下载文档原格式
防火墙及防病毒技术详解随着互联网的快速发展和普及，网络安全问题越来越受到人们的重视。
防火墙和防病毒技术是网络安全中不可缺少的两个重要方面。
本文将详细介绍防火墙和防病毒技术的原理、分类和使用方法。
防火墙技术详解防火墙的定义和作用防火墙是指位于网络边缘的一种安全设备，具有管控网络通讯、控制网络访问和保护内部网络安全的功能。
防火墙能够检测进出网络的数据包，并根据预设规则进行过滤、拦截和允许。
其主要作用包括：•管理内网对外部网络的访问权限，避免网络攻击；•隔离内网和外部网络，保护内网信息安全；•监控网络流量和安全事件，提高网络安全性。
防火墙的工作原理防火墙的基本工作原理是建立访问控制列表（ACL）和安全策略，规定了哪些网络流量允许通过，哪些网络流量需要被禁止或拦截。
防火墙通过深度包检验技术来检测数据包的合法性，并根据安全策略对数据包进行处理。
常用的检测技术包括以下几种：•包过滤（Packet Filtering）：根据IP地址、MAC地址、协议类型、端口号等标准进行过滤；•应用过滤（Application Filtering）：根据应用程序类型、URL等特征进行过滤；•状态检测（Stateful Inspection）：根据前后数据包的匹配关系来检测数据包的合法性；•应用代理（Application Proxy）：对特定协议进行深度分析，对非法数据进行过滤。
防火墙的分类根据防火墙的工作方式和部署位置，可以将防火墙分为以下几类：•包过滤式防火墙：根据网络协议、IP地址、MAC地址、端口等信息对数据包进行过滤；•应用代理式防火墙：在客户端和服务器端之间建立代理服务器，在代理服务器端对应用层报文进行检查；•状态检测式防火墙：对连接过程的数据进行监视，根据已有数据的状态来判断是否允许通过；•统一威胁管理（UTM）防火墙：是一种综合了多种安全功能的防火墙，包括IDS、IPS、入侵检测、反病毒、反垃圾邮件等。
防火墙的使用方法防火墙是一种被广泛应用于企业网络中的安全设备，其主要使用方法包括以下几种：•基于网络边界的防火墙：建立在网络边缘，对外网通信进行过滤和管理，常见于企业、机构和公共场所等；•基于主机的防火墙：安装在操作系统级别，通过设置IP过滤规则来保护个人计算机；•VPN防火墙：用于对远程用户、分支机构进行安全管控，保障数据传输的安全性。
网络防火墙技术解析在当今信息时代，网络安全问题日益突出，网络防火墙技术成为保护企业和个人网络安全的重要手段之一。
本文将对网络防火墙技术进行解析，从工作原理、分类、应用场景等方面深入探讨。
一、工作原理网络防火墙是一种位于网络边界的安全设备，通过监控和控制数据流量，识别并阻止恶意流量的传输。
其工作原理主要包括以下几个方面：1.数据包过滤：防火墙通过检查数据包头部信息，根据预设的安全策略对数据包进行过滤和判断。
根据规则设定，防火墙可以允许或拒绝特定IP地址、端口或协议的数据包传输。
2.端口过滤：防火墙可以根据网络服务的端口号进行过滤，禁止某些端口的数据包传输，从而有效控制网络入侵。
3.状态检测：防火墙可以根据数据包的状态信息进行检测，例如确认数据包是否是请求或响应，以此对数据流进行管理和控制。
二、分类根据不同的工作方式和应用场景，网络防火墙可以分为以下几类：1.包过滤式防火墙：该类型防火墙基于数据包过滤的原理进行工作，主要通过检查网络数据包的数据头来判断是否允许通过。
根据源IP地址、目的IP地址、端口号等信息进行数据包过滤。
2.状态检测式防火墙：该类型防火墙结合了包过滤和状态检测技术，可以对网络连接的状态进行检测和管理。
在数据传输过程中，防火墙会对数据包进行跟踪，并对特定的数据流状态进行管理和控制。
3.应用层网关（Proxy）防火墙：该类型防火墙不直接路由数据包，而是将客户端的请求拦截下来并代理请求，然后将响应返回给客户端。
它可以检查和过滤应用层协议的数据，提供更高级别的安全保护。
三、应用场景网络防火墙技术在各种网络环境中都有广泛的应用。
下面列举了几个常见的应用场景：1.企业内部网络保护：企业维护一个内部网络用于员工工作，而防火墙可帮助企业保护其内部网络免受来自外部网络的攻击。
通过设置安全策略，防火墙只允许授权的流量通过，从而有效保护企业内部网络的安全。
