免責事項：この記事はCC 4.0 BY-SAの著作権契約書に従って、ブロガーオリジナル記事です、複製、元のソースのリンクと、この文を添付してください。
このリンクします。https：//blog.csdn.net/u014209205/article/details/83070305
のファイアウォールの概念
ファイアウォール（ファイアウォール）は、また、チェック・ポイントのギル・シュウェッドによって設立され、防護壁として知られている発明し、1993年国際で導入しますインターネット（US5606668（A）1993年12月15日）。
このリンクします。https：//blog.csdn.net/u014209205/article/details/83070305
のファイアウォールの概念
ファイアウォール（ファイアウォール）は、また、チェック・ポイントのギル・シュウェッドによって設立され、防護壁として知られている発明し、1993年国際で導入しますインターネット（US5606668（A）1993年12月15日）。
これは、内部ネットワークと外部ネットワークの間に位置したネットワークセキュリティシステムです。これは、許可またはデータの送信を制限する特定のルールに従って、情報セキュリティ保護システムです。
（インターネットからの写真）
ネットワークの世界では、フィルタ通信パケットベアラにファイアウォールによってデータを通信しています。
ネットワークでは、いわゆる「ファイアウォール」は、内部ネットワークと公衆アクセスネットワーク（例えば、インターネット）別の方法を指し、それは実際には分離技術です。ファイアウォール二つのネットワークにおけるアクセス制御の実装は規模を伝えているあなたが最大化するためにシャットアウトする人々とデータを「同意できない」一方で、それは、あなたがあなたのネットワークやデータを入力するために「同意」することができますお使いのネットワークにアクセスするためのネットワークハッカーを防ぎます。ファイアウォールを介して、企業内の人々がインターネットにアクセスすることができないではない場合は、他の言葉では、インターネット上の人々は、会社内部の人々とコミュニケーションすることはできません。
第二に、ファイアウォールの開発プロセス
の誕生から始まるファイアウォールは、それが開発の四つの段階を経験してきました：
の誕生から始まるファイアウォールは、それが開発の四つの段階を経験してきました：
ルータベースのファイアウォールは、
ファイアウォールツールセットカスタマイズ
ファイアウォールの一般的なオペレーティングシステム上に構築された
安全なオペレーティングシステムとファイアウォール
かかるようにNETEYE、NETSCREEN、TALENTITとなどの安全なオペレーティングシステムと一般的なファイアウォールファイアウォールに属し、この段階では。
ファイアウォールツールセットカスタマイズ
ファイアウォールの一般的なオペレーティングシステム上に構築された
安全なオペレーティングシステムとファイアウォール
かかるようにNETEYE、NETSCREEN、TALENTITとなどの安全なオペレーティングシステムと一般的なファイアウォールファイアウォールに属し、この段階では。
第三には、基本的なタイプのファイアウォール
ネットワーク層ファイアウォール
、ネットワーク層のファイアウォールは、IPパケットフィルタとみなすことができる基礎となるTCP / IPプロトコルスタックで動作します。パケットを列挙する唯一の方法は、すべての残りの部分を禁止するために、ファイアウォールを通過する特定のルールに一致することを可能にする（ウイルスを除き、ファイアウォールは、ウイルスを防ぐことはできません）。これらの多くの場合、管理者が定義または変更を経由して、ルールが、一部の機器が内蔵されたファイアウォールルールのみ適用される場合があります。
ネットワーク層ファイアウォール
、ネットワーク層のファイアウォールは、IPパケットフィルタとみなすことができる基礎となるTCP / IPプロトコルスタックで動作します。パケットを列挙する唯一の方法は、すべての残りの部分を禁止するために、ファイアウォールを通過する特定のルールに一致することを可能にする（ウイルスを除き、ファイアウォールは、ウイルスを防ぐことはできません）。これらの多くの場合、管理者が定義または変更を経由して、ルールが、一部の機器が内蔵されたファイアウォールルールのみ適用される場合があります。
