針對普通用戶的個人防火牆,通常是在一部電腦上具有封包過濾功能的軟體,如ZoneAlarm及Windows XP SP2後內建的防火牆程式。而專業的防火牆通常為網路裝置,或是擁有2個以上網路介面的電腦。以作用的TCP/IP堆疊區分,主要分為網路層防火牆和應用層防火牆兩種,但也有些防火牆是同時運作於網路層和應用層。 網路層防火牆[編輯] 網路層防火牆可視為一種 IP 封包過濾器,運作在底層的TCP/IP協定堆疊上。我們可以以列舉的方式,只允許符合特定規則的封包通過,其餘的一概禁止穿越防火牆。這些規則通常可以經由管理員定義或修改,不過某些防火牆裝置可能只能套用內建的規則。 我們也能以另一種較寬鬆的角度來制定防火牆規則,只要封包不符合任何一項「否定規則」就予以放行。現在的作業系統及網路裝置大多已內建防火牆功能。 較新的防火牆能利用封包的多樣屬性來進行過濾,例如:來源 IP 位址、來源埠號、目的 IP 位址或埠號、服務類型(如 HTTP 或是 FTP)。也能經由通訊協定、TTL 值、來源的網域名稱或網段...等屬性來進行過濾。 應用層防火牆[編輯] 主條目:應用層防火牆 防火牆的視察軟體介面範例,紀錄IP進出的情況與對應事件 應用層防火牆是在TCP/IP堆疊的「應用層」上運作,使用瀏覽器時所產生的資料流或是使用 FTP 時的資料流都是屬於這一層。應用層防火牆可以攔截進出某應用程式的所有封包,並且封鎖其他的封包(通常是直接將封包丟棄)。理論上,這一類的防火牆可以完全阻絕外部的資料流進受保護的機器裡。 防火牆藉由監測所有的封包並找出不符規則的內容,可以防範電腦蠕蟲或是木馬程式的快速蔓延。實際上,這個方法繁復(因軟體種類極多),所以大部份防火牆都不會考慮以這種方法設計。 截至2012年,所謂的下一代防火牆(NGFW)都只是「拓寬」並「深化」了在套用棧檢查的能力。例如,現有支援深度分組檢測的現代防火牆均可延伸成入侵預防系統(IPS),使用者身分整合(使用者ID與IP或MAC網址繫結),和Web套用防火牆

arrow
arrow
    全站熱搜

    tckitkit 發表在 痞客邦 留言(0) 人氣()