防火墙是一种安全系统，旨在根据预先设定的安全规则监控和控制传入及传出的网络流量。它在已信任的内部网络与不受信任的外部网络（例如互联网）之间充当屏障，从而防范未经授权的访问及其他网络威胁（新窗口）。
无论是保护家庭网络、家庭办公室（新窗口）设置，还是拥有数千个端点的企业网络，其基本原理都是相同的：
防火墙决定什么可以进入、什么可以传出，以及什么会被阻止。
在本指南中，我们将介绍：
- 防火墙是如何工作的？
- 防火墙的作用是什么？
- 防火墙与杀毒软件：有什么区别？
- 为什么网络防火墙很重要？
- 防火墙简史
- 防火墙的类型
- VPN 与防火墙如何相互作用？
- 如何为您的企业选择并部署防火墙
- 防火墙做不到的事
- 常见问题
防火墙是如何工作的？
试想您的家就是一个局域网（LAN），即家中所有连接到调制解调器/路由器的设备，而路由器再连接到互联网。防火墙就像您家门口的保安。它允许已信任的访客（安全数据）进入，阻止陌生人（危险数据），并留意屋内每个人的动静，确保其行为得当。
这位保安有一份访客名单（一组规则），规定谁可以进入屋内。例如，朋友和家人都在名单上，而陌生人和可疑人员则不在。
当有人走近门口时，保安会要求查看其证件（检查数据包——一种通过网络传输的数据单位）。保安会查看重要详细信息，例如姓名（IP 地址（新窗口））和来访事由（协议/端口号）。如果此人（数据包）符合访客名单，保安就会放行；如果此人不在名单上或看起来可疑，保安就会将其拒之门外。
进入屋内后，保安会留意您的访客，确保他们不进入禁区（网络中的敏感部分）。如果有人试图未经许可访问这些房间，就会被护送出去。
防火墙通常双向工作。也就是说，它们会同时过滤传入和传出的流量，不仅防止互联网上的用户连接到受限制的本地资源，也防止本地用户连接到互联网上的指定资源。有些防火墙仅监控传出流量。
传出防火墙可能会阻止本地设备连接到与恶意软件关联的 IP 地址，也可能被用于审查内容。学校可能会使用防火墙阻止学生访问社交媒体内容，限制性政府也可能利用防火墙阻止其认为在社会、宗教、文化或政治上不宜的内容（例如中国防火长城（新窗口））。
同样的“保安”逻辑也适用于企业环境，只是规模往往要大得多。试想的不再是一栋房子，而是一栋办公大楼、一个数据中心，以及众多从家里连接的远程员工。企业防火墙（更常见的是由多个防火墙协同工作）必须在所有这些环境中一致地执行同一份访客名单。
防火墙的作用是什么？
防火墙执行三项关键功能：
1. 流量过滤
防火墙分析数据包，根据特定标准（如 IP 地址、端口号、协议和内容）确定应允许还是阻止这些数据包。
2. 执行规则集
管理员为防火墙配置规则集，以定义允许或拒绝哪些流量。这些规则基于安全策略制定，策略中规定了允许和不允许的活动。
3. 监控和日志记录
防火墙可以持续监控网络流量并记录重要事件，为网络管理员提供有关网络活动和潜在安全风险的宝贵洞察。
防火墙与杀毒软件：有什么区别？
对于已拥有杀毒软件的小型组织来说，是否值得将安全预算也用于防火墙是一个常见的难题。在大多数情况下，答案是肯定的，因为这两种工具保护的对象不同。
保护范围
- 防火墙保护的是网络，从一开始就决定允许哪些流量进入或离开。
- 杀毒软件保护的是单个设备，扫描设备上已有的文件和进程，查找已知的恶意软件特征或可疑行为。
拦截的内容
- 防火墙可以在连接尝试到达设备之前将其阻止。
- 杀毒软件处理的是已经到达设备的威胁，例如通过已获许可的连接下载的恶意文件。
作用时机
- 防火墙在网络边界实时作用于流量。
- 杀毒工具通常在事后发挥作用，扫描文件或正在运行的进程以查找已被入侵的迹象。
因此，虽然这两种工具都有助于防范恶意威胁，但它们覆盖攻击的不同阶段。防火墙从一开始就减少到达您设备的威胁数量，而杀毒软件则捕获漏网之鱼。
为什么网络防火墙很重要？
使用防火墙有以下几项优势：
防火墙可以部署为内部网络与互联网之间的边界（这称为边界防火墙），也可以部署在网络内部，以保护该网络中的特定网段和/或资源（这称为内部防火墙）。
云防火墙也称为防火墙即服务（新窗口）（FWaaS），托管在云端，为基于云的基础设施提供防火墙保护。此类防火墙由云服务提供商管理。
对企业而言，防火墙往往是一项基线要求，而非可选的附加项。许多合规框架和网络保险策略都要求先部署某种形式的网络防火墙，才会认为一个组织得到了充分保护。
防火墙简史
防火墙这一概念最早出现于 20 世纪 80 年代末，此后大致经历了四代的发展：
包过滤（无状态）防火墙：最早的形式。