2.公共Wi-Fi安全：公共Wi-Fi网络普遍存在安全隐患，黑客可以通过篡改数据包、监听敏感信息等方式进行攻击。
详细解释2.ICF工作原理ICF被视为状态防火墙，状态防火墙可监视通过其路径的所有通讯，并且检查所处理的每个消息的源和目标地址。
为了防止来自连接公用端的未经请求的通信进入专用端，ICF保留了所有源自ICF计算机的通讯表。
在单独的计算机中，ICF将跟踪源自该计算机的通信。
与ICS一起使用时，ICF 将跟踪所有源自ICF/ICS计算机的通信和所有源自专用网络计算机的通信。
所有Internet传入通信都会针对于该表中的各项进行比较。
只有当表中有匹配项时（这说明通讯交换是从计算机或专用网络内部开始的），才允许将传入Internet通信传送给网络中的计算机。
源自外部源ICF计算机的通讯（如Internet）将被防火墙阻止，除非在“服务”选项卡上设置允许该通讯通过。
ICF不会向你发送活动通知，而是静态地阻止未经请求的通讯，防止像端口扫描这样的常见黑客袭击。
3.防火墙的种类防火墙从诞生开始，已经历了四个发展阶段：基于路由器的防火墙、用户化的防火墙工具套、建立在通用操作系统上的防火墙、具有安全操作系统的防火墙。
常见的防火墙属于具有安全操作系统的防火墙，例如NETEYE、NETSCREEN、TALENTIT等。
从结构上来分，防火墙有两种：即代理主机结构和路由器+过滤器结构，后一种结构如下所示：内部网络过滤器(Filter)路由器(Router)Internet从原理上来分，防火墙则可以分成4种类型：特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关。
安全性能高的防火墙系统都是组合运用多种类型防火墙，构筑多道防火墙“防御工事”。
[1]吞吐量网络中的数据是由一个个数据包组成，防火墙对每个数据包的处理要耗费资源。
吞吐量是指在没有帧丢失的情况下，设备能够接受的最大速率。
其测试方法是：在测试中以一定速率发送一定数量的帧，并计算待测设备传输的帧，如果发送的帧与接收的帧数量相等，那么就将发送速率提高并重新测试；如果接收帧少于发送帧则降低发送速率重新测试，直至得出最终结果。
防火墙的作用与工作原理防火墙是一种用于保护计算机网络安全的重要设备，它通过过滤网络流量来限制和监控网络连接。
防火墙的作用是保护网络免受潜在的威胁和攻击，防止非法入侵、数据泄露和恶意软件的传播。
本文将介绍防火墙的作用及其工作原理，帮助读者更好地理解防火墙的重要性。
一、防火墙的作用防火墙在计算机网络中扮演着重要的角色，它的作用可以总结为以下几个方面：1. 访问控制：防火墙可以根据特定的安全策略和规则，限制网络中不同主机或用户的访问权限。
通过配置防火墙规则，可以限制特定IP地址、端口或协议的访问，从而保护网络免受未经授权的访问。
2. 网络隔离：防火墙可以将网络分为不同的安全区域，实现内外网的隔离。
通过设置不同的安全策略，防火墙可以阻止外部网络对内部网络的直接访问，有效地减少网络攻击的风险。
3. 流量过滤：防火墙可以对网络流量进行过滤和监控，根据预设规则，允许或拒绝特定的数据包通过。
它可以基于源IP地址、目标IP地址、端口号、协议等信息对流量进行分析和筛选，确保网络中只有经过授权的数据包可以通过。
4. 攻击防护：防火墙可以检测和阻止各种常见的网络攻击，例如端口扫描、DDoS攻击、SQL注入等。
它使用特定的检测规则和算法，对网络流量进行实时监控和分析，及时发现并应对潜在的威胁。
5. 日志记录与审计：防火墙可以记录网络流量和安全事件的日志信息，帮助管理员了解网络的使用情况和发现安全漏洞。
通过对防火墙日志的分析和审计，可以及时发现异常行为和安全事件，保护网络的安全和稳定。
二、防火墙的工作原理防火墙通过一系列的过滤规则来实现网络流量的管理和控制。
下面介绍防火墙的主要工作原理：1. 包过滤防火墙：包过滤防火墙是最早也是最简单的防火墙技术。
它根据网络数据包的源IP地址、目标IP地址、端口号和协议等信息进行过滤和控制。
当数据包经过防火墙时，防火墙会检查数据包的信息，然后根据预设的过滤规则决定是否允许通过。
2. 代理防火墙：代理防火墙充当源主机和目标主机之间的中间人，它在内部网络和外部网络之间建立代理连接，接收来自源主机的请求，并将其转发给目标主机，然后再将目标主机的响应返回给源主机。
