1. 防火牆是什麼有什麼作用
1.什麼是防火牆
防火牆是指設置在不同網路（如可信任的企業內部網和不可信的公共網）或網路安全域之間的一系列部件的組合。 它可通過監測、限制、更改跨越防火牆的數據流，盡可能地對外部屏蔽網路內部的信息、結構和運行狀況， 以此來實現網路的安全保護。
在邏輯上，防火牆是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和Internet之間的任何活動， 保證了內部網路的安全。
2.使用Firewall的益處
保護脆弱的服務
通過過濾不安全的服務，Firewall可以極大地提高網路安全和減少子網中主機的風險。例如， Firewall可以禁止NIS、NFS服務通過，Firewall同時可以拒絕源路由和ICMP重定向封包。
控制對系統的訪問
Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如， Firewall允許外部訪問特定的Mail Server和Web Server。
集中的安全管理
Firewall對企業內部網實現集中的安全管理，在Firewall定義的安全規則可以運行於整個內部網路系統， 而無須在內部網每台機器上分別設立安全策略。Firewall可以定義不同的認證方法， 而不需要在每台機器上分別安裝特定的認證軟體。外部用戶也只需要經過一次認證即可訪問內部網。
增強的保密性
使用Firewall可以阻止攻擊者獲取攻擊網路系統的有用信息，如Figer和DNS。
記錄和統計網路利用數據以及非法使用數據
Firewall可以記錄和統計通過Firewall的網路通訊，提供關於網路使用的統計數據，並且，Firewall可以提供統計數據， 來判斷可能的攻擊和探測。
策略執行
Firewall提供了制定和執行網路安全策略的手段。未設置Firewall時，網路安全取決於每台主機的用戶。
3.防火牆的種類
防火牆總體上分為包過濾、應用級網關和代理伺服器等幾大類型。
數 據 包 過 濾
數據包過濾(Packet Filtering)技術是在網路層對數據包進行選擇，選擇的依據是系統內設置的過濾邏輯， 被稱為訪問控製表(Access Control Table)。通過檢查數據流中每個數據包的源地址、目的地址、所用的埠號、 協議狀態等因素，或它們的組合來確定是否允許該數據包通過。 數據包過濾防火牆邏輯簡單，價格便宜，易於安裝和使用， 網路性能和透明性好，它通常安裝在路由器上。路由器是內部網路與Internet連接必不可少的設備， 因此在原有網路上增加這樣的防火牆幾乎不需要任何額外的費用。
數據包過濾防火牆的缺點有二：一是非法訪問一旦突破防火牆，即可對主機上的軟體和配置漏洞進行攻擊； 二是數據包的源地址、目的地址以及IP的埠號都在數據包的頭部，很有可能被竊聽或假冒。
應 用 級 網 關
應用級網關(Application Level Gateways)是在網路應用層上建立協議過濾和轉發功能。 它針對特定的網路應用服務協議使用指定的數據過濾邏輯，並在過濾的同時，對數據包進行必要的分析、 登記和統計，形成報告。實際中的應用網關通常安裝在專用工作站系統上。
數據包過濾和應用網關防火牆有一個共同的特點，就是它們僅僅依靠特定的邏輯判定是否允許數據包通過。 一旦滿足邏輯，則防火牆內外的計算機系統建立直接聯系， 防火牆外部的用戶便有可能直接了解防火牆內部的網路結構和運行狀態，這有利於實施非法訪問和攻擊。
代 理 服 務
