AO801 3BSE020514R1
网络使用离散的位组发送数据，通常把一定数量的位组称为数据包。每个数据包通常包含若干个独立的信息，包括(但不限于)的项目有：
•发件人的身份(源地址);
•收件人的身份(目的地址);
•包涉及的服务(端口号);
•网络操作和状态标志;
•把数据的有效载荷传递到该服务。
接收一个数据包时，防火墙对包的这些特征进行分析，并决定对这个包采取什么行动。可以选择丢弃该包、允许立即通过、因带宽限制而暂时缓存，或转发给不同的收件人 – 应按照网络安全策略采取适当的行动。
这些决定都基于一系列的规则，该规则通常被称为访问控制列表(**)。防火墙具有不同的类型，每种类型都具有复杂的分析和行动能力。下面给予分别介绍。
**滤防火墙
**简单一类的防火墙被称为**滤防火墙。它具有一系列的静态规则，对收到的报文按规则采取行动。下面的示例表明了**滤防火墙是如何按规则处理数据包的：
•在用户数据报协议(UDP)端口53上接受域名服务(DNS)响应数据包;
•阻止因特网协议(IP)地址为的任何数据;
•通过阻断传输访问控制协议(TCP)端口80、443、3128、8000和8080传出的数据包以阻止网上冲浪，除非他们指向企业内部网Web服务器的IP地址;
•丢弃源路由包;
•接受来自特定IP地址范围的工程操作站，通过TCP端口23远程登录(telnet)到一个特定的分布式控制系统(DCS)IP地址的数据。
不幸的是，**滤防火墙缺乏理解一系列数据包之间关系的能力。例如，广泛适用的规则“接受UDP端口53上的DNS响应数据包”包含一个严重的缺陷。如果DNS没有发过查询，而用一个伪造的DNS“响应”包来代替呢?这个简单的防火墙会接受这个数据包，并提供给“请求”主机，这可能会带来麻烦。比较狡猾的黑客会利用防火墙的这些弱点潜入内部系统。
**滤防火墙的优点具有：成本低廉且对网络性能影响较小，因为只检查数据包中的IP地址和端口号。这种方法有时也称为静态过滤。它往往是直接部署在交换机或路由器的第3层，而不是专用的“防火墙”。