アプリケーション層のファイアウォール
ブラウザ生成されたデータ・ストリームを使用するか、この層に属してFTPを使用した場合、データが流れたときに、アプリケーション層は、ファイアウォール、「アプリケーション層」TCP / IPスタック操作です。アプリケーション層ファイアウォールは、（通常、直接パケットを廃棄する）アプリケーションの中と外のすべてのパケットをブロックし、他のパケットをブロックすることができます。理論的には、ファイアウォールのこのタイプは完全に保護されたマシンに外部のデータ・ストリームをブロックすることができます。
ブラウザ生成されたデータ・ストリームを使用するか、この層に属してFTPを使用した場合、データが流れたときに、アプリケーション層は、ファイアウォール、「アプリケーション層」TCP / IPスタック操作です。アプリケーション層ファイアウォールは、（通常、直接パケットを廃棄する）アプリケーションの中と外のすべてのパケットをブロックし、他のパケットをブロックすることができます。理論的には、ファイアウォールのこのタイプは完全に保護されたマシンに外部のデータ・ストリームをブロックすることができます。
データベースファイアウォールの
データベースには、ファイアウォール、データベース、データベースのプロトコル解析・制御技術に基づいたセキュリティシステムです。疑わしい動作の監査をブロックするために、アクセス制御データベース行動、危険な動作を実現するために能動的防御機構に基づきます。
SQLデータベースファイアウォールプロトコル解析ので、事前に定義された禁止事項に基づいて、SQL危険な動作を積極的に防止するための境界防御円データベースを形成する、リアルタイム監査を不正不正操作を阻止することにより、ポリシーの有効なSQL操作をライセンスこと。
外の侵入からデータベースファイアウォール顔、SQLインジェクションやデータベース仮想禁止パッチ機能を提供します。
データベースには、ファイアウォール、データベース、データベースのプロトコル解析・制御技術に基づいたセキュリティシステムです。疑わしい動作の監査をブロックするために、アクセス制御データベース行動、危険な動作を実現するために能動的防御機構に基づきます。
SQLデータベースファイアウォールプロトコル解析ので、事前に定義された禁止事項に基づいて、SQL危険な動作を積極的に防止するための境界防御円データベースを形成する、リアルタイム監査を不正不正操作を阻止することにより、ポリシーの有効なSQL操作をライセンスこと。
外の侵入からデータベースファイアウォール顔、SQLインジェクションやデータベース仮想禁止パッチ機能を提供します。
四、Linuxのファイアウォール
次のようにLinuxは、ファイアウォール例えば、エンタープライズアプリケーションに非常に有用です：
次のようにLinuxは、ファイアウォール例えば、エンタープライズアプリケーションに非常に有用です：
中小企業やインターネットカフェがビジネスとしてiptablesのNATルータを持っている、それは代わりに、伝統的なルータ、およびコスト削減を使用することができます。
IDCの部屋は、一般的にハードウェアファイアウォールを持っていない、IDCのサーバルームは、ファイアウォールLinuxのファイアウォールのハードウェアに置き換えることができます。
iptablesのは、企業内のインターネットへの透過的なプロキシとしてアクセスイカと組み合わせることができます。伝統的な薬は、ブラウザでプロキシサーバ情報を設定する必要があり、とiptables +イカ透過プロキシは、プロキシサーバーにポートをリダイレクトするクライアントの要求を置くことができます。クライアントは、任意の設定を行わないと、薬剤の存在を感じることはありません。
ビジネスとしてNATルータをiptablesの、あなたはiptablesの拡張モジュールシールドP2Pトラフィックを使用することができます、また違法なWebページを禁止することができます。
iptablesが内側に外部ネットワークIPネットワークIPマッピングで使用することができます。
