包過濾防火牆代理

『壹』 包過濾防火牆 、包狀態檢查防火牆、應用層代理、電路層網關和自適應代理，這五種防火牆它們各自工作在哪個

防火牆這種老三樣防火牆的大部分功能是網路三層以下工作的，目前高端的企業級應用防火牆的話在「應用層代理」等這種應用控制功能的話，大部分工作在應用層

『貳』 包過濾防火牆與代理伺服器防火牆區別和聯系

過濾防火牆工作在網路協議IP層，它只對IP包的源地址、目標地址及相應版埠進行處理，因此速度權比較快，能夠處理的並發連接比較多，缺點是對應用層的攻擊無能為力。
代理伺服器防火牆將收到的IP包還原成高層協議的通訊數據，比如http連接信息，因此能夠對基於高層協議的攻擊進行攔截。缺點是處理速度比較慢，能夠處理的並發數比較少。代理伺服器是防火牆技術的發展方向，眾多廠商都在提高處理速度的同時基於代理開發防火牆的更高級防護功能。

『叄』 靜態包過濾防火牆、動態（狀態檢測）包過濾防火牆、應用層（代理）防火牆這三類防火牆適用情況

//ok，我改
//包過濾的防火牆最簡單，你可以指定讓某個IP或某個埠或某個網段的數據包通過[或不通過]，它不支持應用層的過濾，不支持數據包內容的過濾。
//狀態防火牆更復雜一點，按照TCP基於狀態的特點，在防火牆上記錄各個連接的狀態，這可以彌補包過濾防火牆的缺點，比如你允許了ip為1.1.1.1的數據包通過防火牆，但是惡意的人偽造ip的話，沒有通過tcp的三次握手也可以闖過包過濾防火牆。
//應用代理網關防火牆徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火牆對外網的訪問，然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發，訪問者任何時候都不能與伺服器建立直接的 TCP 連接，應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵，對數據包的檢測能力比較強。
//

一、當前防火牆技術分類
防火牆技術經歷了包過濾、應用代理網關、再到狀態檢測三個階段。

1.1 包過濾技術
包過濾防火牆工作在網路層，對數據包的源及目地 IP 具有識別和控製作用，對於傳輸層，也只能識別數據包是 TCP 還是 UDP 及所用的埠信息，如下圖所示。現在的路由器、 Switch Router 以及某些操作系統已經具有用 Packet Filter 控制的能力。
由於只對數據包的 IP 地址、 TCP/UDP 協議和埠進行分析，包過濾防火牆的處理速度較快，並且易於配置。

包過濾防火牆具有根本的缺陷：
1 ．不能防範黑客攻擊。包過濾防火牆的工作基於一個前提，就是網管知道哪些 IP 是可信網路，哪些是不可信網路的 IP 地址。但是隨著遠程辦公等新應用的出現，網管不可能區分出可信網路與不可信網路的界限，對於黑客來說，只需將源 IP 包改成合法 IP 即可輕鬆通過包過濾防火牆，進入內網，而任何一個初級水平的黑客都能進行 IP 地址欺騙。
2 ．不支持應用層協議。假如內網用戶提出這樣一個需求，只允許內網員工訪問外網的網頁（使用 HTTP 協議），不允許去外網下載電影（一般使用 FTP 協議）。包過濾防火牆無能為力，因為它不認識數據包中的應用層協議，訪問控制粒度太粗糙。
3 ．不能處理新的安全威脅。它不能跟蹤 TCP 狀態，所以對 TCP 層的控制有漏洞。如當它配置了僅允許從內到外的 TCP 訪問時，一些以 TCP 應答包的形式從外部對內網進行的攻擊仍可以穿透防火牆。
綜上可見，包過濾防火牆技術面太過初級，就好比一位保安只能根據訪客來自哪個省市來判斷是否允許他（她）進入一樣，難以履行保護內網安全的職責。

1.2 應用代理網關技術
應用代理網關防火牆徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火牆對外網的訪問，然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發，訪問者任何時候都不能與伺服器建立直接的 TCP 連接，應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵，對數據包的檢測能力比較強。

