D4-03 8–10 分钟 重要程度：高
防火墙、代理、DPI 与边界控制
防火墙题常考类型、工作层和能看见什么：包过滤、应用代理、电路代理、状态检查、NGFW、ISFW 和 DPI。
一、必须记住
- 静态包过滤防火墙是第一代，工作在第 3 层，不跟踪连接状态。
- 应用级网关/代理防火墙工作在第 7 层，可理解特定应用流量，但性能成本较高。
- 电路级网关工作在第 5 层，关注会话电路而非内容。
- 状态检查防火墙跟踪连接状态，通常工作在第 3/4 层。
- NGFW 集成 IDS/IPS、VPN、Web 过滤、QoS、反恶意软件等能力。
- ISFW 放在内部网段之间，限制横向移动。
二、核心概念
防火墙类型
包过滤看源、目的、端口和协议；应用代理理解特定应用；电路代理只关注连接端点；状态检查依据会话上下文允许或拒绝流量。
DPI 与内容过滤
深度数据包检测会检查有效负载，不只是报头。它可识别恶意软件、垃圾邮件、域名或应用内容，常与应用层防火墙或状态检查集成。
安全边界
安全边界存在于不同安全需求区域之间，例如 LAN 与互联网、DMZ 与内部网。识别边界后要部署机制控制跨界信息流。
三、CISSP 判断规则
- 问只检查源/目的/端口，选 Packet filtering。
- 问为每个应用使用代理并理解应用内容，选 Application gateway。
- 问跟踪连接上下文，选 Stateful inspection。
- 问内部网段间阻止恶意扩散，选 ISFW。
四、常见陷阱
- 包过滤不做用户身份验证，也容易被伪造包欺骗。
- 代理防火墙更细，但可能影响性能。
- 安全边界不是只有互联网出口，内部高低安全区之间也有边界。
五、英文关键字
Packet filtering firewall （包过滤防火墙） 定义：检查报头源、目的、端口和协议，不跟踪连接状态。 Application gateway （应用级网关） 定义：第 7 层代理防火墙，按应用协议过滤。 Circuit-level gateway （电路级网关） 定义：第 5 层防火墙，关注会话电路端点。 Stateful inspection （状态检查） 定义：跟踪连接上下文并据此允许或拒绝流量。 NGFW （下一代防火墙） 定义：集成防火墙、IDS/IPS、VPN、Web 过滤等功能。 ISFW （内网隔离防火墙） 定义：部署在内部网段之间，限制横向移动。 DPI （深度数据包检测） 定义：检查有效负载而不只是报头。 DMZ （非军事区） 定义：位于外部网络和内部网络之间的隔离区。 Security boundary （安全边界） 定义：不同安全需求区域之间的交界线。 Proxy firewall （代理防火墙） 定义：通过代理服务检查并转发应用流量。
小测验
1. 只根据源地址、目标地址和端口过滤流量，最接近哪种防火墙？
静态包过滤主要检查报头，不跟踪状态。
2. 跟踪同一会话中数据包关系并根据上下文决策的是？
状态检查防火墙会追踪连接状态和上下文。
3. 部署在内部网段之间以限制横向移动的防火墙是？
Internal Segmentation Firewall 用于内部网段隔离。
本节进度
完成后会保存在当前浏览器。线上版可保存；不同手机、平板之间暂不自动同步。
尚未完成