防火墙有哪几种类型，常见的防火墙类型

一、所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。

二、主要类型

1、网络层防火墙

网络层防火墙可视为一种 IP 封包过滤器，运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。

我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。操作系统及网络设备大多已内置防火墙功能。

较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP地址、来源端口号、目的 IP 地址或端口号、服务类型（如 HTTP 或是 FTP）。也能经由通信协议、TTL 值、来源的网域名称或网段等属性来进行过滤。

2、应用层防火墙

应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作，您使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包（通常是直接将封包丢弃）。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。

防火墙借由监测所有的封包并找出不符规则的内容，可以防范电脑蠕虫或是木马程序的快速蔓延。不过就实现而言，这个方法既烦且杂（软件有千千百百种啊），所以大部分的防火墙都不会考虑以这种方法设计。

XML 防火墙是一种新型态的应用层防火墙。

[2] 根据侧重不同，可分为：包过滤型防火墙、应用层网关型防火墙、服务器型防火墙。

3、数据库防火墙

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。

数据库防火墙通过SQL协议分析，根据预定义的禁止和许可策略让合法的SQL操作通过，阻断非法违规操作，形成数据库的外围防御圈，实现SQL危险操作的主动预防、实时审计。

数据库防火墙面对来自于外部的入侵行为，提供SQL注入禁止和数据库虚拟补丁包功能。

03的AD复制和同步等使用到了动态的端口，开启防火墙后会造成无法同步等现象，08里改进了这一功能，可以定义AD复制同步使用我们自定义的大于1024的端口，这样我们就很方便的开启防火墙然后允许我们自定义的端口即可！

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信均要经过此防火墙。 部署防火墙： 规则实施

　　规则实施看似简单，其实需要经过详尽的信息统计才可以得以实施。在过程中我们需要了解公司对内对外的应用以及所对应的源地址、目的地址、TCP或UDP的端口，并根据不同应用的执行频繁程度对策率在规则表中的位置进行排序，然后才能实施配置。原因是防火墙进行规则查找时是顺序执行的，如果将常用的规则放在首位就可以提高防火墙的工作效率。另外，应该及时地从病毒监控部门得到病毒警告，并对防火墙的策略进行更新也是制定策略所必要的手段。

　　规则启用计划

　　通常有些策略需要在特殊时刻被启用和关闭，比如凌晨3：00。而对于网管员此时可能正在睡觉，为了保证策略的正常运作，可以通过规则启用计划来为该规则制定启用时间。另外，在一些企业中为了避开上网高峰和攻击高峰，往往将一些应用放到晚上或凌晨来实施，比如远程数据库的同步、远程信息采集等等，遇到这些需求网管员可以通过制定详细的规则和启用计划来自动维护系统的安全。

　　日志监控

　　日志监控是十分有效的安全管理手段，往往许多管理员认为只要可以做日志的信息，都去采集，比如说对所有的告警或所有与策略匹配或不匹配的流量等等，这样的做法看似日志信息十分完善，但可以想一下每天进出防火墙的数据报文有上百万甚至更多，你如何在这些密密麻麻的条目中分析你所需要的信息呢？虽然有一些软件可以通过分析日志来获得图形或统计数据，但这些软件往往需要去二次开发或制定，而且价格不菲。所以只有采集到最关键的日志才是真正有用的日志。

　　一般而言，系统的告警信息是有必要记录的，但对于流量信息是应该有选择的。有时候为了检查某个问题我们可以新建一条与该问题匹配的策略并对其进行观测。比如：内网发现蠕虫病毒，该病毒可能会针对主机系统某UDP端口进行攻击，网管员虽然已经将该病毒清除，但为了监控有没有其他的主机受感染，我们可以为该端口增加一条策略并进行日志来检测网内的流量。

　　另外，企业防火墙可以针对超出经验阀值的报文做出响应，如丢弃、告警、日志等动作，但是所有的告警或日志是需要认真分析的，系统的告警支持根据经验值来确定的，比如对于工作站和服务器来说所产生的会话数是完全不同的，所以有时会发现系统告知一台邮件服务器在某端口发出攻击,而很有可能是这台服务器在不断的重发一些没有响应的邮件造成的。

　　设备管理

　　对于企业防火墙而言，设备管理方面通常可以通过远程Web管理界面的访问以及Internet外网口被Ping来实现，但这种方式是不太安全的，因为有可能防火墙的内置Web服务器会成为攻击的对象。所以建议远程网管应该通过IPsec ***的方式来实现对内端口网管地址的管理．原则参考： http://wenkubaiducom/view/fb08f948cf84b9d528ea7a16html