代理服務(Proxy Service)也稱鏈路級網關或TCP通道(Circuit Level Gateways or TCP Tunnels)， 也有人將它歸於應用級網關一類。它是針對數據包過濾和應用網關技術存在的缺點而引入的防火牆技術， 其特點是將所有跨越防火牆的網路通信鏈路分為兩段。防火牆內外計算機系統間應用層的" 鏈接"， 由兩個終止代理伺服器上的" 鏈接"來實現，外部計算機的網路鏈路只能到達代理伺服器， 從而起到了隔離防火牆內外計算機系統的作用。此外，代理服務也對過往的數據包進行分析、注冊登記， 形成報告，同時當發現被攻擊跡象時會向網路管理員發出警報，並保留攻擊痕跡。
4.設置防火牆的要素
網路策略
影響Firewall系統設計、安裝和使用的網路策略可分為兩級，高級的網路策略定義允許和禁止的服務以及如何使用服務， 低級的網路策略描述Firewall如何限制和過濾在高級策略中定義的服務。
服務訪問策略
服務訪問策略集中在Internet訪問服務以及外部網路訪問（如撥入策略、SLIP/PPP連接等）。 服務訪問策略必須是可行的和合理的。可行的策略必須在阻止已知的網路風險和提供用戶服務之間獲得平衡。 典型的服務訪問策略是：允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務； 允許內部用戶訪問指定的Internet主機和服務。
防火牆設計策略
防火牆設計策略基於特定的Firewall，定義完成服務訪問策略的規則。通常有兩種基本的設計策略： 允許任何服務除非被明確禁止；禁止任何服務除非被明確允許。第一種的特點是安全但不好用， 第二種是好用但不安全，通常採用第二種類型的設計策略。 而多數防火牆都在兩種之間採取折衷。
增強的認證
許多在Internet上發生的入侵事件源於脆弱的傳統用戶/口令機制。多年來，用戶被告知使用難於猜測和破譯口令， 雖然如此，攻擊者仍然在Internet上監視傳輸的口令明文，使傳統的口令機制形同虛設。增強的認證機制包含智能卡， 認證令牌，生理特徵（指紋）以及基於軟體（RSA）等技術，來克服傳統口令的弱點。雖然存在多種認證技術， 它們均使用增強的認證機制產生難被攻擊者重用的口令和密鑰。 目前許多流行的增強機制使用一次有效的口令和密鑰（如SmartCard和認證令牌）。
5.防火牆在大型網路系統中的部署
根據網路系統的安全需要，可以在如下位置部署防火牆：
區域網內的VLAN之間控制信息流向時。
Intranet與Internet之間連接時(企業單位與外網連接時的應用網關)。
在廣域網系統中，由於安全的需要，總部的區域網可以將各分支機構的區域網看成不安全的系統， （通過公網ChinaPac，ChinaDDN，Frame Relay等連接）在總部的區域網和各分支機構連接時採用防火牆隔離， 並利用VPN構成虛擬專網。
總部的區域網和分支機構的區域網是通過Internet連接，需要各自安裝防火牆，並利用NetScreen的VPN組成虛擬專網。
在遠程用戶撥號訪問時，加入虛擬專網。
ISP可利用NetScreen的負載平衡功能在公共訪問伺服器和客戶端間加入防火牆進行負載分擔、 存取控制、用戶認證、流量控制、日誌紀錄等功能。
兩網對接時，可利用NetScreen硬體防火牆作為網關設備實現地址轉換(NAT)，地址映射（MAP）， 網路隔離（DMZ）, 存取安全控制，消除傳統軟體防火牆的瓶頸問題。
6.防火牆在網路系統中的作用
防火牆能有效地防止外來的入侵，它在網路系統中的作用是：
控制進出網路的信息流向和信息包；
提供使用和流量的日誌和審計；
隱藏內部IP地址及網路結構的細節；
提供VPN功能；
參考資料：http://www.chinaitlab.com/www/news/article_show.asp?id=12144
回答者：愛上了蓮 - 舉人 四級 12-1 18:06
--------------------------------------------------------------------------------
評價已經被關閉 目前有 1 個人評價