防火墙基本原理1. 什么是防火墙？防火墙（Firewall）是一种网络安全设备，用于监控和控制网络流量的进出。
它是构建在网络边界的一道安全防线，可以阻止未经授权的访问、保护内部网络资源不受攻击，并提供一些网络服务，如地址转换、流量过滤和用户身份验证等。
2. 防火墙的作用•防止未经授权的访问：防火墙可以根据预先设定的规则，限制网络访问的权限，阻止未经授权的用户进入网络系统。
•保护内部网络资源：防火墙可以过滤恶意流量、阻止网络攻击，从而保护内部网络系统免受攻击和侵害。
•提供地址转换服务：防火墙可以实现网络地址转换（NAT）功能，将私有网络内部的IP地址转换为公共网络可用的IP地址，隐藏内部网络结构。
•过滤流量：防火墙可以根据特定规则过滤网络流量，筛选出需要允许通过的流量，从而提高网络的性能和安全性。
•用户身份验证：防火墙可以通过用户身份验证的方式，限制只有经过认证的用户才能访问网络资源，提高网络的安全性。
3. 防火墙的工作原理防火墙通过以下几个步骤来工作：3.1 包过滤防火墙根据预先设定的规则，对每个进出的网络数据包进行检查和过滤。
这些规则可以基于源/目的IP地址、端口号、协议类型等内容来定义。
如果数据包满足规则，防火墙允许通过；如果不满足规则，防火墙会拒绝或丢弃该数据包。
3.2 状态检测防火墙会跟踪网络连接的状态，记录每个连接的相关信息，包括源IP地址、目的IP地址、端口号等。
基于这些信息，防火墙可以实现更为复杂的安全策略，如允许某个连接的数据包通过，但拒绝其他来源的相同类型的数据包。
3.3 网络地址转换防火墙可以实现网络地址转换（NAT）功能，将内部私有IP地址转换为公共IP地址，从而隐藏内部网络的真实结构。
这样可以有效保护内部网络的安全性，同时减少公网IP地址的需求。
3.4 虚拟专用网络防火墙支持创建虚拟专用网络（VPN），通过加密和隧道技术，在公共网络上建立安全的私有网络连接。
这样可以实现远程办公、跨地域网络互连等需求，并保障数据传输的安全性。
防火墙的基础知识科普防火墙主要由四个部分组成：服务访问规则、验证工具、包过滤和应用网关。
所有计算机的一切输入输出的网络通信和数据包都要经过防火墙。
下面就让小编带你去看看防火墙的基础知识科普，希望能帮助到大家!网络基础知识：TCP协议之探测防火墙为了安全，主机通常会安装防火墙。
防火墙设置的规则可以限制其他主机连接。
例如，在防火墙规则中可以设置IP地址，允许或阻止该IP地址主机对本机的连接;还可以设置监听端口，允许或阻止其他主机连接到本地监听的端口。
为了清楚地了解目标主机上是否安装防火墙，以及设置了哪些限制，netwo__工具提供了编号为76的模块来实现。
它通过发送大量的TCP[SYN]包，对目标主机进行防火墙探测，并指定端口通过得到的响应包进行判断。
如果目标主机的防火墙处于关闭状态，并且指定的端口没有被监听，将返回[RST，ACK]包。
如果目标主机上启用了防火墙，在规则中设置了端口，阻止其他主机连接该端口，那么在探测时将不会返回响应信息。
如果设置为允许其他主机连接该端口，将返回[SYN，ACK]包。
如果在规则中设置了IP地址，并允许该IP地址的主机进行连接，探测时返回[SYN，ACK]包;当阻止该IP地址的主机进行连接，探测时将不会返回数据包。
由于它可以发送大量的TCP[SYN]包，用户还可以利用该模块实施洪水攻击，耗尽目标主机资源。
在主机192.168.59.131上对目标主机192.168.59.133进行防火墙探测。
1)向目标主机端口2355发送TCP[SYN]包，探测是否有防火墙。
执行命令如下：root@da__ueba:~# netwo__ 76 -i 192.168.59.133 -p 2355执行命令后没有任何输出信息，但是会不断地向目标主机发送TCP[SYN]包。
2)为了验证发送探测包情况，可以通过Wireshark抓包进行查看，如图1所示。
其中，一部分数据包目标IP地址都为192.168.59.133，源IP地址为随机的IP地址，源端口为随机端口，目标端口为2355。
53张图详解防火墙的55个知识点大家好，我是小弗。
