防火墙实施方法

防火墙是一种网络安全系统，它能够根据预先定义的政策来监控并决定是否允许或拒绝某些网络流量。这种功能可以由单个设备、一组设备来实现，也可以由运行在服务器等单一设备上的软件来负责。
Cisco ASA在市场中占据最大的市场份额。此外，还有其他防火墙供应商，比如Checkpoint、Juniper等。
防火墙方法论 – 
实现防火墙的方法有几种。具体方法如下：
 

1. 静态数据包过滤机制数据包过滤是一种防火墙技术，它根据源IP地址、目标IP地址、源端口号以及目标端口号来控制访问权限。这种技术适用于OSI模型的第三层和第四层。此外，ACL并不保存会话的状态信息。在路由器上应用了ACL的情况下，就属于静态数据包过滤的示例。
   优点—— 
   
   • 如果管理员对网络有充分的了解，那么实施起来就会非常容易。
      
   • 它几乎可以在所有路由器上进行配置。
      
   • 它对网络性能的影响非常小。
      
   • 大量的ACL难以进行维护。
      
   • ACLs使用IP地址来进行过滤。如果有人伪造了相同的源IP地址，那么该请求仍然会被ACL所允许。
      
2. 有状态数据包过滤机制 
   在状态包过滤中，会话的状态会被保留下来。也就是说，当在可信网络中启动一个会话时，源地址、目标地址、源端口、目标端口以及其他相关层信息都会被记录下来。默认情况下，来自不可信网络的所有流量都会被拒绝。
   只有当源IP地址和目的IP地址以及源端口号和目的端口号被交换时，才允许回复此会话。
   优点—— 
   
   • 与静态数据包过滤方式相比，动态数据包过滤方式具有更灵活的特性。
      
   • 不易受到IP欺骗的攻击。
      
   • 可以在路由器上实现。
      
   • 可能无法有效防止应用层中的攻击。
      
   • 有些应用程序会在服务器端打开动态端口。如果防火墙对此进行了限制，那么这些应用程序就会无法正常运行。这时，就需要使用应用程序检查功能来解决问题了。
      
3. 代理防火墙—— 
   这些也被称为应用层防火墙。代理防火墙在原始客户端和服务器之间充当中介角色。原始客户端和服务器之间不会直接进行连接。
   客户需要直接连接到服务器才能进行通信，但现在，客户必须先与代理服务器建立连接。然后，代理服务器会代表客户与服务器建立连接。此时，客户将数据发送给代理服务器，而代理服务器则会将数据转发给服务器。代理服务器的运行层次可以高达第7层（应用层）。
   优势/好处 
   
   • 作为代理服务器，很难直接攻击服务器。因为代理服务器位于客户端和服务器之间，它起到了一个中介的作用。
      
   • 可以提供详细的日志记录。
      
   • 可以在常见的硬件上实现。
      
   • 需要大量处理器的任务/操作
      
   • 需要大量内存和磁盘资源来运行
      
   • 网络安全中的单一故障点
      
4. 应用检查—— 
   这些工具能够深入分析数据包，直至第7层（即深度检测）。不过，它们无法充当代理服务器。即使服务器为客户端分配了动态端口，这些工具仍然可以深入分析客户端与服务器之间的通信内容。因此，在这些情况下，这些工具不会失效（这种情况在状态化防火墙中可能会出现）。
   优点—— 
   
   • 能够更深入地分析服务器与客户端之间的通信内容。
      
   • 如果发生了由标准协议引起的异常情况，那么就可以拒绝这些数据包的传输。
      
5. 透明防火墙 
   默认情况下，防火墙运行在第三层。不过，使用透明防火墙的好处在于，它可以在第二层进行运作。该防火墙拥有两个接口，可以充当桥梁的作用，因此可以通过一个管理IP地址来配置它。此外，访问网络的用户甚至不会察觉到存在防火墙的存在。
   使用透明防火墙的主要优势在于，我们在网络中部署防火墙时，无需重新配置网络结构。此外，在二层层面运行时，该防火墙仍然可以执行诸如构建状态数据库、应用程序检查等功能。
    
6. 网络地址转换（NAT） 
   NAT是在路由器或防火墙上实现的。NAT的作用是将私有IP地址转换为公共IP地址，这样我们就能隐藏自己的源IP地址了。
   如果我们使用的是动态NAT或PAT技术，那么攻击者就无法知道哪些设备会从IP地址池中分配到了特定的IP地址。这样一来，从外部世界到我们的私有网络进行连接就变得非常困难了。
    
7. 下一代防火墙 – 
   下一代防火墙是一种第三代安全防火墙，它可以通过软件或硬件来实现。它结合了基本的防火墙功能，如静态数据包过滤、应用程序检查，同时还具备先进的安全功能，比如集成式的入侵防御系统。Cisco ASA带有firePOWER服务的版本，就是下一代防火墙的一个典型例子。