王老吉面壁（打一網(wǎng)絡(luò)安全設(shè)備）

謎底：防火墻

“怕上火喝王老吉”這句廣告語已經(jīng)深入人心了。可見，王老吉可以用來防止上火，那么王老吉和墻放到一起，肯定是防火墻了。

[[8860]] 

所謂防火墻指的是一個(gè)由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障.是一種獲取安全性方法的形象說法，它是一種計(jì)算機(jī)硬件和軟件的結(jié)合，使Internet與Intranet之間建立起一個(gè)安全網(wǎng)關(guān)（Security Gateway），從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入，防火墻主要由服務(wù)訪問規(guī)則、驗(yàn)證工具、包過濾和應(yīng)用網(wǎng)關(guān)4個(gè)部分組成，

防火墻就是一個(gè)位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟件或硬件(其中硬件防火墻用的較少，例如國(guó)防部以及大型機(jī)房等地才用,因?yàn)樗鼉r(jià)格昂貴)。該計(jì)算機(jī)流入流出的所有網(wǎng)絡(luò)通信均要經(jīng)過此防火墻。

防火墻 英語為firewall 《英漢證券投資詞典》的解釋為：金融機(jī)構(gòu)內(nèi)部將銀行業(yè)務(wù)與證券業(yè)務(wù)嚴(yán)格區(qū)分開來的法律屏障，旨在防止可能出現(xiàn)的內(nèi)幕消息共享等不公平交易出現(xiàn)。使用防火墻比喻不要引火燒身。

為什么使用防火墻?

防火墻具有很好的保護(hù)作用。入侵者必須首先穿越防火墻的安全防線，才能接觸目標(biāo)計(jì)算機(jī)。你可以將防火墻配置成許多不同保護(hù)級(jí)別。高級(jí)別的保護(hù)可能會(huì)禁止一些服務(wù)，如視頻流等，但至少這是你自己的保護(hù)選擇。

防火墻的類型

一個(gè)個(gè)人防火墻, 通常軟件應(yīng)用過濾信息進(jìn)入或留下。一臺(tái)電腦和一個(gè)傳統(tǒng)防火墻通常跑在一臺(tái)專用的網(wǎng)絡(luò)設(shè)備或電腦被安置在兩個(gè)或更多網(wǎng)絡(luò)或DMZs (解除軍事管制區(qū)域) 界限。 這樣防火墻過濾所有信息進(jìn)入或留下被連接的網(wǎng)絡(luò)。 后者定義對(duì)應(yīng)于"防火墻" 的常規(guī)意思在網(wǎng)絡(luò), 和下面會(huì)談?wù)勥@類型防火墻。 以下是兩個(gè)主要類防火墻: 網(wǎng)絡(luò)層防火墻和 應(yīng)用層防火墻。 這兩類型防火墻也許重疊; 的確, 單一系統(tǒng)會(huì)兩個(gè)一起實(shí)施。

網(wǎng)絡(luò)層防火墻

網(wǎng)絡(luò)層防火墻可視為一種 IP 封包過濾器，運(yùn)作在底層的 TCP/IP 協(xié)議堆棧上。我們可以以枚舉的方式，只允許符合特定規(guī)則的封包通過，其余的一概禁止穿越防火墻。這些規(guī)則通?？梢越?jīng)由管理員定義或修改，不過某些防火墻設(shè)備可能只能套用內(nèi)置的規(guī)則。

我們也能以另一種較寬松的角度來制定防火墻規(guī)則，只要封包不符合任何一項(xiàng)“否定規(guī)則”就予以放行?，F(xiàn)在的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備大多已內(nèi)置防火墻功能。

較新的防火墻能利用封包的多樣屬性來進(jìn)行過濾，例如：來源 IP 地址、來源端口號(hào)、目的 IP 地址或端口號(hào)、服務(wù)類型(如 WWW 或是 FTP)。也能經(jīng)由通信協(xié)議、TTL 值、來源的網(wǎng)域名稱或網(wǎng)段...等屬性來進(jìn)行過濾。

應(yīng)用層防火墻

應(yīng)用層防火墻是在 TCP/IP 堆棧的“應(yīng)用層”上運(yùn)作，您使用瀏覽器時(shí)所產(chǎn)生的數(shù)據(jù)流或是使用 FTP 時(shí)的數(shù)據(jù)流都是屬于這一層。應(yīng)用層防火墻可以攔截進(jìn)出某應(yīng)用程序的所有封包，并且封鎖其他的封包(通常是直接將封包丟棄)。理論上，這一類的防火墻可以完全阻絕外部的數(shù)據(jù)流進(jìn)到受保護(hù)的機(jī)器里。

防火墻借由監(jiān)測(cè)所有的封包并找出不符規(guī)則的內(nèi)容，可以防范電腦蠕蟲或是木馬程序的快速蔓延。不過就實(shí)現(xiàn)而言，這個(gè)方法既煩且雜(軟件有千千百百種啊)，所以大部分的防火墻都不會(huì)考慮以這種方法設(shè)計(jì)。

XML 防火墻是一種新型態(tài)的應(yīng)用層防火墻。

代理服務(wù)

代理服務(wù)設(shè)備(可能是一臺(tái)專屬的硬件，或只是普通機(jī)器上的一套軟件)也能像應(yīng)用程序一樣回應(yīng)輸入封包(例如連接要求)，同時(shí)封鎖其他的封包，達(dá)到類似于防火墻的效果。

代理由外在網(wǎng)絡(luò)使竄改一個(gè)內(nèi)部系統(tǒng)更加困難, 并且一個(gè)內(nèi)部系統(tǒng)誤用不一定會(huì)導(dǎo)致一個(gè)安全漏洞可開采從防火墻外面(只要應(yīng)用代理剩下的原封和適當(dāng)?shù)乇慌渲? 。 相反地, 入侵者也許劫持一個(gè)公開可及的系統(tǒng)和使用它作為代理人為他們自己的目的; 代理人然后偽裝作為那個(gè)系統(tǒng)對(duì)其它內(nèi)部機(jī)器。 當(dāng)對(duì)內(nèi)部地址空間的用途加強(qiáng)安全, 破壞狂也許仍然使用方法譬如IP 欺騙試圖通過小包對(duì)目標(biāo)網(wǎng)絡(luò)。

防火墻經(jīng)常有網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT) 的功能, 并且主機(jī)被保護(hù)在防火墻之后共同地使用所謂的“私人地址空間”, 依照被定義在[RFC 1918] 。 管理員經(jīng)常設(shè)置了這樣情節(jié)在努力(無定論的有效率) 假裝內(nèi)部地址或網(wǎng)絡(luò)。

防火墻的適當(dāng)?shù)呐渲靡蠹记珊椭悄堋?它要求管理員對(duì)網(wǎng)絡(luò)協(xié)議和電腦安全有深入的了解。 因小差錯(cuò)可使防火墻不能作為安全工具。