防火墙，如何理解防火墙，他与堡垒机的差别

引言

很多小伙伴，不理解什么是防火墙，不了解防火墙和堡垒机的区别。防火墙定义详细介绍防火墙（Firewall），也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网，它是一种位于内部网络与外部网络之间的网络安全防护系统，是一种隔离技术，允许或是限制传输的数据通过。

基于TCP/IP协议，主要分为主机型防火墙和网络型防火墙，防火墙规则通常依据IP addresses、Domain names、Protocols、Programs、Port等制定，这样就能过滤掉一些来自Internet上的黑客攻击、木马病毒侵入风险，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

防火墙和堡垒机的的三大区别

1、性质不同

防火墙是私有网络与公网之间的门卫，而堡垒机是内部运维人员与私网之间的门卫。防火墙墙所起的作用是隔断，无论谁都过不去，但是堡垒机就不一样了，他的职能是检查和判断是否可以通过，只要符合条件就可以通过，堡垒机更加灵活一些。

2、作用不同

防火墙的作用是隔断两者之间的联系，无论任何资源都无法访问过去，而堡垒机的作用是检查、判断是否可以通过，只要符合条件就可以通过，相对于来说堡垒机更加灵活一些。

3、含义不同

防火墙是指网络防火墙，链接计算机与它所链接网络之间的软件。计算机所有的出入网络通信都要经过网络防火墙。堡垒机是针对内部运维人员的运维安全审计系统，堡垒机的作用是对运维人员的运维操作进行安全审计与权限控制，同时堡垒机还有很好的账号管理功能。

防火墙的工作原理

防火墙可以监控进出网络的通信量，从而完成看似不可能的任务，仅让安全、核准了的信息进入，同时又抵制对企业构成威胁的数据，

说白了，它就像一个守城队，这个城处于紧张状态，只能让外界的良民进城，对城里的坏人进行盘点，不放走一个坏人。

随着安全性问题上的失误和缺陷越来越普遍，对网络的入侵不仅来自高超的攻击手段，也有可能来自配置上的低级错误或不合适的口令选择。

还来说城，

入城盘点：入侵者想要进入一座城，它有多种方式，打扮成各种方式入城，例如，假口令、假令牌，伪装等。所以守城队是防上这种可疑的人员入城的，另外对于城内百姓，也是禁止百姓靠近城内的主要防御设施。

出城监视：同时为了更好保护城内百姓，守城队当然还需要打探城外的动向，了解到那些地方安全，那些地方有危险，然后规定普通百姓想要出城，有一些地方能去，有些地方有危险不能去。

因此，防火墙的作用是防止不希望的、未授权的通信进出被保护的网络，迫使单位强化自己的网络安全政策。一般的防火墙都可以达到以下目的：

一是、可以限制他人进入内部网络，过滤掉不安全服务和非法用户；

二是、防止入侵者接近你的防御设施；

三是、限定用户访问特殊站点。

四是、为监视Internet安全提供方便。

防火墙的架构与工作方式？

防火墙可以使用户的网络划规划更加清晰明了，全面防止跨越权限的数据访问，如果没有防火墙的话，你可能会接到许许多多类似的报告，比如单位内部的财政报告刚刚被数万个Email邮件炸烂。

一套完整的防火墙系统通常是由屏蔽路由器和代理服务器组成

1、屏蔽路由器：

是一个多端口的IP路由器，它通过对每一个到来的IP包依据组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息，例如协议号、收发报文的IP地址和端口号、连接标志以至另外一些IP选项，对IP包进行过滤。

这里面举个例子：

一堆人来到一个快要开盘楼盘售楼部买房，售楼小姐先需要对你们进行大概的登记和了解，你是否有正规工作，是否是本市户口，是否能正常贷款，首付多少、、、,当进行这一系列的问题后，售楼小姐会对来买房的人员进行一个过滤。

2、代理服务器

是防火墙中的一个服务器进程，它能够代替网络用户完成特定的TCP/TP功能。一个代理服务器本质上是一个应用层的网关，网关我们前天讲到过，它就是一个关口。

一个为特定网络应用而连接两个网络的网关。用户就一项TCP/TP应用，比如Telnet或者FTP，同代理服务器打交道，代理服务器要求用户提供其要访问的远程主机名。

当用户答复并提供了正确的用户身份及认证信息后，代理服务器连通远程主机，为两个通信点充当中继。整个过程可以对用户完全透明。用户提供的用户身份及认证信息可用于用户级的认证。

防火墙的功能

1.过滤进出网络的数据

2.管理进出访问网络的行为

3.封堵某些禁止业务

4.记录通过防火墙信息内容和活动

5.对网络攻击检测和告警

为什么使用防火墙

防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

局域网内部，不连接互联网外网的一般是不需要防火墙，监控单独一个网络的时候才需要，一般都接在局域网内，通过路由器处的防火墙，而大型网络连接外网的，是需要防火墙的。