现在整理了防火墙相关知识点，共 55 个知识点，53 张配图，一次看懂防火墙！1、什么是防火墙？防火墙（Firewall ）是防止火灾发生时，火势烧到其它区域，使用由防火材料砌的墙。
后来这个词语引入到了网络中，把从外向内的网络入侵行为看做是火灾，防止这种入侵的策略叫做防火墙。
后来，防火墙不但用于防范外网，例如：对企业内网的 DoS 攻击或非法访问等，也开始防范从内部网络向互联网泄露信息、把内部网络作为攻击跳板等行为。
硬件防火墙可以实现CIA 的机密性（ Confidentiality ）、完整性（Integrity ）、可用性（Availability ）这三种类型的对应策略。
小企业会在局域网和互联网的边界部署防火墙。
2、防火墙有哪些类型？防火墙可分为软件防火墙和硬件防火墙。
软件防火墙又可分为个人防火墙和网关防火墙。
个人防火墙个人防火墙运行在PC 上，用于监控PC 和外网的通信信息。
在Windows 操作系统中集成了 Windows 防火墙。
杀毒软件产品厂家的个人防火墙一般包含在安全软件套件里。
网关防火墙在网络中的网关上配置防火墙的功能，能对网络中的流量进行策略控制，这就是网关防火墙。
网关防火墙分为两种，一种是在 Windows 、Linux 等操作系统上安装并运行防火墙软件的软件网关防火墙，另一种是使用专用设备的硬件网关防火墙。
个人防火墙主要监控 PC 的通信流量，网关防火墙是监控网络中所有终端的通信流量，在网关处进行策略控制。
硬件防火墙通过硬件设备实现的防火墙叫做硬件防火墙，外形跟路由器相似，接口类型通常有千兆网口、万兆光口。
3、防火墙有哪些技术类型？4、什么是代理服务器？代理服务器是应用网关防火墙的一种。
假设客户端和HTTP 服务器通信时，客户端发送请求报文时，代理服务器会替代客户端向HTTP 服务器发送请求；HTTP 服务器回复响应报文时，代理服务器会代替HTTP 服务器向客户端回复。
防火墙技术”基础知识及应用方面防火墙是一种网络安全设备或软件，用于监视和控制网络流量，以保护内部网络免受未经授权的访问和网络攻击。
它是网络安全的关键组成部分，用于防止恶意流量进入网络，并允许合法流量通过。
防火墙的主要功能包括：1.包过滤：防火墙会检查数据包的源地址、目标地址、端口等信息，根据预设的安全策略来决定是否允许通过。
2.身份验证：防火墙可以要求用户在访问网络之前进行身份验证，以确保只有授权用户才能访问。
3. NAT（Network Address Translation）：防火墙可以使用NAT技术将内部网络的私有IP地址转换为外部网络的公共IP地址，以隐藏内部网络的真实拓扑结构。
4. VPN（Virtual Private Network）：防火墙可以支持VPN连接，提供加密和隧道功能，使远程用户可以安全地访问内部网络。
5.代理服务：防火墙可以充当代理服务器，缓存常用的网络资源，并过滤恶意内容和恶意代码。
常见的防火墙技术包括有：1.包过滤防火墙：基于网络层或传输层信息对数据包进行筛选，根据源IP地址、目标IP地址、端口号等信息来判断是否允许通过。
2.应用层网关（Proxy）防火墙：代理服务器对所有进出网络的应用层数据进行解析和分析，可以对数据进行更为细粒度的控制和过滤。
3.状态检测防火墙：通过监测数据包的状态来判断是否允许通过，包括TCP三次握手的过程以及会话的建立和终止。
4.网络地址转换（NAT）防火墙：将内部网络的私有IP地址转换为公共IP地址，以隐藏内部网络的真实细节，并提供访问控制和端口映射等功能。
5.入侵检测防火墙（IDP）：结合入侵检测技术和防火墙功能，可以及时发现和阻止未知的网络攻击和恶意流量。
在防火墙应用方面，它可以实现以下目标：1.保护内部网络：防火墙可以阻止来自外部网络的未经授权访问和攻击，保护内部网络的机密数据和资源。
2.访问控制：通过配置安全策略和规则，防火墙可以根据用户、IP地址、端口等信息来限制特定网络资源的访问权限。