iptablesのは簡単なのping攻撃やSYNフラッド攻撃のような軽量DOS攻撃を、防ぐことができます。
ホストファイアウォール、NATルータ：レビューは、iptablesは2つのモードがあります。
IDCの部屋は、一般的にハードウェアファイアウォールを持っていない、IDCのサーバルームは、ファイアウォールLinuxのファイアウォールのハードウェアに置き換えることができます。
iptablesのは、企業内のインターネットへの透過的なプロキシとしてアクセスイカと組み合わせることができます。伝統的な薬は、ブラウザでプロキシサーバ情報を設定する必要があり、とiptables +イカ透過プロキシは、プロキシサーバーにポートをリダイレクトするクライアントの要求を置くことができます。クライアントは、任意の設定を行わないと、薬剤の存在を感じることはありません。
ビジネスとしてNATルータをiptablesの、あなたはiptablesの拡張モジュールシールドP2Pトラフィックを使用することができます、また違法なWebページを禁止することができます。
iptablesが内側に外部ネットワークIPネットワークIPマッピングで使用することができます。
iptablesのは簡単なのping攻撃やSYNフラッド攻撃のような軽量DOS攻撃を、防ぐことができます。
ホストファイアウォール、NATルータ：レビューは、iptablesは2つのモードがあります。
V.ファイアウォールの基本原理
バイト転送フロー図に対応するには、次の層に分割することができます。
バイト転送フロー図に対応するには、次の層に分割することができます。
パケットフィルタ（パケットフィルタリング）：ネットワーク層での作業は、IPアドレス、ポート番号、プロトコルタイプフラグのヘッダ内のデータを介してのみデータ・パケットを許可するかどうかを判断します。
アプリケーションプロキシ（アプリケーションプロキシ）：アプリケーション層のデータの検出および分析を達成するために、異なるアプリケーション・エージェントを書き込むことによって、アプリケーション層での作業。
状態検出（ステートフル・インスペクション）：2~4層の仕事、同じアクセス制御と1が、オブジェクトの処理は、単一のパケットではなく、接続状態テーブルおよびルールテーブルを介して接続全体で統合パケットを許可するか否かを判断します。
完全なコンテンツ検査（Compeleteコンテンツ検査）：2~7層で仕事、パケットのヘッダ情報を解析し、ステータス情報、およびアプリケーション層プロトコル解析及びコンテンツ削減、効率的ハイブリッドセキュリティ上の脅威を防止するだけでなく。
アプリケーションプロキシ（アプリケーションプロキシ）：アプリケーション層のデータの検出および分析を達成するために、異なるアプリケーション・エージェントを書き込むことによって、アプリケーション層での作業。
状態検出（ステートフル・インスペクション）：2~4層の仕事、同じアクセス制御と1が、オブジェクトの処理は、単一のパケットではなく、接続状態テーブルおよびルールテーブルを介して接続全体で統合パケットを許可するか否かを判断します。
完全なコンテンツ検査（Compeleteコンテンツ検査）：2~7層で仕事、パケットのヘッダ情報を解析し、ステータス情報、およびアプリケーション層プロトコル解析及びコンテンツ削減、効率的ハイブリッドセキュリティ上の脅威を防止するだけでなく。
（インターネットからの写真）
（インターネットからの写真）
六、Netfilterのとiptables
Netfilterのは、ラスティ・ラッセルが提案したのLinux 2.4カーネルのファイアウォールのフレームワークであり、シンプルで柔軟な両方のためのフレームワークは、そのようなパケットフィルタリング、パケット処理、アドレスマスカレード、透過プロキシとして機能の数にセキュリティポリシーを有効にします、動的ネットワークアドレス変換（NATネットワークアドレス変換）、および制限パケットレートの状態に基づいて、ユーザとメディアアクセス制御（媒体アクセス制御、MAC）アドレスフィルタリングとフィルタリングに基づきます。iptablesの/ Netfilterのこれらのルールは、柔軟に、すべての側面をカバーし、その優れたデザインへのすべてのおかげで、多くの機能を形成するために組み合わせることができます。Netfilterの/ iptablesのパケットフィルタリングシステム全体、netfilterのカーネルモジュールが実装されているように、iptablesの操作ツールは、上位層です。
