防火牆核心功能與技術體系全景

防火牆五大核心功能

1. 集中存取控制點：定義單一邊界策略，阻擋非法用戶進入內網。
2. 安全監視與告警：即時記錄攻擊嘗試、異常流量，觸發警報通知管理員。
3. NAT 部署點：內網私有 IP 與公網 IP 映射，緩解 IPv4 枯竭，隱藏內部拓撲。
4. 流量審計與計費：記錄連線時長、流量、應用分布，支援部門級成本分攤與頻寬瓶頸分析。
5. DMZ 公開服務區：隔離部署 Web、FTP、郵件伺服器，若被攻破不波及內網核心資產。

兩大技術流派對比

維度	封包過濾防火牆	代理/應用層防火牆
代表產品	Check Point、Cisco PIX	NAI Gauntlet、Sidewinder
原理	依封包頭五元組匹配規則	代理建立兩段連線，深度解析應用協定
優點	價格低、效能高、延遲低	安全性最高、可防應用層攻擊、隱藏內網結構
缺點	規則複雜易配錯、無法檢測應用層惡意負載	速度較慢、不適合高速骨幹（ATM/千兆以上）
演進	狀態檢測（Stateful Inspection）成主流	新一代防火牆（NGFW）融合 IPS、App-ID、User-ID、沙箱

封包過濾防火牆四代演進

1. 靜態封包過濾：唯規則匹配，無狀態。
2. 狀態檢測：維護連線狀態表，驗證封包屬於合法會話。
3. 應用層檢測：識別特定應用協定（FTP、SQL、RPC 等）動態開埠。
4. 新一代防火牆：整合 IPS、防毒、應用控制、用戶身份、威脅情報、SSL 解密。

代理防火牆核心：Proxy 技術

內建專用 Proxy 程式終結客戶連線，重新建立至伺服器連線，實現協定規範化、內容過濾、內網結構隱藏。公認最安全但效能代價大。

現代部署多採混合架構：邊界 NGFW + 內部區段防火牆 + 主機微隔離，纵深防御。