什么是状态防火墙？

有状态防火墙的定义

一种具有状态感知功能的防火墙。一种能够评估当前网络连接的状态和上下文的防火墙。这些防火墙也被称为动态数据包过滤器。它们会收集相关信息，然后根据这些信息来决定是否允许数据包通过网络边界。

状态防火墙在开放系统互连的第三层和第四层上运行。它们与OSI模型中的网络层和传输层协同工作。这些层能够很好地与TCP和UDP协议协同运行，从而过滤进入和离开网络的网络流量。与无状态防火墙工具相比，它提供了更多的控制能力。因此，状态防火墙是一种常见且有效的网络安全解决方案。

状态防火墙是如何工作的呢？

当我们谈论有状态检查的工作原理时，有两个关键概念需要了解。国家/政府以及上下文/背景.

国家/政府

“状态”指的是关于数据包状态的信息。在TCP协议中，这些信息包括SYN、ACK和FIN标志。防火墙会识别这些状态标记，并将状态信息存储在定期更新的表中。然后，防火墙利用这些信息来比较当前网络连接的状态。它会主动判断请求是否安全，以及是否允许访问网络。

背景/上下文

“上下文”指的是关于数据包的来源和身份的信息。这些信息可能包括互联网协议地址、序列号、目标地址以及端口数据等。状态检查功能会将这些元数据存储在表格中。防火墙则将这些元数据与状态信息相结合，从而为每一个连接请求生成详细的配置文件。

状态防火墙会收集所有活跃连接的相关信息。防火墙通过将这些数据包与存储的信息进行比较来对其进行评估。如果数据包上的信息与安全配置文件中的定义相符，那么防火墙就会允许该数据包的传输。

状态防火墙还会对进入网络的流量进行数据包检查。通过检查每个数据包的内容，防火墙能够判断其是否包含恶意代码。如果数据包中包含恶意代码，防火墙就会阻止该数据的传输。此外，防火墙还会将当前传输的数据与同一网络上的历史传输数据进行比较。这样，防火墙就能更全面地判断是否需要阻止或允许该数据的传输。

有状态防火墙的工作方式会因所使用的协议而有所不同。具体差异如下：

传输控制协议（TCP）

TCP既是一种基于状态的协议，也是一种面向连接的协议。每个数据包都包含详细的状态信息，这使得防火墙的运作更加简单。防火墙在整个TCP握手过程中持续发挥作用。它记录从第一个SYN命令到FIN操作之间的所有状态信息，从而完成TCP会话的结束。这样，就可以全面了解数据传输过程中的各种情况了。

文件传输协议（FTP）

FTP也是一种状态传输协议。防火墙会记录来自控制通道的数据。通过这种方式，可以验证FTP请求是否有效，同时还可以获取文件的发送源和接收端等信息。在文件传输过程中，防火墙会对数据通道中的数据进行检查，以识别可能存在的安全隐患。

用户数据报协议（UDP）或HTTP

其他协议，如UDP和HTTP，属于无状态协议。这意味着这些协议所传输的数据量较少。不过，防火墙仍然可以利用关于端口、IP地址以及设备信息的上下文信息来进行处理。在这种情况下，防火墙的保护可以被视为“伪有状态”的防护方式。不过，有状态检测方式相比无状态协议方式，能够提供更高级别的控制与安全保障。

有状态防火墙与无状态防火墙的区别

状态防火墙是从无状态防火墙发展而来的。这两种类型自20世纪90年代以来就一直并存着。在某些情况下，仍然需要使用无状态版本的防火墙。因此，了解这两种防火墙的工作原理以及各自的优缺点是非常重要的。

什么是无状态防火墙？

无状态防火墙会针对进入的流量应用相应的规则集。这些规则定义了合法的网络流量。如果数据符合这些规则，那么防火墙就会认为该数据是安全的。因此，数据包可以顺利地传输到网络内部或离开网络。

虽然有状态防火墙会分析流量，但无状态防火墙则负责对流量进行分类处理。这种分类方式在评估数据传输方面并不那么精确。不过，从两者的对比来看，无状态防火墙在某些重要应用场景中仍然具有实用性。

状态防火墙

• 使用数据包检查来识别流量的类型以及数据包的内容。这样，在允许或拒绝访问时，就能更加准确地做出决策。
• 该系统会将每次访问请求的信息存储在状态表中。这些信息为后续决策提供了必要的背景信息。
• 容易受到DDoS攻击或其他涉及大量恶意数据的攻击。
• 依赖单一地点来处理访问请求。这会使状态防火墙成为一种不够灵活的解决方案。
• 虽然状态防火墙的成本在不断下降，但额外的功能可能会带来更高的成本。
• 通常，这种方式能提供更高的安全保护。通过深度包检查以及上下文数据分析，可以在威胁对网络资产造成损害之前将其拦截。

无状态防火墙

• 无法区分不同的流量类型。这种防火墙只能看到每个数据包的表面信息而已。它们无法判断传输过程中使用的是HTTP、FTP还是SSH协议。
• 请勿存储任何与访问请求相关的信息，而应单独评估各个数据包。在处理数据时，防火墙保护不会考虑上下文信息。
• 由于采用了基本的处理流程，因此即使在高流量情况下也能保持良好的性能。同时，也较少受到DDoS攻击的威胁。
• 没有固定的位置。防火墙可以轻松地运行在不同的服务器上。
• 总体来说，性价比很高。非常适合小型企业的需求。
• 潜在的安全性较低。无状态防火墙由于其基本的检测能力，可能会允许恶意流量通过。
  
  

简单来说，就是：状态防火墙能够提供深入的控制功能，同时具备精细化的安全保护机制。无状态防火墙结构简单且轻量级。不过，它们所构成的屏障相对于有状态的防火墙来说，要弱一些，无法有效保护网络资产免受外部威胁的侵害。

在网络中，所谓“有状态检查”指的是什么？

需要考虑的最后一个方面是，状态防火墙在实际网络环境中的应用情况。

这里最重要的能力就是状态检查或动态数据包过滤这一过程涉及对进入网络的每个数据包进行检查，以确认其身份和内容。状态过滤是一种动态机制。它通过借鉴以往的数据传输经验来做出更准确的决策。

状态检查与……形成对比。静态数据包过滤静态检查只能对数据包的头部信息或数据包的源地址和目的地址等信息进行评估。如果数据包违反了预定义的规则，静态检查可以拒绝该请求；而状态检查则能够提供更详细的信息。在大多数情况下，这种方式的网络安全性更高。