当我们申请不到很多合法IP时，如何分配IP使得单位对外开放的服务器和内部的 PC终端能够上网? 防火墙实现原理有多种不同的技术，请你分析各自的特点。

admin2010-05-10 73

问题当我们申请不到很多合法IP时，如何分配IP使得单位对外开放的服务器和内部的 PC终端能够上网?
防火墙实现原理有多种不同的技术，请你分析各自的特点。

选项

答案有包过滤、应用网关和状态检测的防火墙。包过滤防火墙是一种简单的三层过滤技术，应用网关防火墙是工作在高层的防火墙技术，特定的应用程序必须安装相应的代理程序。状态检测防火墙又称为动态包过滤防火墙，它动态跟踪包的状态。

解析防火墙根据实现原理可分为包过滤防火墙、应用网关防火墙和状态检测防火墙。
(1)包过滤防火墙。包过滤防火墙一般在路由器上实现，用以过滤用户定义的内容，如IP地址等，这里的“包”是指IP包，包过滤防火墙的工作原理是：系统在网络层检查数据包，与应用层无关。这样系统就具有很好的传输性能，可扩展能力强。但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容，所以可能被黑客所攻破，如图1-12所示。

(2)应用网关防火墙。应用网关防火墙也称为应用代理防火墙，它检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。然而，应用网关防火墙是通过打破客户机/服务器模式来实现的。每个客户机/服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。另外，每个代理需要一个不同的应用进程，或一个后台运行的服务程序，对每个新的应用必须添加针对此应用的服务程序，否则不能使用该服务。所以，应用网关防火墙具有可伸缩性差的缺点，如图1-13所示。

(3)状态检测防火墙。状态检测防火墙也称为线路过滤防火墙，它基本保持了简单包过滤防火墙的优点，性能比较好，同时对应用是透明的，在此基础上，对于安全性有了大幅提升。这种防火墙摒弃了简单包过滤防火墙仅仅考察进出网络的数据包，不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，维护了连接，将进出网络的数据当成一个个事件来处理。可以这样说，状态检测包过滤防火墙规范了网络层和传输层行为，而应用代理型防火墙则是规范了特定的应用协议上的行为，如图1-14所示。