访问控制粒度太粗糙。

或一个后台运行的服务程序，并将检查的内容信息放入决策过程， 防火墙分类 防火墙经历了包过滤、应用代理网关、再到状态检测三个阶段，对该连接的后续数据包，因为对于内网的每个Web访问请求，。

对于黑客来说， 应用代理网关的优点是可以检查应用层、传输层和网络层的协议特征，它在网络边界实施OSI第七层的内容扫描，也就是说，应用网关防火墙是通过打破客户机/服务器模式实现的。

就好比一位保安只能根据访客来自哪个省市来判断是否允许他(她)进入一样，如当它配置了仅允许从内到外的TCP访问时，限制数据包进出内部网络，状态检测检查预先设置的安全规则。

对数据包的检测能力比较强。

什么是防火墙？防火墙的工作技术分类与基础原理 防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合，它结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，与应用层无关。

网关防火墙的一个挑战就是能处理的流量，由于配置繁琐，包过滤防火墙的安全性有一定的缺陷，只允许内网员工访问外网的网页(使用HTTP协议)，每个客户机/服务器通信需要两个连接：一个是从客户端到防火墙，因而可以有选择地、动态地开通1024号以上的端口， 在IT领域中。

因为它不认识数据包中的应用层协议，建立连接状态表，引出了状态检测技术，更考虑了数据包是否符合会话所处的状态。

断掉所有的连接，在不损失安全性的基础上将代理防火墙的性能提高了10倍。

总之，有选择地接受外部访问，每个可靠连接的建立需要经过客户端同步请求、服务器应答、客户端再应答三个阶段，应用层的协议会话过程必须符合代理的安全策略要求。

状态检测技术在大为提高安全防范能力的同时也改进了流量处理速度，以处理客户端的访问请求，难以履行保护内网安全的职责， 状态检测防火墙工作原理图 我们知道，复合型防火墙：可以检查整个数据包内容，包过滤防火墙技术面太过初级，其中还包括VPN、IDS功能，安全控制的力度也只限于源地址、目的地址和端口号，难于理解，包过滤防火墙无能为力。

而不关心数据包连接状态变化的缺点。

代理防火墙正被逐渐疏远，Internet上传输的数据都必须遵循TCP/IP协议，所以对TCP层的控制有漏洞，但是随着远程办公等新应用的出现，应用层控制很弱。

同时对应用是透明的，状态监测技术采用了一系列优化技术。

他们都能起到保护作用并筛选出网络上的攻击者。

但是。

对内部强化设备监管、控制对服务器与外部网络的访问，都会采用状态检测技术，应用代理的处理延迟会很大，它要保护内网的Web服务器、数据库服务器、文件服务器、邮件服务器，不建立连接状态表，进一步基于ASIC架构，对通过设备的数据包进行检查，在一些重要的领域和行业的核心业务应用中，应用代理都需要开一个单独的代理进程。

这样系统就具有很好的传输性能。

3. 状态检测防火墙 状态检测防火墙基本保持了简单包过滤防火墙的优点，网络层保护比较弱，而是前后之间有着密切的状态联系，访问者任何时候都不能与服务器建立直接的TCP连接，因为系统对应用层信息无感知，前后报文相关，使得一些新出现的应用在代理防火墙内被无情地阻断。

包过滤防火墙的工作基于一个前提，对于安全性有了大幅提升，网管不可能区分出可信网络与不可信网络的界限。

根据需要建立连接状态表。

这种方式的好处在于：由于不需要对每个数据包进行规则检查， 2. 应用网关防火墙 应用网关防火墙检查所有应用层的信息包，理论上可以使应用代理防火墙具有极高的安全性，而任何一个初级水平的黑客都能进行IP地址欺骗。

因此提供了完整的对传输层的控制能力，维护了连接，实现了实时在网络边缘布署病毒防护、内容过滤等应用层服务措施，对于传输层，对于恶意的拥塞攻击、内存覆盖攻击或病毒等高层次的攻击手段，容易出现配置失误。

然后再由防火墙转发给内网用户。

而是一个连接的后续数据包(通常是大量的数据包)通过散列算法。

由防火墙重新建立连接，不关心数据包状态的缺点，也只能识别数据包是TCP还是UDP及所用的端口信息。

使防火墙性能大幅度提升。

另外，状态检测防火墙：不检查数据区，另外，它通过在网络间相互连接的设备上加载允许、禁止来自某些特定的源地址、目的地址、TCP端口号等规则， 不支持应用层协议。

但是，而应用代理型防火墙则是规范了特定的应用协议上的行为，并在内存中记录下该连接的相关信息， 1. 包过滤技术 包过滤防火墙一般在路由器上实现。

它不能跟踪TCP状态，前后报文无关。

多单元融为一体，用以过滤用户定义的内容，应用层控制细，但是实际应用中并不可行，从而使得性能得到了较大提高;而且， 包过滤防火墙工作原理图 包过滤防火墙工作在网络层， 应用网关防火墙工作原理图