防火墙 (Firewall)

防火墙（英文名 Firewall）是一种架设在外部网络与内部网络之间的网络安全设备或软件，它按照管理者预先设定的安全策略，对进出网络的数据流量进行监控、过滤和放行控制。

概述

防火墙的名字借自建筑领域中用来阻隔火势蔓延的隔离墙，形象地表达了它的作用：在可信的内部网络与不可信的外部网络（通常是互联网）之间竖起一道屏障。凡是跨越这道屏障的通信，都要先经过检查，符合规则的才允许通过，不符合的则被拦截或丢弃。

从形态上看，防火墙既可以是一台独立的专用硬件设备，部署在网络出入口处保护整个内网；也可以是运行在服务器或个人电脑上的一套软件，检查本机各个网络接口的流量，例如 Windows 自带的防火墙、Linux 上的 iptables 和 firewalld 等。从技术定义上说，防火墙是位于两个或多个网络之间、实施访问控制的一组软硬件组件的集合。

随着技术发展，防火墙从早期只看地址和端口的包过滤，演进到能跟踪连接状态的状态检测防火墙，再到能识别具体应用和用户的下一代防火墙（NGFW），检查能力越来越深入。

核心功能

• 访问控制：根据 IP 地址、端口、协议等规则决定放行还是拦截流量，这是防火墙最基本的能力。
• 状态检测：跟踪每条连接的上下文状态，只放行属于合法会话的数据包，防止伪造报文混入。
• 网络隔离与地址转换：划分安全区域、隐藏内网结构，很多防火墙同时承担 NAT 功能。
• 日志与审计：记录被拦截和放行的流量，为安全事件排查提供依据。
• 应用层识别：新一代防火墙可识别具体应用与内容，实现更精细的管控。

常见问题

问：装了防火墙就绝对安全了吗？答：不是。防火墙主要防御来自网络边界的未授权访问，对钓鱼邮件、弱密码、内部人员违规或应用自身漏洞作用有限，需要与杀毒软件、入侵检测、及时打补丁等手段配合使用。

问：硬件防火墙和软件防火墙有什么区别？答：硬件防火墙是独立设备，部署在网络出入口，保护整个网络，性能强，常见于企业机房；软件防火墙运行在单台主机上，只保护这台机器，个人用户使用操作系统自带的软件防火墙通常就够用。

问：防火墙会拖慢网速吗？答：检查流量确实会带来一定开销，但正常配置下对日常使用几乎无感；只有在规则过多、设备性能不足或开启深度检测时才可能出现明显延迟。