1.什么是防火墙？

防火墙，也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）
防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出
防火墙是系统的第一道防线，其作用是防止非法用户的进入
主要作用：保障内网的安全性、保证内外网之间数据的流通性

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的边界上构造的保护屏障
是一种获取安全性方法的形象说法，是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway）
从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成
防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件，该计算机流入流出的所有网络通信和数据包均要经过此防火墙

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术
防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络
同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络
换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信
也就是说，如果没有防火墙，内网和外网之间就没办法进行交流

说了这么多，相信你应该知道什么是防火墙了吧，其实在windows和linux中没有多大区别

2.防火墙的分类

防火墙从诞生开始，已经历了四个发展阶段
基于路由器的防火墙、用户化的防火墙工具套、建立在通用操作系统上的防火墙、具有安全操作系统的防火墙
常见的防火墙属于具有安全操作系统的防火墙
从结构上来分，防火墙有两种
即代理主机结构和路由器+过滤器结构，后一种结构：内部网络过滤器（Filter）路由器（Router）Internet
从原理上来分，防火墙则可以分成4种类型
特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关
安全性能高的防火墙系统都是组合运用多种类型防火墙，构筑多道防火墙“防御工事”

3.防火墙的主要类型

（1）网络层防火墙

网络层防火墙可视为一种 IP 封包过滤器，运作在底层的TCP/IP协议堆栈上
我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）
这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则
我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行
操作系统及网络设备大多已内置防火墙功能。
较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP地址、来源端口号、目的 IP 地址或端口号、服务类型（如 HTTP 或是 FTP）
也能经由通信协议、TTL 值、来源的网域名称或网段...等属性来进行过滤

（2）应用层防火墙

应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作，您使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层
应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包（通常是直接将封包丢弃）
理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里
防火墙借由监测所有的封包并找出不符规则的内容，可以防范电脑蠕虫或是木马程序的快速蔓延
不过就实现而言，这个方法既烦且杂（软件有千千百百种啊），所以大部分的防火墙都不会考虑以这种方法设计
XML 防火墙是一种新型态的应用层防火墙。
根据侧重不同，可分为：包过滤型防火墙、应用层网关型防火墙、服务器型防火墙

（3）数据库防火墙

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统
基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计
数据库防火墙通过SQL协议分析，根据预定义的禁止和许可策略让合法的SQL操作通过，阻断非法违规操作
形成数据库的外围防御圈，实现SQL危险操作的主动预防、实时审计
数据库防火墙面对来自于外部的入侵行为，提供SQL注入禁止和数据库虚拟补丁包功能

4.防火墙的基本特性

（一）内部网络和外部网络之间的所有网络数据流都必须经过防火墙

这是防火墙所处网络位置特性，同时也是一个前提。
只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业网内部网络不受侵害
根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备
所谓网络边界即是采用不同安全策略的两个网络连接处
比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等
防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流
实现对进、出内部网络的服务和访问的审计和控制
典型的防火墙体系网络结构：
防火墙的一端连接企事业单位内部的局域网，而另一端则连接着互联网。所有的内、外部网络之间的通信都要经过防火墙

（二）只有符合安全策略的数据流才能通过防火墙

防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速的从一条链路转发到另外的链路上去
从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址
防火墙将网络上的流量通过相应的网络接口接收上来，按照OSI协议栈的七层结构顺序上传，在适当的协议层进行访问规则和安全审查
然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断
因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备
它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作

（三）防火墙自身应具有非常强的抗攻击免疫力

这是防火墙之所以能担当企业内部网络安全防护重任的先决条件
防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵本领
它之所以具有这么强的本领防火墙操作系统本身是关键，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性
其次就是防火墙自身具有非常低的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行
当然这些安全性也只能说是相对的
目前国内的防火墙几乎被国外的品牌占据了一半的市场，国外品牌的优势主要是在技术和知名度上比国内产品高
而国内防火墙厂商对国内用户了解更加透彻，价格上也更具有优势
防火墙产品中，国外主流厂商为思科（Cisco）、CheckPoint、NetScreen等
国内主流厂商为东软、天融信、山石网科、网御神州、联想、方正等，它们都提供不同级别的防火墙产品

（四）应用层防火墙具备更细致的防护能力

自从Gartner提出下一代防火墙概念以来，信息安全行业越来越认识到应用层攻击成为当下取代传统攻击，最大程度危害用户的信息安全
而传统防火墙由于不具备区分端口和应用的能力，以至于传统防火墙仅仅只能防御传统的攻击，基于应用层的攻击则毫无办法
下一代防火墙具备应用层分析的能力，能够基于不同的应用特征，实现应用层的攻击过滤，在具备传统防火墙、IPS、防毒等功能的同时
还能够对用户和内容进行识别管理，兼具了应用层的高性能和智能联动两大特性，能够更好的针对应用层攻击进行防护

（五）数据库防火墙针对数据库恶意攻击的阻断能力

虚拟补丁技术：针对CVE公布的数据库漏洞，提供漏洞特征检测技术
高危访问控制技术：提供对数据库用户的登录、操作行为，提供根据地点、时间、用户、操作类型、对象等特征定义高危访问行为
SQL注入禁止技术：提供SQL注入特征库
返回行超标禁止技术：提供对敏感表的返回行数控制
SQL黑名单技术：提供对非法SQL的语法抽象描述