(fā)數(shù)據(jù)包，如果數(shù)據(jù)包不存在，則數(shù)據(jù)包被丟棄。
規(guī)則可以包括：
源IP地址或目的IP地址
源端口和目的端口
允許的協(xié)議或服務(wù)
這些規(guī)則在公司和公司之間是不同的，沒有固定的標(biāo)準(zhǔn)或理想的模式。
包過濾防火墻通常受到攻擊，它利用TCP IP規(guī)范中的漏洞。
例如：如果入侵者欺騙源IP地址，大多數(shù)包層防火墻無法檢測到它。包層防火墻無法檢查數(shù)據(jù)包頭是否被欺騙，此后許多攻擊者使用繞過組織的安全性。因此，許多防火墻維護(hù)通過防火墻遍歷的每個(gè)數(shù)據(jù)包的狀態(tài)信息。
二、狀態(tài)檢查
它是一種包過濾防火墻，具有維護(hù)連接狀態(tài)（對于每個(gè)分組）和阻止偏離其理想狀態(tài)的分組的附加功能。
TCP業(yè)務(wù)存在三種主要狀態(tài)
1.連接建立
2.用法
3.終止
例如，攻擊者可以生成一個(gè)報(bào)頭，該報(bào)頭指示它是已建立的連接的一部分（假設(shè)攻擊者欺騙了內(nèi)部連接的IP），希望它會通過防火墻。如果防火墻使用狀態(tài)檢查，它將首先驗(yàn)證包是狀態(tài)表中列出的已建立連接的一部分。
如果它已經(jīng)是已建立連接的一部分，意味著有人試圖獲得未經(jīng)授權(quán)的訪問，并且包將被丟棄。
三、應(yīng)用級代理
這些防火墻包含代理，它們充當(dāng)兩個(gè)希望相互通信的主機(jī)之間的中介，并且從不允許它們之間的直接連接。每個(gè)成功的連接嘗試實(shí)際上導(dǎo)致在客戶端和代理服務(wù)器之間創(chuàng)建兩個(gè)單獨(dú)的連接，另一個(gè)在代理服務(wù)器和真實(shí)目的地之間創(chuàng)建連接。
河南億恩科技股份有限公司(mszdt.com)始創(chuàng)于2000年，專注服務(wù)器托管租用，是國家工信部認(rèn)定的綜合電信服務(wù)運(yùn)營商。億恩為近五十萬的用戶提供服務(wù)器托管、服務(wù)器租用、機(jī)柜租用、云服務(wù)器、網(wǎng)站建設(shè)、網(wǎng)站托管等網(wǎng)絡(luò)基礎(chǔ)服務(wù)，另有網(wǎng)總管、名片俠網(wǎng)絡(luò)推廣服務(wù)，使得客戶不斷的獲得更大的收益。
服務(wù)器/云主機(jī) 24小時(shí)售后服務(wù)電話：
0371-60135900
虛擬主機(jī)/智能建站 24小時(shí)售后服務(wù)電話：
0371-55621053
網(wǎng)絡(luò)版權(quán)侵權(quán)舉報(bào)電話：
0371-60135995
服務(wù)熱線：
0371-60135900
