防火牆本質是過濾數據包的「塞子」，核心決策為 Yes/No。形式多樣：替代 TCP/IP 協議棧、協議棧上建模組、獨立作業系統、應用層代理、硬體安全路由器。核心技術演進：IP 地址過濾（易遭 IP 欺騙）→ TCP/UDP 端口過濾（需區分客戶端隨機高位端口）→ 狀態檢測（ACK 位監控 TCP 連接狀態）→ 應用層代理（重寫數據包隔離內外網）→ 硬體加速轉發。

關鍵難點：FTP 雙通道（命令/數據）需智能識別數據端口；UDP 無狀態難過濾，靠記憶出站包匹配入站；源路由攻擊需禁止源路由。高階防火牆結合包過濾、狀態檢測、應用代理、硬體加速，部署於網關、VLAN 間、總分機構連接、遠程接入、ISP 負載均衡等節點，實現流量控制、日誌審計、IP 隱藏、NAT/DMZ 等綜合功能。