建筑防火墙的目的是什么意思

8人参与回答

• 阳光的样燕

  它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况， 以此来实现网络的安全保护。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动， 保证了内部网络的安全。2.使用Firewall的益处保护脆弱的服务通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。例如， Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。控制对系统的访问Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如， Firewall允许外部访问特定的Mail Server和Web Server。集中的安全管理Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运行于整个内部网络系统， 而无须在内部网每台机器上分别设立安全策略。Firewall可以定义不同的认证方法， 而不需要在每台机器上分别安装特定的认证软件。外部用户也只需要经过一次认证即可访问内部网。增强的保密性使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Figer和DNS。记录和统计网络利用数据以及非法使用数据Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据， 来判断可能的攻击和探测。策略执行Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。3.防火墙的种类防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。数据 包过 滤数据包过滤【Packet Filtering】技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑， 被称为访问控制表【Access Control Table】。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、 协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用， 网络性能和透明性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备， 因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击; 二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。 它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、 登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。 一旦满足逻辑，则防火墙内外的计算机系统建立直接联系， 防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。代理服务【Proxy Service】也称链路级网关或TCP通道【Circuit Level Gateways or TCP Tunnels】， 也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术， 其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的链接， 由两个终止代理服务器上的链接来实现，外部计算机的网络链路只能到达代理服务器， 从而起到了隔离防火墙内外计算机系统的作用。

• 奔跑的小豆纸

  防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护

• 摘颗月牙儿给你

  大概是这么个意思，防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。

• 吾

  现实里防火墙就只是防火的。计算机行业里就是控制审核对外沟通内容的。

• 拜骆云

  防火墙原意是指阻止火势蔓延的墙避，后来引伸到网络中的意思为阻隔内网和外网的设备或者是软件。防火墙分为软件防火墙和硬件防火墙，软硬兼用可以更好的保护我们的内网安全。电脑了防火墙以后即使是受到攻击最多也只是攻击我们的防火墙，大大降低了我们电脑受攻击入侵的危险。

• 炎式纶语社

  防火墙具有很好的保护作用，入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。从实现原理上分，防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。

  1、网络级防火墙一般来说，它是根据源地址和目的地址、应用程序、协议和每个IP包的端口来决定是否通过。路由器是“传统的”网络级防火墙。防火墙检查每个规则，直到发现数据包中的信息与规则匹配为止。如果没有可以满足的规则，防火墙将使用默认规则。通常，默认规则是要求防火墙丢弃数据包。其次，通过定义基于TCP或UDP包的端口号，防火墙可以确定是否允许建立特定的连接，如telnet和FTP连接。

  2、应用级网关应用级网关可以检查传入和传出的数据包，通过网关复制和传输数据，防止可信服务器和客户端与不可信主机直接建立联系。应用层网关可以理解应用层的协议，进行更复杂的访问控制，并进行精细的注册和审计。它针对特定的网络应用服务协议，即数据过滤协议，能够对数据包进行分析并形成相关的报表。应用网关对一些易于登录和控制所有输出和输入通信的环境进行严格控制，以防止有价值的程序和数据被盗。在实际应用中，应用网关通常由一个专用的工作站系统来完成。然而，每一个协议都需要相应的代理软件，由于其工作量大，效率不如网络防火墙。应用层网关具有较好的访问控制能力，是目前最安全的防火墙技术，但实现起来比较困难，一些应用层网关缺乏“透明性”。实际上，当用户通过可信网络上的防火墙访问Internet时，他们经常发现存在延迟，必须多次登录才能访问Internet或intranet。

  3、电路级网关电路级网关用于监控可信客户端或服务器与不可信主机之间的TCP握手信息，以确定会话是否合法。在OSI模型中，电路级网关过滤会话层上的包，这比包过滤防火墙高两层。电路级网关还提供了一个重要的安全功能：代理服务器。代理服务器是Internet防火墙网关中设置的一种特殊的应用程序级代码。此代理服务允许管理员允许或拒绝特定应用程序或应用程序的特定功能。包过滤技术和应用网关通过特定的逻辑判断来决定是否允许特定的数据包通过。一旦满足判断条件，防火墙内网的结构和运行状态就会“暴露”给国外用户，这就引入了代理服务的概念，即防火墙内外计算机系统应用层的“链路”被两个代理服务“链路”终止，从而实现成功实现了防火墙内外计算机系统的隔离。同时，代理服务还可以实现强大的数据流监控、过滤、记录和报告功能。代理服务技术主要由专用计算机硬件（如工作站）承担。

  4、规则检查防火墙防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。与包过滤防火墙一样，规则检查防火墙可以通过OSI网络层上的IP地址和端口号过滤传入和传出的包。与电路级网关一样，它可以检查syn和ACK标记以及序列号是否按逻辑顺序排列。当然，和应用层网关一样，它可以检查OSI应用层上的包内容，看看这些内容是否符合企业网络的安全规则。尽管规则检查防火墙集成了前三种防火墙的特性，但它不同于应用层网关，因为它不会破坏客户机/服务器模式来分析应用层中的数据。它允许受信任的客户端和不受信任的主机建立直接连接。规则检查防火墙不依赖于与应用层相关的代理，而是依赖于某种算法来识别传入和传出的应用层数据。这些算法通过了解合法数据包的模式来比较传入和传出的数据包，从而在理论上比应用程序级代理更有效地过滤数据包。防火墙技术的应用应考虑两个方面：首先，虽然许多防火墙产品声称它们具有此功能，但防火墙并不是反病毒的。其次，防火墙技术的另一个弱点是防火墙之间的数据更新是一个问题。如果延迟太大，它将不支持实时服务请求。此外，防火墙采用过滤技术，通常会使网络性能降低50%以上。如果为了提高网络性能而购买高速路由器，将大大增加经济预算。防火墙对流经它的网络通信进行扫描，以便过滤掉一些攻击，并避免它们在目标计算机上执行。防火墙还可以关闭未使用的端口。同时还可以禁止特定端口的外流通信，阻止木马。最后，它可以禁止特殊站点的访问，从而防止来自未知入侵者的所有通信。

• 牛是唯一

  下一代防火墙NEXT-GENERATION FIREWALL，兼具防火墙，智能联动，应用识别控制，可视化于一体。主要是识别流量类型、携带的内容，可以以应用、用户为匹配条件，解决了基于端口和IP识别流量不准确的问题。

• 狮子时尚贴

  建立防火墙的目的是为了保护内部网络不受外来攻击，为此需要确定“防火墙安全策略”。目前主要有两种截然不同的安全策略：一种是拒绝一切未被特许的信息进入内部网；还有一种是允许一切未被拒绝的信息进入。从网络的安全性来考虑，第一种策略的意思是除了被确认是可信任的信息外，其他的信息都不允许通过，对网络的互联性有一定的影响，但安全性好；第二种策略的意思是，除了被确认是来自不可信任的信息源以外的信息都可以进入内部网络，这样有利于信息交换，但存在一定的安全隐患。