包过滤防火墙和代理服务器的优缺点 应用代理型防火墙

目录导航：

1. 包过滤防火墙和代理服务器的优缺点
2. 什么防火墙是基于应用层的防火墙
3. 代理防火墙的工作流程

过滤防火墙工作在网络协议IP层，它只对IP包的源地址、目标地址及相应端口进行处理，因此速度比较快，能够处理的并发连接比较多，缺点是对应用层的攻击无能为力。代理服务器防火墙将收到的IP包还原成高层协议的通讯数据，比如http连接信息，因此能够对基于高层协议的攻击进行拦截。缺点是处理速度比较慢，能够处理的并发数比较少。代理服务器是防火墙技术的发展方向，众多厂商都在提高处理速度的同时基于代理开发防火墙的更高级防护功能。

我们平时接触的防火墙是主要是对OSI三层及以下的防护，而应用层防火墙顾名思义可以对7层进行一个防护。传统的防火墙一般是静态的，针对特定的端口，特定的地址设定策略。而应用层防火墙，你可以把它理解为动态的，是基于应用层协议的检测和阻断，其原理应该是对网络中的流量进行抓包，将流量提取出来进行协议还原，模式匹配等等技术。功能接近于和IPS（入侵保护系统）。

应用层网关（Application level gateway），也叫做应用层防火墙或应用层代理防火墙，通常用于描述第三代防火墙。当一个用户在这个可信赖的网络希望连接到在不被信赖的网络的服务例如因特网，这个应用专注于在防火墙上的代理服务器。这个代理服务器有效地伪装成在因特网上的真实服务器。它评估请求和决定允许或拒绝基于一系列被个人网络服务管理规则的请求。

应用层防火墙

在现代的计算环境中，应用层防火墙日益显示出其可以减少攻击面的强大威力。

最初的网络安全不过是使用支持访问列表的路由器来担任。对简单的网络而言，仅使用访问控制列表和一些基本的过滤功能来管理一个网络对于未授权的用户而言已经足够。因为路由器位于每个网络的中心，而且这些设备还被用于转发与广域网的通信。

但路由器仅能工作在网络层，其过滤方式多少年来并没有根本性的变化。制造路由器的公司也为增强安全性在这一层上也是下足了工夫。更明确地讲，所有的安全措施只不过存在于路由器所在的网络层而已。

第三代防火墙称为应用层防火墙或代理服务器防火墙，这种防火墙在两种方向上都有“代理服务器”的能力，这样它就可以保护主体和客体，防止其直接联系。代理服务器可以在其中进行协调，这样它就可以过滤和管理访问，也可以管理主体和客体发出和接收的内容。这种方法可以通过以各种方式集成到现有目录而实现，如用户和用户组访问的LDAP。

应用层防火墙还能够仿效暴露在互联网上的服务器，因此正在访问的用户就可以拥有一种更加快速而安全的连接体验。事实上，在用户访问公开的服务器时，他所访问的其实是第七层防火墙所开放的端口，其请求得以解析，并通过防火墙的规则库进行处理。一旦此请求通过了规则库的检查并与不同的规则相匹配，就会被传递给服务器。这种连接在是超高速缓存中完成的，因此可以极大地改善性能和连接的安全性。

而在OSI模型中，第五层是会话层，第七层是应用层。应用层之上的层为第八层，它在典型情况下就是保存用户和策略的层次。

代理防火墙

代理防火墙的工作原理：代理防火墙具有传统的代理服务器和防火墙的双重功能。

代理防火墙的应用特点

代理防火墙可以针对应用层进行检测和扫描，可有效地防止应用层的恶意入侵和病毒。

代理防火墙具有较高的安全性。由于每一个内外网络之 间的连接都要通过代理服务器的介入和转换，而且在代理防火墙上会针对每一种网络应用(如HTTP)使用特定的应用程序来处理。

代理服务器通常拥有高速缓存，缓存中保存了用户最近访问过的站点内容。