好
100% （1） 不好
0% （0）
其他回答 共 5 條
用來阻擋信息的，像木馬什麼的，也能被阻隔
回答者：homejin - 試用期 一級 12-1 18:01
--------------------------------------------------------------------------------
防火牆定義
防火牆就是一個位於計算機和它所連接的網路之間的軟體。該計算機流入流出的所有網路通信均要經過此防火牆。
防火牆的功能
防火牆對流經它的網路通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。防火牆還可以關閉不使用的埠。而且它還能禁止特定埠的流出通信，封鎖特洛伊木馬。最後，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。
為什麼使用防火牆
防火牆具有很好的保護作用。入侵者必須首先穿越防火牆的安全防線，才能接觸目標計算機。你可以將防火牆配置成許多不同保護級別。高級別的保護可能會禁止一些服務，如視頻流等，但至少這是你自己的保護選擇。
防火牆的類型
防火牆有不同類型。一個防火牆可以是硬體自身的一部分，你可以將網際網路連接和計算機都插入其中。防火牆也可以在一個獨立的機器上運行，該機器作為它背後網路中所有計算機的代理和防火牆。最後，直接連在網際網路的機器可以使用個人防火牆。
2. 什麼是防火牆
過去很長一段時期里，房屋都是磚木結構甚至是茅屋。如果一家失火，四鄰也會跟著遭殃，所以，為安全起見，古人就在自己居住地周圍修築高高的圍牆，以阻擋外來的火勢，保護自身的安全，這種牆就叫防火牆。
如今，網路系統不僅把系統內部的計算機緊密聯系在一起，還進行網間連接。特別是網際網路，它把世界各地的計算機系統都緊密地連接在一起。因此，如果不嚴加防衛，一旦網路受到敵方或「黑客」們的攻擊，就會出現不堪設想的後果。
在互聯網上，人們採用類似防火牆的方法，保護網路資源不受侵害。具有這種功能的設備就稱為「防火牆」。防火牆是一種中間隔離系統，插在內部網與互聯網之間，作為兩者之間的阻塞關卡，起到加強安全與審計的功能。
建立防火牆的目的是保護自己的網路不受外來攻擊，為此需要確定哪些類型的信息允許通過防火牆，而哪些不允許通過，這就是「防火牆安全策略問題」。
目前主要有兩種截然不同的安全策略：一種是拒絕一切未被特許的東西進入內部網；另一種是允許一切未被拒絕的東西進入。從網路安全性的角度來看，前者嚴格，它的意思就是：除了被確認是可信任的信息外，其他都不允許進來，但這樣可能影響互聯性；而後者寬松，它的意思就是：除了被確認是不可信任的信息來源以外都可以進內部網路，這有利於信息交互，但可能存在安全隱患。
採用哪種安全策略的防火牆，取決於網路自身條件和環境。要在對自己網路進行安全分析、風險評估和商業需求分析基礎上確定安全策略，採用相應的防火牆。
但是，防火牆和實際生活中採取的各種消防措施一樣，只能最大限度地減少災害，而不能消滅災害。近來，網際網路上的「黑客」攻擊程序大量出現，這些「黑客」攻擊程序以正常文件為載體，以病毒方式傳播，突破了防火牆系統針對「黑客」攻擊程序採取的防衛措施，巧妙地潛入並隱蔽在系統內部，開設後門，與外部「黑客」進行「里應外合」。之所以產生這種情況，是因為網路防火牆技術有一定的局限性。
當前的防火牆技術的局限性主要表現為：
1．由於防火牆對信息流進行過濾的基本依據是網路主機的源地址和目的地址，而這種主機地址比較容易偽造，且如果同一地址中有多個用戶，防火牆也無法進行區分。
2．由於防火牆只對地址進行判別，沒有雙向身份鑒別，因而給偽造伺服器提供機會。
3．防火牆對訪問的控制是粗略的，不能管理信息流的傳輸進程。
4．防火牆的物理結構是防外不防內的，它不能防止來自內部的攻擊，對進了網的用戶的操作和訪問缺乏審計能力。
