防火牆原理

在企業內網與 Internet 間建立隔離屏障，依規則選擇性允許/拒絕流量：可依 IP、TCP/UDP 埠、應用層協定過濾。部署於路由器保護子網，或單機保護主機。

四大防火牆技術類型

類型	運作層級	優點	缺點
網路級 (封包過濾)	OSI 第 3/4 層 (IP/TCP/UDP)	效能高、透明、大多數路由器內建	無法辨識應用層內容、易遭 IP 偽裝繞過
應用級閘道	OSI 第 7 層	理解應用協定、精細存取控制、詳細稽核、最安全	每協定需專用代理、效能較低、使用者感知延遲、多次登入
電路級閘道	OSI 第 5 層 (會話層)	監控 TCP 三向交握、提供代理服務、隔離內外應用層連線	不檢查應用層資料內容
狀態檢測 (規則檢查)	綜合第 3/4/5/7 層	融合前三者優點：封包過濾效能 + 狀態檢查 + 應用層模式識別，不破壞 C/S 直連	實作複雜、理論上優於純應用級代理

代理服務器的關鍵角色

• 終結內外直接連線，改為兩段式連線（內網→代理→外網），成功隔離內部結構。
• 提供強化資料流監控、過濾、記錄、報告功能。
• 通常由專用工作站承擔。

部署必讀：兩大限制

1. 防火牆 ≠ 防毒：雖有產品宣稱具防毒功能，但無法替代專用防毒軟體。
2. 效能代價：過濾技術導致網路效能下降 50%+；若為改善效能採購高階路由器，預算大增。

防火牆是企業網路安全的流行方案：將公開服務置於防火牆外，限制其存取內部資源。特點：簡單實用、透明度高、無需修改既有應用系統。