經典技術文獻導讀：防火牆核心原理與演進
本文依經典教材《Building Internet Firewalls》結構，梳理防火牆技術知識體系，涵蓋協定基礎、加密基礎、Web 安全挑戰、API 風險、防火牆架構設計。
第一部分：TCP/IP 協定族與安全需求
- IP 定址、CIDR、IPv6 擴展、IPsec/IPSO 安全擴展。
- TCP/UDP/ICMP/IGMP/RIP/OSPF/BGP/ARP/RARP/DHCP/DNS/SNMP/NTP 等核心協定運作機制與風險（IP 欺騙、TCP SYN Flood、DNS 污染、路由劫持等）。
- 防火牆概念：邊界、DMZ、認證、周邊信任、內部網分區。
第二部分：基礎連線服務與挑戰
- TTY、UUCP、SLIP/PPP、Rlogin、Telnet/Kermit、TFTP/FTP 安全弱點與加固。
- 防火牆面臨的挑戰：協定複雜性、動態埠、加密流量可見性、效能與安全平衡。
第三部分：加密技術與金鑰管理
- 對稱加密：DES、3DES、AES、IDEA、CAST、RC2/4、Skipjack。
- 非對稱加密：RSA、DSA、ECC、數位簽名（DSS）。
- 雜湊：MD5、SHA-1/2/3、HMAC。
- PKI 體系：X.509 憑證、CA/RA、CRL/OCSP、Kerberos、金鑰交換（Diffie-Hellman、ECDH）。
- 密碼分析攻擊類型：唯密文、已知明文、選擇明文、中間人、時序攻擊等。
第四/五部分：Web 威脅面與防火牆對策
- HTTP/HTTPS、S-HTTP、SSL/TLS、Web 快取風險、CGI/ISAPI/NSAPI/Servlet/ActiveX 伺服端擴展漏洞。
- 客戶端活動內容：Java Applet、ActiveX、JavaScript、Shockwave/Flash 沙箱逃逸。
- 防火牆配置核對表：封鎖高危方法、限制上傳類型、啟用 WAF 規則、SSL 解密檢測。
第六部分：API 與分散式運算安全
- Winsock、Java API（RMI、Jini、EJB、CORBA 對比）、Perl/CGI/ActiveX/DCOM/.NET Remoting、XDR/RPC。
- 防火牆需識別並管控分散式物件呼叫流量，防止繞過邊界防護。
實戰啟示
- 協定理解是規則編寫基礎：不知協定細節無法寫出精準規則。
- 加密雙刃劍：保護機密性同時阻礙檢測，必須部署 SSL 解密/檢測節點。
- 應用層可見性決定防護上限：NGFW 的 App-ID/User-ID 是核心競爭力。
- 自動化與威脅情報：手工規則無法應對海量變種，需引入 AI/ML 引擎與情報餵送。
防火牆技術歷經三十年演進，核心使命始終未變：在不可信網絡與核心資產之間建立可信邊界，隨業務演進持續重塑邊界定義。