因此，要更好地保證網路安全，除不斷改進防火牆技術外，還要使用各種加密技術、身份鑒別技術，注重認證和授權，並加強管理，才能使網路系統有一個良好的安全的環境，確保本系統的信息財富不遭盜竊和破壞。
知識點
邏輯炸彈
邏輯炸彈是一種程序，或任何部分的程序，這是冬眠，直到一個具體作品的程序邏輯被激活而打亂所有的程序，造成程序的癱瘓並出現物理損壞。因為它的影響像突爆的炸彈，因此有了此名。「邏輯炸彈」引發時的症狀與某些病毒的作用結果相似，並會對社會引發連帶性的災難。與病毒相比，它強調破壞作用本身，而實施破壞的程序不具有傳染性。在這樣一個邏輯炸彈是非常類似的一個真實世界的地雷。最常見的激活一個邏輯炸彈是一個日期。該邏輯炸彈檢查系統日期，並沒有什麼，直到預先編程的日期和時間是達成共識。在這一點上，邏輯炸彈被激活並執行它的代碼。
3. 什麼是防火牆
防火牆的概念
當然，既然打算由淺入深的來了解，就要先看看防火牆的概念了。防火牆是汽車中一個部件的名稱。在汽車中，利用防火牆把乘客和引擎隔開，以便汽車引擎一旦著火，防火牆不但能保護乘客安全，而同時還能讓司機繼續控制引擎。再電腦術語中，當然就不是這個意思了，我們可以類比來理解，在網路中，所謂「防火牆」，是指一種將內部網和公眾訪問網(如Internet)分開的方法，它實際上是一種隔離技術。防火牆是在兩個網路通訊時執行的一種訪問控制尺度，它能允許你「同意」的人和數據進入你的網路，同時將你「不同意」的人和數據拒之門外，最大限度地阻止網路中的黑客來訪問你的網路。換句話說，如果不通過防火牆，公司內部的人就無法訪問Internet，Internet上的人也無法和公司內部的人進行通信。
防火牆的功能
1.防火牆是網路安全的屏障：
一個防火牆（作為阻塞點、控制點）能極大地提高一個內部網路的安全性，並通過過濾不安全的服務而降低風險。由於只有經過精心選擇的應用協議才能通過防火牆，所以網路環境變得更安全。如防火牆可以禁止諸如眾所周知的不安全的NFS協議進出受保護網路，這樣外部的攻擊者就不可能利用這些脆弱的協議來攻擊內部網路。防火牆同時可以保護網路免受基於路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火牆應該可以拒絕所有以上類型攻擊的報文並通知防火牆管理員。
2.防火牆可以強化網路安全策略：
通過以防火牆為中心的安全方案配置，能將所有安全軟體（如口令、加密、身份認證、審計等）配置在防火牆上。與將網路安全問題分散到各個主機上相比，防火牆的集中安全管理更經濟。例如在網路訪問時，一次一密口令系統和其它的身份認證系統完全可以不必分散在各個主機上，而集中在防火牆一身上。
3.對網路存取和訪問進行監控審計：
如果所有的訪問都經過防火牆，那麼，防火牆就能記錄下這些訪問並作出日誌記錄，同時也能提供網路使用情況的統計數據。當發生可疑動作時，防火牆能進行適當的報警，並提供網路是否受到監測和攻擊的詳細信息。另外，收集一個網路的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火牆是否能夠抵擋攻擊者的探測和攻擊，並且清楚防火牆的控制是否充足。而網路使用統計對網路需求分析和威脅分析等而言也是非常重要的。
4.防止內部信息的外泄：
通過利用防火牆對內部網路的劃分，可實現內部網重點網段的隔離，從而限制了局部重點或敏感網路安全問題對全局網路造成的影響。再者，隱私是內部網路非常關心的問題，一個內部網路中不引人注意的細節可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內部網路的某些安全漏洞。使用防火牆就可以隱蔽那些透漏內部細節如Finger，DNS等服務。Finger顯示了主機的所有用戶的注冊名、真名，最後登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統使用的頻繁程度，這個系統是否有用戶正在連線上網，這個系統是否在被攻擊時引起注意等等。防火牆可以同樣阻塞有關內部網路中的DNS信息，這樣一台主機的域名和IP地址就不會被外界所了解。