缺點也非常突出，主要有：
· 難於配置。由於每個應用都要求單獨的代理進程，這就要求網管能理解每項應用協議的弱點，並能合理的配置安全策略，由於配置繁瑣，難於理解，容易出現配置失誤，最終影響內網的安全防範能力。
· 處理速度非常慢。斷掉所有的連接，由防火牆重新建立連接，理論上可以使應用代理防火牆具有極高的安全性。但是實際應用中並不可行，因為對於內網的每個 Web 訪問請求，應用代理都需要開一個單獨的代理進程，它要保護內網的 Web 伺服器、資料庫伺服器、文件伺服器、郵件伺服器，及業務程序等，就需要建立一個個的服務代理，以處理客戶端的訪問請求。這樣，應用代理的處理延遲會很大，內網用戶的正常 Web 訪問不能及時得到響應。
總之，應用代理防火牆不能支持大規模的並發連接，在對速度敏感的行業使用這類防火牆時簡直是災難。另外，防火牆核心要求預先內置一些已知應用程序的代理，使得一些新出現的應用在代理防火牆內被無情地阻斷，不能很好地支持新應用。
在 IT 領域中，新應用、新技術、新協議層出不窮，代理防火牆很難適應這種局面。因此，在一些重要的領域和行業的核心業務應用中，代理防火牆正被逐漸疏遠。
但是，自適應代理技術的出現讓應用代理防火牆技術出現了新的轉機，它結合了代理防火牆的安全性和包過濾防火牆的高速度等優點，在不損失安全性的基礎上將代理防火牆的性能提高了 10 倍。

1.3 狀態檢測技術
我們知道， Internet 上傳輸的數據都必須遵循 TCP/IP 協議，根據 TCP 協議，每個可靠連接的建立需要經過 「 客戶端同步請求 」 、 「 伺服器應答 」 、 「 客戶端再應答 」 三個階段，我們最常用到的 Web 瀏覽、文件下載、收發郵件等都要經過這三個階段。這反映出數據包並不是獨立的，而是前後之間有著密切的狀態聯系，基於這種狀態變化，引出了狀態檢測技術。
狀態檢測防火牆摒棄了包過濾防火牆僅考查數據包的 IP 地址等幾個參數，而不關心數據包連接狀態變化的缺點，在防火牆的核心部分建立狀態連接表，並將進出網路的數據當成一個個的會話，利用狀態表跟蹤每一個會話狀態。狀態監測對每一個包的檢查不僅根據規則表，更考慮了數據包是否符合會話所處的狀態，因此提供了完整的對傳輸層的控制能力。
網關防火牆的一個挑戰就是能處理的流量，狀態檢測技術在大為提高安全防範能力的同時也改進了流量處理速度。狀態監測技術採用了一系列優化技術，使防火牆性能大幅度提升，能應用在各類網路環境中，尤其是在一些規則復雜的大型網路上。
任何一款高性能的防火牆，都會採用狀態檢測技術。
從 2000 年開始，國內的著名防火牆公司，如北京天融信等公司，都開始採用這一最新的體系架構，並在此基礎上，天融信 NGFW4000 創新推出了核檢測技術，在操作系統內核模擬出典型的應用層協議，在內核實現對應用層協議的過濾，在實現安全目標的同時可以得到極高的性能。目前支持的協議有 HTTP/1.0/1.1 、 FTP 、 SMTP 、 POP3 、 MMS 、 H.232 等最新和最常用的應用協議。

二、防火牆發展的新技術趨勢

2.1 新需求引發的技術走向
防火牆技術的發展離不開社會需求的變化，著眼未來，我們注意到以下幾個新的需求。
· 遠程辦公的增長。這次全國主要城市先後受到 SARS 病毒的侵襲，直接促成大量的企事業在家辦公，這就要求防火牆既能抵抗外部攻擊，又能允許合法的遠程訪問，做到更細粒度的訪問控制。現在一些廠商推出的 VPN （虛擬專用網）技術就是很好的解決方式。只有以指定方式加密的數據包才能通過防火牆，這樣可以確保信息的保密性，又能成為識別入侵行為的手段。
· 內部網路 「 包廂化 」 （ compartmentalizing ）。人們通常認為處在防火牆保護下的內網是可信的，只有 Internet 是不可信的。由於黑客攻擊技術和工具在 Internet 上隨手可及，使得內部網路的潛在威脅大大增加，這種威脅既可以是外網的人員，也可能是內網用戶，不再存在一個可信網路環境。
由於無線網路的快速應用以及傳統撥號方式的繼續存在，內網受到了前所未有的威脅。企業之前的合作將合作夥伴納入了企業網路里，全國各地的分支機構共享一個論壇，都使可信網路的概念變得模糊起來。應對的辦法就是將內部網細分成一間間的 「 包廂 」 ，對每個 「 包廂 」 實施獨立的安全策略。

