第三章網(wǎng)絡(luò)隔離技術(shù)-防火墻中的包過(guò)濾技術(shù)計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)防火墻中的包過(guò)濾技術(shù)應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層包過(guò)濾技術(shù)包過(guò)濾，也叫分組過(guò)濾，它是根據(jù)數(shù)據(jù)IP包頭信息對(duì)網(wǎng)絡(luò)流量進(jìn)行處理的一種訪問(wèn)控制技術(shù)。防火墻中的包過(guò)濾技術(shù)包過(guò)濾技術(shù)如何實(shí)現(xiàn)-包過(guò)濾規(guī)則分組過(guò)濾是一種訪問(wèn)控制機(jī)制，它控制哪些數(shù)據(jù)包可以進(jìn)出網(wǎng)絡(luò)而哪些數(shù)據(jù)包應(yīng)被網(wǎng)絡(luò)拒絕。分組過(guò)濾技術(shù)可以處理網(wǎng)絡(luò)層的數(shù)據(jù)包因此依據(jù)源IP地址、目標(biāo)IP地址、源端口、目標(biāo)端口、包類(lèi)型等IP包頭信息，允許或拒絕IP包通過(guò)防火墻中的包過(guò)濾技術(shù)包過(guò)濾中的過(guò)濾規(guī)則表組序號(hào)動(dòng)作源IP目的IP源端口目的端口協(xié)議類(lèi)型1允許10.1.1.****TCP2允許*>102380TCP3允許*>102353UDP4禁止任意任意任意任意任意防火墻中的包過(guò)濾技術(shù)HTTPDNS未經(jīng)授權(quán)的用戶流量Internet用戶子網(wǎng)包過(guò)濾防火墻包過(guò)濾的過(guò)程防火墻中的包過(guò)濾技術(shù)過(guò)濾規(guī)則表的注意事項(xiàng)制定包過(guò)濾規(guī)則應(yīng)注意的問(wèn)題（1）最常用的規(guī)則放在前面（2）按從最特殊的規(guī)則到最一般的規(guī)則的順序創(chuàng)建（3）配置過(guò)濾規(guī)則必須注意協(xié)議的雙向性（4）“往內(nèi)”與“往外”的含義（5）規(guī)則表通常都有一條默認(rèn)規(guī)則防火墻中的包過(guò)濾技術(shù)包過(guò)濾的優(yōu)缺點(diǎn)包過(guò)濾技術(shù)的優(yōu)點(diǎn)包過(guò)濾技術(shù)的優(yōu)點(diǎn)在于簡(jiǎn)單、易于使用，實(shí)現(xiàn)成本低。處理開(kāi)銷(xiāo)小，因此對(duì)使用該技術(shù)的防火墻系統(tǒng)的性能影響不大。防火墻中的包過(guò)濾技術(shù)包過(guò)濾的優(yōu)缺點(diǎn)分組過(guò)濾技術(shù)的缺點(diǎn)（1）當(dāng)過(guò)濾規(guī)則較多時(shí)，對(duì)過(guò)濾規(guī)則表的管理和維護(hù)較為麻煩（2）無(wú)法識(shí)別入