什么是防火墙
防火墙是放置在受信任的内部网络和不受信任的外部网络（通常是互联网）之间的防御屏障。它根据预定义的规则监控和控制进出流量。
可以把它想象成大楼入口的保安。就像保安检查访客证件只允许授权人员进入一样，防火墙检查网络数据包的来源、目的地和内容，只允许被许可的流量通过。通过阻止未授权访问和恶意通信，防火墙是网络安全的基础技术。
在 IP 确认首页，您可以查看当前的 IP 地址和连接详情。在验证防火墙是否正常工作时，首先了解自己的网络环境非常重要。
防火墙的类型
防火墙根据检查的深度和方法分为几种类型。了解每种类型有助于选择正确的防御策略。
包过滤
最基本的防火墙类型，包过滤仅检查数据包头部信息，源 IP 地址、目标 IP 地址、端口号和协议。虽然速度快，但不检查数据包有效载荷，限制了其检测复杂攻击的能力。
状态检测
包过滤的进化版本，状态检测跟踪连接的"状态"。例如，它允许内部网络发起的连接的响应数据包通过，同时阻止未经请求的入站数据包。这种上下文感知方法被大多数现代防火墙产品使用。
应用层防火墙（WAF）
WAF（Web 应用防火墙）在应用层检查 HTTP/HTTPS 流量。它可以检测和阻止针对 Web 应用的特定攻击，如 SQL 注入和跨站脚本（XSS）。深度包检测（DPI）使其能够审查通信的实际内容。结合安全头部，可以进一步加强 Web 应用防御。
下一代防火墙（NGFW）
NGFW（下一代防火墙）将传统防火墙功能与入侵防御系统（IPS）、应用识别、威胁情报和 SSL/TLS 检测集成为一个综合安全解决方案。它已成为企业网络的标准选择。
截至 2024-2025 年，NGFW 正在通过机器学习增强其威胁检测能力。除了传统的基于签名的检测外，实时学习和检测异常网络流量模式已成为标准功能。云原生防火墙（如 AWS Network Firewall 和 Azure Firewall Premium）也在快速普及，推动了本地和云环境统一安全管理的需求。
家用路由器防火墙
家用路由器包含基本的防火墙功能，即使没有明确配置也能工作。NAT（网络地址转换）主要是一种 IP 地址转换技术，但它通过阻止外部设备直接访问内部网络上的各个设备，隐式地充当了防火墙。
大多数家用路由器具有 SPI（状态包检测）功能，只允许内部发起的连接的响应通过，阻止未经请求的入站请求。路由器管理每台设备的 IP 地址并根据其 NAT 表路由流量。
然而，配置端口转发会创建从互联网到内部网络的直接路径，引入安全漏洞。如果为游戏服务器或远程访问开放端口，请限制在最低必要范围内，不再需要时及时关闭。保持路由器固件更新也是防止已知漏洞被利用的关键。从物联网安全的角度来看，路由器管理是一个关键问题。
操作系统内置防火墙
主流操作系统都内置了软件防火墙。将它们与路由器防火墙配合使用可以创建分层防御。
Windows Defender 防火墙
内置于 Windows 中并默认启用，允许分别配置入站和出站规则，并按应用控制通信权限。它可以根据网络配置文件（域、专用、公用）应用不同的规则集，在公共网络上自动执行更严格的规则。
macOS 防火墙
macOS 防火墙在应用层运行，按应用控制入站连接。启用"隐身模式"可以防止系统响应 ping 请求和连接探测，在网络上隐藏其存在。请注意，macOS 防火墙默认是禁用的，您必须通过系统设置 → 网络 → 防火墙手动启用。
Linux iptables / nftables
在 Linux 上，iptables（旧版）和 nftables（其继任者）提供内核级别的包过滤。它们提供高度灵活的规则配置，在服务器环境中被广泛使用。UFW（Uncomplicated Firewall）和 firewalld 等前端工具使设置管理更加直观。
零信任与防火墙的演进
传统防火墙建立在"边界防御"的概念上，信任内部网络并在边界阻止威胁。然而，随着远程办公和云服务的兴起，"内部"和"外部"之间的界限变得越来越模糊。
零信任安全采取"无论网络位置如何，验证每个访问请求"的方法。防火墙在零信任模型中仍然是重要组件，但仅靠它们是不够的。结合基于身份的访问控制、微分段以及持续认证和授权，才能形成应对现代威胁的防御态势。对于希望构建全面安全策略的人，零信任网络安全书籍提供了实用指导。
从 2024 年到 2025 年，SASE（安全访问服务边缘）的采用正在加速。SASE 从云端提供防火墙功能，作为 VPN 的安全远程访问替代方案而受到关注。"混合安全"，传统硬件防火墙和云安全服务的统一管理，正在成为企业网络的新标准。
IPv6 环境中的防火墙配置
随着 IPv6 的普及，防火墙配置需要新的考量。由于 IPv4 和 IPv6 是完全不同的协议，防火墙规则必须为每种协议分别配置。
在 IPv6 环境中，不再需要 NAT，因此每台设备都持有全局唯一地址。虽然这提高了通信效率，但也意味着外部方可能直接访问各个设备，因此正确的防火墙过滤至关重要。IPv4 的 NAT 提供的隐式保护在 IPv6 中不存在，需要明确的规则配置来弥补。扎实理解两种协议至关重要，防火墙配置最佳实践指南可以帮助您应对这些差异。
在双栈环境（IPv4 和 IPv6 同时活跃）中，常见的情况是只配置了 IPv4 防火墙规则而 IPv6 未受保护。这可能允许通过 IPv6 进行未授权访问，因此必须为两种协议无遗漏地配置规则。使用 GeoIP 实施基于国家的访问控制时，规则也必须同时应用于 IPv4 和 IPv6 地址块。
防火墙的局限性
防火墙是网络安全的基石，但无法阻止所有威胁。了解其局限性是构建有效安全态势的关键。
您现在可以采取的行动
为了充分利用防火墙保护，请按照以下步骤检查和加强您的网络环境：
- 启用操作系统防火墙：特别是 macOS 默认是禁用的，务必开启。不要因为觉得不方便或可能变慢就禁用它
- 正确配置家用路由器：更改默认管理员密码并删除不必要的端口转发规则
- 保持固件更新：路由器和操作系统更新包含安全补丁，及时应用
- 不要开放不必要的端口：关闭未使用服务的端口
- 实践纵深防御：不要仅依赖防火墙，结合杀毒软件、VPN 和安全浏览习惯进行多层安全防护
- 使用公共 Wi-Fi 时，验证防火墙设置是否配置为公共网络模式
- 在 IP 确认首页检查您的安全评分，验证未检测到 DNS 泄漏或 WebRTC 泄漏
- 定期查看防火墙日志，检查可疑的连接尝试，发现异常时采取行动