2.2 黑客攻擊引發的技術走向
防火牆作為內網的貼身保鏢，黑客攻擊的特點也決定了防火牆的技術走向。
 80 埠的關閉。從受攻擊的協議和埠來看，排在第一位的就是 HTTP 協議（ 80 埠）。

根據 SANS 的調查顯示，提供 HTTP 服務的 IIS 和 Apache 是最易受到攻擊，這說明 80 埠所引發的威脅最多。
因此，無論是未來的防火牆技術還是現在應用的防火牆產品，都應盡可能將 80 埠關閉。
· 數據包的深度檢測。 IT 業界權威機構 Gartner 認為代理不是阻止未來黑客攻擊的關鍵，但是防火牆應能分辨並阻止數據包的惡意行為，包檢測的技術方案需要增加簽名檢測 (signature inspection) 等新的功能，以查找已經的攻擊，並分辨出哪些是正常的數據流，哪些是異常數據流。
· 協同性。從黑客攻擊事件分析，對外提供 Web 等應用的伺服器是防護的重點。單單依靠防火牆難以防範所有的攻擊行為，這就需要將防火牆技術、入侵檢測技術、病毒檢測技術有效協同，共同完成保護網路安全的任務。早在 2000 年，北京天融信公司就已經認識到了協同的必要性和緊迫性，推出了 TOPSEC 協議，與 IDS 等其他安全設備聯動，與其他安全設備配合組成一個有機的可擴展的安全體系平台。目前主要支持和 IDS 的聯動和認證伺服器進行聯動。如支持國內十幾家知名的 IDS 、安全管理系統、安全審計、其他認證系統等等組成完整的 TOPSEC 解決方案。 2002 年 9 月，北電、思科和 Check Point 一道宣布共同推出安全產品，也體現了廠商之間優勢互補、互通有無的趨勢。

『肆』 狀態防火牆和包過濾防火牆的區別是什麼啊

1、含義上的區別

狀態防火牆是一種能夠提供狀態封包檢查或狀態檢視功能的防火牆。

包過濾防火牆是用一個軟體查看所流經的數據包的包頭，由此決定整個包的命運。

2、作用上的區別

狀態防火牆能夠持續追蹤穿過這個防火牆的各種網路連接（例如TCP與UDP連接）的狀態。這種防火牆被設計來區分不同連接種類下的合法數據包。只有匹配主動連接的數據包才能夠被允許穿過防火牆，其他的數據包都會被拒絕。

包過濾防火牆除了決定是否有到達目標地址的路徑外，還要決定是否應該發送數據包；能為用戶提供了一種透明的服務，用戶不需要改變客戶端的任何應用程序，也不需要用戶學習任何新的東西。因為過濾路由器工作在IP層和TCP層，而IP層和TCP層與應用層的問題毫不相關。

3、工作原理上的區別

狀態防火牆會跟蹤網路連接的狀態（例如TCP流或UDP通信），狀態檢查隨著時間的推移監視傳入和傳出的數據包以及連接的狀態，並將數據存儲在動態狀態表中。在建立連接時執行大部分CPU密集型檢查，條目僅為滿足定義的安全策略的TCP連接或UDP流創建。

數據包過濾用在內部主機和外部主機之間， 過濾系統是一台路由器或是一台主機。過濾系統根據過濾規則來決定是否讓數據包通過。用於過濾數據包的路由器被稱為過濾路由器。數據包過濾是通過對數據包的IP頭和TCP頭或UDP頭的檢查來實現。

『伍』 代理防火牆的原理

代理防火牆：
這種防火牆通過一種代理（Proxy）技術參與到一個TCP連接的全過程。從內部發出的數據包經過這樣的防火牆處理後，就好像是源於防火牆外部網卡一樣，從而可以達到隱藏內部網結構的作用。這種類型的防火牆被網路安全專家和媒體公認為是最安全的防火牆。
代理防火牆為它們所支持的協議提供全面的協議意識安全分析。相比於那些只考慮數據包頭信息的產品，這使得它們能做出更安全的判定。例如，特定的支持FTP的代理防火牆，它能夠監視實際流出命令通道的FTP命令，並能夠停止任何禁止的活動。由於伺服器被代理防火牆所保護，而且代理防火牆允許協議意識記錄，這使得識別攻擊方法以及備份現有記錄更容易。
代理防火牆增加安全性也是要付出代價的。額外的代價是為每個會話建立兩個連接所需的花費，加上應用層驗證請求所需的時間，以及性能的降低。你可以將錢花費在代理伺服器上，但在真正的高帶寬網路上仍有可能到達瓶頸。可能您會發現為您的網路正確安裝以及配置所需的代理是困難的，還可能很難使VPN（虛擬專用網）通過代理防火牆工作。