防火墙的理解和认识(中英文版)英文文档：Understanding FirewallsA firewall is a security device or software that monitors and filters incoming and outgoing network traffic based on predetermined security rules.It acts as a barrier between a trusted internal network and an untrusted external network, such as the internet.The primary purpose of a firewall is to prevent unauthorized access and protect the network from potential threats.Firewalls can be implemented using hardware, software, or a combination of both.They examine packets of data entering and leaving the network and decide whether to allow or block them based on the defined rules.These rules can be based on various factors, such as the source and destination IP addresses, port numbers, and protocol types.There are two main types of firewalls: packet-filtering firewalls and proxy firewalls.Packet-filtering firewalls examine individual packets of data and make decisions based on their header information.Proxy firewalls, on the other hand, act as intermediaries between the internal network and the external network.They receive requests from internal users, validate them, and then establish a connection with the external server on behalf of the user.This adds an extra layer of security as theexternal server only interacts with the proxy, not directly with the internal network.Firewalls can also be configured to provide additional security features such as Network Address Translation (NAT), which hides internal IP addresses from external networks, and Virtual Private Network (VPN) support, which allows secure remote access to the internal network.In conclusion, firewalls are a crucial component of network security.They help prevent unauthorized access, protect against malicious activities, and ensure the integrity and confidentiality of network data.Understanding how firewalls work and configuring them properly is essential for maintaining a secure network environment.中文文档：防火墙的理解和认识防火墙是一种安全设备或软件，它根据预定的安全规则监控和过滤进出网络的数据包。