Netfilterのは、ラスティ・ラッセルが提案したのLinux 2.4カーネルのファイアウォールのフレームワークであり、シンプルで柔軟な両方のためのフレームワークは、そのようなパケットフィルタリング、パケット処理、アドレスマスカレード、透過プロキシとして機能の数にセキュリティポリシーを有効にします、動的ネットワークアドレス変換（NATネットワークアドレス変換）、および制限パケットレートの状態に基づいて、ユーザとメディアアクセス制御（媒体アクセス制御、MAC）アドレスフィルタリングとフィルタリングに基づきます。iptablesの/ Netfilterのこれらのルールは、柔軟に、すべての側面をカバーし、その優れたデザインへのすべてのおかげで、多くの機能を形成するために組み合わせることができます。Netfilterの/ iptablesのパケットフィルタリングシステム全体、netfilterのカーネルモジュールが実装されているように、iptablesの操作ツールは、上位層です。
それは、Linuxのnetfilterとiptablesで厳密に区別されていない場合、そのLinuxのファイアウォールを意味すると解釈することができます。
iptablesのは、実際には、コアパケットフィルタリングルール・テーブルを構成するために使用することができる管理カーネルパケットフィルタリングツールです。ユーザ空間で実行します。
違いがある：netfilterのは、Linuxカーネルのバージョン2.4が導入Netfilterのと呼ばれるエンジンを、フィルタリング新しいパケットです。Linuxカーネルのファイアウォールのパケットフィルタリングの内部構造を指し、プログラムやファイルのno形式は、「カーネル・モード」のファイアウォール機能システム存在しません。iptablesコマンドプログラムは通常、/ sbinに/ iptablesの、ある「ユーザーモード」のファイアウォール管理システムにあり、ファイアウォールのLinuxを管理するために使用されて参照します。Netfilterのは、iptablesのツール制御でのLinux 2.2カーネルipchainsのは兄のコマンドです。
netfilterのルールセットは、カーネルメモリ内に位置し、iptablesのアプリケーションはインターフェースによって放出されたカーネルメモリXXtablesに記憶され修正されるアプリケーション層、（netfilterの構成テーブル）のnetfilterです。XXtables表テーブル、チェーン、チェーン、組成ルールのルール、アプリケーション層でルールファイルを変更する責任のiptables。同様のアプリケーションもfirewalld。
iptablesのとnetfilterの接触？
多くの人がすぐにISを考え、実際には、ファイアウォールiptablesのではない、彼は単なるソフトウェアやツールのファイアウォールiptablesのは言うまでもなく、このソフトウェアは、netfilterの中に、データベースから書かれたルールを保存するためにいくつかのルールを書くことができます。したがって、実際の演劇「火」機能がnetfilterのある、iptablesのではありません。netfilterのカーネルはフレーム、4つのテーブル5とチェーンが含まれているフレームで、順番にこれらの鎖は、ルールの数を含みます。このチェーンのルールよりもパケットルールが定義されています。
多くの人がすぐにISを考え、実際には、ファイアウォールiptablesのではない、彼は単なるソフトウェアやツールのファイアウォールiptablesのは言うまでもなく、このソフトウェアは、netfilterの中に、データベースから書かれたルールを保存するためにいくつかのルールを書くことができます。したがって、実際の演劇「火」機能がnetfilterのある、iptablesのではありません。netfilterのカーネルはフレーム、4つのテーブル5とチェーンが含まれているフレームで、順番にこれらの鎖は、ルールの数を含みます。このチェーンのルールよりもパケットルールが定義されています。
