防火墙类型有哪些

防火墙类型有：1、静态包过滤防火墙；2、电路级网关防火墙；3、状态检测防火墙；4、代理防火墙；5、新一代防火墙 (NGFW)；6、混合型防火墙。静态包过滤防火墙，又称无状态检测防火墙，在 OSI 网络层（第 3 层）运行。

防火墙类型

不同类型的防火墙采用不同的过滤方法。虽然每种类型的防火墙都是为了超越前几代防火墙而开发，但大部分核心技术仍会沿用。

不同类型防火墙的区别在于它们执行下列操作的方式：

1. 连接跟踪
2. 过滤规则
3. 审核日志

每种类型的防火墙都在标准化通信模型的不同级别运行，该模型称为开放系统互连模型 (OSI)。该模型可以更好地显示出每个防火墙如何与连接进行交互。

1、静态包过滤防火墙

静态包过滤防火墙，又称无状态检测防火墙，在 OSI 网络层（第 3 层）运行。这类防火墙会检查通过网络发送的各个数据包，根据它们的源位置和目标位置来进行基础过滤。要注意的是，之前已接受的连接不会被跟踪。这意味着每发送一个数据包都必须重新批准每个连接。

防火墙根据 IP 地址、端口和数据包协议进行过滤。这类防火墙至少可以防止两个网络在未经许可的情况下直接连接。

过滤规则根据手动创建的接入控制列表来设置。这些规则非常严格，很难在不影响网络可用性的情况下正确过滤掉未授权的流量。静态过滤需要持续手动修改才能有效使用。这类防火墙在小型网络上是可以管理的，但在大型网络上比较难以操作。

无法读取应用协议意味着无法读取数据包中传递的消息内容。如果无法读取内容，包过滤防火墙能提供的保护质量就会受限。

2、电路级网关防火墙

电路级网关在会话层（第 5 层）上运行。这类防火墙会检查尝试建立的连接中的功能数据包，如果运行良好，则允许两个网络之间保持持久的开放连接。之后，防火墙将停止监视此连接。

除了连接方法之外，电路级网关也类似于代理防火墙。

连接持续不受监控是比较危险的，因为可以通过合法的手段打开连接，之后恶意行为者可以无阻碍进入。

3、状态检测防火墙

状态检测防火墙，又称动态包过滤防火墙，与静态过滤防火墙相比，这类防火墙的独特之处在于能够监控持续的连接并记录历史连接。这类防火墙最初是在传输层（第 4 层）上运行的，但现在可以监控许多层，包括应用层（第 7 层）。

与静态过滤防火墙一样，状态检测防火墙根据技术属性（例如特定的数据包协议、IP 地址或端口）允许或阻止流量。不过，这些防火墙还利用状态表，根据连接状态进行独特的跟踪和过滤。

这类防火墙根据屏蔽路由器在状态表中记录的历史连接事件来更新过滤规则。

一般情况下，过滤决策基于管理员在设置计算机和防火墙时确定的规则。不过，状态表允许这些动态防火墙根据之前“学习”到的交互做出自己的决定。例如，过去导致过中断的流量类型可能会在将来被过滤掉。状态检测的灵活性使这类防火墙成为使用较广泛的保护屏障类型之一。

4、代理防火墙

代理防火墙，又称应用层防火墙（第 7 层），具备独特的应用协议读取和过滤功能。这类防火墙将应用层检测（又称“深度包检测”(DPI)）和状态检测融合在一起。

代理防火墙会尽最大可能接近实际的物理屏障。与其他类型的防火墙不同，它充当外部网络和内部主机计算机之间的两台附加主机，其中一台作为每个网络的代表（又称“代理”）。

过滤基于应用层数据，而不仅仅是基于数据包的防火墙采用的 IP 地址、端口和基本数据包协议（UDP、ICMP）。读取并理解 FTP、HTTP、DNS 和其他协议可以对许多不同的数据特征进行更深入的调查和交叉过滤。

它类似于站在门口的守卫，主要负责监视和评估传入的数据。如果未检测到问题，则允许将数据传递给用户。

这种严密安全防护的缺点在于，它有时会干扰那些并不存在威胁的传入数据，因而导致功能延迟。

5、新一代防火墙 (NGFW)

不断演变的威胁越来越需要更强大的解决方案，而新一代防火墙可以将传统防火墙的功能与网络入侵防御系统结合在一起，从而解决这些问题。

针对特定威胁的新一代防火墙可以更精细地检查和识别特定威胁，例如高级恶意软件。它们更多地用于企业和复杂网络，可提供全面的解决方案来过滤威胁。

6、混合型防火墙

顾名思义，混合型防火墙在单个专用网络中使用两种或多种防火墙。