状态检测防火墙：增加了跟踪活动连接状态的能力，而不是孤立地判断每个数据包。
代理（应用层）防火墙：增加了对流量的完整内容检查，而不仅仅是标题。
下一代防火墙（NGFW）：将上述功能与深度包检测（DPI）（新窗口）、入侵防御和应用识别等能力相结合，构成了当今企业环境中大多数以“防火墙”名义出售的产品。
防火墙的类型
防火墙有多种类型，每种类型都是为了满足不同的安全需求并提供不同程度的保护而设计的。
什么是包过滤防火墙？
包过滤防火墙检查数据（IP）包的标题，其中包括源 IP 地址和目标 IP 地址、端口号和协议信息，然后根据这些标题应用规则，以允许或阻止这些数据包。
虽然理论上存在独立的包过滤防火墙，但实际上所有防火墙都会过滤数据包——这是防火墙最基本的功能。
什么是状态检测防火墙？
这类防火墙也称为动态包过滤，会跟踪活动连接的状态，并根据流量的状态和上下文做出决策。它们检查数据包标题，并维护一个记录活动连接信息的状态表。
无状态防火墙仅根据预定义规则和数据包标题中包含的信息（如 IP 地址和端口号）过滤数据包；与此不同，状态检测防火墙会跟踪活动会话的状态，并利用这些信息就是否允许或阻止流量做出更明智的决策。
状态表中包含源 IP 地址、目标 IP 地址、端口号以及连接当前状态等信息。通过了解连接的上下文，状态检测防火墙可以做出更复杂的决策。例如，它们可以识别某个数据包是属于现有的合法连接，还是一个可能属于攻击一部分的未经请求的数据包。
现实中几乎所有防火墙都是状态检测防火墙。它们可能会提供其他功能（您将在下文了解到），但这些功能几乎无一例外都是对状态检测防火墙的改进。
什么是代理防火墙？
代理防火墙充当您与互联网之间的中介。它们代表您发出请求，检查整个数据包（标题和载荷），如果认为安全，就将数据发送到目的地。
代理防火墙最适合需要对应用数据进行深度检查的环境，例如处理敏感信息的企业网络。
原则上，代理防火墙可以提升性能并减少带宽使用。然而，由于它们可能复杂且占用大量资源，往往会成为拖慢网络性能的瓶颈，从而抵消上述优势。
什么是下一代防火墙（NGFW）？
NGFW 将传统防火墙功能与深度包检测、入侵防御系统（IPS）和加密流量检查等附加功能相结合。它们能够识别和控制应用、检测并防范高级威胁，以及执行安全策略。
下一代防火墙在识别和阻止高级威胁方面非常有效，并通过整合多种安全功能提供全面的安全保护。不过，它们价格更高且管理起来更复杂，因此最适合需要高级安全能力来防范复杂网络威胁的组织。
什么是统一威胁管理（UTM）防火墙？
UTM 防火墙整合了多种安全服务——例如各类防火墙、杀毒软件和入侵检测——以提供全面的网络安全方法。
尽管 UTM 防火墙缺乏 NGFW 防火墙等专用安全解决方案的高级功能和灵活性，但它们通常被视为中小型企业的高性价比解决方案，因为它们通过整合多种安全功能简化了安全管理。
什么是网络地址转换（NAT）防火墙？
NAT 防火墙会在传输过程中修改 IP 数据包标题中的网络地址信息，使本地网络中的多台设备可以共享同一个公共 IP 地址。它们常用于家用路由器和办公室 LAN 网关服务器，本地设备通过这些设备连接到互联网。
NAT 防火墙通过隐藏内部 IP 地址增加了一层安全保障，但通常需要与其他类型的防火墙配合使用，以提供更全面的安全保护。
什么是 Web 应用防火墙（WAF）？
Web 应用防火墙（WAF）是一种专用防火墙，旨在通过过滤和监控 Web 应用与互联网之间的 HTTP/HTTPS 流量来保护 Web 应用。WAF 通过检查和过滤传入的流量，帮助保护 Web 应用免受 SQL 注入、跨站脚本（XSS）和其他常见 Web 攻击手法的侵害。
什么是人力防火墙？
“人力防火墙”是一种比喻，指组织内员工共同努力，充当抵御网络安全威胁的一道防线。这一概念强调人的意识和行为在提升组织安全方面的作用，与防火墙、杀毒软件和入侵检测系统等技术防御手段相辅相成。
VPN 与防火墙如何相互作用？
VPN（新窗口） 会在您的设备与 VPN 服务器之间创建一条已加密的隧道。
这可以防止 VPN 服务器（新窗口）与您的设备之间的任何防火墙与您的数据交互，因此 VPN 隧道内的数据会直接绕过防火墙。这包括家用调制解调器/路由器和办公室企业服务器上的防火墙。
为了解决这个问题，大多数 VPN 提供商（包括 Proton VPN）在其服务器上部署防火墙以保护客户。例如，Proton VPN 服务器使用状态检测防火墙来拒绝所有非由您发起的传入流量连接。