以下の内容で、私たちは、iptablesのLinuxファイアウォールに呼び出されます。
（インターネットからの写真）
七ファイアウォール性能
スループット：このメトリックは、直接ネットワークの性能に影響を与え、スループット
遅延：ビット間隔で第一の出力フレームの出力の出口におけるビットの到着時間に最後の入力フレームの入口
損失率：で定常状態の負荷の下で、ネットワークの伝送装置、リソースの不足のためではなく、フレームの割合が削除されているものと
背中合わせに：アイドル状態から始めて、伝送媒体を固定長のかなりの数の送信の有効な最小フレーム伝送レート制限間隔を達成するために、ときフレーム損失が最初に発生した場合、送信されたフレームの数
の同時リンクは：ホストまたはホスト間のファイアウォールを介して接続の数との間の同時接続の最大数を意味し、ファイアウォールを同時に確立することができ
スループット：このメトリックは、直接ネットワークの性能に影響を与え、スループット
遅延：ビット間隔で第一の出力フレームの出力の出口におけるビットの到着時間に最後の入力フレームの入口
損失率：で定常状態の負荷の下で、ネットワークの伝送装置、リソースの不足のためではなく、フレームの割合が削除されているものと
背中合わせに：アイドル状態から始めて、伝送媒体を固定長のかなりの数の送信の有効な最小フレーム伝送レート制限間隔を達成するために、ときフレーム損失が最初に発生した場合、送信されたフレームの数
の同時リンクは：ホストまたはホスト間のファイアウォールを介して接続の数との間の同時接続の最大数を意味し、ファイアウォールを同時に確立することができ
八のファイアウォールの制限は
、ファイアウォールの基本的な施設が、ネットワークを保護するために、それはまた、簡単に防ぐためにされていないいくつかのセキュリティ上の脅威があります。
ファイアウォール経由で最初のファイアウォールは防ぐことはできませんか、ファイアウォールの攻撃バイパスにすることができます。保護されたネットワークの内部からダイヤルアウトするために許可された場合、一部のユーザーは、インターネットへの直接接続を形成することができます。
ファイアウォールの主ホストまたはサービス要求されたアクセス制御に、道のヘッダ情報をブロックするパケット検査に基づいて、ワームやハッカーの攻撃に有害なトラフィックが開いているポートを通って流れ、ない解決策をブロックすることはできません。
また、ファイアウォールは、内部ネットワークまたは乱用からの攻撃を防ぐことは困難です。
----------------
免責事項：この記事は元の記事CSDNブロガー「ストーンマスターページ」で、CC 4.0 BY-SAの著作権契約書に従ってください、複製、オリジナルのソースとのリンクを添付してくださいこの文。
オリジナルリンクします。https：//blog.csdn.net/u014209205/article/details/83070305
、ファイアウォールの基本的な施設が、ネットワークを保護するために、それはまた、簡単に防ぐためにされていないいくつかのセキュリティ上の脅威があります。
ファイアウォール経由で最初のファイアウォールは防ぐことはできませんか、ファイアウォールの攻撃バイパスにすることができます。保護されたネットワークの内部からダイヤルアウトするために許可された場合、一部のユーザーは、インターネットへの直接接続を形成することができます。
ファイアウォールの主ホストまたはサービス要求されたアクセス制御に、道のヘッダ情報をブロックするパケット検査に基づいて、ワームやハッカーの攻撃に有害なトラフィックが開いているポートを通って流れ、ない解決策をブロックすることはできません。
また、ファイアウォールは、内部ネットワークまたは乱用からの攻撃を防ぐことは困難です。
----------------
免責事項：この記事は元の記事CSDNブロガー「ストーンマスターページ」で、CC 4.0 BY-SAの著作権契約書に従ってください、複製、オリジナルのソースとのリンクを添付してくださいこの文。
オリジナルリンクします。https：//blog.csdn.net/u014209205/article/details/83070305