『陸』 包過濾防火牆與代理型防火牆的區別

包過濾防火牆與代理型防火牆的區別為：工作原理不同、處理層不同、網關不同。

一、工版作原理不同權

1、包過濾防火牆：包過濾防火牆過濾系統是一台路由器或是一台主機，可以根據過濾規則阻塞內部主機和外部主機或另外一個網路之間的連接。

2、代理型防火牆：代理型防火牆當代理伺服器收到一個客戶的連接請求時，先核實該請求，然後將處理後的請求轉發給真實伺服器，在接受真實伺服器應答並做進一步處理後，再將回復交給發出請求的客戶。

二、處理層不同

1、包過濾防火牆：包過濾防火牆只檢查當前所在層數據包的目標地址，並選擇一個達到目的地址的最佳路徑。

2、代理型防火牆：代理型防火牆可對網路上任一層的數據包進行檢查並經過身份認證，讓符合安全規則的包通過，並丟棄其餘的包。

三、網關不同

1、包過濾防火牆：包過濾防火牆內部網路的主機，需要設置防火牆為網關，才可以獲取Internet資源。

2、代理型防火牆：代理型防火牆內部網路的主機，無需設置防火牆為網關，只需直接將需要服務的IP地址指向代理伺服器主機，就可以獲取Internet資源。

參考資料來源：

網路——包過濾防火牆

網路——代理服務型防火牆

『柒』 包過濾防火牆，代理防火牆的英文怎麼說

包過濾防來火牆，源代理防火牆 是packet-filtering firewall, acting firewall..
後面那句話是
Recently, with the issue of network security is becoming increasingly serious, the importance of network security proct has gain attention。

『捌』 關於包過濾防火牆、代理防火牆，下面哪些說法是正確的

A 顯然錯抄了，不需用戶設襲置
B 需要用戶去設置代理 比如ISA 客戶端是WEB 代理客戶端的話 需要對瀏覽器進行設置

C 因為代理防火牆能檢查應用層的數據而包過濾的防火牆只能檢查到傳輸層的數據
D 應用層的防火牆才能對用戶進行身份認證
比如 ISA SERVER 2004 2006 如果網路是域模式並且客戶端是 WEB 代理 或者是防火牆客戶端的話 就是支持身份驗證的，如果 ISA的客戶端是 SNAT的話 就不支持身份驗證

『玖』 代理伺服器型防火牆和包過濾型防火牆的主要區別在哪裡哪種用得更普遍些

包過濾防火牆工作在網路協議IP層，它只對IP包的源地址、目標地址及相應埠進行處理，內因此速度比較快，容能夠處理的並發連接比較多，缺點是對應用層的攻擊無能為力。

代理伺服器防火牆將收到的IP包還原成高層協議的通訊數據，比如http連接信息，因此能夠對基於高層協議的攻擊進行攔截。缺點是處理速度比較慢，能夠處理的並發數比較少。

代理伺服器是防火牆技術的發展方向，眾多廠商都在提高處理速度的同時基於代理開發防火牆的更高級防護功能。

但是現在總的來說還是包過濾的防火牆更普遍一些，因為很多代理功能的已經被伺服器取代叻！

『拾』 包過濾防火牆和代理伺服器的優缺點

包過濾
是對穿透的IP包進行檢測，符合要求的過，否則丟。
比如現在的視頻會議或VOIP採用的H.323協議專體系，防火牆可以屬檢測H.323特徵，對於H.323的包，不檢測，直接放過，而非H323包，按照普通防火牆檢測是否放過。
優：對於部分應用可以不進行檢測，不需進行額外埠或IP設置

代理
不檢測通過的是什麼，只要按照指定埠/制定IP/指定MAC的碼流都可以通過，也有部分可以限制諸如QQ、MSN等軟體