除了安全作用，防火牆還支持具有Internet服務特性的企業內部網路技術體系VPN（虛擬專用網）。
防火牆的分類
根據網路體系結構來進行分類，可以有以下幾種類型的防火牆：
1.網路級防火牆
一般是基於源地址和目的地址、應用或協議以及每個IP包的埠來作出通過與否的判斷。一個路由器便是一個「傳統」的網路級防火牆，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。
先進的網路級防火牆可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火牆檢查每一條規則直至發現包中的信息與某規則相符。如果沒有一條規則能符合，防火牆就會使用默認規則，一般情況下，默認規則就是要求防火牆丟棄該包。其次，通過定義基於TCP或UDP數據包的埠號，防火牆能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。
下面是某一網路級防火牆的訪問控制規則：
(1)允許網路210.34.0.0使用FTP(21口)訪問主機192.168.1.1；
(2)允許IP地址為210.34.0.207的用戶Telnet(23口)到主機192.168.1.2上；
(3)允許任何地址的E-mail(25口)進入主機192.168.1.5；
(4)允許任何WWW數據（80口）通過；
(5)不允許其他數據包進入。
網路級防火牆簡潔、速度快、費用低，並且對用戶透明，但是對網路的保護很有限，因為它只檢查地址和埠，對網路更高協議層的信息無理解能力。很難准確地設置包過濾器，缺乏用戶級的授權；包過濾判別的條件位於數據包的頭部，由於IPV4的不安全性，很可能被假冒或竊取；是基於網路層的安全技術，不能檢測通過高層協議而實施的攻擊。
Linux上的ipchains就是這種類型的軟體。
2.應用級網關
應用級網關就是我們常常說的「代理伺服器」，它能夠檢查進出的數據包，通過網關復制傳遞數據，防止在受信任伺服器和客戶機與不受信任的主機間直接建立聯系。應用級網關能夠理解應用層上的協議，能夠做復雜一些的訪問控制，並做精細的注冊和稽核。但每一種協議需要相應的代理軟體，使用時工作量大，效率不如網路級防火牆。
常用的應用級防火牆已有了相應的代理伺服器， 例如： HTTP、 NNTP、 FTP、Telnet、rlogin、X-windows等，但是，對於新開發的應用，尚沒有相應的代理服務，它們將通過網路級防火牆和一般的代理服務。
應用級網關有較好的訪問控制，是目前最安全的防火牆技術，但實現困難，而且有的應用級網關缺乏"透明度"。在實際使用中，用戶在受信任的網路上通過防火牆訪問Internet時， 經常會發現存在延遲並且必須進行多次登錄（Login） 才能訪問Internet或Intranet。它和包過濾型防火牆有一個共同特點，就是它們僅依靠特定的邏輯來判斷是否允許數據包通過，一旦符合條件，則防火牆內外的計算機系統建立直接聯系，防火牆外部網路能直接了解內部網路結構和運行狀態，這大大增加了實施非法訪問攻擊的機會。
SQUID就是這樣的軟體。
3.電路級網關
電路級網關用來監控受信任的客戶或伺服器與不受信任的主機間的TCP握手信息,這樣來決定該會話(Session) 是否合法,電路級網關是在OSI模型中會話層上來過濾數據包,這樣比包過濾防火牆要高二層。
