网络设备防火墙是什么？

## 一、防火墙基本概念
前面我们学习了交换机、路由器是网络中常用的设备，现实中还有一个很重要的设备-防火墙。防火墙这一设备通常用于两个网络之间有针对性的、逻辑意义上的隔离。在网络通信领域，防火墙是一种安全设备。它用于保护一个网络区域免受来自另一个网络区域的攻击和入侵，通常被应用于网络边界，例如企业互联网出口、企业内部业务边界、数据中心边界等。

![防火墙](/media/202402/2024-02-22_091842_4420030.5780171351071545.png)

防火墙根据设备形态分为，框式防火墙、盒式防火墙和软件防火墙，支持在云上云下灵活部署。

## 二、防火墙与交换机、路由器功能对比

以园区网为例，交换机作用是接入终端和汇聚内部路由，组建内部互联互通的局域网。

路由器作用是路由的分发、寻址和转发，构建外部连接网络。

防火墙作用是流量控制和安全防护，区分和隔离不同安全区域。

![防火墙部署](/media/202402/2024-02-22_091902_5438690.10917982212413768.png)

![数据转发流程](/media/202402/2024-02-22_092009_6340620.6136657829180593.png)

![网络安全架构](/media/202402/2024-02-22_092033_6111000.5816740115875703.png)

防火墙一般部署在边界进行不同安全区域间隔离与防护。

## 三、防火墙发展历程与类别

防火墙从包过滤防火墙发展起经历了状态检测、统一威胁管理、NGFW等到AI防火墙，有以下特点：

- 访问控制越来越精细
- 防护能力越来越强
- 性能越来越高

![防火墙发展历程](/media/202402/2024-02-22_092051_9364530.3029986244997065.png)

### 3.1 包过滤防火墙：

包过滤是指基于五元组对每个数据包进行检测，根据配置的安全策略转发或丢弃数据包。

包过滤防火墙的基本原理是：通过配置访问控制列表（Access Control List，ACL）实施数据包的过滤。

包过滤防火墙的缺点主要表现以下几点：

- 随着ACL复杂度和长度的增加，其过滤性能呈指数下降；
- 静态的ACL规则难以适应动态的安全要求；
- 包过滤不检查会话状态也不分析数据，这很容易让黑客蒙混过关。例如，攻击者可以使用假冒地址进行欺骗，通过把自己主机IP地址设成一个合法主机IP地址，就能很轻易地通过报文过滤器。

![包过滤防火墙](/media/202402/2024-02-22_092112_2202340.4544813213278024.png)

包过滤防火墙主要基于数据包中的源/目的IP地址、源/目的端口号、IP 标识和报文传递的方向等信息。不能过滤应用，而且性能随着ACL增加而降低。

### 3.2 状态检测防火墙：

状态检测是包过滤技术的发展，它考虑报文前后的关联性，检测的是连接状态而非单个报文。

状态检测防火墙就是支持状态检测功能的防火墙。

状态检测防火墙通过对连接的首个数据包（后续简称首包）检测而确定一条连接的状态。后续数据包根据所属连接的状态进行控制（转发或阻塞）。

**NGFW也是状态检测防火墙的一种。NGFW在内容安全和处理性能有极大的提升。**

![状态检测防火墙](/media/202402/2024-02-22_092132_3758420.8289649669004806.png)

现在主流防火墙也属于状态检测防火墙、能够基于应用和用户特征等进行匹配，性能更高。常说的下一代防火墙其实是多种功能的集合，在状态检测防火墙的基础上增加了一些入侵检测、入侵防御、应用识别等功能的安全设备。

总结：防火墙一般用于出口或者企业网内部不同区域间的隔离，通过五元组或者状态检测机制进行流量的监控识别，针对不同的流量执行不同的动作，有包过滤防火墙和状态检测防火墙、下一代防火墙等。防火墙也具备路由和交换功能，通过模块化集成入侵检测、入侵防御、应用识别等功能。

如果对文章感兴趣欢迎微信搜索公众号：不喜欢热闹的孩子
![不喜欢热闹的孩子](https://files.mdnice.com/user/51415/81791f79-39e6-49b1-afb4-73bb1cab970d.jpg)