1。包过滤防火墙


使用包过滤防火墙的优点包括：


防火墙对每个传入和传出网络包都具有较低的控制级别。


检查每个IP包的字段，如源地址、目的地址、协议、端口等。防火墙将根据这些信息应用过滤规则。


防火墙可以识别和丢弃带有欺骗性源IP地址的数据包。


包过滤防火墙是两个网络之间唯一的接入源，因为所有的通信都要经过防火墙，所以很难绕过。


包过滤通常包含在路由器包中，因此不需要额外的系统来处理这个特性。


使用包过滤防火墙的缺点包括：


难以配置。因为包过滤防火墙是非常复杂的，人们往往忽视建立一些必要的规则，或者错误配置的现有规则，留下漏洞防火墙上。然而，在市场上，许多新版本的防火墙正在改善，例如这一缺点，开发商已经意识到，基于图形用户接口的配置（GUI）和更直接的规则定义。


打开特定的服务端口是危险的，可能会被用于其他传输。例如，端口80上的默认Web服务器和计算机上安装RealPlayer，它将搜索可以连接到RealAudio服务器端口，无论端口被其他协议使用RealPlayer使用端口80和搜索。这样，RealPlayer使用Web服务器的端口。


可能有其他方法绕过防火墙进入网络，比如拨号连接，但这并不是防火墙本身的缺陷，而是防火墙不应该仅仅依赖于网络的安全性的原因。


2。状态/动态检测防火墙


状态/动态检测防火墙的优点是：


检查IP包的每个字段的功能，并根据包中的信息跟踪过滤规则。


识别具有欺骗性源IP地址包的能力。


包过滤防火墙是两个网络之间唯一的接入源，因为所有的通信都要经过防火墙，所以很难绕过。


根据应用程序信息验证包状态的能力，例如已经建立的FTP连接，允许返回的FTP包通过。


基于应用程序信息来验证包状态的能力，例如允许先前经过验证的连接继续与已授权的服务通信。


记录每个包的详细信息的能力。基本上，防火墙可以用来确定包状态的所有信息都可以记录下来，包括对包的应用请求、连接的持续时间、内部和外部系统之间的连接请求等。


状态/动态检测防火墙的不足：


动态状态检测防火墙/唯一的缺点是，所有的这些记录、测试和分析工作可能会导致延迟的网络连接，特别是大量连接时激活的同时，或大量的过滤网络通信的规则的存在。然而，更快的硬件速度，意识不到这个问题，与防火墙的制造商一直致力于提高产品的速度。


三.应用程序代理服务器防火墙


使用应用程序代理防火墙的优点是：


指定连接的控制，例如允许或拒绝基于服务器IP地址的访问，或允许基于用户请求的IP地址拒绝访问。


通过限制某些协议的传出请求来减少网络中不必要的服务。


大多数代理防火墙可以记录所有连接，包括地址和持续时间。此信息可用于跟踪发生未经授权访问的攻击和事件。


使用应用程序代理防火墙的缺点是：


根据用户使用的应用程序，有必要在一定范围内定制用户系统。


有些应用程序可能根本不支持代理连接。


4.nat


使用NAT的优点如下：


所有内部IP地址都隐藏在外面，因此，网络之外的任何人都不能通过指定IP地址直接攻击网络中的任何特定计算机。


如果由于某种原因，公共IP地址资源很短，NAT可以使整个内部网络共享一个IP地址。


可以启用基本包过滤器防火墙安全机制，因为如果没有特别配置到NAT，所有传入的包都会被丢弃。内部网络的计算机不能直接访问外部网络。


使用NAT的缺点：


NAT的缺点是，包过滤防火墙一样。虽然可以保证内部网络的安全，这也是一些类似的限制。此外，内部网络可以利用广泛的木马程序可以通过NAT进行外部连接，就可以通过包过滤防火墙。


注意：许多厂商开发的防火墙，尤其是状态/动态检测防火墙，除了提供功能外，还提供NAT功能。


5。个人防火墙


个人防火墙的优点是：


添加保护级别，不需要额外的硬件资源。


除了能够抵御外来攻击，个人防火墙还可以抵御内部攻击。


个人防火墙是对公共网络中的单个系统的保护。例如，一个家庭用户正在使用调制解调器或ISDN或ADSL上网，可能他是一个硬件防火墙太贵了，或是太多的麻烦。和个人防火墙已经能够隐藏用户的网络信息，如IP地址等信息。


个人防火墙的缺点：


个人防火墙的主要缺点是，公共网络只有一个物理接口。请记住，真正的防火墙应该监视和控制两个网络。


一个或多个网络接口之间的通信。这样，个人防火墙本身可能很容易受到威胁，或者有这样的弱点。网络通信可以绕过防火墙规则。