實際上電路級網關並非作為一個獨立的產品存在，它與其他的應用級網關結合在一起。另外，電路級網關還提供一個重要的安全功能：代理伺服器（ProxyServer），代理伺服器是個防火牆，在其上運行一個叫做"地址轉移"的進程，來將所有你公司內部的IP地址映射到一個"安全"的IP地址，這個地址是由防火牆使用的。但是，作為電路級網關也存在著一些缺陷，因為該網關是在會話層工作的，它就無法檢查應用層級的數據包。它起著一定的代理服務作用，監視兩主機建立連接時的握手信息，判斷該會話請求是否合法。一旦會話連接有效後，該網關僅復制、傳遞數據。它在IP層代理各種高層會話，具有隱藏內部網路信息的能力，且透明性高。但由於其對會話建立後所傳輸的具體內容不再作進一步地分析，因此安全性低。
Socks屬於這種類型的防火牆。
4.規則檢查防火牆
該防火牆結合了包過濾防火牆、電路級網關和應用級網關的特點。它同包過濾防火牆一樣， 規則檢查防火牆能夠在OSI網路層上通過IP地址和埠號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。當然它也象應用級網關一樣， 可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網路的安全規則。
規則檢查防火牆雖然集成前三者的特點，但是不同於一個應用級網關的是，它並不打破客戶機/服務機模式來分析應用層的數據， 它允許受信任的客戶機和不受信任的主機建立直接連接。規則檢查防火牆不依靠與應用層有關的代理，而是依靠某種演算法來識別進出的應用層數據，這些演算法通過已知合法數據包的模式來比較進出數據包，這樣從理論上就能比應用級代理在過濾數據包上更有效。它將動態記錄、維護各個連接的協議狀態，並在網路層對通信的各個層次進行分析、檢測，以決定是否允許通過防火牆。因此它兼備了較高的效率和安全性，可以支持多種網路協議和應用，且可以方便地擴展實現對各種非標准服務的支持。
4. 什麼是防火牆
防火牆
一、防火牆能夠作到些什麼？
1.包過濾
具備包過濾的就是防火牆？對，沒錯！根據對防火牆的定義，凡是能有效阻止網路非法連接的方式，都算防火牆。早期的防火牆一般就是利用設置的條件，監測通過的包的特徵來決定放行或者阻止的，包過濾是很重要的一種特性。雖然防火牆技術發展到現在有了很多新的理念提出，但是包過濾依然是非常重要的一環，如同四層交換機首要的仍是要具備包的快速轉發這樣一個交換機的基本功能一樣。通過包過濾，防火牆可以實現阻擋攻擊，禁止外部/內部訪問某些站點，限制每個ip的流量和連接數。
2.包的透明轉發
事實上，由於防火牆一般架設在提供某些服務的伺服器前。如果用示意圖來表示就是 Server—FireWall—Guest 。用戶對伺服器的訪問的請求與伺服器反饋給用戶的信息，都需要經過防火牆的轉發,因此，很多防火牆具備網關的能力。
3.阻擋外部攻擊
如果用戶發送的信息是防火牆設置所不允許的，防火牆會立即將其阻斷，避免其進入防火牆之後的伺服器中。
4.記錄攻擊
如果有必要，其實防火牆是完全可以將攻擊行為都記錄下來的，但是由於出於效率上的考慮，目前一般記錄攻擊的事情都交給IDS來完成了，我們在後面會提到。
以上是所有防火牆都具備的基本特性，雖然很簡單，但防火牆技術就是在此基礎上逐步發展起來的。
二、防火牆有哪些缺點和不足？
1.防火牆可以阻斷攻擊，但不能消滅攻擊源。
「各掃自家門前雪，不管他人瓦上霜」，就是目前網路安全的現狀。互聯網上病毒、木馬、惡意試探等等造成的攻擊行為絡繹不絕。設置得當的防火牆能夠阻擋他們，但是無法清除攻擊源。即使防火牆進行了良好的設置，使得攻擊無法穿透防火牆，但各種攻擊仍然會源源不斷地向防火牆發出嘗試。例如接主幹網10M網路帶寬的某站點，其日常流量中平均有512K左右是攻擊行為。那麼，即使成功設置了防火牆後，這512K的攻擊流量依然不會有絲毫減少。