防火墙技术介绍一、防火墙的概念1．防火墙的定义所谓“防火墙”，是指一种将内网和外网分开的方法，是在内部网和外部网之间实施安全防范的系统，它实际上是一种隔离技术，同时也是一种访问控制机制，能够限制用户进入一个被严格控制的点。
防火墙是在两个网络通信时执行的一种访问控制标准，它能允许网络管理员“同意”的用户或数据进入网络，同时将“不同意”的用户或数据拒之门外，阻止来自外部网络的未授权访问，防止黑客对内部网络中的电子信息和网络实体的攻击和破坏。
防火墙通常安装在被保护的内部网络与互联网的连接点上，从互联网或内部网上产生的内部活动都必须经过防火墙，如电子邮件、文件传输、远程登陆以及其他网络服务等活动，但是防火墙不能防止内部发生的入侵事件，也就是说，防火墙的防护功能是对外不对内的。
因此，要实现网络安全环境，除了安装防火墙外，还要有其他的辅助手段来配合防火墙的使用，如使用人侵检测技术防范网络入侵，用入侵防护技术来对付网络攻击等。
2．防火墙的组成防火墙作为访问控制策略的实施系统，它的组成主要分为以下四个部分：(1)网络策略。
通常，防火墙的设计有两个基本策略。
其一，拒绝访问除阴确许可外的任何一种服务，是指防火墙只允许通过在系统中已经认可合法的服务，而拒绝其他所有未做规定的服务；其二，允许访问除明确拒绝以外的任何一种服务，指防火墙将系统中确定为“不许可”的服务拒绝，而允许其他所有未做规定的服务。
前者造成能够实现的服务种类受到过度限制的不良后果，后者则会使得一些有危险可能的服务未被拒绝，对这两种策略的选择会直接影响到防火墙系统的设计、安装和使用的效果。
(2)身份认证工具。
由于传统口令系统的弱点，即使用户使用了难于猜想的口令并确保不泄密，黑客也可以借助于监视等手段来获取明文传送的口令。
因此，必须采用先进的认证措施克服传统口令的缺陷。
认证技术虽然各不相同，但都是为了实现保密性强的口令，且要保证这些口令不能被黑客通过监视等手段获取。
全面解读防火墙在建筑行业，“防火墙”是指一种专门设计用来阻止火在建筑的不同部分蔓延的墙，后来这个术语传播到了类似汽车制造业等其他行业，并在20世纪80年代末进入计算机领域。
在防火墙的一侧是热闹且混乱的互联网，在另一侧是你强大但易受攻击的Web服务器。
实际上防火墙更像是一扇有时不得不让某些东西正常通过的防火门，它们监视着所有进出互联网的电子交通，并根据一系列严格的规则来判断那些是可以通过，那些是不可以通过的。
这篇文章详细地解释了它们的工作原理，有效防火墙的不同类型，以及它们所擅长和不太擅长的工作，并且详细说明了如何通过配置防火墙来保护一般的Web服务器。
协议和端口一台电脑就像是一个大的住宅区.每个在Internet上的电脑都拥有一个数字地址——即我们平时所说的IP地址.在每个地址我们有两个非常大的公寓楼,每个公寓楼包含65,535个独立的公寓。
这些公寓中大部分是空的，但其中少数部分特别是号码较低的住着经常沟通的居民，所有的沟通都通过邮件。
一台电脑就像两栋公寓楼. 你可以通过10点标示这些公寓建筑.这两栋公寓大楼就称为TCP和UDP. TCP大楼中的住户仅接受认证的邮件，他们保证可以回复你，一旦你开始与TCP大楼中的某人开始交换信件，你可以一直看到他们到结束. UDP大楼有点寒酸，这栋大楼的居民只能回答，如果他们被打扰，通常会这样做，但这个也不能保证。
大楼内每一户居民都有各自不同的工作。
例如，住在TCP街区房号为80的居民负责处理网站查询。
你可以向他们发出一个像“发给我的网站主页”这样的请求，他们就会及时回复你并发给你相应的数据。
住在UDP街区房号为53的居民负责DNS服务。
他们负责把域名翻译为IP地址。
在这个街区有时信件会丢失，但这也没关系。
UDP街区负责处理的信息并不是那么关键。
丢了之后需要信息的人总会再重新请求一次。
在该邮局系统中，所有地址都分三部分：计算机的IP地址，街区，和公寓的房间号。
例如：80.72.139.101，TCP，80。
实际上，街区指的是协议（protocol），而公寓的房间号指的是端口（port）号。
