什麼是防火牆？

互聯網就是連接性。不幸的是，雖然您可能想要連接到許多站點和內容，但也有很多您不想連接到的東西。計算機病毒已經存在很長時間了。一些真正早期的東西並沒有真正的破壞性，只是做了一些意想不到的事情，比如播放電子音樂或發送連鎖電子郵件。

但在現代世界中情況並非如此。病毒和惡意軟件可以刪除或加密文件並扣留它們以勒索贖金，記錄您的按鍵以確定密碼和銀行信息，或者悄悄地將您的計算機註冊到殭屍網絡中以攻擊他人。

病毒和惡意軟件也不是唯一令人討厭的東西。黑客不斷使用自動掃描工具來探測互聯網上的設備，以識別易受他們必須提供的工具攻擊的設備。

您可能想斷開計算機與互聯網的連接以確保其安全。雖然這會奏效，但效果並不好，因為您無法訪問構成互聯網的海量有用信息和搞笑貓咪圖片。要管理訪問和安全之間的平衡，您需要防火牆。

什麼是防火牆？

防火牆是一種允許指定網絡流量通過並阻止其他流量的工具。通過仔細調整控製網絡數據包是否允許通過防火牆的規則，您可以顯著提高計算機的安全狀況。

基本概念是圍繞訪問控制列表構建的。有些事情是允許的，有些事情是明確阻止的，其他一切都是默認阻止的。如果您遇到防火牆阻止您做某事的情況，通常最好花點時間找出連接被阻止的原因。

當然，如果沒有正當理由，你可以允許交流。或者原因不再適用。同樣，如果您收到不想要的網絡流量，您可以直接阻止它。在這樣做之前，值得考慮一下為什麼允許這樣做。因為阻止訪問可能會破壞合法功能。

有兩種主要類型的防火牆。網絡防火牆和個人防火牆位於網絡圖上的不同位置。它們提供了其他優點和缺點。兩者都是有用的並且可以很好地協同工作，儘管擁有多個可能會使診斷哪個正在阻止不應被阻止的事情的過程複雜化。

網絡防火牆

網絡防火牆是位於局域網 (LAN) 內某處的防火牆。或者可能是您的廣域網 (WAN)。它將始終放置在設備和實際互聯網連接之間。它通常位於盡可能靠近 Internet 連接的位置。在網絡拓撲意義上，不一定在物理上接近。

網絡防火牆通常是物理服務器類型的設備。它可以是一個獨立的設備，也可以集成到另一個網絡設備中，例如路由器。它們通常部署在企業級網絡中，而在家庭網絡中則少見得多。

注意： NAT 和 PAT，雖然不是作為類似防火牆的安全功能，但提供了類似的好處，至少在阻止和允許入站通信方面是這樣。所有家用路由器都實現 NAT 和 PAT。所以您可以將其視為網絡防火牆。

網絡防火牆通常設計用於過濾來自整個網絡的所有傳入和傳出網絡流量。它在網絡上的位置使其能夠很好地洞察網絡上的所有流量。儘管如此，終端用戶設備和網絡服務器之間的許多連接都是加密的。它並不總能很好地了解網絡流量的實際內容。出於這個原因，大多數網絡防火牆規則都是基於阻止已知的不良 IP 地址和防止訪問不需要的端口號。

網絡防火牆非常擅長為無法運行自己的防火牆的設備提供保護。他們還擅長為大量設備提供集中保護。不幸的是，如果有規則需要更改，它們的更新速度通常很慢。然而，這通常是由於公司政策薄弱或過於謹慎，以及人們不知道與誰溝通來解決問題。

個人防火牆

個人防火牆是安裝在您設備上的軟件防火牆。它可以監控通信並配置為管理各個應用程序的訪問。這些通常與某種反惡意軟件類型的解決方案相關聯，儘管從 Windows XP 開始，Windows 就內置了免費的防火牆。

個人防火牆也隨您的設備一起提供。這對於台式計算機來說並不是特別重要。儘管如此，筆記本電腦和移動設備可能會連接到許多網絡，每個網絡都有不同的風險狀況。例如，在企業網絡中，您可能有許多聯網的共享設備、打印機和其他需要順暢通信的設備。

在家庭環境中，一般比較安全，但不一定需要防火牆允許的那些服務，關閉它們是很好的縱深防禦。如果您已連接到公共 Wi-Fi 熱點，但您不知道還有什麼可能連接到該網絡，則您的防火牆應該被嚴密鎖定。

更新個人防火牆以授予或拒絕對某些內容的訪問要容易得多。雖然許多設備包含更多的管理開銷，但有些設備提供集中控制，最終用戶不相信可以進行控制。個人防火牆只覆蓋一台設備，但可以保護它在任何地方。一個重大的風險是，如果病毒確實通過了。它可能獲得對計算機的足夠控制權以直接控制防火牆，防火牆可能不存在。

Web 應用防火牆

Web 應用程序也經常受到黑客的攻擊。典型的防火牆在保護服務器免受不需要的流量方面表現出色，但應用程序本身可能容易受到攻擊。雖然安全開發實踐和適當的安全測試是最好的安全策略，但實施 Web 應用程序防火牆或 WAF 可以幫助充當縱深防禦。

提示：縱深防禦是一個具有多個安全功能層的安全概念。這個想法是，如果一種防禦機制失敗或被繞過，還有其他防禦機制。

WAF 的運行方式與其他防火牆略有不同。因為它在應用程序中，所以它可以查看和分析解密的流量。這允許它分析發送的實際消息的內容。如果任何請求被識別為潛在惡意，則可以將其阻止。可能被阻止的事物類型的典型示例是包含 javascript 的請求。跨站點腳本或 XSS 攻擊涉及使用 javascript 發送請求，這樣瀏覽器可能會執行惡意代碼。

結論

防火牆是一種監視網絡流量並根據防火牆具有的規則列表阻止或允許它的工具。可以修改這些規則以滿足用戶的需求和用例，但在某些情況下，用戶可能無法自己實施更改。

防火牆通常會阻止意外的傳入流量，它們還會跟踪發送的請求，以便允許響應通過。如果不需要作為縱深防禦措施，鎖定傳出請求通常也是謹慎的做法。

注意：防火牆術語通常指的是阻止列表和允許列表。