一、怎样在Linux系统中安装Iptables防火墙

几乎所有Linux发行版都预装了Iptables。您可以使用以下命令更新或检索软件包：

sudo apt-get install iptables

二、关闭哪些防火墙端口

防火墙安装的第一步是确定哪些端口在服务器中保持打开状态。这将根据您使用的服务器类型而有所不同。例如，如果您运行的是Web服务器，则可能需要打开以下端口：

网络：80和443

SSH：通常在端口22上运行

电子邮件：110(POP3)，143(IMAP)，993(IMAP SSL)，995(POP3 SSL)。

1、还原默认防火墙规则

为确保设置无误，我们需从一套新的规则开始，运行以下命令来清除防火墙中的规则：

iptables -F

2、屏蔽服务器攻击路由

我们可以运行下列标准命令来隔绝常见的攻击。

屏蔽syn-flood数据包：

iptables -A INPUT -p tcp ! –syn -m state –state NEW -j DROP

屏蔽XMAS数据包：

iptables -A INPUT -p tcp –tcp-flags ALL ALL -j DROP

阻止无效数据包：

iptables -A INPUT -p tcp –tcp-flags ALL NONE -j DROP

3、打开所需端口

根据以上命令可屏蔽常见的攻击方式，我们需要打开所需端口。下列例子，供您参考：

允许SSH访问：

iptables -A INPUT -p tcp -m tcp -dport 22 -j ACCEPT

打开LOCALHOST访问权限：

iptables -A INPUT -i lo -j ACCEPT

允许网络流量：

iptables -A INPUT -p tcp -m tcp -dport 80 -j ACCEPT

iptables -A INPUT -p tcp -m tcp -dport 443 -j ACCEPT

允许SMTP流量：

iptables -A INPUT -p tcp -m tcp -dport 25 -j ACCEPT

iptables -A INPUT -p tcp -m tcp -dport 465 -j ACCEPT

三、测试防火墙配置

运行下列命令保存配置并重新启动防火墙：

iptables -L -n

iptables-save / sudo tee / etc / sysconfig / iptables

service iptables restart

以上就是简单的iptables防火墙安装与配置过程。

配置linux下的防火墙的方法，可以通过以下步骤操作来实现：

一、在Linux系统中安装Iptables防火墙

1、Linux发行版都预装了Iptables。您可以使用以下命令更新或检索软件包：

二、关闭哪些防火墙端口

防火墙安装的第一步是确定哪些端口在服务器中保持打开状态。这将根据您使用的服务器类型而有所不同。例如，如果运行的是Web服务器，则可能需要打开以下端口：

网络：80和443

SSH：通常在端口22上运行

电子邮件：110(POP3)，143(IMAP)，993(IMAP SSL)，995(POP3 SSL)。

1、还原默认防火墙规则

为确保设置无误，需从一套新的规则开始，运行以下命令来清除防火墙中的规则：

2、屏蔽服务器攻击路由

可以运行下列标准命令来隔绝常见的攻击。

屏蔽syn-flood数据包：

屏蔽XMAS数据包：

阻止无效数据包：

3、打开所需端口

根据以上命令可屏蔽常见的攻击方式，需要打开所需端口。下列例子，供参考：

允许SSH访问：

打开LOCALHOST访问权限：

允许网络流量：

允许SMTP流量：

三、测试防火墙配置

运行下列命令保存配置并重新启动防火墙：

需要一步步排查。以下是一些可能有用的步骤：

确认端口是否开启：可以通过在服务器上运行命令netstat -anp | grep 端口号来确认端口是否在监听状态。如果端口没有在监听状态，则需要检查应用程序是否正确配置了端口号。

确认防火墙是否阻止流量：如果端口在监听状态，但是外部无法访问，可能是因为防火墙阻止了流量。可以在服务器上运行iptables -L命令来检查防火墙规则，看是否有针对该端口的规则。

检查路由器端口转发：如果服务器是在路由器后面，则需要在路由器上设置端口转发规则，将外部流量转发到服务器上。可以通过在路由器上查看端口转发规则来确认是否设置正确。

检查网络配置：如果上述步骤都没有问题，可以考虑检查网络配置。可以在服务器上运行ping命令来检查网络是否正常。如果网络有问题，需要排查网络设备和网络连接。

检查公网 IP 是否生效：如果已经获取了公网 IP，可以通过在服务器上运行curl ifconfigme来确认公网 IP 是否生效。如果公网 IP 无法生效，可能需要联系电信运营商解决问题。

希望以上步骤能够帮助你找到问题所在，并解决你的问题。