TCP是Transmission Control Protocol（传输控制协议）的缩写，而UDP 是User Datagram Protocol（用户数据报协议）的缩写。
TCP和UDP两者最大的不同在于，TCP要在两台计算机间建立和维护一个对话（也就是连接），而UDP不需要。
因而TCP比较可靠但速度上会慢一点。
发送者的地址在前面的例子中，居住在80.72.139.101, TCP, 80处的提供web服务的那户居民一般都是在家读书，就等着大家的来信。
他们从不主动发起对话或连接，总是处于接收端。
但是，信件的发送者也要有个地址。
无论你是通过Web浏览器还是通过智能手机浏览网页时，你都会有个由系统分配给你的、住在某房间的助手帮你完成浏览过程。
这个助手的房间往往是在大楼中靠上面的高层。
Web浏览器同Web服务器间进行对话的典型情况大致如下：来自99.99.99.99，TCP，63454：“亲爱的80.72.139.101，TCP，80，据我所知，你负责处理对网站的查询请求。
可否请你将/books/page发送给我？ 敬启，一个Web浏览器。
”来自80.72.139.101，TCP，80：“当然没问题。
这就给你：<!DOCTYPEhtml> <html>…”来自99.99.99.99，TCP，63454：“谢谢。
就此搁笔。
再见！“号码低于1024的房间要比号码更大的房间稳定。
这些房间有CCTV（译者注：这个CCTV所指应是闭路电视或远程监控摄像头而非那个著名的CCTV），专为提供类似网站或FTP服务等特定任务而预留。
而高层的房间特别不稳定，人们总在搬家，一会搬进来一会搬出去；这些房间负责处理类似于请求Web页面和发起FTP连接等等这样的任务。
危险但是，并非所有人都是规规矩矩的。
下面就是住在咖啡馆上面的爱耍花招的骗子同住在一个易受攻击的服务器上的、爱轻信比尔的SSH居民间对话的例子。
SSH是一种连接到远程计算机并在其上执行命令的方法。
SSH居民一直住在TCP街区，房间号通常是22号。
来自88.88.88.88，TCP，58123：“亲爱的SSH服务器，我想同你建立一个连接，并以root的身份登录。
”来自80.72.139.101, TCP, 22：“当然没有问题，你的口令是？”来自88.88.88.88：“smith”来自80.72.139.101：“那不对。
再试一试吧。
”来自88.88.88.88：“jones”来自80.72.139.101：“还不对。
再试一试吧。
”来自88.88.88.88：“bloggs”来自80.72.139.101：“太棒了，Root先生你好！很久不见了，你今天想做什么？”来自88.88.88.88：“我想我要看一下/etc/passwd这个文件，里面有所有用户名？”来自80.72.139.101：“你要的信息在这里...别的还要什么？”来自88.88.88.88：“再给我看看所有内容中包含'信用卡'的文件”来自80.72.139.101：“不好意思，这需要花点时间。
好了，给你。
”来自88.88.88.88：“谢谢！就此搁笔，再见！”上面所说的SSH对话第一部分：以root身份登录，口令输错两次，查看了一个文件。
保护级别上面描述的服务器是易受攻击的，任何人可以通过TCP协议使用22端口向80.72.139.101服务器发送信件，如果他们能够正确猜到密码，那么他们就拥有了服务器和所有服务器文件的完全访问权限。
这一节我们讨论四种基本的保护级别，你可以用来让你的服务器避免上面的情况发生，并且可以只允许你所信任的人与你的服务器进行通信。
尽管SSH只是运行在服务器上的众多服务中的一个，但通过它来起步是非常合适的，因为它能提供对服务器的大部分控制。
如果一个黑客入侵了你的FTP或者SMTP服务器，他们会进行一些破坏，但是通过SSH的话，遭到的破坏会更大。
好的密码SSH确实有它自己的内置保护机制，因为它需要用户名和密码。
保卫一个服务器最基本的也是首要的是选择一个复杂的并且很难被猜中的密码。
无论住在22号公寓的居民什么时候收到一封邮件，他首先会询问正确的密码。
尽管他是一个值得信任的人，但如果你回答错误，那么他不会给你提供任何帮助。
你可以随便尝试多少次，不过每隔三次或许你要重新发送你最初的请求信件，但是他一般不会介意。
