Internet的日益普及，互联网上的浏览访问，不仅使数据传输量增加，网
络被攻击的可能性增大，而且由于Internet的开放性，网络安全防护的方
式发生了根本变化，使得安全问题更为复杂。传统的网络强调统一而集中
的安全管理和控制，可采取加密、认证、访问控制、审计以及日志等多种
技术手段，且它们的实施可由通信双方共同完成；而由于Internet是一个
开放的全球网络，其网络结构错综复杂，因此安全防护方式截然不同。
Internet的安全技术涉及传统的网络安全技术和分布式网络安全技术，且
主要是用来解决如何利用Internet进行安全通信，同时保护内部网络免受
外部攻击。在此情形下，防火墙技术应运而生。 防火墙技术可根据防范
的方式和侧重点的不同而分为很多种类型，但总体来讲可分为包过滤、应
用级网关和代理服务器等几大类型。 1. 数据包过滤型防火墙 数据包过
滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据
是系统内设置的过滤逻辑，被称为访问控制表(Access Control
Table)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口
号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数
据包过滤防火墙逻辑简单，价格便宜，易于安装和使用，网络性能和透明
性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可
少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费
用。 数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即
可对主机上的软件和配置漏洞进行攻击；二是数据包的源地址、目的地址
以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。 分组过滤
或包过滤，是一种通用、廉价、有效的安全手段。之所以通用，因为它不
针对各个具体的网络服务采取特殊的处理方式；之所以廉价，因为大多数
路由器都提供分组过滤功能；之所以有效，因为它能很大程度地满足企业
的安全要求。 所根据的信息来源于IP、TCP或UDP包头。 包过滤的优点
是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，
与应用层无关。但其弱点也是明显的：据以过滤判别的只有网络层和传输
层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过
滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影
响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC一类的协议；
另外，大多数过滤器中缺少审计和报警机制，且管理方式和用户界面较
差；对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其
在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网
关配合使用，共同组成防火墙系统。 2. 应用级网关型防火墙 应用级网
关(Application Level Gateways)是在网络应用层上建立协议过滤和转
发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在
过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。实际中
的应用网关通常安装在专用工作站系统上。 数据包过滤和应用网关防火
墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包
通过。一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙
外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利
于实施非法访问和攻击。 3. 代理服务型防火墙 代理服务(Proxy
Service)也称链路级网关或TCP通道(Circuit Level Gateways or
TCP Tunnels)，也有人将它归于应用级网关一类。它是针对数据包过滤
和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防
火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的 "" 链
接 ""，由两个终止代理服务器上的 "" 链接 ""来实现，外部计算机的
网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的
作用。 此外，代理服务也对过往的数据包进行分析、注册登记，形成报
告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕
迹。 应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔绝应
用层通信流的作 用。同时也常结合入过滤器的功能。它工作在OSI模型的
最高层，掌握着应用系统中可用作安全决策的全部信息。 4. 复合型防火
墙 由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的
方法结合起来，形成复合型防火墙产品。这种结合通常是以下两种方
案。 屏蔽主机防火墙体系结构：在该结构中，分组过滤路由器或防火墙
与Internet相连，同时一个堡垒机安装在内部网络，通过在分组过滤路由
器或防火墙上过滤规则的设置，使堡垒机成为Internet上其它节点所能到
达的唯一节点，这确保了内部网络不受未授权外部用户的攻击。 屏蔽子
网防火墙体系结构：堡垒机放在一个子网内，形成非军事化区，两个分组
过滤路由器放在这一子网的两端，使这一子网与Internet及内部网络分
离。在屏蔽子网防火墙体系结构中，堡垒主机和分组过滤路由器共同构成
了整个防火墙的安全基础。