防火墙的作用及安全策略

防火墙是在受保护的（“内部”）网与不太可信的（“外部”）网之间对所有通信量进行过滤的设备。防火墙通常运行在专用设备上，一方面，因为它是信息流必须通过的地点，性能是最重要的，这意味着不属于防火墙的功能就不应该在这台机器上运行，另一方面，因为防火墙本身是可执行代码，如果在同一台机器上安装了其他工具，就会使得攻击者可能会损害这些代码的安全，并从运行防火墙的机器上执行代码。因此，专用设备上的代码越少，攻击者攻击防火墙的工具就越少。防火墙代码通常运行在私有或经过精心裁减的操作系统上。

防火墙的用途是让“坏”东西隔离于受保护的环境之外。为达到此目的，防火墙实现一种安全策略，被专门设计用来指出可能发生什么糟糕的事情。例如，安全策略可拒绝任何外部访问（但允许信息从内部传往外部），也可以只允许从某些指定位置、指定用户进行访问或者访问指定活动。用防火墙保护网络的部分困难在于采取何种安全策略能够满足安装需要。(www.xing528.com)

涉及防火墙的人员（用户、开发者和安全专家）对防火墙应该怎样工作有一些意见分歧，尤其是对防火墙的默认行为。对此有两种学术思想，一种认为未明确禁止的就是允许的（默认允许），另一种认为未明确允许的就是禁止的（默认拒绝）。用户通常对新的特征感兴趣而愿意采用前者，安全专家凭借经验而推荐后者。尽管管理员可以通过设置防火墙参数放宽策略，但为实现或配置防火墙还是必须选择其一。