2.防火牆不能抵抗最新的未設置策略的攻擊漏洞
就如殺毒軟體與病毒一樣，總是先出現病毒，殺毒軟體經過分析出特徵碼後加入到病毒庫內才能查殺。防火牆的各種策略，也是在該攻擊方式經過專家分析後給出其特徵進而設置的。如果世界上新發現某個主機漏洞的cracker的把第一個攻擊對象選中了您的網路，那麼防火牆也沒有辦法幫到您的。
3.防火牆的並發連接數限制容易導致擁塞或者溢出
由於要判斷、處理流經防火牆的每一個包，因此防火牆在某些流量大、並發請求多的情況下，很容易導致擁塞，成為整個網路的瓶頸影響性能。而當防火牆溢出的時候，整個防線就如同虛設，原本被禁止的連接也能從容通過了。
4.防火牆對伺服器合法開放的埠的攻擊大多無法阻止
某些情況下，攻擊者利用伺服器提供的服務進行缺陷攻擊。例如利用開放了3389埠取得沒打過sp補丁的win2k的超級許可權、利用asp程序進行腳本攻擊等。由於其行為在防火牆一級看來是「合理」和「合法」的，因此就被簡單地放行了。
5.防火牆對待內部主動發起連接的攻擊一般無法阻止
「外緊內松」是一般區域網絡的特點。或許一道嚴密防守的防火牆內部的網路是一片混亂也有可能。通過社會工程學發送帶木馬的郵件、帶木馬的URL等方式，然後由中木馬的機器主動對攻擊者連接，將鐵壁一樣的防火牆瞬間破壞掉。另外，防火牆內部各主機間的攻擊行為，防火牆也只有如旁觀者一樣冷視而愛莫能助。
6．防火牆本身也會出現問題和受到攻擊
防火牆也是一個os，也有著其硬體系統和軟體，因此依然有著漏洞和bug。所以其本身也可能受到攻擊和出現軟/硬體方面的故障。
7．防火牆不處理病毒
不管是funlove病毒也好，還是CIH也好。在內部網路用戶下載外網的帶毒文件的時候，防火牆是不為所動的（這里的防火牆不是指單機/企業級的殺毒軟體中的實時監控功能，雖然它們不少都叫「病毒防火牆」）。
看到這里，或許您原本心目中的防火牆已經被我拉下了神台。是的，防火牆是網路安全的重要一環，但不代表設置了防火牆就能一定保證網路的安全。「真正的安全是一種意識，而非技術!」請牢記這句話。
不管怎麼樣，防火牆仍然有其積極的一面。在構建任何一個網路的防禦工事時，除了物理上的隔離和目前新近提出的網閘概念外，首要的選擇絕對是防火牆。那麼，怎麼選擇需要的防火牆呢？
防火牆的分類
首先大概說一下防火牆的分類。就防火牆（本文的防火牆都指商業用途的網路版防火牆，非個人使用的那種）的組成結構而言，可分為以下三種：
第一種：軟體防火牆
軟體防火牆運行於特定的計算機上，它需要客戶預先安裝好的計算機操作系統的支持，一般來說這台計算機就是整個網路的網關。軟體防火牆就象其它的軟體產品一樣需要先在計算機上安裝並做好配置才可以使用。防火牆廠商中做網路版軟體防火牆最出名的莫過於Checkpoint。使用這類防火牆，需要網管對所工作的操作系統平台比較熟悉。
第二種：硬體防火牆
這里說的硬體防火牆是指所謂的硬體防火牆。之所以加上"所謂"二字是針對晶元級防火牆說的了。它們最大的差別在於是否基於專用的硬體平台。目前市場上大多數防火牆都是這種所謂的硬體防火牆，他們都基於PC架構，就是說，它們和普通的家庭用的PC沒有太大區別。在這些PC架構計算機上運行一些經過裁剪和簡化的操作系統，最常用的有老版本的Unix、Linux和FreeBSD系統。 值得注意的是，由於此類防火牆採用的依然是別人的內核，因此依然會受到os本身的安全性影響。國內的許多防火牆產品就屬於此類，因為採用的是經過裁減內核和定製組件的平台，因此國內防火牆的某些銷售人員常常吹噓其產品是「專用的os」等等，其實是一個概念誤導，下面我們提到的第三種防火牆才是真正的os專用。
第三種：晶元級防火牆
