防火墙基础 - 网络防御的第一道防线
防火墙是一种安全机制，它监控网络上的通信，并根据预定义的规则判断是允许还是拒绝通信。名称源自建筑术语"防火墙"，就像阻止火灾蔓延的墙壁一样，防止外部的非法通信侵入内部网络。
1988 年的 Morris 蠕虫事件使人们广泛认识到在网络边界进行访问控制的必要性。最早的防火墙是 DEC 公司开发的包过滤型，仅通过查看 IP 地址和端口号来控制通信。经过 30 多年的发展，防火墙已进化为能够进行应用层分析和基于机器学习的威胁检测的高级系统。
网络防火墙基础中详细介绍了企业网络的配置。本文将从防火墙的类型到个人设置方法进行全面介绍。
防火墙的类型与演进
随着技术的发展，防火墙大致可分为 4 代。
| 类型 | 检查对象 | 特点 | 弱点 |
|---|---|---|---|
| 包过滤 | IP 地址、端口号、协议 | 处理速度快。可集成到路由器中 | 不理解通信上下文。对 IP 欺骗脆弱 |
| 状态检测 | 数据包 + 连接状态（会话） | 追踪 TCP 三次握手。可检测非法数据包 | 无法检测应用层攻击 |
| 应用网关（代理型） | 应用层数据内容 | 检查 HTTP、FTP、SMTP 内容。可进行内容过滤 | 处理负载高。支持的协议有限 |
| 下一代防火墙 (NGFW) | 全层 + 应用识别 | 集成 IPS、防病毒、SSL 解密。可按用户控制 | 成本高。SSL 解密存在隐私顾虑 |
包过滤的工作原理
这是最基本的防火墙。仅查看每个数据包的头部信息（源 IP、目标 IP、源端口、目标端口、协议），与 ACL（访问控制列表）进行比对。由于逐包判断，不追踪 TCP 会话状态。例如设置"允许从外部到内部 TCP 端口 80 的通信"规则后，所有符合该规则的数据包都会通过。
状态检测的工作原理
这是 1994 年由 Check Point 公司商业化的技术。在包过滤基础上，通过表格管理 TCP/UDP 的连接状态。可以自动阻断未经正规三次握手（SYN → SYN-ACK → ACK）的非法数据包，以及不属于已建立会话的数据包。目前大多数防火墙产品至少具备状态检测功能。
下一代防火墙 (NGFW) 的实力
传统防火墙通过端口号识别应用程序——HTTP 用端口 80，HTTPS 用端口 443。但现代 Web 应用几乎都使用端口 443。Slack、YouTube、Salesforce，仅靠端口号无法区分。
NGFW 通过深度包检测 (DPI) 分析加密流量的内容，识别应用程序。Palo Alto Networks 的 App-ID、Fortinet 的 Application Control、Cisco 的 AVC（Application Visibility and Control）是代表性实现。
NGFW 集成的主要功能
- IPS（入侵防御系统）：检测并阻断已知攻击模式（签名）和异常通信模式
- SSL/TLS 解密：将加密通信临时解密检查后重新加密转发。防止恶意软件隐藏在 HTTPS 中
- 沙箱：在虚拟环境中执行未知文件，判断是否为恶意软件
- URL 过滤：按类别控制对网站的访问
- 用户识别：与 Active Directory 或 LDAP 联动，按用户而非 IP 地址应用策略
防火墙的设计理念与零信任安全的思想密切相关。不仅依赖边界防御，而是验证包括内部通信在内的所有访问的方法正在成为主流。
Windows 和 Mac 的防火墙设置
个人电脑也内置了操作系统标准的防火墙。虽然通常默认启用，但确认设置很重要。
Windows Defender 防火墙
- 打开"设置"→"隐私和安全性"→"Windows 安全中心"→"防火墙和网络保护"
- 确认"域网络""专用网络""公用网络"三个配置文件的防火墙都处于"开启"状态
- 从"高级设置"打开"具有高级安全性的 Windows Defender 防火墙"，可以单独设置入站规则和出站规则
Windows 防火墙默认阻止入站连接，允许出站连接。如果特定应用程序无法通信，需要在入站规则中添加该应用程序的例外。
macOS 防火墙
- 打开"系统设置"→"网络"→"防火墙"
- 将防火墙设为"开启"
- 从"选项"中可以设置每个应用程序的入站连接允许/拒绝
- 启用"隐身模式"后，将不响应 ICMP（ping）请求，可以在网络上隐藏存在
macOS 防火墙是按应用程序控制的"应用程序防火墙"。如果需要按端口进行精细控制，可以通过终端使用 pfctl 命令配置 BSD 的 PF（Packet Filter）。
想系统学习包括防火墙设置在内的网络安全知识，网络安全专业书籍可以作为参考。
企业与个人 - 防火墙的不同用法
防火墙的角色在企业网络和个人环境中有很大不同。
| 角度 | 企业 | 个人 |
|---|---|---|
| 主要威胁 | 定向攻击、勒索软件、内部威胁 | 恶意软件感染、非法访问、钓鱼 |
| 部署形态 | 专用设备（Palo Alto、FortiGate、Cisco ASA） | OS 自带防火墙 + 路由器 NAT |
| 管理对象 | 数百到数万台设备，多个站点 | 自己的电脑和手机 |
| 成本 | 年费数百万到数千万日元（许可证 + 运维） | 免费（OS 自带）到年费数千日元（安全软件） |
| 运维体制 | 专职安全团队或 SOC | 自己 |
对个人用户来说，家用路由器的 NAT（网络地址转换）实际上起着防火墙的作用。NAT 阻断了从外部到内部网络的直接访问，只要不设置端口转发，外部的非法访问就很难实现。但是，从内部到外部的通信（如恶意软件连接外部 C&C 服务器）NAT 无法阻止。
在企业环境中，随着零信任模型的普及，防火墙的角色正在变化。从传统的"守护边界"思维转向"验证所有通信"的思维，微分段和软件定义边界 (SDP) 等技术正受到关注。
防火墙的局限性与补充措施
防火墙是强大的防御手段，但并非万能。以下攻击仅靠防火墙无法防御：
- 伪装成正常通信的攻击：没有 SSL 解密功能就无法检测隐藏在 HTTPS 中的恶意软件通信
- 零日攻击：没有签名的未知攻击，即使 IPS 也难以检测
- 内部威胁：正规用户的信息外泄，或已侵入内部的恶意软件横向移动
- 社会工程学：用户主动点击恶意链接的行为，技术上无法阻止
防火墙应作为纵深防御（Defense in Depth）的一个环节，与端点保护、DNS 安全、用户教育相结合，才能构建有效的安全体系。在IP 确认君定期检查自己的网络连接状况，养成确认防火墙是否正常工作的习惯吧。