拒绝连接上面谈到的SSH会话在一定程度上是不正确的，如果你真的通过SSH请求80.72.139.101（Smashing Magazine的Web服务器），你会得到如下答复：SSH连接被拒绝这意味着住在80.72.139.101，TCP，22号公寓的居民正在接受邮件，但是立刻被发送回来了。
在他的门上贴了一张纸，这张纸上列出了所有的允许通信的人员名单。
当他收到邮件时，他会对应列表来检查发件人的地址，如果你不在名单之中，他就会拒绝任何的通信。
但是他会很有礼貌地发个提示说：“不好意思，您的连接被拒绝了！”。
这种类型的保护是由类似UNIX服务器上的TCP包装器这样的软件来提供的。
这种阻止是在应用程序级别使用/etc/hosts.denyand/etc/hosts.allow文件来实现的。
使用这种类型的阻止保护，特别狡猾的发送者仍然可以让住在22号公寓的居民相信他，并打开信件来阅读。
同样，依赖个体居民来记录并执行名单列表。
尽管在22号公寓的这个家伙非常尽职尽责，但是其它公寓的居民并非如此。
软件防火墙软件防火墙就像门房中的看门人，对于所有发送进来的邮件，他会在将邮件分发给居民前，对这些所有这些邮件进行过滤。
看门人办公桌上放着一张地址列表，他将邮件发送者的地址和列表中的地址逐一比对。
如果列表中没有你的地址，那么看门人就会直接将你发送过来的信件扔进垃圾箱，而且不会给出任何跟踪信息或礼貌的道歉，一声不吭地扔了。
看门人同样也对要发送出去的邮件进行过滤，过滤的方法是查看他手里的列表中允许哪些居民向外部世界发送邮件。
从技术角度看上去，就象这样：SSH连接超时 —— 原因可能是因为目的地址那里没人在家或者整个途中有防火墙这种类型的屏蔽操作发生在操作系统层面。
软件防火墙确保不合格的邮件连目的地址都无法到达。
请参见TCP封装器和软件防火墙之间的区别了解更详尽的解释。
硬件防火墙硬件防火墙类似于邮局中受过专业培训的安全专家。
她也有同看门人类似的一个列表，详尽地列出了允许谁向谁发送邮件。
她可能仅在你的IP地址处为你提供保护，也肯能同时为许多IP地址甚至整个社区提供保护。
她对进进出出的所有邮件中每一个字都要进逐一排查。
只要发现有她不喜欢的内容就会果断抛弃邮件。
此时你就会如上图所见，仅仅看到一个“连接超时”的消息。
这种是防火墙安全级别最高的情况。
信件甚至还没有到达大门口，被误送给22号居民的机会根本毫无可能会发生。
当然，你可以在各个不同层次都实施这种保护措施，还可以采用多个硬件防火墙。
在本地邮局设立一个硬件防火墙，在本市比较大的分拣办公室也安装一个，也可以安装一个防火墙对进入整个县、州或国家的所有邮件进行过滤。
请注意，实际上，硬件防火墙只是一台专门作为防火墙的计算机而已，它同Web服务器之间进行了物理隔离。
防火墙本身依然是运行在计算机上的一个软件。
无状态和有状态的防火墙看门人和安全专员对进出邮件进行过滤。
如果他们是新上岗的，那他们就会有点象无状态的防火墙，也即，包过滤器（Packet Filter）。
无状态防火墙平等处理所有邮件。
当你向80号房间发送邮件时，80号房间会给你回一封邮件。
回信需要通过列表的检查，发送给你的邮件只有在80号房间允许向外发出邮件的情况下，才能通过检查。
经过一段时间以后，他们的工资得以上调，从而成为了有状态的防火墙。
经过培训，他们会对即将发出去的邮件进行区别对待，识别出哪些是回信哪些是全新的邮件。
因此，他们的规则列表比以前要精炼得多。
对于已经建立通信通道的回信，他们会按照要求给予放行；而那些新发起的发送出去的邮件就会被抛弃。
因此，当你发邮件给80号房间时，给你的回信会自动允许通过检查。
但如果是在冬日某个寂寞的夜晚，80号房间突然自行决定开始向外发起发邮件的活动，那么这些邮件将是无法通过检查的。
下一小结将介绍过滤检查中所需的规则列表的形式是怎样的。
防火墙规则无论是软件防火墙还是硬件防火墙，都会有类似的可视化管理工具。
市面上的防火墙林林总总，每个防火墙都有自己做事情的方式，但一般他们都会有一些共通的概念，而他们之间的区别主要体现在复杂程度方面。
有的防火墙能让你对其进行完全彻底的控制，但要达到这个效果就需要你有大量的知识并花费相当的时间和精力；还有一些防火墙使用起来很简单，但在灵活度方面就要逊色不少。