它們基於專門的硬體平台，沒有操作系統。專有的ASIC晶元促使它們比其他種類的防火牆速度更快，處理能力更強，性能更高。做這類防火牆最出名的廠商莫過於NetScreen.其他的品牌還有FortiNet,算是後起之秀了。這類防火牆由於是專用OS,因此防火牆本身的漏洞比較少，不過價格相對比較高昂，所以一般只有在「確實需要」的情況下才考慮。
在這里，特別糾正幾個不正確的觀念：
1.在性能上，晶元級防火牆>硬體防火牆>軟體防火牆。
在價格上看來，的確倒是如此的關系。但是性能上卻未必。防火牆的「好」，是看其支持的並發數、最大流量等等性能，而不是用軟體硬體來區分的。事實上除了晶元級防火牆外，軟體防火牆與硬體防火牆在硬體上基本是完全一樣的。目前國內的防火牆廠商由於大多採用硬體防火牆而不是軟體防火牆，原因1是考慮到用戶網路管理員的素質等原因，還有就是基於我國大多數民眾對「看得見的硬體值錢，看不到的軟體不值錢」這樣一種錯誤觀點的迎合。不少硬體防火牆廠商大肆詆毀軟體防火牆性能，不外是為了讓自己那加上了外殼的普通pc＋一個被修改後的內核＋一套防火牆軟體能夠賣出一個好價錢來而已。而為什麼不作晶元級防火牆呢？坦白說，國內沒有公司有技術實力。而且在中國市場上來看，某些國內的所謂硬體防火牆的硬體質量連diy的兼容機都比不上。看看國內XX的硬體防火牆那拙劣的硬碟和網卡，使用過的人都能猜到是哪家，我就不點名了。真正看防火牆，應該看其穩定性和性能，而不是用軟、硬來區分的。至少，如果筆者自己選購，我會選擇購買CheckPoint而非某些所謂的硬體防火牆的。
2.在效果上，晶元防火牆比其他兩種防火牆好
這同樣也是一種有失公允的觀點。事實上晶元防火牆由於硬體的獨立，的確在OS本身出漏洞的機會上比較少，但是由於其固化，導致在面對新興的一些攻擊方式時，無法及時應對；而另外兩種防火牆，則可以簡單地通過升級os的內核來獲取系統新特性，通過靈活地策略設置來滿足不斷變化的要求，不過其OS出現漏洞的概率相對高一些。
3.唯技術指標論
請以「防火牆買來是使用的」為第一前提進行購買。防火牆本身的質量如何是一回事，是否習慣使用又是另一回事。如果對一款產品的界面不熟悉，策略設置方式不理解，那麼即使用世界最頂級的防火牆也沒有多大作用。就如小說中武林中人無不嚮往的「倚天劍」、「屠龍刀」被我拿到，肯定也敵不過喬峰赤手的少林長拳是一般道理。防火牆技術發展至今，市場已經很成熟了，各類產品的存在，自然有其生存於市場的理由。如何把產品用好，遠比盲目地比較各類產品好。
5. 什麼是防火牆，為什麼需要有防火牆
防火牆是一種位於內部網路與外部網路之間的網路安全系統。一項信息安全的防護系統，依照特定的規則，允許或是限制傳輸的數據通過。系統會自動設置防火牆，但也可以自己設置、更改（不要隨便設置、更改，這樣可能會造成錯誤）。
有些電腦病毒會通過網路漏洞來入侵電腦，防火牆可阻止電腦病毒感染和傳播。
6. 什麼是防火牆,作用是什麼,怎麼使用.
防火牆定義
防火牆就是一個位於計算機和它所連接的網路之間的軟體。該計算機流入流出的所有網路通信均要經過此防火牆。
防火牆的功能
防火牆對流經它的網路通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。防火牆還可以關閉不使用的埠。而且它還能禁止特定埠的流出通信，封鎖特洛伊木馬。最後，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。
為什麼使用防火牆
防火牆具有很好的保護作用。入侵者必須首先穿越防火牆的安全防線，才能接觸目標計算機。你可以將防火牆配置成許多不同保護級別。高級別的保護可能會禁止一些服務，如視頻流等，但至少這是你自己的保護選擇。
防火牆的類型
防火牆有不同類型。一個防火牆可以是硬體自身的一部分，你可以將網際網路連接和計算機都插入其中。防火牆也可以在一個獨立的機器上運行，該機器作為它背後網路中所有計算機的代理和防火牆。最後，直接連在網際網路的機器可以使用個人防火牆。