如果您需要接收未经主动发起的传入连接（例如，您正在进行种子下载（新窗口）），我们提供端口转发（新窗口）功能，可在防火墙上打开一个缺口。这会带来一些安全风险（新窗口），但只有在您选择启用的情况下，端口转发才会生效。
VPN 应用还会使用防火墙规则（以及类似的平台特定操作）来防止 DNS 和 IPv6 泄露（新窗口）。
VPN 与用于审查内容的防火墙
由于已加密的 VPN 连接会阻止防火墙检查和过滤 VPN 流量，因此 Proton VPN 等服务在绕过防火墙（新窗口）（旨在阻止网络内容）方面非常有效。
如何为您的企业选择并部署防火墙
对于家庭或小型办公室来说，一个防火墙（通常内置于路由器或操作系统中）通常足以满足安全需求。然而，企业往往需要同时考虑多个不同环境中的防火墙。正确的设置取决于需要保护的对象：
总部/园区：部署边界防火墙保护主办公网络，通常还配合内部防火墙，将敏感区域（如财务、人力资源、工程）与网络的其余部分分隔开。
分支机构：较小的远程办公地点通常需要自己的防火墙，而不是完全依赖总部。如果它们直接连接到互联网而非通过中央枢纽连接，则尤其如此。
数据中心：数据中心的防火墙通常需要处理大量流量，并且往往与网络分段一同部署，以便将任何数据泄露限制在基础设施的一小部分内。
云和多云环境：传统硬件防火墙不太适合云基础设施，而这正是防火墙即服务（FWaaS）防火墙的用武之地。这类防火墙随云提供商扩展，无需物理设备。
远程和混合办公员工：从家庭网络或公共 WiFi 连接的员工完全处于传统办公防火墙边界之外。这通常通过结合使用端点防火墙、VPN（无论是公司拥有自己 VPN 服务器的传统设置，还是使用专用服务器的现代第三方解决方案），以及基于零信任安全的网络访问方法（适用于大型组织）来解决。
在为您的企业评估防火墙选项时，值得考虑的几个实际问题包括：
是否需要检查已加密的流量？越来越多的恶意流量是加密的，因此如果防火墙无法通过使用自己的已信任证书对 HTTPS 流量进行解密、检查和重新加密来执行 TLS/SSL 检查，那么它对一大类威胁实际上是视而不见的。
如何进行管理？跨办公室、云帐户和远程端点管理多个独立的防火墙仪表板难以扩展。随着组织的发展，集中式管理变得更加重要。
性能代价如何？更深入的检查（如 DPI）需要更多的处理能力。值得了解防火墙在开启全部安全功能时的性能表现。
是否经过独立测试？供应商关于性能和安全性的声明应对照独立测试进行核查，而不能仅凭表面之言。这一原则同样适用于评估任何安全或隐私产品。
防火墙做不到的事
防火墙是网络安全的关键组成部分，但它们从来都不是用来单独工作的。要了解防火墙能做什么，一种方法是弄清楚它不能做什么：
消除已经进入您网络的威胁
如果恶意软件通过被允许的渠道进入，例如电子邮件附件、遭到入侵的更新或用户自己的设备，边界防火墙对此无能为力。这时就需要杀毒软件、端点检测和内部网络分段发挥作用。
应对人为失误
防火墙无法解决人为判断失误的问题。被社会工程学攻击或网络钓鱼诱骗而交出密码的用户，并不是流量过滤能够解决的问题。
过滤未配置进行检查的已加密流量
例如，通过 VPN 发送的流量刻意使防火墙无法进行检查。这正是 VPN 既有助于保护隐私又能绕过审查防火墙的原因（见上文）。
在规则配置错误时保持有效
防火墙的效果取决于给它的规则。过于宽松的规则集（或未随网络变化而更新的规则集）可能会在您的防御中留下关键缺口，尽管防火墙在技术上已“部署到位”。
这并不意味着防火墙不重要。这只是意味着您需要将防火墙视为众多防护层中的一层（如防火墙、杀毒软件、VPN 和员工培训）来部署，而不是唯一的防线。
总结：防火墙与 VPN 相辅相成
防火墙是网络安全的重要组成部分。几乎所有防火墙都是状态检测防火墙，其各种变体提供不同的功能和优势，以满足特定的安全需求和环境。
VPN 服务广泛使用防火墙来保护自身系统和客户设备的安全，同时又是绕过旨在审查在线内容的防火墙的有效手段。
对企业而言，最好将防火墙视为更广泛的安全体系中的一层，与 VPN、杀毒软件和员工安全意识培训等工具配合使用，而不是取代其中任何一种。
常见问题
在计算机网络中，防火墙是一种由硬件、软件或两者组成的安全系统，位于已信任的网络与不受信任的网络（通常是互联网）之间。它根据一组既定规则控制允许哪些流量在两者之间通过。
防火墙过滤传入和传出的网络流量，阻止任何不符合其安全规则的内容，同时放行合法流量。它还可以监控并记录网络活动，帮助识别潜在威胁。
防火墙的目的是防止对网络的未经授权访问（或来自网络的未经授权访问），保护敏感系统和数据免受外部威胁，同时让管理员能够控制和了解允许哪些流量在网络中传输。
