簡述防火牆

在遭受入侵時，做內外網隔離的策略叫做防火牆。

使靜態acl，並且是逐包檢測的技術

雙向acl+動態nat

入向的源ip和目的埠必須寫成any

漏洞：

established acl

乙個acl能夠拒絕外部向內部主動建立tcp連線，而不影響內部與外部的主動建立連線：檢查flag欄位，檢視tcp的rst（用於強制釋放連線）和ack的置位，可以做策略只有這兩種置位的包可以進入內網，當外部想與內部主動建立tcp連線必須傳送syn包，該策略可以防止syn進入。

漏洞：

自反acl

當內部有包向外部傳送，自反acl將這個包的源目倒置的放行寫在另乙個acl掛在回來的口，如果外部主動向內部發包，acl中沒有記錄會被拒絕；

**內外網的資料將資料報應用層資料檢查一遍

由於要拆包檢測資料所以效能很弱

理念公升級，把網路中的資料以流的形式對待。流在狀態防火牆，會形成會話表。

會話表建立前提：檢測路由或者mac看是否能出去（有無出介面）；nat；策略檢查；

過程：

流的第乙個包進入防火牆，防火牆先去匹配規則，如果規則允許會到第二步，如果規則不允許，丟棄。（路由規則、nat的規則、策略）；

會為流建立會話表，後續所有流的包直接匹配會話表進行**。2.會為流建立會話表，後續所有流的包直接匹配會話表進行**。

超時機制：

只檢查三、四層，無法防禦病毒漏洞等攻擊；

多功能疊加防火牆，深度包檢測技術，多次拆包，多次檢測應用層效能低

衡量標準：背靠背主要是指防火牆緩衝容量的大小。網路上常會出現一些突發的大流量（例如：nfs，備份，路由更新等），而且這樣的資料報的丟失可能會產生更多的資料報丟失。強大的緩衝能力可以減小對這種突發網路情況造成的影響。